Eksploitasi Zero-Day SignDrop pada Windows Berikan Hak Istimewa SYSTEM kepada Peretas

Peneliti keamanan Abdelhamid Naceri, yang juga dikenal sebagai Nightmare Eclipse, telah merilis eksploitasi zero-day baru pada Windows yang dapat memungkinkan penyerang memperoleh hak istimewa SYSTEM.

Eksploitasi yang dinamai SignDrop ini memanfaatkan mitigasi yang diperkenalkan Microsoft pada Oktober 2025 untuk melindungi dari serangan autentikasi yang menargetkan kerentanan dalam penggerak Common Log File System atau CLFS. Naceri menyatakan bahwa serangan yang mengeksploitasi kerentanan CLFS menurun tajam setelah mitigasi tersebut, namun mitigasi dari Microsoft itu sendiri justru memicu kerentanan baru ini.

Menurut Naceri, celah tersebut berada pada cara CLFS menangani pembuatan berkas autentikasi dengan ekstensi .cnpf saat membuat berkas log baru. Ia menjelaskan bahwa CLFS menerapkan pemeriksaan akses dengan benar pada awalnya, tetapi logikanya dapat disalahgunakan jika proses istimewa lain membuka berkas log tersebut kemudian.

Proses istimewa seperti Windows Defender dapat dipaksa untuk membuka berkas tersebut, sehingga berkas autentikasi dibuat dengan hak istimewa SYSTEM, dan CLFS membuatnya dengan izin akses berkas aslinya. Naceri mencatat bahwa meskipun Microsoft menerapkan mitigasi dengan benar, logikanya memungkinkan penyalahgunaan. Teknik ini diklaim bekerja melawan pertahanan diri atau perlindungan tamper dari mesin antimalware apa pun, karena permintaan pembuatan berkas tampak berasal dari proses sah mesin itu sendiri.

Naceri mengestimasi bahwa 80 persen instalasi Windows rentan terhadap serangan ini. Ia telah menguji eksploitasi tersebut pada Windows 11 26H2, Windows 11 26H2 Experimental, dan Windows Server 2025 Experimental. Untuk memeriksa kerentanan, ia menyarankan menjalankan eksploitasi bukti konsep atau memeriksa nilai registri pada HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Perangkat dianggap rentan jika nilai registri tersebut adalah 0 atau 1, yang berarti mode pembelajaran atau mode penegakan.

Saat ini tidak ada solusi selain menunggu tambalan dari Microsoft. Menonaktifkan mitigasi CLFS tidak disarankan karena akan membuat perangkat terpapar serangan yang mengeksploitasi kerentanan korupsi memori.

Naceri, yang mengaku sebagai mantan karyawan Microsoft, telah mengungkapkan berbagai celah zero-day lain sejak April, termasuk BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, dan UnDefend. Microsoft telah memperbaiki beberapa celah seperti ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, dan MiniPlasma, namun bug zero-day lainnya masih belum memiliki tambalan resmi.