Detalles de la vulnerabilidad
El investigador de seguridad AbdelHamid Naceri, conocido como "Nightmare Eclipse", publicó los detalles de una nueva vulnerabilidad de día cero (Zero-Day) que afecta a los sistemas Windows. La vulnerabilidad se conoce como SignDrop y permite a los usuarios locales elevar sus privilegios al nivel de sistema (System) mediante la explotación de un fallo lógico en el Common Log File System (CLFS).
El sistema CLFS es un componente vital de Windows que analiza archivos de registro complejos en modo núcleo (Kernel Mode) y ha sido un objetivo frecuente de ataques. A pesar de que Microsoft introdujo mecanismos de autenticación para archivos de registro el año pasado para mejorar la integridad de los archivos, la nueva vulnerabilidad elude esta protección manipulando la forma en que se procesan los archivos de autenticación con la extensión .cnpf.
¿Cómo funciona el exploit?
La vulnerabilidad se basa en el comportamiento del sistema CLFS al abrir archivos de registro; el sistema intenta firmar el archivo contenedor (Container) incluso si está vacío. Un atacante puede crear un archivo de registro y especificar una ruta asociada a un contenedor, para luego obligar a Windows Defender a abrir este archivo dentro del contexto del motor antimalware a través de la interfaz de actualización de firmas (RPC).
Este proceso provoca que Defender cree un archivo de firma con privilegios de sistema en una ruta especificada por el atacante. Una vez creado el archivo, el atacante puede volver a abrirlo para insertar una carga útil (Payload) maliciosa, lo que finalmente conduce a la ejecución de una shell con privilegios de sistema completos.
¿Qué significa esto para los usuarios?
Según el investigador, la vulnerabilidad afecta a una amplia gama de versiones de Windows, incluyendo Windows 11 26H2 y Windows Server 2025, y se estima que podría afectar a cerca del 80% de los dispositivos Windows en todo el mundo, especialmente aquellos que no han sido actualizados en los últimos 90 días.
Por su parte, Microsoft confirmó que está investigando la vulnerabilidad reportada y trabajando para tomar las medidas necesarias para actualizar los productos afectados. La empresa aclaró que Windows Defender es actualmente capaz de detectar y bloquear intentos de explotación de esta vulnerabilidad y alertar sobre comportamientos de elevación de privilegios asociados a ella. Asimismo, los informes emitidos por la empresa de ciberseguridad Cyderes, que probó la vulnerabilidad con éxito, indicaron que hasta el momento no hay evidencia de que esta vulnerabilidad esté siendo explotada en ataques reales (In the wild).