Onderzoeker Abdelhamid Naceri publiceert SignDrop, een Windows zero-day die SYSTEM-privileges kan geven door misbruik van CLFS-mitigaties.
Beveiligingsonderzoeker Abdelhamid Naceri, ook bekend als Nightmare Eclipse, heeft een nieuwe zero-day exploit voor Windows vrijgegeven die aanvallers in staat stelt SYSTEM-privileges te verkrijgen. De exploit, genaamd SignDrop, maakt misbruik van mitigaties die Microsoft in oktober 2025 introduceerde ter bescherming tegen authenticatieaanvallen gericht op kwetsbaarheden in de Common Log File System (CLFS) driver.
Naceri legt uit dat aanvallen op CLFS-kwetsbaarheden sterk afnamen na de implementatie van de mitigaties, maar dat deze maatregelen zelf een nieuwe kwetsbaarheid introduceerden. De fout zit in de manier waarop CLFS het authenticatiebestand (".cnpf") aanmaakt bij het creëren van een nieuw logbestand. Hoewel CLFS aanvankelijk de toegangscontrole correct afdwingt, kan de logica worden misbruikt wanneer een ander, geprivilegieerd proces later het logbestand opent. Zo kunnen processen met hoge rechten, zoals Windows Defender, gedwongen worden het bestand te openen, waardoor het authenticatiebestand met SYSTEM-privileges wordt aangemaakt en CLFS daarbij de toegangsrechten van het oorspronkelijke bestand overneemt.
Naceri benadrukt dat Microsoft de mitigatie technisch correct heeft geïmplementeerd, maar dat de onderliggende logica misbruik mogelijk maakt. De techniek werkt tegen de zelfbescherming (tamper protection) van elke antimalware-engine, omdat het aanmaken van het bestand lijkt te komen van het legitieme proces van de antimalware zelf. Hierdoor kan deze beveiligingsmaatregel tegen zichzelf worden gebruikt om privileges te verhogen en antivirus- of EDR-oplossingen uit te schakelen.
De exploit is getest op Windows 11 26H2, Windows 11 26H2 Experimental en Windows Server 2025 Experimental, waarbij Naceri schat dat ongeveer 80% van alle Windows-installaties kwetsbaar is. Hij adviseert om de proof-of-concept (PoC) exploit uit te voeren om te controleren of een systeem kwetsbaar is, of om de CLFS authenticatiemodus te controleren via de registerwaarde HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Een waarde van 0 of 1 (leer- of handhavingsmodus) duidt op kwetsbaarheid. Wanneer de PoC een SYSTEM-shell opent, is het systeem kwetsbaar.
Er is momenteel geen oplossing beschikbaar behalve wachten op een patch van Microsoft, aangezien het uitschakelen van de CLFS-mitigatie het systeem blootstelt aan aanvallen die gebruikmaken van geheugenbeschadiging. Naceri, een voormalig Microsoft-medewerker, heeft sinds april meerdere zero-days in Microsoft Defender, BitLocker en andere Windows-componenten openbaar gemaakt, waaronder onder andere UnDefend. Eerder waarschuwde Microsoft voor juridische stappen tegen personen die "kwaadaardige activiteiten veroorzaken die echte schade toebrengen" aan klanten, nadat Naceri zijn ontdekkingen publiek maakte zonder eerst privé te rapporteren.
