O pesquisador de segurança Abdelhamid Naceri, também conhecido como Nightmare Eclipse, divulgou uma nova falha de dia zero no sistema operacional Windows conhecida como SignDrop, que permite aos atacantes obter privilégios completos de SYSTEM explorando o mecanismo de proteção adicionado pela Microsoft em outubro de 2025 para combater ataques de autenticação direcionados ao driver Common Log File System, ou CLFS.
O pesquisador explicou que a falha reside na forma como o driver CLFS processa a criação do arquivo de autenticação com a extensão .cnpf ao criar um novo arquivo de log. Embora o sistema realize a verificação de permissões de acesso corretamente no início, a lógica pode ser mal utilizada se outro processo privilegiado abrir o arquivo de log posteriormente, levando processos privilegiados como o Windows Defender a abrir os arquivos e gerar o arquivo de autenticação com privilégios SYSTEM.
Como a falha contorna os mecanismos de proteção?
A falha SignDrop destaca-se pela sua capacidade única de atuar contra os mecanismos de autoproteção de qualquer motor antimalware ou de sistemas de detecção e resposta para endpoints (EDR). Isso ocorre porque a solicitação de criação do arquivo parece originar-se do processo legítimo do próprio motor a partir da perspectiva dos drivers do kernel, permitindo contornar a proteção e desativar qualquer programa antivírus.
Naceri apontou que testou a exploração da falha nos sistemas experimentais Windows 11 26H2 e Windows Server 2025, estimando que cerca de 80% das instalações do Windows possam estar em risco. Até o momento, não há soluções disponíveis além de aguardar a correção de segurança oficial da Microsoft, uma vez que a desativação dos interceptadores de proteção do CLFS pode expor os dispositivos a outros riscos de segurança associados à corrupção de memória.
O que isso significa para usuários e administradores?
Esta falha confirma a complexidade das interações de código entre correções de segurança e componentes fundamentais do sistema operacional. Até que a Microsoft lance uma atualização de segurança oficial, os administradores de sistemas não têm outra opção senão monitorar alertas de segurança e aguardar as correções oficiais, com a possibilidade de usar as ferramentas de verificação proativa disponibilizadas pelo pesquisador para verificar a extensão em que os sistemas atuais são afetados, sem um meio imediato de interromper o perigo por completo.