Устранение BSOD, вызванного CrowdStrike Falcon Sensor

Если Windows попал в цикл синего экрана (BSOD) после обновления CrowdStrike Falcon Sensor, начните с загрузки в безопасном режиме или WinRE и удалите файлы драйвера с шаблоном C-00000291*.sys в папке C:\Windows\System32\drivers\Crowdstrike. Если это не работает — переименуйте папку, отключите загрузку csagent.sys через реестр или на облачных инстансах исправьте диск, подключив его к другой виртуальной машине.

Что произошло

Недавнее обновление агента CrowdStrike Falcon Sensor в ряде сред вызвало синий экран смерти (BSOD) и запуск циклов перезагрузки. Несмотря на то, что CrowdStrike — известный поставщик EDR/NGAV, иногда обновления содержат ошибочные драйверы. Компания приостановила распространение проблемного обновления, но многие машины уже оказались в неработоспособном состоянии.

Важно: BSOD часто появляется при попытке загрузки проблемного драйвера. В данном случае цель — предотвратить загрузку проблемного модуля или удалить повреждённый файл драйвера.

Быстрое восстановление — рекомендуемые шаги

1. Загрузитесь в безопасном режиме (Safe Mode) или в среду восстановления Windows (WinRE).
2. Перейдите в папку C:\Windows\System32\drivers\Crowdstrike.
3. Удалите любые файлы, соответствующие шаблону C-00000291*.sys.
4. Перезагрузите систему и проверьте, загружается ли Windows нормально.

Важно

• В среде восстановления буква системного диска может отличаться (часто D: вместо C:). Проверьте, где находится папка Windows, прежде чем удалять файлы.
• Сделайте резервную копию удаляемых файлов на внешний носитель, если есть такая возможность.

Альтернативные методы, если простое удаление не помогает

Переименование папки агента через WinRE

1. В среде восстановления откройте Командную строку (Command Prompt).
2. Найдите букву с установленной Windows: выполните команды dir C:\Windows и dir D:\Windows, пока не найдёте нужную.
3. Переименуйте папку драйвера:

ren "C:\Windows\System32\drivers\Crowdstrike" "Crowdstrike_Old"

4. Перезагрузите систему.

Переименование препятствует загрузке драйверов из этой папки, но сохраняет файлы для последующего анализа.

Отключение загрузки csagent.sys через реестр

1. Загрузитесь в WinRE и откройте Командную строку.
2. Если вы уверены в букве системного раздела (например C:), можно использовать инструмент reg.exe. В противном случае лучше загрузить реестр в офлайн-режиме через regedit.

Пример команд (выполняется в WinRE):

reg load HKLM\TempSystem C:\Windows\System32\config\SYSTEM
reg add "HKLM\TempSystem\ControlSet001\Services\CSAgent" /v Start /t REG_DWORD /d 4 /f
reg unload HKLM\TempSystem

Пояснение: значение Start = 4 означает «Отключено» и предотвращает загрузку службы/драйвера.

Примечание

• В некоторых системах путь в реестре может быть ControlSet002 или CurrentControlSet. Используйте regedit для проверки, если не уверены.
• После исправления рекомендуется проверить журналы и очистить изменённые ключи, если потребуется повторная установка агента.

Для облачных виртуальных машин (AWS EC2, GCP)

Если сервер находится в облаке и не загружается, удобный способ — подключить диск к другой виртуальной машине и исправить проблему вне оригинальной инстанции.

Шаги для AWS EC2 (общая схема):

1. Остановите проблемную инстанцию (Stop). Не удаляйте том.
2. Отсоедините EBS том от неё (Detach Volume).
3. Подключите том к рабочей инстанции как дополнительный диск.
4. На рабочей машине подключите и смонтируйте том. В Windows это можно сделать через Disk Management или подключив диск в режиме администратора.
5. Перейдите в папку Windows на подключённом томе и удалите/переименуйте C:\Windows\System32\drivers\Crowdstrike или требуемые файлы реестра.
6. Отключите том от рабочей машины и снова подключите к исходной инстанции.
7. Запустите исходную инстанцию и проверьте загрузку.

Аналогично работает и для Google Cloud (GCE): снимите диск, присоедините к «ремонтной» VM, исправьте файлы, затем верните диск.

Когда эти методы не помогут

• Диск повреждён или файловая система нечитабельна — потребуется восстановление диска.
• Точка восстановления/образ недоступна или диск зашифрован без ключа (BitLocker) — нужно иметь ключ восстановления.
• Окружение управляется централизованным MDM/EDR, и агент будет автоматически переустановлен при подключении сети. В этом случае обсудите с командой безопасности корпоративный откат обновления.

Риски и меры предосторожности

• Риск: отключение EDR оставляет машину без защиты. Мера: ограничьте сеть и не подключайте машину к внешним сетям до переустановки агента.
• Риск: неправильные правки реестра могут сделать систему неработоспособной. Мера: создайте офлайн-копию веток реестра перед изменением.

Критерии приёмки

• Система загружается до экрана входа в Windows.
• BSOD больше не повторяется в течение контрольного периода (например, 24 часа).
• При необходимости агент CrowdStrike корректно переустановлен и зарегистрирован в контроллере EDR.

Чек-листы по ролям

Администратор

• Загрузиться в WinRE или к консоли облачной платформы.
• Сделать снимок/снимки тома перед изменениями.
• Удалить/переименовать проблемные драйверы.
• Провести тесты загрузки и сетевые проверки.

Служба поддержки / Helpdesk

• Собрать основные логи: dmp-файлы, события системы.
• Передать дела инженерам с правами доступа и ключами шифрования.
• Сообщить пользователю о плановом простое и действиях по восстановлению.

Мини‑методология для восстановления (коротко)

1. Идентификация: подтвердите, что BSOD связан с драйвером CrowdStrike (имя в дампе, путь к драйверу).
2. Изоляция: загрузитесь в WinRE/безопасный режим, ограничьте сеть.
3. Ремедиация: удалите/переименуйте файлы или измените реестр; при облачных инстанциях исправьте диск на другой VM.
4. Верификация: проверьте загрузку и журналы, при необходимости восстановите защиту.

Часто задаваемые вопросы

Q: Можно ли просто удалить агент полностью?

A: На клиентских машинах — да, но в корпоративной среде агент может быть перепривязан политиками. Согласуйте политику с командой безопасности.

Q: Как сохранить данные перед операциями на диске?

A: Подключите том к другой машине и скопируйте критичные файлы на безопасный носитель или в облачное хранилище.

Диаграмма принятия решения

flowchart TD
  A[BSOD после обновления CrowdStrike?] --> B{Можно загрузиться в Safe Mode/WinRE}
  B -->|Да| C[Удалить C-00000291*.sys]
  B -->|Нет| D[Отключить диск и подключить к ремонтной VM]
  C --> E{Загрузилась ли система?}
  D --> E
  E -->|Да| F[Проверка журналов и переустановка агента]
  E -->|Нет| G[Восстановление из бэкапа / обращение к поддержке]

Краткое резюме

Если обновление CrowdStrike вызвало BSOD, начните с безопасного удаления проблемных драйверов из C:\Windows\System32\drivers\Crowdstrike. При недоступности загрузки используйте переименование папки, запрет загрузки через реестр или ремонтный доступ к диску через облачную машину. Всегда выполняйте резервное копирование и координируйте действия с командой безопасности.

Если какой‑то из описанных способов помог — отпишитесь, чтобы другие могли получить подсказку. Статья будет обновляться по мере появления новой информации.