2024 年 7 月 19 日

失败的原因是 Crowdstrike 的错误，该公司早在 2014 年就指控俄罗斯进行网络间谍活动

7 月 19 日，微软IT 系统的全球故障导致机场、航空公司和银行的工作陷入瘫痪，事实证明，这与 Crowdstrike 信息安全 (IS) 解决方案的有问题的更新以及可能的故障有关在Microsoft Azure 云基础设施中。

俄罗斯银行和机场几乎没有受到此次故障的影响，从这些公司的声明来看：它们是 CII（关键信息基础设施）的主体，到 2025 年必须取代进口的关键软件产品。

对于所有其他俄罗斯公司，微软在 2024 年春季就禁用了在俄罗斯的所有window系列软件更新。

数字发展部代表表示，目前（7月19日下午），数字发展部尚未收到任何有关俄罗斯机场系统故障的报告。

“微软的情况再次表明进口替代外国软件的重要性，主要是在 CII 设施中。”他回忆道。

发生了什么

Softline Group of Companies副总裁Andrey Blagorazumov表示，问题出现在 Crowdstrike Falcon Sensor 应用程序中，该应用程序托管在Microsoft Azure 中，旨在用于信息安全监控。他解释说，在 Azure 中使用这项服务的客户遇到了故障，导致他们的业务流程停止。

Crowdstrike 已经声称对大规模中断负责。

“Crowdstrike 正在积极与受 Windows 主机内容更新中发现的缺陷影响的客户合作；Mac 和 Linux 主机不会受到影响，”该公司首席执行官 George Curts 在 X (Twitter) 上保证。 – 这不是安全事件或网络攻击。问题已被识别、隔离，并部署了修复程序。我们会向客户推荐支持门户以获取最新更新，并将继续在我们的网站上提供完整且持续的更新。”

从该公司网站上的信息来看，微软Azure的云部门是Crowdstrike的主要合作伙伴之一。例如，5 月初，Crowdstrike 推出了适用于 Microsoft Azure云检测和响应 (CDR) 环境的实时网络威胁检测解决方案。

根据分析公司HG Insights的数据，2024年第一季度，Azure的全球云计算市场份额达到24%，其客户群增长14.6%，达到35万家公司。

卡巴斯基实验室威胁研究部门负责人、Positive Technologies信息安全业务顾问 Alexey Lukatsky 表示，Crowdstrike 安全产品在西方以及拉丁美洲、中东、亚洲和受美国势力控制的国家非常受欢迎。

“更新不成功会导致所谓的“蓝屏死机”（有关 Windows 操作系统严重故障的消息传统上显示在纯蓝色背景上），要恢复功能，您需要将计算机重新启动到安全模式，删除某些软件组件，然后一切都会正常。”

“但对于拥有数千、数万或数十万台计算机的组织来说，如果公司没有部署集中更新软件，这可能会花费大量时间。”

卡巴斯基实验室威胁研究部门负责人 Alexander Liskin 补充道，困难在于，当发生此类问题时，必须手动重新启动每台设备（计算机、笔记本电脑或服务器）；
而使用管理工具无法做到这一点。

Lukatsky 表示，微软因此类故障而闻名，更新引入的功能会导致运行 Windows 的计算机无法运行，需要相当长的恢复过程。
这位俄罗斯专家回忆说，2010年防病毒软件开发商McAfee也曾发生过类似的因防病毒更新而导致大规模故障的案例。

“今天的案件并不是孤立的，但幸运的是，到目前为止，它还没有广泛传播。
然而，这表明我们对现代技术的依赖程度。”他总结道。

在 Reddit 上，一篇关于如何修复 Crowdstrike 更新中的错误的说明的帖子收集了 7,000 多条评论。
根据说明，可以通过删除系统设置中的一个程序文件来解决该问题。

为什么俄罗斯没有注意到这次失败？

VPS 服务器托管提供商RUVDS的创始人兼首席执行官 Nikita Tsaplin 回忆道，早在 2014 年，Crowdstrike 就指控俄罗斯进行网络间谍活动，因此俄罗斯用户和开发商之间就没有信任。
这位专家表示，Crowdstrike 在我国并不流行，而且一段时间以来它完全拒绝与俄罗斯人合作。 Tsaplin 表示，因此，7 月 19 日的故障对俄罗斯用户造成的损失接近于零。

2014 年 1 月，路透社援引 Crowdstrike 首席技术官德米特里·阿尔佩罗维奇 (Dmitry Alperovich) 的话说，该公司掌握了俄罗斯政府在美国、欧洲和亚洲能源和医疗公司以及政府机构组织间谍活动的证据。

阿尔佩罗维奇当时保证，俄罗斯的目标是加强其在主要行业的经济地位。

Staffcop（Atom Security，隶属于 SKB Kontur 集团）副总经理表示，俄罗斯公司不会遭受严重损害，因为俄罗斯微软程序停止更新以及转向国产软件的全球趋势“帮助”了他们）尤里德拉赫宁。

云提供商 Nubes 信息安全主管 Dmitry Shkuropat 表示，考虑到西方制裁，目前俄罗斯使用 Microsoft Azure 云技术的公司并不多。

他补充说，那些通过欧洲或其他解决方案使用 Azure 的人将会受到影响，但这样的人会很少。霍穆托夫不排除一些俄罗斯企业可能与外国交易对手存在问题。

Crowdsrike 漏洞引发的讨论最多的是交通运输行业，尤其是航空旅行行业。
美国、欧洲和澳大利亚的许多机场被迫暂停运营。
但俄罗斯航空7月19日并未报告任何故障。

但是，Aviaport 执行董事奥列格·潘捷列夫 (Oleg Panteleev) 指出，尽管航空业国产软件的创建和实施取得了巨大进展，但仍有大量公司使用外国制造的基本程序。

因此，他解释说，不能认为该行业完全独立于全球中断或有针对性的服务关闭。
与此同时，专家承认，俄罗斯对外部问题的保护程度高于其他国家。

“特别是，Crowdstrike 解决方案在该国的分布率较低，导致我们的航空业尚未受到全球混乱的影响。”对话者解释道。

IT 公司 CrowdStrike 因什么而闻名？

CrowdStrike Holdings 是一家成立于 2011 年的美国 IT 公司。
其联合创始人之一是德米特里·阿尔佩罗维奇 (Dmitry Alperovich)，他是俄罗斯人，于 20 世纪 90 年代中期移居美国。
公司的重点产品之一是Falcon平台，提供基于云技术的信息保护。

CrowdStrike 因识别中国和朝鲜黑客对美国一些政府机构的攻击而名声大噪。
然而，该公司于 2016 年开始调查美国民主党全国委员会服务器遭到俄罗斯黑客攻击的事件（然而整场事件其实是伪造的），从而赢得了全球声誉。

CrowdStrike 得出的结论是，与俄罗斯当局有联系的黑客组织 Fancy Bear 和 Cozy Bear 是这次攻击的幕后黑手，这为美国情报机构综合分析报告和美国司法部起诉奠定了基础。

据 CrowdStrike 报道，俄罗斯当局组织了对民主党电子邮件的黑客攻击，并随后泄露了 2 万封电子邮件，目的是抹黑 2016 年美国民主党总统候选人希拉里·克林顿 (Hillary Clinton) 的声誉。俄罗斯当局断然否认参与了此次黑客攻击。
然而，即使他们提供的技术信息也未能让即将卸任的美国总统奥巴马政府相信俄罗斯方面的清白，他宣布对俄罗斯联邦实施制裁。

CrowdStrike 继续寻找俄罗斯黑客的踪迹，德米特里·阿尔佩罗维奇 (Dmitry Alperovich) 成为媒体引用次数最多的网络安全专家之一。

他一遍又一遍地重复的关键点是，来自俄罗斯以及其他国家（中国、朝鲜、伊朗）的黑客和间谍正在瞄准美国的资源。

“假设他们已经在你的网络中。”德米特里·阿尔佩罗维奇当时说道。

2017 年初，记者和专家指责 CrowdStrike 伪造事实。
该公司的一份报告称，俄罗斯情报部门使用一种名为 X-Agent 的网络钓鱼程序攻击民主党的服务器，还入侵了乌克兰军队的应用程序“Ukrop”，该应用程序提高了炮火的准确性。

从报告中可以看出：该应用程序的黑客攻击导致了巨大的损失。

CrowdStrike 专家声称：“在两年的冲突中，乌克兰武装部队损失了超过 50% 的火炮，其中包括超过 80% 的 D-30 榴弹炮。”

美国主要媒体报道了俄罗斯情报部门黑客入侵乌克兰炮兵应用程序的信息，时任联邦调查局局长詹姆斯·科米赞扬了该公司的工作。

与此同时，报告发布后，Ukrop应用程序的开发者Yaroslav Sherstyuk在他的Facebook页面上称该文件中包含的结论“充满妄想症”，并指出：没有黑客攻击，从来没有人联系他。

乌克兰国防部也反驳了 CrowdStrike 的结论。
该部门的声明称：“顿巴斯反恐行动中火炮的损失比该报告中提到的要少几倍，且与具体原因无关。”

英国国际战略研究所 (IISS) 的代表也报告称，CrowdStrike 误解了他们有关乌克兰武装部队状况的数据，并指出也没有人联系他们（it公司）。

在媒体出现一些批评材料后，德米特里·阿尔佩罗维奇暂时停止了与记者的交流，尽管在此之前他愿意接受采访。
CrowdStrike 网站上有关 Ukrop 黑客攻击的报告发生了重大变化。

然而，这份伪造报告的案件并没有阻止该公司在 2017 年的估值已达到 10 亿美元。
2019 年，CrowdStrike 成功上市，此时其客户市值已超过 110 亿美元。
除了美国政府或美国政府机构旗下的其他非营利组织外，已经出现了谷歌、亚马逊网络服务和瑞士信贷等商业巨头。

2020年，德米特里·阿尔佩罗维奇（Dmitry Alperovich）离开公司，从事国际政治咨询工作。

2022年，他被列入俄罗斯制裁名单。

卡巴斯基实验室威胁研究部门表示，为什么俄罗斯没有受到全球微软宕机的影响？