Nieuwe Windows kwetsbaarheid SignDrop biedt aanvallers systeemrechten

black steel cabinet — Miguel Carraça / Unsplash

Beveiligingsonderzoeker Abdelhamid Naceri, ook bekend als Nightmare Eclipse, heeft een nieuwe nul-dag kwetsbaarheid in Windows vrijgegeven die aanvallers in staat stelt om systeemrechten te verwerven. De kwetsbaarheid, genaamd SignDrop, maakt misbruik van beschermingsmaatregelen die Microsoft in oktober 2025 introduceerde om aan te sluiten tegen authenticatie-aanvallen op de Common Log File System (CLFS) stuurprogramma. Naceri merkte op dat aanvallen die CLFS-kwetsbaarheden exploiteerden sterk afnamen na de invoering van de maatregel, maar dat de maatregel zelf deze nieuwe kwetsbaarheid introduceerde.

De fout zit in de manier waarop CLFS omgaat met het maken van het authenticatiebestand, met de extensie .cnpf, wanneer een nieuw logbestand wordt aangemaakt. CLFS controleert de toegang correct bij het begin, maar de logica kan worden misbruikt als een ander, bevoegd proces het logbestand later opent. Bevoegde processen, zoals Windows Defender, kunnen worden gedwongen om de bestanden te openen, waardoor het authenticatiebestand met systeemrechten wordt aangemaakt en CLFS het maakt met de oorspronkelijke bestandsrechten.

Naceri benadrukte dat Microsoft de maatregel correct heeft geïmplementeerd, maar dat de logica misbruik toelaat. De techniek werkt tegen de zelfbescherming, ook wel beschadigingsbescherming genoemd, van elke antimalware-engine, omdat het verzoek om een bestand aan te maken lijkt te komen van het eigen, legitieme proces van de engine. Als alles correct is gekoppeld, kan deze legitieme beveiligingsmaatregel tegen zichzelf worden gebruikt om een verhoging van privileges mogelijk te maken. Het is uniek omdat het kan worden gebruikt om elke antivirus of EDR uit te schakelen door willekeurige bestandscreatie te triggeren in de context van hun eigen antimalwareproces.

SignDrop kan niet tegen alle Windows-apparaten worden gebruikt. Naceri testte de exploit op Windows 11 26H2, Windows 11 26H2 Experimenteel en Windows Server 2025 Experimenteel. Hij schat dat 80 procent van de Windows-installaties kwetsbaar is. Hij adviseert om de proof-of-concept exploit uit te voeren om te controleren of een apparaat kwetsbaar is, of om de CLFS-authenticatiemodus te controleren onder de registerwaarde HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Als de exploit een systeemshell opent, is het apparaat kwetsbaar. Daarnaast is de computer kwetsbaar als de registerwaarde 0 of 1 is, wat respectievelijk leermode of afdwingingsmode betekent.

Er is momenteel geen oplossing, behalve wachten op een patch van Microsoft, omdat het uitschakelen van de CLFS-maatregel de apparaten blootstelt aan aanvallen die geheugenbeschadigingskwetsbaarheden exploiteren. Naceri, die zegt een voormalige medewerker van Microsoft te zijn, heeft sinds april een lange lijst van andere nul-dag kwetsbaarheden onthuld in Microsoft Defender, BitLocker en andere Windows-componenten. Dit omvat onder andere BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma en UnDefend. Vijf jaar geleden bracht Naceri ook verschillende nul-dag exploits uit die privilege-escalatie mogelijk maakten op verschillende Windows-versies.

Na Naceri de nul-dagen publiekelijk onthulde zonder eerst privé te rapporteren, waarschuwde Microsoft voor juridische stappen tegen wie zich schuldig maakt aan kwaadwillige activiteiten die echte schade berokkenen aan de klanten van het bedrijf. Dit leidde tot de perceptie in de infosec-gemeenschap dat het bedrijf de onderzoeker direct bedreigde. Microsoft heeft enkele van de beveiligingskwetsbaarheden die Naceri sinds het begin van het jaar onthulde verholpen, waaronder ShieldBreak, RoguePlanet, YellowKey, GreenPlasma en MiniPlasma, maar de andere nul-dag bugs wachten nog op een officiële patch.