KB5042429: Nuovo strumento di ripristino per risolvere il problema di CrowdStrike che interessa i dispositivi Windows

Riepilogo

A seguito del problema dell'agente CrowdStrike Falcon che interessava i client e i server Windows, abbiamo rilasciato uno strumento di ripristino aggiornato con due opzioni di ripristino per aiutare gli amministratori IT ad accelerare il processo. Lo strumento automatizza i passaggi manuali in KB5042421 (client) e KB5042426 (server). Scarica Microsoft Recovery Tool firmato dall'Area download Microsoft. È possibile usare lo strumento per ripristinare client Windows, server e macchine virtuali Hyper-V.

Sono disponibili due opzioni di ripristino:

• Ripristina da Windows PE: questa opzione utilizza il supporto di avvio che automatizza il ripristino del dispositivo.
• Ripristina dalla modalità provvisoria: questa opzione utilizza il supporto di avvio per consentire ai dispositivi interessati di avviare in modalità provvisoria. Un amministratore può quindi accedere con un account con privilegi amministrativi locali ed eseguire la procedura di correzione.

Determinare l'opzione da usare

---

Considerazioni aggiuntive

Anche se si preferisce l'opzione USB, alcuni dispositivi potrebbero non supportare le connessioni USB. Per queste situazioni, vedi la sezione su come usare Preboot Execution Environment (PXE) per il ripristino.

Se il dispositivo non riesce a connettersi a una rete PXE e USB non è un'opzione, prova i passaggi manuali descritti negli articoli seguenti:

• KB5042421: Il problema di CrowdStrike che influisce sugli endpoint di Windows causa un messaggio di errore di 0x50 o 0x7E su una schermata blu
• KB5042426: Il problema di CrowdStrike che ha un impatto sui server Windows causa un messaggio di errore di 0x50 o 0x7E su una schermata blu

In caso contrario, una nuova immagine del dispositivo potrebbe essere una soluzione.

Con qualsiasi opzione di ripristino, testarla prima su più dispositivi prima di usarla ampiamente nel tuo ambiente.

Creare il supporto di avvio

Prerequisiti per la creazione del supporto di avvio

1. Un client Windows a 64 bit con almeno 8 GB di spazio libero in cui è possibile eseguire lo strumento per creare l'unità USB di avvio.
2. Privilegi amministrativi nel client Windows dal prerequisito #1.
3. Un'unità USB con una dimensione minima di 1 GB e non più grande di 32 GB. Lo strumento elimina tutti i dati esistenti su questa unità e li formatta automaticamente in FAT32.

Istruzioni per creare il supporto di avvio

Per creare supporti di ripristino, dal client Windows a 64 bit nel prerequisito #1, seguire questa procedura:

1. Scarica Microsoft Recovery Tool firmato dall'Area download Microsoft.

2. Estrarre lo script di PowerShell dal file scaricato.

3. Aprire Windows PowerShell come amministratore ed eseguire lo script seguente:MsftRecoveryToolForCS.ps1

4. Lo strumento scarica e installa Windows Assessment and Deployment Kit (Windows ADK). Il completamento di questo processo potrebbe richiedere alcuni minuti.

5. Scegli una delle due opzioni per il ripristino dei dispositivi interessati: Windows PE o modalità provvisoria.

6. Facoltativamente, seleziona una directory che contenga i file dei driver da importare nell'immagine di ripristino. È consigliabile scegliere N di ignorare questo passaggio.

   1. Lo strumento importa tutti i file SYS e INI in modo ricorsivo nella directory specificata.
   2. Alcuni dispositivi, ad esempio i dispositivi Surface, potrebbero richiedere driver aggiuntivi per l'input tramite tastiera.

7. Seleziona l'opzione per generare un file ISO o un'unità USB.

8. Se scegli l'opzione USB:

   1. Inserisci l'unità USB quando richiesto e fornisci la lettera dell'unità.
   2. Al termine della creazione dell'unità USB, lo strumento è necessario rimuoverlo dal client Windows.

Istruzioni per utilizzare l'opzione di ripristino

---

Usare i supporti di ripristino nelle macchine virtuali Hyper-V

È possibile usare il supporto di ripristino per correggere le macchine virtuali Hyper-V interessate. Quando si crea il supporto di avvio, selezionare l'opzione per generare un file ISO.

Istruzioni per il ripristino di macchine virtuali Hyper-V

1. In una macchina virtuale interessata, aggiungere un'unità DVD in Impostazioni Hyper-V>Controller SCSI.

   

2. Individua l'ISO di ripristino e aggiungilo come file di immagine nell'unitàDVDdel controller> SCSI delle impostazioni> di Hyper-V.

   

3. Prendere nota dell'ordine di avvio corrente in modo da poterlo ripristinare manualmente in un secondo momento. L'immagine seguente è un esempio di ordine di avvio, che potrebbe essere diverso dalla configurazione della macchina virtuale.

   

4. Cambia l'ordine di avvio per spostare l'unità DVD verso l'alto come prima voce di avvio.

   

5. Avviare la macchina virtuale e premere un tasto qualsiasi per continuare l'avvio dell'immagine ISO.

6. A seconda di come hai creato il supporto di ripristino, segui i passaggi aggiuntivi per utilizzare le opzioni di ripristino di Windows PE o in modalità provvisoria .

7. Impostare l'ordine di avvio sulle impostazioni di avvio originali dalle impostazioni Hyper-V della macchina virtuale.

8. Riavviare la macchina virtuale normalmente.

Usare PXE per il ripristino

Per la maggior parte dei clienti, le altre opzioni di ripristino consentono di ripristinare i dispositivi. Tuttavia, se i dispositivi non sono in grado di usare l'opzione per il ripristino da USB, ad esempio a causa dei criteri di sicurezza o della disponibilità delle porte, gli amministratori IT possono usare PXE per risolvere il problema.

Per utilizzare questa soluzione, puoi usare l'immagine in formato Windows Imaging (WIM) creata dallo strumento di ripristino Microsoft in un ambiente PXE esistente. I dispositivi interessati devono trovarsi nella stessa subnet di rete del server PXE esistente.

In alternativa, è possibile usare l'approccio server PXE descritto di seguito. Questa opzione funziona in modo ottimale quando è possibile spostare facilmente il server PXE da una subnet all'altra a scopo di correzione.

Prerequisiti per il ripristino PXE

1. Dispositivo Windows a 64 bit che ospita l'immagine di avvio. Questo dispositivo è denominato "server PXE".

   1. Il server PXE può essere eseguito in qualsiasi sistema operativo a 64 bit del client Windows supportato.

   2. Il server PXE deve avere accesso a Internet per scaricare lo strumento Microsoft PXE dall'Area download Microsoft. Puoi anche copiarlo nel server PXE da un altro sistema della rete.

   3. Nel server PXE devono essere state create regole del firewall in ingresso per le porte UDP 67, 68, 69, 547 e 4011. Lo strumento PXE scaricato (MSFTPXEToolForCS.exe) aggiorna le impostazioni di Windows Firewall nel server PXE. Se il server PXE usa una soluzione firewall non Microsoft, creare regole seguendo le relative raccomandazioni.

      Nota

      Questo script non pulisce le regole del firewall. È necessario rimuovere queste regole del firewall al termine della correzione. Per rimuovere queste regole da Windows Firewall, aprire Windows PowerShell come amministratore ed eseguire il comando seguente:MSFTPXEInitToolForCS.ps1 clean

   4. Privilegi amministrativi per eseguire lo strumento PXE.

   5. Il server PXE richiede Microsoft Visual C++ Redistributable. Scarica e installa l'ultima versione.

2. I dispositivi Windows interessati dovrebbero trovarsi nella stessa subnet del server PXE. Dovrebbero essere cablati invece di usare una rete Wi-Fi.

Configurare il server PXE

1. Scaricare lo strumento Microsoft PXE dall'Area download Microsoft. Estrarre il contenuto dell'archivio zip in qualsiasi directory. Contiene tutti i file necessari.

2. Aprire Windows PowerShell come amministratore. Passare alla directory in cui sono stati estratti i file ed eseguire il comando seguente: MSFTPXEInitToolForCS.ps1

   1. Lo script esegue l'analisi dell'installazione di Windows ADK e Windows PE Add-On nel server PXE. Se non sono installate, vengono installate dallo script. Per procedere con l'installazione, rivedi e accetta le condizioni di licenza.
   2. Lo script genera gli script di correzione e crea un'immagine di avvio valida.
   3. Se necessario, accettare la richiesta e specificare un percorso contenente i file del driver. I file dei driver possono essere necessari per la tastiera o i dispositivi di archiviazione di massa. In genere, non è necessario aggiungere driver. Se non sono necessari file di driver aggiuntivi, selezionare N.
   4. È possibile configurare il server PXE per distribuire un'immagine di correzione predefinita o un'immagine in modalità provvisoria. Verranno visualizzati i prompt seguenti:
      1. Avviare WinPE per risolvere il problema. Richiede l'immissione della chiave di ripristino di BitLocker se il disco di sistema è crittografato con BitLocker.
      2. Avviare in WinPE, configurare la modalità provvisoria ed eseguire il comando di riparazione dopo l'attivazione della modalità provvisoria. Questa opzione richiede meno probabilmente la chiave di ripristino di BitLocker se il disco di sistema è crittografato con BitLocker.
   5. Lo script genera i file di distribuzione necessari e fornisce il percorso in cui copia lo strumento server PXE.

3. Ricontrolla i prerequisiti per il ripristino PXE, in particolare Microsoft Visual C++ Redistributable.

4. Dalla console di PowerShell come amministratore, passare alla directory in cui viene copiato lo strumento server PXE ed eseguire il comando seguente per avviare il processo listener: .\MSFTPXEToolForCS.exe

   1. Non verranno visualizzate altre risposte mentre il server PXE gestisce le connessioni. Non chiudere questa finestra perché ciò arresterà il server PXE.

   2. È possibile monitorare lo stato di avanzamento del server PXE nel file MSFTPXEToolForCS.log nella stessa directory.

      Nota

      Se desideri eseguire più server PXE per sottoreti diverse, copia la directory con lo strumento server PXE ed esegui nuovamente i passaggi 3 & 4.

Altre informazioni su PXE

• Avvio PXE in Gestione configurazione
• Risoluzione avanzata dei problemi di avvio PXE
• Vuoi eseguire l'avvio PXE? Non usare le opzioni DHCP

Usare PXE per ripristinare un dispositivo interessato

Il dispositivo interessato deve trovarsi nella stessa subnet del server PXE. Se i dispositivi si trovano in subnet diverse, configurare gli helper IP nell'ambiente di rete per consentire l'individuazione del server PXE.

Se il dispositivo interessato non è configurato per l'avvio PXE, segui questa procedura:

1. Nel dispositivo interessato, accedere al menu BIOS\UEFI .

   1. Questa azione è diversa a seconda dei modelli e dei produttori. Fare riferimento alla documentazione fornita dal produttore dell'apparecchiatura originale per la marca e il modello specifici del dispositivo.
   2. Le opzioni comuni per l'accesso a BIOS\UEFI prevedono la pressione di un tasto come F2, F12, DEL o ESC durante la sequenza di avvio.

2. Verificare che l'avvio di rete sia abilitato nel dispositivo. Per ulteriori indicazioni, consulta la documentazione del produttore del dispositivo.

3. Configurare l'opzione di avvio di rete come priorità di primo avvio.

4. Salvare le nuove impostazioni. Riavvia il dispositivo per applicare le impostazioni ed esegui l'avvio da PXE.

Quando si avvia il dispositivo interessato da PXE, il comportamento dipenderà dalla scelta di Windows PE o dei supporti di ripristino in modalità provvisoria per il server PXE.

Per altre informazioni su queste opzioni, vedere i passaggi aggiuntivi per usare le opzioni di ripristino di Windows PE o in modalità provvisoria.

1. Per l'opzione di ripristino di Windows PE, all'utente viene richiesto di eseguire l'avvio in Windows PE e lo script di correzione viene eseguito automaticamente.

2. Per l'opzione di ripristino in modalità provvisoria, il dispositivo viene avviato in modalità provvisoria. L'utente deve accedere con l'account amministratore locale ed eseguire manualmente lo script.

   1. In modalità provvisoria e con accesso eseguito come amministratore locale, aprire Windows PowerShell come amministratore.
   2. Eseguire i comandi seguenti:
      del %SystemRoot%\System32\drivers\CrowdStrike\C-00000291*.sys
      bcdedit /deletevalue {current} safeboot
      shutdown -r -t 00

Al termine, riavvia il dispositivo normalmente rispondendo al prompt sullo schermo. Accedi al menu BIOS\UEFI e aggiorna l'ordine di avvio per rimuovere l'avvio PXE.

Contatta CrowdStrike

Se dopo aver seguito i passaggi precedenti, se riscontri ancora problemi di accesso al tuo dispositivo, contatta CrowdStrike per ulteriore assistenza.

Informazioni aggiuntive

Per ulteriori informazioni sul problema che interessa i client e i server Windows che eseguono l'agente CrowdStrike Falcon, vedere le risorse seguenti:

• Un'ampia gamma di informazioni su Windows è disponibile in Integrità versione di Windows (aka.ms/WRH).

• I passaggi di ripristino dettagliati sono disponibili negli articoli seguenti:

  • KB5042421: Il problema di CrowdStrike che influisce sugli endpoint di Windows causa un messaggio di errore di 0x50 o 0x7E su una schermata blu
  • KB5042426: Il problema di CrowdStrike che ha un impatto sui server Windows causa un messaggio di errore di 0x50 o 0x7E su una schermata blu

• I clienti di Windows 365 Cloud PC possono provare a ripristinare il Cloud PC in uno stato valido noto prima del rilascio dell'aggiornamento (19 luglio 2024). Per altre informazioni, vedere uno degli articoli seguenti:

  • Ripristino temporizzato per Windows 365 Enterprise
  • Ripristino temporizzato per Windows 365 Business

• Per le macchine virtuali Windows in esecuzione in Microsoft Azure, seguire i passaggi di mitigazione nello stato di Azure.

• Ulteriori dettagli di CrowdStrike sono disponibili nell'hub di correzione e guida di CrowdStrike: aggiornamento del contenuto Falcon per host Windows.

• Il post di blog Microsoft Intune Customer Success sullo strumento di ripristino contiene commenti di altri amministratori IT che possono essere utili.

Riferimenti

Dichiarazione di non responsabilità sulle informazioni di terze parti

I prodotti di terze parti descritti in questo articolo sono realizzati da società indipendenti da Microsoft. Non forniamo alcuna garanzia, implicita o di altro tipo, sulle prestazioni o sull'affidabilità di questi prodotti.

Forniamo informazioni di contatto di terze parti per aiutarti a trovare il supporto tecnico. Le informazioni di contatto sono soggette a modifica senza preavviso. Non garantiamo l'accuratezza delle informazioni di contatto di terze parti.