Исследователь опубликовал нулевой день SignDrop для получения SYSTEM в Windows
Исследователь безопасности Абдельхамид Нацери, известный как Nightmare Eclipse, опубликовал эксплойт нулевого дня SignDrop для Windows. Он позволяет атакующему получить привилегии SYSTEM и отключить защиту любого антивируса или EDR-решения.
Главное в цифрах
- Уязвимые установки Windows по оценке исследователя: около 80%
- Меры защиты CLFS внедрены Microsoft: октябрь 2025 года
Уязвимость связана с мерами защиты, которые Microsoft внедрила в октябре 2025 года против атак на драйвер Common Log File System (CLFS). По словам Нацери, после их внедрения число атак на CLFS заметно снизилось, но сама защита породила новую брешь.
Ошибка возникает при создании файла аутентификации .cnpf. CLFS корректно проверяет права доступа в начале, но логику можно обойти, если позже файл журнала откроет другой, привилегированный процесс, например Windows Defender. В этом случае файл аутентификации создаётся с правами SYSTEM.
Масштаб и проверка
По оценке исследователя, уязвимы около 80% установок Windows. Нацери проверял эксплойт на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental.
Проверить устройство можно запуском proof-of-concept эксплойта: если он открывает оболочку SYSTEM, машина уязвима. Также уязвимым считается компьютер, где значение реестра CLFS\Authentication\Mode равно 0 или 1.
По словам Нацери, исправления пока нет, а отключение защиты CLFS оставит устройства открытыми для атак на повреждение памяти. Остаётся ждать патча от Microsoft.
Контекст
Нацери утверждает, что он бывший сотрудник Microsoft. С апреля он раскрыл ряд других нулевых дней в Microsoft Defender, BitLocker и других компонентах Windows, среди них BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma и UnDefend.
Microsoft уже исправила часть этих ошибок, в том числе ShieldBreak, RoguePlanet, YellowKey, GreenPlasma и MiniPlasma. Остальные пока без официального патча. После публичного раскрытия без предварительного уведомления Microsoft предупредила о возможных судебных исках против тех, кто наносит реальный вред её клиентам.
