Crowdstrike - Name ist Programm

[zeras]

Zitat von Sherlock:

Auch scheint sich herauszustellen, daß der Einsatz solcher Produkte (gehässig als Schlangenöl bekannt) primär als Absicherung gegen eventuelle Regressansprüche genutzt wird. Frei nach dem Motto "Ich habe doch Tool XY installiert, es kann nichts passieren". Wenn doch was passiert, lehnt man sich zurück, und sagt man habe ja alles menschenmögliche getan.

Insgesamt trennt sich an diesem Vorfall die Spreu vom Weizen. ITler, die das Glück hatten, kein vom Management aufgedrücktes Produkt zweifelhaften Nutzens verwenden zu müssen, freuen sich über ein weiteres ruhiges Wochenende. Die anderen...nunja.

Aber wenn man keines installiert hat, ist doch wie Harakiri. Oder sehe ich das falsch? Gerade bei Firmen, die viele Mitarbeiter haben. Da gibt es bestimmt immer welche, die aus irgendwelchen Gründen auf einen Link klicken.

[himitsu]

Bei kam letztens auch mal wieder eine Mail mit einer ZIP an, wo angeblich was vom Anwalt drin war.
Es war eine JavaScript-Datei, anstatt einer EXE, damit man wohl auch im Linux was von hat.

[QuickAndDirty]

Zitat von jaenicke:

Wie kann es sein, dass Windows erkennt und anzeigt, welcher Treiber schuld ist, aber dennoch immer wieder genau diesen Treiber lädt und erneut crasht?

Crowdstrike hat den Treiber von Microsoft überprüfen und Signieren lassen und es hat ihn als "boot treiber" markiert. D.h. Für windows sieht der Treiber aus wie ein Treiber der für das booten von Windows notwendig ist. Trieber die nicht so markiert sind lässt Windows automatisch aus wenn sie beim booten ?x? mal Fehler verursachen.

Das Problem mit dem Crowdstrike Update war, dass NICHT der Treiber ein Update erfuhr. Der Treiber kann P-code ausführen... lol
Crowdstrike schiebt einfach immer wieder neue Dateien mit P-code durch.
Die letzte war eine leere Datei, bzw. die payload war einfach ein haufen Nullen.
Anscheinend kommt deren P-Code interpreter mit so einem Szenario nicht klar.

Das ist der Grund warum man den Fehler beheben kann in dem man die dumme P-Code Datei löscht.

Stellt euch vor ihr seid der Typ bei Crowdstrike der diese Updatedatei hochgeladen hat. Ich meine das muss ja ein versehen gewesen sein. Irgend eine bescheuerte Verwechslung. Ein Canary Release hätte das Probelm begrenzt.

Noch so eine Sache....Anti-Cheat-Software sitzt oft genau an der selben stelle im Betriebsystem....Und ich glaube wenn der Support eingestellt wird , wird die AntiCheat Software nicht mal sauber entfernt.

[Uwe Raabe]

Zitat von QuickAndDirty:

Die letzte war eine leere Datei, bzw. die payload war einfach ein haufen Nullen.

Merkwürdig - seit ein paar Tagen bekomme ich Dateien zugeschickt, die nur aus 0-Bytes bestehen, und ich soll feststellen, warum die von meiner Software nicht geladen werden können. Namen, Extension und Größe sind plausibel, nur der Inhalt eben nicht. Schwirrt vielleicht irgend so ein Virus rum, der Dateien mit Nullen überschreibt?

[QuickAndDirty]

Zitat von Uwe Raabe:

Merkwürdig - seit ein paar Tagen bekomme ich Dateien zugeschickt, die nur aus 0-Bytes bestehen, und ich soll feststellen, warum die von meiner Software nicht geladen werden können. Namen, Extension und Größe sind plausibel, nur der Inhalt eben nicht. Schwirrt vielleicht irgend so ein Virus rum, der Dateien mit Nullen überschreibt?

Wir dürfen ja spekulieren. Und wenn das Crowdstrike passiert ist , wäre die Ironie einfach göttlich!
Wo können wir diese Story verbreiten?
Guck mal hier
https://finance.yahoo.com/quote/CRWD/
und auf "5D" klicken....

[himitsu]

Bei einem Kunden wurde mitten im Betrieb unsere EXE vom Virenscanner gesperrt.
irgendwas von TrendMicro

Dann brauchten dir erstmal umständlich einen SHA1-Hash davon, um die Datei entsprerren zu können.
(von der Datei selbst ging ja nicht, da gesperrt, also mußten wir erstmal suchen genau diese Version zu finden)

Am Ende ging immernoch nichts. Nachdem wir die Datei aktualisiert hatten und es wieder ging, sah ich mir die Unterschiede an und da war der erste Cluster genullt.

[QuickAndDirty]

Kann das nicht auch an den ganzen komischen festplatten verfahren liegen wie "Shingled Magenetic Recording" , das einfach mal was verloren geht bei den ganzen Terrabytes?
Ansonsten ist es natürlich ein klarer Hinweiß der die These von Uwe Rabe untermauert. Und wir brauchen ja nicht nur ne Story sondern auch "Beweise".

[himitsu]

nur wenn Stromausfall mittendrin

bzw. wie bei meinem NAS vor Kurzem, wo das Netzteil einen Defekt langsam bekam, die Spannung über Tage/Wochen langsam zusammenbrach, bis es so aussah, als wenn erst eine und dann alle HDDs im RAID sich verabschiedeten, bis auf die SATA-SSD und die beiden NVMe und dann mitten in der Fehlersuche *knallpengblitzallestot* (zu dem Zeitpunkt waren aber alle Patten und die eine SSD grade ausgebaut)