Un cercetător care semnează cu pseudonimul Nightmare Eclipse a publicat marți un exploit zero-day numit SignDrop, care le permite utilizatorilor locali să obțină drepturi complete System pe unele versiuni de Windows 11. Detaliile au apărut într-un articol Ars Technica semnat de Dan Goodin, iar metoda descrisă combină serviciul Common Log File System cu motorul Windows Defender. Povestea are și o latură personală, pentru că autorul exploitului se află într-un conflict public și de durată cu Microsoft.

Cum transformă SignDrop Defender în poartă spre System

Vulnerabilitatea stă în Common Log File System, componenta pe care Microsoft o descrie drept un serviciu general de jurnalizare folosit de programe din user-mode și kernel-mode. Atacul pornește de la un container CLFS pregătit de un utilizator cu drepturi obișnuite, pe care atacatorul îl face să fie deschis de un proces privilegiat precum Windows Defender.

Concret, exploitul folosește funcția legitimă ServerMpUpdateEngineSignature, folosită de Defender la procesarea actualizărilor de semnături antivirus, pentru a deschide fișierul de jurnal creat de utilizatorul standard. Prin manipularea legăturilor simbolice din Object Manager, atacatorul face ca Defender să deschidă containerul CLFS în contextul de securitate al motorului antimalware, iar dacă lipsește fișierul de autentificare asociat, CLFS îl creează cu privilegiile System ale Defender. Deoarece fișierul nou primește lista de control al accesului a fișierului original, atacatorul poate ajunge să controleze un fișier creat cu drepturi System, iar operațiunea de creare devine treapta de escaladare a privilegiilor.

Partea ironică este că problema pornește chiar de la o măsură de protecție introdusă de Microsoft în octombrie 2025 pentru a bloca exploatarea altor vulnerabilități din CLFS. Cercetătorul susține că, dacă pașii sunt legați corect, tocmai această atenuare legitimă poate fi folosită împotriva sistemului și permite escaladarea privilegiilor, deși totul este implementat corect din punct de vedere tehnic, iar logica permite abuzul. El afirmă că exploitul a funcționat pe Windows 11 26H2, pe Windows 11 26H2 Experimental și pe Windows Server 2025 Experimental. Oamenii pot verifica dacă sistemele lor sunt vulnerabile după modul de autentificare CLFS: dacă acesta este în modul de învățare sau în modul de aplicare, sistemul este vulnerabil, iar programul demonstrativ publicat ar trebui să deschidă o consolă cu drepturi SYSTEM.

De ce poate opri și alte antivirusuri, nu doar Defender

Nightmare Eclipse susține că particularitatea exploitului este că poate fi folosit împotriva oricărui motor antimalware pentru a ocoli mecanismul de autoapărare sau de protecție contra modificărilor. Explicația este că atacul declanșează crearea arbitrară de fișiere în contextul procesului antimalware, astfel că din perspectiva driverelor de kernel cererea vine din partea propriului proces legitim și trece de filtre. În acest fel, vulnerabilitatea devine un instrument prin care se poate dezactiva orice antivirus sau soluție EDR, nu doar produsul Microsoft. Afirmația rămâne cea a cercetătorului și descrie comportamentul observat de el în testele proprii, fără detalii suplimentare despre alte produse testate nominal în materialul citat.

Pe ce sisteme funcționează și ce spun testele independente

Cercetătorul Will Dormann a declarat într-un interviu că a reușit să reproducă exploitul și că acesta funcționează conform descrierii, dar nu pe toate versiunile de Windows 11. Condițiile contează mult: se pare că sistemul trebuie să ruleze versiunea 26H2 și să existe de mai bine de 90 de zile, astfel că nu poți lua o instalare proaspătă de 26H2, să aplici actualizările și să te aștepți să meargă.

Pentru ca un sistem să fie vulnerabil, valoarea HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode trebuie să fie 0 sau 1. Dormann a precizat că, dintre numeroasele mașini pe care le folosește, doar una singură îndeplinea această condiție. Microsoft distribuie actualizările de Windows în valuri controlate, ca în cazul versiunii 26H2, astfel că nu este clar câți oameni rulează acum buildul afectat, iar utilizatorii pot verifica versiunea cu comanda winver.

Ce spune Microsoft și ce urmează pentru utilizatori

Într-un comentariu transmis după publicarea materialului, Microsoft a precizat că analizează raportul și că nu are dovezi că vulnerabilitatea ar fi exploatată activ în sălbăticie. Compania a mai spus că Defender blochează tentativele potențiale de exploatare. Nightmare Eclipse a mai publicat și alte vulnerabilități zero-day de Windows în ultimele luni, iar tensiunea dintre el și Microsoft face parte din contextul relatat de Ars Technica. Până la o remediere oficială, utilizatorii interesați pot verifica cheia de registru CLFS și versiunea sistemului, iar administratorii pot urmări comunicările Microsoft pentru actualizări, deoarece atacul cere deja acces local și nu poate fi lansat de la distanță fără un cont pe mașina vizată.

Sursă: Ars Technica | Geek Chronicles