Исследователь безопасности, известный под псевдонимом «Nightmare Eclipse», раскрыл новую уязвимость нулевого дня (Zero-day) в операционной системе Windows, получившую название SignDrop. Эта уязвимость позволяет локальным пользователям с ограниченными правами повышать свои привилегии до полного уровня системы (System), что дает им широкие возможности контроля над скомпрометированным устройством.
Механизм работы уязвимости
Уязвимость кроется в службе Common Log File System (CLFS) — службе общих файлов журналов, используемой приложениями Windows. Атака использует взаимодействие между этой службой и программой «Защитник Windows» (Windows Defender). Злоумышленник манипулирует ссылками в системе управления объектами Windows, чтобы заставить «Защитник» открыть специально созданный контейнер CLFS в контексте повышенной безопасности. Поскольку служба создает новые файлы с системными привилегиями, злоумышленник может использовать этот процесс для обхода ограничений безопасности.
Почему эта новость важна?
Эта уязвимость приобретает особое значение, поскольку она превращает меру безопасности, разработанную Microsoft в октябре 2025 года для предотвращения предыдущих атак, в инструмент для взлома. Исследователь отметил, что уязвимость уникальна тем, что ее можно использовать против любого антивирусного движка (Antimalware) для отключения его механизмов самозащиты, так как запрос на создание файла выглядит для движка как исходящий от легитимного доверенного процесса.
Масштаб влияния и ограничения
Исследователь подтвердил, что уязвимость затрагивает определенные версии, такие как Windows 11 26H2 и Windows Server 2025 Experimental. Со своей стороны, исследователь безопасности Уилл Дорманн пояснил, что воспроизведение уязвимости возможно, но требует соблюдения определенных условий, включая то, что система должна работать более 90 дней, а значение режима аутентификации в реестре системы должно быть установлено на 0 или 1.
В свою очередь, компания Microsoft заявила, что расследует данный отчет, подтвердив отсутствие доказательств эксплуатации уязвимости в реальных атаках на данный момент, и что программа «Защитник» работает над блокировкой потенциальных попыток эксплуатации.