├── CrowdStrike-rollback.bat
├── CrowdStrike-rollback.ps1
└── README.md


/CrowdStrike-rollback.bat:
--------------------------------------------------------------------------------
 1 | @echo off
 2 | setlocal
 3 | 
 4 | :: Comprobar si se ejecuta en modo seguro
 5 | reg query "HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot" >nul 2>&1
 6 | if %errorlevel% neq 0 (
 7 |     echo El sistema no está en modo seguro. Por favor, reinicia en modo seguro o en el entorno de recuperacion de Windows.
 8 |     exit /b
 9 | )
10 | 
11 | :: Ruta al directorio de CrowdStrike
12 | set "directoryPath=C:\Windows\System32\drivers\CrowdStrike"
13 | 
14 | :: Verificar si el directorio existe
15 | if exist "%directoryPath%" (
16 |     :: Buscar y eliminar el archivo que coincide con el patrón
17 |     for %%F in ("%directoryPath%\C-00000291*.sys") do (
18 |         del /f C:\Windows\System32\drivers\CrowdStrike\C-00000291*.sys
19 |         ren C:\Windows\System32\drivers\CrowdStrike C:\Windows\System32\drivers\CrowdStrike.old
20 |         echo Archivo eliminado exitosamente!!!
21 |     )
22 |     
23 |     :: Comprobar si se eliminaron archivos
24 |     if errorlevel 1 (
25 |         echo No se encontraron archivos que coincidan con el patrón C-00000291*.sys
26 |     )
27 | ) else (
28 |     echo El directorio %directoryPath% no existe.
29 | )
30 | 
31 | echo retire el pendrive, para reiniciar el sistema oprima enter
32 | pause
33 | :: Reiniciar el sistema
34 | shutdown /r /f /t 0
35 | 


--------------------------------------------------------------------------------
/CrowdStrike-rollback.ps1:
--------------------------------------------------------------------------------
 1 | # Comprobar si se ejecuta en modo seguro
 2 | function Test-SafeMode {
 3 |     $regkey = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SafeBoot" -ErrorAction SilentlyContinue
 4 |     return $regkey -ne $null
 5 | }
 6 | 
 7 | if (-not (Test-SafeMode)) {
 8 |     Write-Host "El sistema no está en modo seguro. Por favor, reinicia en modo seguro o en el entorno de recuperación de Windows." -ForegroundColor Red
 9 |     exit
10 | }
11 | 
12 | # Ruta al directorio de CrowdStrike
13 | $directoryPath = "C:\Windows\System32\drivers\CrowdStrike"
14 | 
15 | # Verificar si el directorio existe
16 | if (Test-Path -Path $directoryPath) {
17 |     # Buscar y eliminar el archivo que coincide con el patrón
18 |     $files = Get-ChildItem -Path $directoryPath -Filter "C-00000291*.sys"
19 |     if ($files.Count -gt 0) {
20 |         foreach ($file in $files) {
21 |             Remove-Item -Path $file.FullName -Force
22 |             Write-Host "Archivo eliminado: $($file.FullName)" -ForegroundColor Green
23 |         }
24 |     } else {
25 |         Write-Host "No se encontraron archivos que coincidan con el patrón C-00000291*.sys" -ForegroundColor Yellow
26 |     }
27 | } else {
28 |     Write-Host "El directorio $directoryPath no existe." -ForegroundColor Red
29 | }
30 | 
31 | # Reiniciar el sistema
32 | Restart-Computer -Force
33 | 


--------------------------------------------------------------------------------
/README.md:
--------------------------------------------------------------------------------
 1 | # CrowdStrike-rollback
 2 | 
 3 | <p align="center">
 4 |   <img src="https://raw.githubusercontent.com/panxos/ConfServerDebian/main/panxos_logo.png" alt="PanXOS Logo" width="200"/>
 5 | </p>
 6 | 
 7 | ## Descripción
 8 | CrowdStrike-rollback.ps1 es un script de PowerShell diseñado para automatizar el proceso de eliminación de un archivo específico relacionado con CrowdStrike que puede estar causando problemas en tu sistema Windows. Este script debe ejecutarse en Modo Seguro o en el Entorno de Recuperación de Windows.
 9 | 
10 | ## Problema con CrowdStrike
11 | CrowdStrike es una solución de seguridad que protege los endpoints contra amenazas. Sin embargo, en algunas situaciones, ciertos archivos de CrowdStrike pueden corromperse o causar problemas que impiden el funcionamiento correcto del sistema. En este caso específico, se debe eliminar un archivo denominado `C-00000291*.sys` en el directorio `C:\Windows\System32\drivers\CrowdStrike` para resolver el problema.
12 | 
13 | ## Instrucciones de Uso
14 | 
15 | ### Paso 1: Preparación
16 | - Asegúrate de tener permisos de administrador en el sistema donde se ejecutará el script.
17 | - Guarda el script en un archivo llamado `CrowdStrike-rollback.ps1`.
18 | 
19 | ### Paso 2: Inicio en Modo Seguro
20 | 1. Reinicia el sistema y entra en Modo Seguro o en el Entorno de Recuperación de Windows.
21 | 2. Para entrar en Modo Seguro, mantén presionada la tecla **Shift** mientras haces clic en "Reiniciar" y luego selecciona:
22 |    - "Solucionar problemas"
23 |    - "Opciones avanzadas"
24 |    - "Configuración de inicio"
25 |    - "Reiniciar"
26 |    - Después, selecciona la opción para Modo Seguro.
27 | 3. Para entrar en el Entorno de Recuperación de Windows, sigue un proceso similar y selecciona:
28 |    - "Solucionar problemas"
29 |    - "Opciones avanzadas"
30 |    - "Símbolo del sistema".
31 | 
32 | ### Paso 3: Ejecutar el Script
33 | 1. Abre PowerShell con privilegios de administrador.
34 | 2. Navega al directorio donde se guardó el script.
35 | 3. Ejecuta el script con el siguiente comando:
36 | 
37 |    ```powershell
38 |    .\CrowdStrike-rollback.ps1
39 |    ```
40 | Espero les sirva para por lo menos automatizar el tema en un porcentaje.
41 | 
42 | Agradecimiento a: https://github.com/jpalma76 por la mejora al scrip batch.
43 | 
44 | ======================================================================================================
45 | ## UPDATE BitLocker
46 | ## ⚠ Crowdstrike vs Bitlocker⚠ 
47 | 
48 | ✔ Solución de errores de actualización de CrowdStrike con BitLocker habilitado ✔ 
49 | 
50 | ## Encontrar problemas con las actualizaciones de CrowdStrike, especialmente cuando BitLocker está habilitado, puede ser una experiencia frustrante. Aquí hay una guía paso a paso para resolver este problema:
51 | 
52 | 1. Recorra los BSOD hasta llegar a la pantalla de recuperación.
53 | 2. Vaya a Solucionar problemas > opciones avanzadas > Configuración de inicio.
54 | 3. Presione "Reiniciar".
55 | 4. Omita el primer mensaje de la clave de recuperación de BitLocker presionando Esc.
56 | 5. Omita el segundo mensaje de clave de recuperación de BitLocker seleccionando Omitir esta unidad en la parte inferior derecha.
57 | 6. Vaya a Solucionar problemas > opciones avanzadas > símbolo del sistema.
58 | 7. Escriba "bcdedit /set {default} safeboot minimal", luego presione enter.
59 | 8. Vuelva al menú principal de WinRE y seleccione Continuar.
60 | 9. El sistema puede repetir 2-3 veces.
61 | 10. Si arranca en modo seguro, inicie sesión como de costumbre.
62 | 11. Abra el Explorador de Windows, navegue hasta C:\Windows\System32\drivers\Crowdstrike.
63 | 12. Elimine el archivo ofensivo que comienza con C-00000291 y tiene una extensión de archivo .sys.
64 | 13. Abra el símbolo del sistema (como administrador).
65 | 14. Escriba "bcdedit /deletevalue {default} safeboot", luego presione enter.
66 | 15. Reinicie normalmente y confirme el comportamiento normal.
67 | 
68 | Link: https://www.linkedin.com/posts/jaymwakideu_crowdstrike-activity-7220287228986466305-VyUw?utm_source=share&utm_medium=member_desktop
69 | 
70 | 


--------------------------------------------------------------------------------