Исследователь безопасности Абдельхамид Насири, также известный как Nightmare Eclipse, опубликовал новую уязвимость нулевого дня в операционной системе Windows под названием SignDrop, которая позволяет злоумышленникам получить полные права SYSTEM путем использования защитного механизма, добавленного Microsoft в октябре 2025 года для противодействия атакам на аутентификацию, нацеленным на драйвер Common Log File System, или сокращенно CLFS.
Исследователь пояснил, что уязвимость заключается в том, как драйвер CLFS обрабатывает создание файла аутентификации с расширением .cnpf при создании нового файла журнала. Хотя система изначально корректно проверяет разрешения на доступ, эту логику можно использовать злонамеренно, если другой привилегированный процесс откроет файл журнала позже, что побуждает привилегированные процессы, такие как Windows Defender, открывать файлы и генерировать файл аутентификации с правами SYSTEM.
Как уязвимость обходит механизмы защиты?
Уязвимость SignDrop отличается уникальной способностью работать против механизмов самозащиты любого антивирусного движка или систем обнаружения и реагирования конечных точек EDR. Это связано с тем, что запрос на создание файла выглядит так, будто он исходит от легитимного процесса самого движка с точки зрения драйверов ядра системы, что позволяет обойти защиту и отключить любое антивирусное ПО.
Насири отметил, что протестировал эксплуатацию уязвимости на предварительных версиях Windows 11 26H2 и Windows Server 2025, оценив, что около 80% установок Windows могут быть уязвимы. На данный момент нет никаких доступных решений, кроме ожидания официального патча безопасности от Microsoft, поскольку отключение защитных перехватчиков CLFS может подвергнуть устройства другим рискам безопасности, связанным с повреждением памяти.
Что это значит для пользователей и администраторов?
Эта уязвимость подчеркивает сложность программных взаимосвязей между исправлениями безопасности и основными компонентами операционной системы. До тех пор пока Microsoft не выпустит официальное обновление безопасности, системным администраторам остается только следить за предупреждениями безопасности и ждать официальных патчей, при этом используя инструменты проактивного сканирования, предоставленные исследователем, для проверки уязвимости текущих систем без возможности немедленно устранить угрозу полностью.