Nowy błąd zero-day SignDrop w systemie Windows umożliwia przejęcie uprawnień SYSTEM

Padlock and keys resting on a computer keyboard — Sasun Bughdaryan / Unsplash

Badacz bezpieczeństwa Abdelhamid Naceri, znany również jako Nightmare Eclipse, udostępnił nowy exploit zero-day dla systemu Windows, który pozwala atakującym na uzyskanie uprawnień SYSTEM.

Luka o nazwie SignDrop wykorzystuje mechanizmy łagodzące wprowadzone przez Microsoft w październiku 2025 roku. Miały one chronić przed atakami uwierzytelniającymi celującymi w podatności sterownika Common Log File System, czyli CLFS. Naceri stwierdził, że choć ataki na CLFS gwałtownie spadły po wprowadzeniu tych zabezpieczeń, to samo rozwiązanie Microsoftu stworzyło nową podatność.

Problem dotyczy sposobu, w jaki CLFS obsługuje tworzenie pliku uwierzytelniającego z rozszerzeniem .cnpf podczas tworzenia nowego pliku dziennika. Według badacza CLFS poprawnie egzekwuje kontrole dostępu na początku, jednak logika ta może zostać nadużyta, jeśli inny, uprzywilejowany proces otworzy później plik dziennika. Procesy uprzywilejowane, takie jak Windows Defender, mogą zostać zmuszone do otwarcia plików, co skutkuje utworzeniem pliku uwierzytelniającego z uprawnieniami SYSTEM przy zachowaniu uprawnień dostępu oryginalnego pliku.

Technika ta pozwala na obejście mechanizmów samoobrony, takich jak ochrona przed manipulacją, w dowolnym silniku antywirusowym. Dzieje się tak, ponieważ żądanie utworzenia pliku wydaje się pochodzić z legalnego procesu samego silnika, co czyni tę lukę unikalną i umożliwia wyłączenie dowolnego programu antywirusowego lub systemu EDR.

Naceri przetestował exploit na systemach Windows 11 26H2, Windows 11 26H2 Experimental oraz Windows Server 2025 Experimental. Szacuje on, że 80 procent instalacji systemu Windows jest podatnych na ten atak. Aby sprawdzić podatność urządzenia, zaleca uruchomienie exploita typu proof-of-concept lub sprawdzenie wartości w rejestrze pod kluczem HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Maszyna jest zagrożona, jeśli wartość ta wynosi 0 lub 1.

Obecnie nie istnieje rozwiązanie poza oczekiwaniem na poprawkę od Microsoft, ponieważ wyłączenie łagodzenia CLFS naraziłoby urządzenia na ataki wykorzystujące podatności związane z uszkodzeniem pamięci.