» Resources » Eye Security Blog »
Written by Eye Security
Last updated: 30. Juli um 00:00 CEST
In diesem Blog stellen wir Echtzeit-Updates zum Problem des “Blue Screen of Death” (BSOD) bereit, das durch das jüngste CrowdStrike Falcon-Update am 19. Juli 2024 verursacht wurde.
Dieser Blogpost wird nicht mehr aktualisiert.
Wichtiges Update: CrowdStrike hat Phishing-Angriffe auf Kunden und Kontakte festgestellt, bei denen sich Angreifer als Mitarbeiter des CrowdStrike-Supports ausgeben und unaufgefordert Hilfe anbieten. Diese Nachrichten sind betrügerisch; der CrowdStrike-Support wird sich niemals proaktiv ohne vorherigen Kontakt melden.
Zusammenfassung
CrowdStrike hat Kenntnis von Berichten über Abstürze auf Windows-Hosts im Zusammenhang mit Falcon Sensor.
Die Symptome umfassen Windows-Hosts, bei denen ein Blue Screen (BSOD) im Zusammenhang mit dem Falcon Sensor auftritt.
CrowdStrike Engineering hat ein Update zur Bereitstellung von Inhalten identifiziert, das mit diesem Problem in Zusammenhang steht und um 4:09 Uhr UTC veröffentlicht wurde, und diese Änderungen rückgängig gemacht. Infolgedessen sollten Hosts, die nach 5:27 Uhr UTC hochgefahren wurden, keine Probleme mehr haben.
Mac- oder Linux-basierte Hosts sind von diesem Problem nicht betroffen.
Deinstallieren Sie CrowdStrike nicht und führen Sie die folgenden Schritte nicht aus, wenn auf Ihren Systemen derzeit keine Probleme auftreten.
Für die Wiederherstellung einer großen Anzahl von Hosts gibt es Optionen zur Erstellung bootfähiger Medien, mit denen die betreffenden Systeme repariert werden können. Einzelheiten hierzu finden Sie im CrowdStrike Remediation and Guidance Hub unter „How Do I Remediate Impacted Hosts”. Diese Seite enthält auch Informationen über den Umgang mit BitLocker-verschlüsselten Hosts.
Es ist auch eine automatisierte Lösung verfügbar. Diese Lösung nutzt die in Falcon integrierte Quarantänefunktion, die die problematische Channel-Datei entfernt, bevor die Datei auf den betroffenen Hosts einen Systemabsturz verursacht. Sie ist nur auf betroffene Hosts anwendbar, die eine Netzwerkverbindung zur CrowdStrike-Cloud herstellen können. Eye-Kunden, die diese Option aktivieren oder erkunden möchten, können sich an unseren Support Desk wenden.
Schritte, die Sie befolgen sollten, wenn Sie in einer Reboot-Schleife mit einem Blue Screen feststecken
Update: Wir haben zunächst empfohlen, im abgesicherten Modus zu booten (gemäß der offiziellen CrowdStrike-Empfehlung), aber viele Kunden haben von Problemen beim Booten im abgesicherten Modus berichtet. Die folgenden Schritte sollten universell funktionieren, auch wenn das System nicht über ein lokales Admin-Konto verfügt und keine Internetverbindung besteht.
Option 1:
Falls die oben genannten Schritte bei der Lösung der Probleme nicht helfen, sind dies die Schritte, die von den drei größten Cloud-Anbietern zur Lösung des Problems bei virtuellen Maschinen auf ihrer Plattform bereitgestellt werden.
AWS
https://aka.ms/CSfalcon-VMRecoveryOptions (EN)
https://status.cloud.google.com/incidents/DK3LfKowzJPpZq4Q9YqP (EN)
CrowdStrike hat hier eine Möglichkeit beschrieben, dieses Problem zu umgehen. Beachten Sie, dass dafür nach wie vor Anmeldedaten mit lokalen Administratorrechten erforderlich sind. Die Schritte sind unten aufgeführt; für diejenigen, die Zugang zum CrowdStrike-Supportportal haben, empfehlen wir, dort nach den neuesten Informationen zu suchen.
Durchlaufen Sie den Blue-Screen-Fehler (wenn der Host weiterhin abstürzt), bis Sie den Wiederherstellungsbildschirm erreichen. Führen Sie die folgenden Schritte aus:
Gehen Sie zu Trouble Shooting/Problembehandlung > Advanced Options/Erweiterte Optionen > Startup Settings/Starteinstellungen
Klicken Sie Restart / Neustart
Übergehen Sie die erste Aufforderung zur Eingabe des Bitlocker-Wiederherstellungsschlüssels durch Drücken von Esc
Überspringen Sie die zweite Aufforderung zur Eingabe des Bitlocker-Wiederherstellungsschlüssels, indem Sie unten rechts “Skip this drive / Dieses Laufwerk überspringen” auswählen
Gehen Sie zu Troubleshoot/Problembehandlung > Advanced Options/Erweiterte Optionen > Command Prompt/Eingabeaufforderung
Geben Sie bcdedit /set {default} safeboot minimal ein und bestätigen mit Enter/Eingabe
Schließen Sie das Fenster der Eingabeaufforderung, indem Sie auf das X oben rechts klicken. Damit kehren Sie zum blauen Bildschirm zurück (WinRE-Hauptmenü)
Continue/Fortsetzen wählen.
Ihr PC wird nun neu gestartet; dies kann 2-3 Mal geschehen. Ihr PC sollte nun im abgesicherten Modus starten.
Wählen Sie Anderer Benutzer auf Ihrem Bildschirm unten links aus
Auf dem Anmeldeschirm: Melden Sie sich mit Ihren lokalen Admin-Zugansdaten an (normale Zugangsdaten)
NOTE: Bei ‘managed devices’ müssen Sie sich möglicherweise an Ihren IT-Helpdesk wenden, um Zugang zu den Admin-Anmeldedaten zu erhalten.
Wählen Sie als nächstes Anmelden
Öffnen Sie den Windows Explorer und navigieren Sie zu C:WindowsSystem32driversCrowdstrike
Löschen Sie die Datei mit dem Dateinamen C-00000291*. sys
Öffnen Sie die Eingabeaufforderung (als Administrator)
Geben Sie bcdedit /deletevalue {default} safeboot ein und bestätigen Sie mit Eingabe
Starten sie anschließend nochmal neu und überprüfen Sie das System auf normales verhalten
Nein. Nachdem Sie die oben genannten Schritte ausgeführt haben, nimmt CrowdStrike den normalen Betrieb des Systems wieder auf und Ihre Systeme sind weiterhin geschützt.
CrowdStrike hat Fehler in einer Inhalts-Aktualisierung als Ursache für das problematische Update identifiziert. Es gibt keine Anzeichen dafür, dass dies auf einen Cyberangriff zurückzuführen ist.
Wenn Ihre Systeme hochgefahren und (wieder) online sind, brauchen Sie CrowdStrike nicht zu deinstallieren.
In den ersten Stunden des Vorfalls haben wir es unseren Kunden vorübergehend ermöglicht, CrowdStrike zu deinstallieren, indem wir den Deinstallationsschutz deaktiviert haben. Inzwischen wurde der Schutz wieder aktiviert, da CrowdStrike das Update, das die Probleme verursacht, nicht mehr zur Verfügung stellt. Die Deinstallation von CrowdStrike wird zum jetzigen Zeitpunkt nicht empfohlen, da bereits eine Lösung für das Problem zur Verfügung steht und Ihre Systeme dadurch gefährdet werden.
Wir haben von Benutzern gehört, die eine PXE-Boot-basierte Lösung anwenden [1], [2]. Dies kann eine effektive Lösung sein, wenn Sie eine große Anzahl von betroffenen Systemen haben. Beachten Sie, dass diese Lösungen experimentell und kompliziert sind und viele Voraussetzungen erfüllen müssen (z. B. müssen sich die Hosts in einem Netzwerk mit einem PXE-Server befinden). Die meisten kleineren Unternehmen werden wahrscheinlich die manuellen Lösungen als effektiver empfinden.
Andere berichteten, dass ein System nach einem 15-maligen Neustart wiederhergestellt werden kann [3]. Es ist nicht bekannt, ob die CrowdStrike-Software nach der Durchführung dieser Schritte noch funktioniert, da dies möglicherweise das vollständige Laden der Treiber verhindert.
Schließlich hat Microsoft ein USB-Wiederherstellungstool veröffentlicht, [4] das IT-Administratoren hilft, den Reparaturprozess zu beschleunigen.
Bedrohungen und Schwachstellen
Fallstudie
Forschung und Technik
Produkte und Lösungen
Thought Leadership
Cyberangriffe werden nicht nur häufiger, sondern auch schneller, leiser und schwerer erkennbar. Genau das war die zentrale Botschaft unseres jüngsten Trend-Report-Webinars für die DACH-Region. Im Mittelpunkt stehen Erkenntnisse aus 630 untersuchten Sicherheitsvorfällen aus Deutschland, den Benelux-Ländern und dem operativen Alltag unseres Security Operations Centers.
Eye Security analysierte zwischen Januar 2023 und November 2025 insgesamt 630 anonymisierte Cybersicherheitsvorfälle in ganz Europa. Die Analyse liefert Einblicke in Erkennung, Verweildauer, Ursachen sowie die operativen Auswirkungen von Sicherheitsvorfällen. Die Auswertung zeigt, wie Bedrohungsakteure Vertrauen, Zeit und Technologie gezielt ausnutzen und wie Managed Detection and Response (MDR) den Verlauf sowie das Ergebnis maßgeblich beeinflusst.
Eye Research hat gezeigt, dass ein AI-Canvas legitime Inhalte imitieren kann, zum Beispiel eine HR Umfrage oder eine interne Login-Seite. Werden diese Canvases Inhalte per E-Mail oder über Messaging Plattformen verbreitet, wirken sie vertrauenswürdig, da sie mit bekannten KI-Diensten verbunden sind. Weitere Details finden Sie im vollständigen technischen Bericht.
