Der Sicherheitsforscher Abdelhamid Naceri, auch bekannt als Nightmare Eclipse, hat eine neue Zero-Day-Schwachstelle im Betriebssystem Windows mit der Bezeichnung SignDrop veröffentlicht. Diese ermöglicht es Angreifern, vollständige SYSTEM-Rechte zu erlangen, indem sie den Schutzmechanismus ausnutzen, den Microsoft im Oktober 2025 zur Abwehr von Authentifizierungsangriffen auf den Treiber Common Log File System (kurz CLFS) hinzugefügt hat.
Der Forscher erklärte, dass die Schwachstelle in der Art und Weise liegt, wie das CLFS-Programm die Erstellung der Authentifizierungsdatei mit der Endung .cnpf beim Anlegen eines neuen Protokolldatei-Protokolls verarbeitet. Während das System die Zugriffsrechteprüfung zunächst korrekt durchführt, kann die Logik missbraucht werden, wenn ein anderer privilegierter Prozess die Protokolldatei später öffnet. Dies veranlasst privilegierte Prozesse wie Windows Defender dazu, die Dateien zu öffnen und die Authentifizierungsdatei mit SYSTEM-Rechten zu generieren.
Wie umgeht die Schwachstelle die Schutzmechanismen?
Die SignDrop-Schwachstelle zeichnet sich durch ihre einzigartige Fähigkeit aus, gegen die Selbstschutzmechanismen jeder Antiviren-Engine oder EDR-Lösung (Endpoint Detection and Response) zu wirken. Dies liegt daran, dass die Anforderung zur Dateierstellung aus Sicht der Kernel-Treiber von dem legitimen Prozess der Engine selbst zu stammen scheint, wodurch der Schutz umgangen und jedes Antivirenprogramm deaktiviert werden kann.
Naceri wies darauf hin, dass er die Ausnutzung der Schwachstelle auf Testsystemen von Windows 11 26H2 und Windows Server 2025 getestet hat, und schätzt, dass etwa 80 % aller Windows-Installationen gefährdet sein könnten. Bislang gibt es keine anderen Lösungen als das Warten auf den offiziellen Sicherheitsthread von Microsoft, da die Deaktivierung der CLFS-Schutzeingriffe die Geräte anderen Sicherheitsrisiken im Zusammenhang mit Speicherbeschädigung aussetzen könnte.
Was bedeutet dies für Nutzer und Administratoren?
Diese Schwachstelle verdeutlicht die Komplexität der Software-Interaktionen zwischen Sicherheitskorrekturen und den Basiskomponenten des Betriebssystems. Bis Microsoft ein offizielles Sicherheitsupdate veröffentlicht, haben Systemadministratoren keine andere Wahl, als Sicherheitswarnungen zu überwachen und auf offizielle Patches zu warten. Dabei können sie die vom Forscher bereitgestellten Proactive-Scan-Tools nutzen, um zu überprüfen, inwieweit aktuelle Systeme betroffen sind, ohne dass es eine sofortige Möglichkeit gibt, die Gefahr vollständig zu stoppen.