KB5042429: Alat pemulihan baru untuk membantu mengatasi masalah CrowdStrike yang memengaruhi perangkat Windows

Ringkasan

Sebagai tindak lanjut dari masalah agen CrowdStrike Falcon yang memengaruhi klien dan server Windows, kami telah merilis alat pemulihan yang diperbarui dengan dua opsi perbaikan untuk membantu administrator TI mempercepat proses perbaikan. Alat ini mengotomatiskan langkah-langkah manual di KB5042421 (klien) dan KB5042426 (server). Unduh Alat Pemulihan Microsoft yang ditandatangani dari Pusat Unduh Microsoft. Anda dapat menggunakan alat ini untuk memulihkan klien Windows, server, dan komputer virtual (VM) Hyper-V.

Terdapat dua opsi perbaikan:

• Pulihkan dari Windows PE: opsi ini menggunakan media boot yang mengotomatiskan perbaikan perangkat.
• Pulihkan dari mode aman: opsi ini menggunakan media boot untuk perangkat yang terpengaruh untuk boot ke mode aman. Administrator kemudian dapat masuk menggunakan akun dengan hak istimewa administratif lokal dan menjalankan langkah-langkah perbaikan.

Tentukan opsi mana yang akan digunakan

---

Pertimbangan tambahan

Meskipun opsi USB lebih disukai, beberapa perangkat mungkin tidak mendukung koneksi USB. Untuk situasi ini, lihat bagian tentang cara Menggunakan Lingkungan Eksekusi Praboot (PXE) untuk pemulihan.

Jika perangkat tidak dapat tersambung ke jaringan PXE, dan USB bukan opsi, cobalah langkah-langkah manual dalam artikel berikut:

• KB5042421: Masalah CrowdStrike yang memengaruhi titik akhir Windows yang menyebabkan pesan kesalahan 0x50 atau 0x7E di layar biru
• KB5042426: Masalah CrowdStrike yang memengaruhi server Windows yang menyebabkan pesan kesalahan 0x50 atau 0x7E di layar biru

Jika tidak, pencitraan ulang perangkat mungkin menjadi solusi.

Dengan opsi pemulihan apa pun, uji terlebih dahulu di beberapa perangkat sebelum menggunakannya secara luas di lingkungan Anda.

Buat media boot

Prasyarat untuk membuat media boot

1. Klien Windows 64-bit dengan ruang kosong minimal 8 GB tempat Anda dapat menjalankan alat untuk membuat drive USB yang dapat di-boot.
2. Hak istimewa administratif pada klien Windows dari prasyarat #1.
3. Drive USB dengan ukuran minimal 1 GB dan tidak lebih besar dari 32 GB. Alat ini menghapus semua data yang ada di drive ini dan secara otomatis memformatnya ke FAT32.

Instruksi untuk membuat media boot

Untuk membuat media pemulihan, dari klien Windows 64-bit dalam prasyarat #1, gunakan langkah-langkah berikut:

1. Unduh Alat Pemulihan Microsoft yang ditandatangani dari Pusat Unduh Microsoft.

2. Ekstrak skrip PowerShell dari file yang diunduh.

3. Buka Windows PowerShell sebagai administrator dan jalankan skrip berikut:MsftRecoveryToolForCS.ps1

4. Alat ini mengunduh dan menginstal Windows Assessment and Deployment Kit (Windows ADK). Proses ini mungkin memerlukan waktu beberapa menit untuk selesai.

5. Pilih salah satu dari dua opsi untuk memulihkan perangkat yang terkena dampak: Windows PE atau mode aman.

6. Anda dapat memilih direktori yang berisi file driver yang akan diimpor ke gambar pemulihan. Sebaiknya Anda memilih N untuk melewati langkah ini.

   1. Alat ini mengimpor file SYS dan INI secara rekursif di bawah direktori yang ditentukan.
   2. Perangkat tertentu, seperti perangkat Surface, mungkin memerlukan driver tambahan untuk input keyboard.

7. Pilih opsi untuk membuat file ISO atau drive USB.

8. Jika Anda memilih opsi USB:

   1. Masukkan drive USB saat diminta dan berikan huruf drive.
   2. Setelah alat selesai membuat drive USB, hapus drive dari klien Windows.

Instruksi untuk menggunakan opsi pemulihan

---

Menggunakan media pemulihan pada komputer virtual Hyper-V

Anda dapat menggunakan media pemulihan untuk memulihkan mesin virtual (VM) Hyper-V yang terpengaruh. Saat Anda membuat media boot, pilih opsi untuk membuat file ISO.

Instruksi untuk memulihkan mesin virtual Hyper-V

1. Pada VM yang terpengaruh, tambahkan Drive DVD di bawah pengaturan> Hyper-VPengontrol SCSI.

   

2. Telusuri ISO pemulihan dan tambahkan sebagai file Gambar di bawah Pengaturan> Hyper-VSCSI Controller>DVD Drive.

   

3. Perhatikan urutan Boot saat ini agar Anda dapat memulihkannya secara manual nanti. Gambar berikut adalah contoh urutan boot, yang mungkin berbeda dari konfigurasi VM Anda.

   

4. Ubah urutan Boot untuk memindahkan drive DVD ke atas sebagai entri boot pertama.

   

5. Mulai VM dan tekan tombol apa pun untuk melanjutkan boot ke gambar ISO.

6. Tergantung pada cara Anda membuat media pemulihan, ikuti langkah-langkah tambahan untuk menggunakan opsi pemulihan Windows PE atau mode aman .

7. Atur urutan boot kembali ke pengaturan boot asli dari pengaturan Hyper-V VM.

8. Hidupkan ulang VM secara normal.

Menggunakan PXE untuk pemulihan

Untuk sebagian besar pelanggan, opsi pemulihan lainnya akan membantu memulihkan perangkat Anda. Namun, jika perangkat tidak dapat menggunakan opsi untuk memulihkan dari USB, misalnya, karena kebijakan keamanan atau ketersediaan port, admin TI dapat menggunakan PXE untuk memulihkan.

Untuk menggunakan solusi ini, Anda dapat menggunakan gambar Windows Imaging Format (WIM) yang dibuat oleh alat pemulihan Microsoft di lingkungan PXE yang sudah ada. Perangkat yang terpengaruh harus berada di subnet jaringan yang sama dengan server PXE yang ada.

Atau, Anda dapat menggunakan pendekatan server PXE yang diuraikan di bawah ini. Opsi ini berfungsi paling baik jika Anda dapat dengan mudah memindahkan server PXE dari subnet ke subnet untuk tujuan perbaikan.

Prasyarat untuk pemulihan PXE

1. Perangkat Windows 64-bit yang menghosting gambar boot. Perangkat ini disebut sebagai "server PXE."

   1. Server PXE dapat berjalan di OS 64-bit klien Windows apa pun yang didukung.

   2. Server PXE harus memiliki akses internet untuk mengunduh alat Microsoft PXE dari Pusat Unduh Microsoft. Anda juga dapat menyalinnya ke server PXE dari sistem lain di jaringan Anda.

   3. Server PXE harus memiliki aturan firewall masuk yang dibuat untuk port UDP 67, 68, 69, 547, dan 4011. Alat PXE (MSFTPXEToolForCS.exe) yang diunduh memperbarui pengaturan Windows Firewall di server PXE. Jika server PXE menggunakan solusi firewall non-Microsoft, buat aturan sesuai rekomendasi mereka.

      Catatan

      Skrip ini tidak membersihkan aturan firewall. Anda harus menghapus aturan firewall ini setelah remediasi selesai. Untuk menghapus aturan ini dari Firewall Windows, buka Windows PowerShell sebagai administrator dan jalankan perintah berikut:MSFTPXEInitToolForCS.ps1 clean

   4. Hak istimewa administratif untuk menjalankan alat PXE.

   5. Server PXE memerlukan Microsoft Visual C++ Redistributable. Unduh dan instal versi terbaru.

2. Perangkat Windows yang terpengaruh harus berada di subnet yang sama dengan server PXE. Mereka harus disambungkan dengan kabel, bukan menggunakan jaringan Wi-Fi.

Mengonfigurasi server PXE

1. Unduh alat Microsoft PXE dari Pusat Unduh Microsoft. Ekstrak konten arsip zip ke direktori mana pun. Ini berisi semua file yang diperlukan.

2. Buka Windows PowerShell sebagai administrator. Ubah ke direktori tempat Anda mengekstrak file dan jalankan perintah berikut: MSFTPXEInitToolForCS.ps1

   1. Skrip memindai penginstalan Windows ADK dan Windows PE Add-On di server PXE. Jika tidak terinstal, skrip akan menginstalnya. Untuk melanjutkan instalasi, tinjau dan terima persyaratan lisensi.
   2. Skrip menghasilkan skrip remediasi dan membuat gambar boot yang valid.
   3. Jika diperlukan, terima perintah dan berikan jalur yang berisi file driver. File driver mungkin diperlukan untuk keyboard atau perangkat penyimpanan massal. Umumnya, Anda tidak perlu menambahkan driver. Jika Anda tidak memerlukan file driver tambahan, pilih N.
   4. Anda dapat mengonfigurasi server PXE untuk mengirimkan gambar remediasi default atau gambar mode aman. Anda akan melihat perintah berikut:
      1. Boot ke WinPE untuk memulihkan masalah. Diperlukan memasukkan kunci pemulihan BitLocker jika disk sistem dienkripsi BitLocker.
      2. Boot ke WinPE, konfigurasikan mode aman dan jalankan perintah perbaikan setelah masuk ke mode aman. Opsi ini cenderung tidak memerlukan kunci pemulihan BitLocker jika disk sistem dienkripsi BitLocker.
   5. Skrip menghasilkan file distribusi yang diperlukan dan menyediakan jalur tempat ia menyalin alat server PXE.

3. Periksa kembali prasyarat untuk pemulihan PXE, terutama Microsoft Visual C++ Redistributable.

4. Dari konsol PowerShell sebagai administrator, ubah ke direktori tempat alat server PXE disalin, dan jalankan perintah berikut untuk meluncurkan proses pendengar: .\MSFTPXEToolForCS.exe

   1. Anda tidak akan melihat respons tambahan saat server PXE menangani koneksi. Jangan tutup jendela ini karena akan menghentikan server PXE.

   2. Anda dapat memantau kemajuan server PXE dalam file MSFTPXEToolForCS.log di direktori yang sama.

      Catatan

      Jika Anda ingin menjalankan beberapa server PXE untuk subnet yang berbeda, salin direktori dengan alat server PXE, lalu jalankan kembali langkah 3 & 4.

Informasi tambahan tentang PXE

• Boot PXE di Configuration Manager
• Pemecahan masalah tingkat lanjut untuk masalah boot PXE
• Anda ingin melakukan PXE Boot? Jangan gunakan Opsi DHCP

Menggunakan PXE untuk memulihkan perangkat yang terkena dampak

Perangkat yang terpengaruh harus berada di subnet yang sama dengan server PXE. Jika perangkat berada di subnet yang berbeda, konfigurasikan pembantu IP di lingkungan jaringan Anda untuk memungkinkan penemuan server PXE.

Jika perangkat yang terpengaruh tidak dikonfigurasi untuk boot PXE, ikuti langkah-langkah berikut:

1. Di perangkat yang terpengaruh, akses menu BIOS\UEFI .

   1. Tindakan ini berbeda di berbagai model dan produsen. Lihat dokumentasi yang disediakan oleh produsen peralatan asli untuk merek dan model perangkat tertentu.
   2. Opsi umum untuk mengakses BIOS\UEFI melibatkan penekanan tombol seperti F2, F12, DEL, atau ESC selama urutan pengaktifan.

2. Pastikan boot jaringan diaktifkan di perangkat. Untuk panduan tambahan, lihat dokumentasi dari produsen perangkat.

3. Konfigurasikan opsi boot jaringan sebagai prioritas boot pertama.

4. Simpan pengaturan baru. Hidupkan ulang perangkat agar pengaturan dapat diterapkan dan boot dari PXE.

Saat Anda melakukan boot PXE pada perangkat yang terpengaruh, perilakunya akan bergantung pada apakah Anda memilih Windows PE atau media pemulihan mode aman untuk server PXE.

Untuk informasi selengkapnya tentang opsi ini, lihat langkah-langkah tambahan untuk menggunakan opsi pemulihan Windows PE atau mode aman.

1. Untuk opsi pemulihan Windows PE, pengguna diminta untuk boot ke Windows PE dan skrip remediasi berjalan secara otomatis.

2. Untuk opsi pemulihan mode aman, perangkat akan di-boot ke mode aman. Pengguna harus masuk dengan akun Administrator lokal dan menjalankan skrip secara manual.

   1. Dalam mode aman dan masuk sebagai Administrator lokal, buka Windows PowerShell sebagai administrator.
   2. Jalankan perintah berikut:
      del %SystemRoot%\System32\drivers\CrowdStrike\C-00000291*.sys
      bcdedit /deletevalue {current} safeboot
      shutdown -r -t 00

Setelah selesai, hidupkan ulang perangkat secara normal dengan merespons perintah di layar. Akses menu BIOS\UEFI dan perbarui urutan boot untuk menghapus boot PXE.

Hubungi CrowdStrike

Jika setelah mengikuti langkah-langkah di atas, jika Anda masih mengalami masalah saat masuk ke perangkat Anda, silakan hubungi CrowdStrike untuk mendapatkan bantuan tambahan.

Informasi tambahan

Untuk informasi selengkapnya tentang masalah yang memengaruhi klien dan server Windows yang menjalankan agen CrowdStrike Falcon, lihat sumber daya berikut ini:

• Berbagai informasi Windows tersedia dari Kesehatan rilis Windows (aka.ms/WRH).

• Langkah pemulihan mendetail tersedia dalam artikel berikut:

  • KB5042421: Masalah CrowdStrike yang memengaruhi titik akhir Windows yang menyebabkan pesan kesalahan 0x50 atau 0x7E di layar biru
  • KB5042426: Masalah CrowdStrike yang memengaruhi server Windows yang menyebabkan pesan kesalahan 0x50 atau 0x7E di layar biru

• Pelanggan Windows 365 PC Cloud dapat mencoba memulihkan PC Cloud mereka ke kondisi yang diketahui baik sebelum rilis pembaruan (19 Juli 2024). Untuk informasi selengkapnya, lihat salah satu artikel berikut:

  • Pemulihan tepat waktu untuk Windows 365 Enterprise
  • Pemulihan tepat waktu untuk Windows 365 Business

• Untuk VM Windows yang berjalan di Microsoft Azure, ikuti langkah-langkah mitigasi dalam status Azure.

• Detail tambahan dari CrowdStrike tersedia dari hub remediasi dan panduan CrowdStrike: Pembaruan konten Falcon untuk host Windows.

• Posting blog Kesuksesan Pelanggan Microsoft Intune pada alat pemulihan memiliki komentar dari administrator TI lainnya yang mungkin membantu.

Referensi

Sanggahan informasi pihak ketiga

Produk pihak ketiga yang dibahas dalam artikel ini dibuat oleh perusahaan yang bukan merupakan bagian dari Microsoft. Kami tidak memberikan jaminan, baik tersirat maupun tersurat, terkait kinerja atau keandalan produk ini.

Kami menyediakan informasi kontak pihak ketiga untuk membantu Anda menemukan dukungan teknis. Informasi kontak ini dapat berubah tanpa pemberitahuan. Kami tidak menjamin keakuratan informasi kontak pihak ketiga ini.