Neuer Windows SignDrop Zero-Day ermöglicht SYSTEM-Berechtigungen

a close up of a red wall with a clock on it — Weichao Deng / Unsplash

Der Sicherheitsforscher Abdelhamid Naceri, auch bekannt als Nightmare Eclipse, hat einen neuen Zero-Day-Exploit für Windows veröffentlicht, der es Angreifern ermöglichen kann, SYSTEM-Berechtigungen zu erlangen.

Der als SignDrop bezeichnete Exploit nutzt Sicherheitsmaßnahmen aus, die Microsoft im Oktober 2025 eingeführt hat. Diese Maßnahmen sollten eigentlich Authentifizierungsangriffe abwehren, die auf Schwachstellen im Treiber des Common Log File System, kurz CLFS, abzielen. Naceri gab an, dass Angriffe auf CLFS-Schwachstellen nach dieser Maßnahme stark zurückgingen, die Sicherheitsmaßnahme von Microsoft jedoch selbst diese neue Schwachstelle eingeführt hat.

Die Lücke liegt laut Naceri in der Art und Weise, wie CLFS die Authentifizierungsdatei mit der Endung .cnpf erstellt, wenn eine neue Protokolldatei angelegt wird. Zwar setzt CLFS zu Beginn die Zugriffsprüfungen korrekt durch, doch die Logik kann missbraucht werden, wenn später ein anderer, privilegierter Prozess die Protokolldatei öffnet.

Privilegierte Prozesse wie Windows Defender können dazu gezwungen werden, diese Dateien zu öffnen. Dadurch wird die Authentifizierungsdatei mit SYSTEM-Berechtigungen erstellt, wobei CLFS die Zugriffsberechtigungen der ursprünglichen Datei verwendet. Naceri merkte an, dass Microsoft die Maßnahme zwar ordnungsgemäß implementiert hat, die Logik jedoch einen Missbrauch zulasse. Diese Technik funktioniere gegen den Selbstschutz jeder Antimalware-Engine, da die Anfrage zur Dateierstellung so aussieht, als käme sie vom eigenen legitimen Prozess der Engine.

Dies mache die Schwachstelle einzigartig, da sie genutzt werden könne, um jedes Antivirus- oder EDR-System auszuschalten. Naceri schätzt, dass 80 Prozent der Windows-Installationen anfällig sind. Er testete den Exploit auf Windows 11 26H2, Windows 11 26H2 Experimental sowie Windows Server 2025 Experimental.

Zur Überprüfung empfiehlt Naceri die Ausführung eines Proof-of-Concept-Exploits oder die Prüfung des Registrierungswerts für den CLFS-Authentifizierungsmodus. Wenn der Wert 0 oder 1 ist, ist der Computer anfällig. Derzeit gibt es keine Lösung außer dem Warten auf einen Patch von Microsoft, da das Deaktivieren der CLFS-Maßnahme die Geräte Angriffen durch Speicherfehler aussetzen würde.