Публикуваният на 10 ноември код заобикаля новата защита на системните логове; Microsoft още не е издала CVE или корекция
Изследователят Абделхамид Насери публикува на 10 ноември експлойт, наречен SignDrop, който според автора позволява на обикновен потребител на Windows да получи привилегии на ниво SYSTEM. Уязвимостта е в драйвера Common Log File System (CLFS), който се използва от настолните и сървърните издания на операционната система. Към 12 ноември проблемът все още няма собствен CVE номер, CVSS оценка или поправка от Microsoft, съобщава Насери.
Защитата се превръща в инструмент за атака
През 2025 г. Microsoft добави криптографска проверка на целостта на CLFS логовете. Файловете се подписват с HMAC код, обвързан с конкретната машина, а променените логове не се приемат. Мярката беше въведена след предишни атаки, при които специално подготвени файлове позволяваха повишаване на привилегиите, пояснява Microsoft.
SignDrop обръща тази защита срещу самата система. При създаване на дневник драйверът генерира .blf файл, а за проверка на автентичността използва .cnpf файл. Към дневника могат да се прикачват допълнителни контейнери. Ако контейнерът е празен, при следващо отваряне CLFS се опитва да създаде липсващия .cnpf файл. Правата на процеса, който извиква операцията, определят с какви привилегии се изпълнява създаването.
В демонстрацията си Насери принуждава Microsoft Defender да отвори подготвен контейнер чрез служебен интерфейс и пренасочва пътя чрез символни препратки. Така CLFS създава липсващия .cnpf файл от името на SYSTEM, като запазва правата за достъп на изходния файл. Според резултатите от демонстрацията веригата позволява стартиране на командния интерпретатор с максимални системни привилегии.
Възможен заобиколен път около антивирусните програми
Според автора SignDrop потенциално може да заобиколи и защитата на антивирусните програми. Създаването на файла изглежда като действие на доверен процес на защитния софтуер, поради което защитният драйвер може да разреши операцията. Насери предполага, че подобна схема би позволила деактивирането на антивирусни програми и EDR системи. Засега няма независима проверка за заобикаляне на конкретни защитни продукти и не е регистрирано използване на техниката в реални атаки.
Кои версии на Windows са тествани
Експлойтът е изпробван върху Windows 11 26H2, върху експериментална версия 26H2 и върху експериментална версия на Windows Server 2025. Официалната документация на Microsoft отнася защитния механизъм и към Windows 11 25H2, 26H1 и стандартните издания на Server 2025. Възможният обхват на засегнатите системи е по-широк от тестваните версии, но работоспособността на SignDrop на всяка конкретна версия не е доказана. За Windows 10 и по-старите сървърни издания уязвимостта не е потвърдена.
Рискът зависи от параметъра Mode в регистърния раздел HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Според оценката на Насери стойности 0 и 1 означават уязвими режими, а 2 и 3 изключват описания сценарий. Първите 90 дни след въвеждането на защитата CLFS се обучава, след което преминава към строга проверка, като и двата режима остават потенциално уязвими. Твърдението на автора, че 80% от компютрите с Windows са засегнати, не е подкрепено с измервания.
Разликата с предишни атаки срещу CLFS
По-рано друга уязвимост в CLFS, CVE-2025-29824, беше използвана в атаки, свързани с изнудвачи. SignDrop засега е известна само от демонстрация и изисква предварително стартиране на код на целевия компютър. Експертите не препоръчват деактивиране на защитата на CLFS, тъй като това би възстановило достъпа до по-старите методи за пробив на драйвера.