KB5042429: Un nou instrument de recuperare pentru a ajuta la rezolvarea problemei CrowdStrike care afectează dispozitivele Windows

Rezumat

Ca urmare a problemei cu agentul Falcon CrowdStrike care afectează clienții și serverele Windows, am lansat un instrument de recuperare actualizat cu două opțiuni de reparare pentru a-i ajuta pe administratorii IT să accelereze procesul de reparare. Instrumentul automatizează pașii manuali în KB5042421 (client) și KB5042426 (server). Descărcați instrumentul de recuperare Microsoft semnat de la Centrul de descărcare Microsoft. Puteți utiliza instrumentul pentru a recupera clienți, servere și mașini virtuale Hyper-V (VM) Windows.

Există două opțiuni de reparare:

• Recuperați din Windows PE: această opțiune utilizează un suport fizic de pornire care automatizează repararea dispozitivului.
• Recuperați din modul de siguranță: această opțiune utilizează suportul de pornire pentru dispozitivele afectate pentru a porni în modul de siguranță. Apoi, un administrator se poate conecta utilizând un cont cu privilegii administrative locale și poate rula pașii de remediere.

Determinați ce opțiune să utilizați

---

Considerente suplimentare

Deși este preferată opțiunea USB, este posibil ca unele dispozitive să nu accepte conexiuni USB. Pentru aceste situații, consultați secțiunea despre utilizarea mediului de execuție înainte de bootare (PXE) pentru recuperare.

Dacă dispozitivul nu se poate conecta la o rețea PXE și USB nu este o opțiune, încercați pașii manuali din următoarele articole:

• KB5042421: Problema CrowdStrike care afectează punctele finale Windows, determinând un mesaj de eroare 0x50 sau 0x7E pe un ecran albastru
• KB5042426: Problema CrowdStrike care afectează serverele Windows și provoacă un mesaj de eroare 0x50 sau 0x7E pe un ecran albastru

În caz contrar, reimaginarea dispozitivului ar putea fi o soluție.

Cu orice opțiune de recuperare, mai întâi testați-o pe mai multe dispozitive înainte de a o utiliza pe scară largă în mediul dvs.

Crearea suportului fizic de boot

Cerințe preliminare pentru a crea suportul fizic de boot

1. Un client Windows pe 64 de biți cu cel puțin 8 GB de spațiu liber pe care puteți rula instrumentul pentru a crea unitatea USB bootabilă.
2. Privilegiile administrative pentru clientul Windows din condiția preliminară #1.
3. O unitate USB cu o dimensiune minimă de 1 GB și nu mai mare de 32 GB. Instrumentul șterge toate datele existente pe această unitate și le formatează automat în FAT32.

Instrucțiuni pentru crearea suportului fizic de boot

Pentru a crea suportul de recuperare, din clientul Windows pe 64 de biți în condiția preliminară #1, utilizați pașii următori:

1. Descărcați instrumentul de recuperare Microsoft semnat de la Centrul de descărcare Microsoft.

2. Extrageți scriptul PowerShell din fișierul descărcat.

3. Deschideți Windows PowerShell ca administrator și rulați următorul script:MsftRecoveryToolForCS.ps1

4. Instrumentul descarcă și instalează Kitul de evaluare și implementare Windows (Windows ADK). Acest proces poate dura câteva minute.

5. Alegeți una dintre cele două opțiuni pentru recuperarea dispozitivelor afectate: Windows PE sau modul de siguranță.

6. Opțional, selectați un director care conține fișierele de driver pentru a le importa în imaginea de recuperare. Vă recomandăm să selectați să omiteți N acest pas.

   1. Instrumentul importă orice fișiere SYS și INI recursiv în directorul specificat.
   2. Anumite dispozitive, cum ar fi dispozitivele Surface, pot avea nevoie de drivere suplimentare pentru intrările de la tastatură.

7. Selectați opțiunea de a genera un fișier ISO sau o unitate USB.

8. Dacă alegeți opțiunea USB:

   1. Introduceți unitatea USB atunci când vi se solicită și furnizați litera unității.
   2. După ce instrumentul termină de creat unitatea USB, eliminați-o din clientul Windows.

Instrucțiuni de utilizare a opțiunii de recuperare

---

Utilizarea unui suport de recuperare pe mașini virtuale Hyper-V

Puteți utiliza suportul de recuperare pentru a remedia mașinile virtuale Hyper-V afectate (VM). Atunci când creați suportul fizic de bootare, selectați opțiunea de a genera un fișier ISO.

Instrucțiuni pentru recuperarea mașinilor virtuale Hyper-V

1. Pe o mașină virtuală afectată, adăugați o unitate DVD sub setările >Hyper-VControler SCSI.

   

2. Navigați la ISO de recuperare și adăugați-l ca fișier imagine sub Setări> Hyper-VControler> SCSI,unitate DVD.

   

3. Rețineți ordinea curentă de bootare, astfel încât să o puteți restaura manual mai târziu. Următoarea imagine este un exemplu de ordine de boot, care poate fi diferită de configurația mașinii virtuale.

   

4. Modificați ordinea de pornire pentru a urca pe unitatea DVD ca prima intrare de bootare.

   

5. Porniți mașina virtuală și apăsați orice tastă pentru a continua pornirea la imaginea ISO.

6. În funcție de modul în care ați creat suportul de recuperare, urmați pașii suplimentari pentru a utiliza opțiunile de recuperare Windows PE sau modul de siguranță .

7. Setați comanda de bootare înapoi la setările de bootare inițiale din setările Hyper-V ale mașinii virtuale.

8. Reporniți mașina virtuală în mod normal.

Utilizați PXE pentru recuperare

Pentru majoritatea clienților, celelalte opțiuni de recuperare vor ajuta la restaurarea dispozitivelor. Cu toate acestea, dacă dispozitivele nu pot utiliza opțiunea de recuperare de pe USB, de exemplu, din cauza politicilor de securitate sau a disponibilității porturilor, administratorii IT pot utiliza PXE pentru a remedia.

Pentru a utiliza această soluție, puteți utiliza imaginea Windows Imaging Format (WIM) creată de instrumentul de recuperare Microsoft într-un mediu PXE existent. Dispozitivele afectate trebuie să se afle în aceeași subrețea de rețea ca serverul PXE existent.

Alternativ, puteți utiliza abordarea server PXE prezentată mai jos. Această opțiune funcționează cel mai bine atunci când puteți muta cu ușurință serverul PXE dintr-o subrețea într-alta în scopul remedierii.

Cerințe preliminare pentru recuperarea PXE

1. Un dispozitiv Windows pe 64 de biți care găzduiește imaginea de boot. Acest dispozitiv este denumit "server PXE".

   1. Serverul PXE poate rula pe orice sistem de operare client Windows pe 64 de biți acceptat.

   2. Serverul PXE ar trebui să aibă acces la internet pentru a descărca instrumentul Microsoft PXE de la Centrul de descărcare Microsoft. De asemenea, îl puteți copia pe serverul PXE dintr-un alt sistem din rețea.

   3. Serverul PXE ar trebui să aibă reguli de firewall de intrare create pentru porturile UDP 67, 68, 69, 547 și 4011. Instrumentul PXE descărcat (MSFTPXEToolForCS.exe) actualizează setările Paravanului de protecție Windows pe serverul PXE. Dacă serverul PXE utilizează o soluție de firewall non-Microsoft, creați reguli urmând recomandările acestora.

      Notă

      Acest script nu curăță regulile de firewall. Ar trebui să eliminați aceste reguli de firewall după finalizarea remedierii. Pentru a elimina aceste reguli din Paravanul de protecție Windows, deschideți Windows PowerShell ca administrator și rulați următoarea comandă:MSFTPXEInitToolForCS.ps1 clean

   4. Privilegii administrative pentru a rula instrumentul PXE.

   5. Serverul PXE necesită Microsoft Visual C++ Redistributable. Descărcați și instalați cea mai recentă versiune.

2. Dispozitivele Windows afectate ar trebui să se afle în aceeași subrețea ca serverul PXE. Acestea ar trebui să fie instalate prin cablu integrat în loc să utilizeze o rețea Wi-Fi.

Configurarea serverului PXE

1. Descărcați instrumentul Microsoft PXE din Centrul de descărcare Microsoft. Extrageți conținutul arhivei zip în orice director. Conține toate fișierele necesare.

2. Deschideți Windows PowerShell ca administrator. Schimbați în directorul în care ați extras fișierele și rulați următoarea comandă: MSFTPXEInitToolForCS.ps1

   1. Scriptul scanează pentru instalarea Windows ADK și Windows PE Add-On pe serverul PXE. Dacă nu sunt instalate, scriptul le instalează. Pentru a continua instalarea, revizuiți și acceptați termenii licenței.
   2. Scriptul generează scripturile de remediere și creează o imagine de încărcare validă.
   3. Dacă vi se solicită, acceptați solicitarea și furnizați o cale care conține fișierele de driver. Fișierele de driver pot fi necesare pentru tastaturi sau pentru dispozitivele de stocare în masă. În general, nu va trebui să adăugați drivere. Dacă nu aveți nevoie de fișiere de driver suplimentare, selectați N.
   4. Puteți configura serverul PXE să livreze o imagine de remediere implicită sau o imagine în modul de siguranță. Veți vedea următoarele solicitări:
      1. Încărcați în WinPE pentru a remedia problema. Necesită introducerea cheii de recuperare BitLocker dacă discul sistemului este criptat BitLocker.
      2. Faceți boot în WinPE, configurați modul de siguranță și rulați comanda de reparare după ce intrați în modul de siguranță. Este mai puțin probabil ca această opțiune să necesite cheia de recuperare BitLocker dacă discul de sistem este criptat cu BitLocker.
   5. Scriptul generează fișierele de distribuire necesare și furnizează calea la care copiază instrumentul de server PXE.

3. Verificați încă o dată cerințele preliminare pentru recuperarea PXE, în special pentru redistribuirea Microsoft Visual C++.

4. Din consola PowerShell, ca administrator, treceți la directorul în care este copiat instrumentul de server PXE și rulați următoarea comandă pentru a lansa procesul de ascultare: .\MSFTPXEToolForCS.exe

   1. Nu veți vedea răspunsuri suplimentare, deoarece serverul PXE gestionează conexiunile. Nu închideți această fereastră, deoarece astfel va opri serverul PXE.

   2. Puteți monitoriza progresul serverului PXE în fișierul MSFTPXEToolForCS.log din același director.

      Notă

      Dacă doriți să rulați mai multe servere PXE pentru subrețele diferite, copiați directorul cu instrumentul de server PXE și rulați din nou pașii 3 & 4.

Informații suplimentare despre PXE

• Pornirea PXE în Configuration Manager
• Depanarea complexă a problemelor de boot PXE
• Doriți să porniți PXE? Nu utilizați Opțiuni DHCP

Utilizați PXE pentru a recupera un dispozitiv afectat

Dispozitivul afectat trebuie să se afle în aceeași subrețea ca serverul PXE. Dacă dispozitivele se află în subrețele diferite, configurați asistenții IP în mediul dvs. de rețea pentru a permite descoperirea serverului PXE.

Dacă dispozitivul afectat nu este configurat pentru bootarea PXE, urmați acești pași:

1. Pe dispozitivul afectat, accesați meniul BIOS\UEFI .

   1. Această acțiune este diferită în funcție de modele și de producători. Consultați documentația furnizată de producătorul de echipamente original pentru marca și modelul specific ale dispozitivului.
   2. Opțiunile uzuale pentru accesarea BIOS\UEFI necesită apăsarea unei taste, cum ar fi F2, F12, DEL sau ESC în timpul secvenței de pornire.

2. Asigurați-vă că bootul de rețea este activat pe dispozitiv. Pentru instrucțiuni suplimentare, consultați documentația de la producătorul dispozitivului.

3. Configurați opțiunea de bootare în rețea ca prioritate de pornire.

4. Salvați setările noi. Reporniți dispozitivul pentru ca setările să se aplice și să pornească din PXE.

Atunci când încărcați dispozitivul PXE afectat, comportamentul va depinde de ceea ce ați ales pentru Windows PE sau suportul de recuperare în modul de siguranță pentru serverul PXE.

Pentru mai multe informații despre aceste opțiuni, consultați pașii suplimentari pentru utilizarea opțiunilor de recuperare Windows PE sau modul de siguranță.

1. Pentru opțiunea de recuperare Windows PE, utilizatorului i se solicită să inițializeze în Windows PE și scriptul de remediere rulează automat.

2. Pentru opțiunea de recuperare în modul de siguranță, dispozitivul pornește în modul de siguranță. Utilizatorul trebuie să se conecteze cu contul local de administrator și să ruleze manual scriptul.

   1. În modul de siguranță și conectat ca administrator local, deschideți Windows PowerShell ca administrator.
   2. Rulați următoarele comenzi:
      del %SystemRoot%\System32\drivers\CrowdStrike\C-00000291*.sys
      bcdedit /deletevalue {current} bootare sigură
      shutdown -r -t 00

După ce ați terminat, reporniți dispozitivul în mod normal, răspunzând la solicitarea de pe ecran. Accesați meniul BIOS\UEFI și actualizați ordinea de boot pentru a elimina bootarea PXE.

Contactați CrowdStrike

Dacă, după ce urmați pașii de mai sus, dacă întâmpinați în continuare probleme la conectarea la dispozitiv, contactați CrowdStrike pentru asistență suplimentară.

Informații suplimentare

Pentru mai multe informații despre problema care afectează clienții și serverele Windows care rulează agentul CrowdStrike Falcon, consultați următoarele resurse:

• O largă varietate de informații Windows sunt disponibile în starea de bună funcționare a versiunii Windows (aka.ms/WRH).

• Pașii de recuperare detaliați sunt disponibili în următoarele articole:

  • KB5042421: Problema CrowdStrike care afectează punctele finale Windows, determinând un mesaj de eroare 0x50 sau 0x7E pe un ecran albastru
  • KB5042426: Problema CrowdStrike care afectează serverele Windows și provoacă un mesaj de eroare 0x50 sau 0x7E pe un ecran albastru

• Clienții Windows 365 PC în Cloud pot încerca să își restaureze PC-ul în cloud la o stare bună cunoscută înainte de lansarea actualizării (19 iulie 2024). Pentru mai multe informații, consultați unul dintre următoarele articole:

  • Restaurare la un moment de timp pentru Windows 365 Enterprise
  • Restaurare la un moment de timp pentru Windows 365 Business

• Pentru mașinile virtuale Windows care rulează pe Microsoft Azure, urmați pașii de atenuare din starea Azure.

• Detalii suplimentare de la CrowdStrike sunt disponibile în hubul de remediere și îndrumare CrowdStrike: Actualizare de conținut Falcon pentru gazdele Windows.

• Postarea de pe blogul Microsoft Intune Customer Success despre instrumentul de recuperare conține comentarii de la alți administratori IT care pot fi utile.

Referințe

Exonerare de răspundere privind informațiile de la terți

Produsele unor terți prezentate în acest articol sunt fabricate de companii independente de Microsoft. Nu oferim nicio garanție, implicită sau în alt mod, în legătură cu performanța sau fiabilitatea acestor produse.

Oferim informații de contact de la terți pentru a vă ajuta să găsiți asistență tehnică. Aceste informații de contact se pot modifica fără notificare prealabilă. Nu garantăm acuratețea acestor informații de contact de la terți.