Detalhes da vulnerabilidade
O pesquisador de segurança AbdelHamid Naceri, conhecido como "Nightmare Eclipse", divulgou detalhes de uma nova vulnerabilidade do tipo zero-day que atinge sistemas Windows. A vulnerabilidade é conhecida como SignDrop e permite que usuários locais elevem seus privilégios para o nível de sistema (System) através da exploração de uma falha lógica no Common Log File System (CLFS).
O sistema CLFS é um componente vital do Windows que analisa arquivos de log complexos no modo kernel (Kernel Mode) e tem sido um alvo frequente de ataques. Embora a Microsoft tenha introduzido mecanismos de autenticação para arquivos de log no ano passado para reforçar a integridade dos arquivos, a nova vulnerabilidade contorna essa proteção manipulando a forma como os arquivos de autenticação com a extensão .cnpf são processados.
Como funciona a exploração?
A vulnerabilidade baseia-se no comportamento do sistema CLFS ao abrir arquivos de log; o sistema tenta assinar o arquivo de contêiner (Container), mesmo que ele esteja vazio. Um atacante pode criar um arquivo de log e definir um caminho associado a um contêiner, forçando o Windows Defender a abrir esse arquivo dentro do contexto do mecanismo de antimalware via interface de atualização de assinaturas (RPC).
Esse processo leva o Defender a criar um arquivo de assinatura com privilégios de sistema em um caminho definido pelo atacante. Uma vez criado o arquivo, o atacante pode reabri-lo para inserir uma carga útil (Payload) maliciosa, o que resulta, em última análise, na execução de um shell com privilégios totais de sistema.
O que isso significa para os usuários?
Segundo o pesquisador, a vulnerabilidade afeta uma ampla gama de versões do Windows, incluindo o Windows 11 26H2 e o Windows Server 2025, e estima-se que possa afetar cerca de 80% dos dispositivos Windows em todo o mundo, especialmente aqueles que não foram atualizados nos últimos 90 dias.
Por sua vez, a Microsoft confirmou que está investigando a vulnerabilidade relatada e trabalhando para tomar as medidas necessárias para atualizar os produtos afetados. A empresa esclareceu que o Windows Defender é atualmente capaz de detectar e bloquear tentativas de exploração desta vulnerabilidade e alertar sobre comportamentos de elevação de privilégios associados a ela. Além disso, relatórios da empresa de cibersegurança Cyderes, que testou a vulnerabilidade com sucesso, indicaram que não há evidências até o momento de que esta vulnerabilidade esteja sendo explorada em ataques reais (in the wild).