Dentro dos 78 minutos que derrubaram milhões de máquinas Windows

Na manhã de sexta-feira, pouco depois da meia-noite em Nova York, o desastre começou a se desenrolar ao redor do mundo. Na Austrália, os compradores foram recebidos com mensagens de Tela Azul da Morte (BSOD) nos corredores de autoatendimento. No Reino Unido, a Sky News teve que suspender sua transmissão depois que servidores e PCs começaram a falhar. Em Hong Kong e na Índia, os balcões de check-in do aeroporto começaram a falhar. Quando a manhã chegou em Nova York, milhões de computadores Windows haviam travado, e um desastre tecnológico global estava em andamento.

Nas primeiras horas da interrupção, houve confusão sobre o que estava acontecendo. Como tantas máquinas Windows estavam de repente mostrando uma tela azul de travamento? “Algo super estranho acontecendo agora”, escreveu o especialista australiano em segurança cibernética Troy Hunt em um post no X. No Reddit, os administradores de TI deram o alarme em um tópico intitulado “Erro BSOD na atualização mais recente do CrowdStrike” que já acumulou mais de 20.000 respostas.

Os problemas levaram as principais companhias aéreas dos EUA a aterrar suas frotas e os trabalhadores na Europa em bancos, hospitais e outras grandes instituições a não conseguirem fazer login em seus sistemas. E rapidamente ficou claro que tudo era devido a um pequeno arquivo.

Às 12:09AM ET em 19 de julho, a empresa de segurança cibernética CrowdStrike lançou uma atualização defeituosa para o software de segurança Falcon que ela vende para ajudar as empresas a evitar que malware, ransomware e quaisquer outras ameaças cibernéticas derrubem suas máquinas. Ele é amplamente usado por empresas para sistemas Windows importantes, e é por isso que o impacto da atualização ruim foi tão imediato e sentido tão amplamente.

A atualização da CrowdStrike deveria ser como qualquer outra atualização silenciosa, fornecendo automaticamente as últimas proteções para seus clientes em um pequeno arquivo (apenas 40 KB) que é distribuído pela web. A CrowdStrike emite essas regularmente sem incidentes, e elas são bastante comuns para software de segurança. Mas esta foi diferente. Ela expôs uma falha enorme no produto de segurança cibernética da empresa, uma catástrofe que estava sempre a apenas uma atualização ruim de distância — e que poderia ter sido facilmente evitada.

O software de proteção Falcon da CrowdStrike opera no Windows no nível do kernel, a parte central de um sistema operacional que tem acesso irrestrito à memória do sistema e ao hardware. A maioria dos outros aplicativos é executada no nível do modo de usuário e não precisa ou obtém acesso especial ao kernel. O software Falcon da CrowdStrike usa um driver especial que permite que ele seja executado em um nível mais baixo do que a maioria dos aplicativos para que ele possa detectar ameaças em um sistema Windows.

Rodar no kernel torna o software da CrowdStrike muito mais capaz como uma linha de defesa — mas também muito mais capaz de causar problemas. “Isso pode ser muito problemático, porque quando uma atualização chega que não está formatada da maneira correta ou tem algumas malformações, o driver pode ingerir isso e confiar cegamente nesses dados”, Patrick Wardle, CEO da DoubleYou e fundador da Objective-See Foundation, conta A Beira.

O acesso ao kernel torna possível que o driver crie um problema de corrupção de memória, que foi o que aconteceu na manhã de sexta-feira. “Onde o travamento estava ocorrendo era em uma instrução em que ele estava tentando acessar alguma