Op 19 juli 2024 ontstonden wereldwijd technische problemen bij organisaties door een update van de CrowdStrike-agent. Deze verstoringen deden zich uitsluitend voor op Windows-systemen en troffen diverse sectoren, ook in Nederland. Systemen die na 05:27 UTC online kwamen op die dag, bleven buiten schot.

Het Nationaal Cyber Security Centrum (NCSC) meldt dat de door CrowdStrike gedeelde workaround in de meeste gevallen effectief is gebleken, waardoor de impact afneemt en systemen weer operationeel worden. In sommige situaties is een aangepaste variant van de workaround nodig. CrowdStrike en Microsoft hebben daarnaast hersteltools beschikbaar gesteld om het herstelproces te ondersteunen. Het NCSC waarschuwt tevens voor misbruik door cybercriminelen die inspelen op de urgentie rondom dit incident, bijvoorbeeld via phishing en malafide domeinen.

De problematische update betreft het bestand met channel file 'C-00000291*.sys' met een timestamp van '0409 UTC'. Versies met een timestamp van '0527 UTC' of later zijn vrij van problemen. Bij getroffen systemen wordt aanbevolen eerst een herstart uit te voeren om een nieuwe, correcte versie van het bestand te downloaden. Indien systemen in een crashloop terechtkomen, adviseert CrowdStrike handmatige interventie via Safe Mode, waarbij het betreffende .sys-bestand verwijderd of hernoemd moet worden. Voor systemen met BIOS storage ingesteld op 'RAID' kan het nodig zijn deze instelling te wijzigen naar 'AHCI/NVMe' om de C:-schijf in Safe Mode zichtbaar te maken. Bij gebruik van Bitlocker zijn aanvullende stappen vereist om Safe Mode te kunnen starten.

CrowdStrike biedt een geautomatiseerde methode voor klanten met een CrowdStrike cloudverbinding. Microsoft heeft een Recovery Tool beschikbaar gesteld om het herstel op Windows-systemen te vergemakkelijken. Voor gebruikers van AWS Windows EC2 Instances of Windows Workspaces is er een apart handelingsperspectief gepubliceerd. Ook Microsoft en Google hebben relevante updates en handelingsperspectieven beschikbaar gesteld.