Ein Forscher hat SignDrop veröffentlicht, einen Proof-of-Concept-Exploit, der einem lokalen Windows-Benutzer Berichten zufolge ermöglicht, SYSTEM-Rechte zu erlangen, indem er eine Schutzfunktion für Windows-Protokolldateien missbraucht. Security Affairs berichtete am 13. November, dass der Forscher, der als Chaotic Eclipse bekannt ist, Code und eine technische Erläuterung auf GitHub veröffentlicht hat. Darin wird beschrieben, wie sich erreichen lässt, dass Windows Defender Dateien mit den höchsten Systemrechten von Windows erstellt.
Für den beschriebenen Angriff muss ein lokaler Benutzer Dateien vorbereiten und einen Prozess mit höheren Rechten dazu bringen, diese zu öffnen. Der Forscher hat den Proof of Concept auf Windows 11 26H2, Windows 11 26H2 Experimental und Windows Server 2025 Experimental getestet. Er behauptet außerdem, die Technik könne auch Schutzmechanismen von Antivirenprogrammen und Endpoint Detection and Response (EDR) umgehen. Diese weiterreichenden Behauptungen gehen über die genannten Testkonfigurationen hinaus.
Ein Schutzmechanismus wird zum Angriffsweg
SignDrop zielt auf das Common Log File System (CLFS), eine Windows-Komponente, die Protokolldateien im Kernel verarbeitet, also im privilegierten Kern des Betriebssystems. Wegen der Verarbeitung komplexer Dateien ist CLFS immer wieder Ziel von Speicherbeschädigungslücken geworden.
Microsoft hat die CLFS-Authentifizierung am 28. Oktober 2025 im öffentlichen Release-Kanal ausgerollt. Der Schutz beginnt mit einer 90-tägigen Lernphase. Danach müssen Protokolldateien einen gültigen Authentifizierungscode enthalten.
Die gemeldete Schwachstelle betrifft die Art, wie der CLFS-Treiber clfs.sys eine .cnpf-Authentifizierungsdatei für einen neuen Protokollcontainer erstellt. Wenn ein Prozess eigene Protokolldateien anlegt, setzt CLFS OBJ_FORCE_ACCESS_CHECK ein, um die Berechtigungen im Sicherheitskontext dieses Prozesses durchzusetzen. Beim Öffnen einer Protokolldatei wird jedoch auch der zugehörige Container geöffnet. Ist die zugehörige Datei leer, versucht CLFS, sie zu signieren, selbst wenn bereits eine Signaturdatei existiert.
Ausnutzbar wird das, wenn ein privilegierter Prozess eine Datei öffnet, die ein Standardbenutzer vorbereitet hat. In der veröffentlichten Technik ruft der Forscher ServerMpUpdateEngineSignature auf und verändert im Windows Object Manager symbolische Links, also Verweise, die Objektabfragen umleiten. Dadurch wird die Antimalware-Engine von Defender dazu gebracht, den CLFS-Container zu öffnen.
Defender folgt daraufhin dem Pfad der zugehörigen Datei und erstellt, falls keine Signatur vorhanden ist, eine solche mit SYSTEM-Rechten. CLFS übernimmt dabei die DACL (Discretionary Access Control List) der ursprünglichen Datei. Diese Liste legt fest, wer auf die neue Datei zugreifen darf. Die Kette verschafft dem Angreifer laut Berichten einen Weg zu höheren Rechten.
Der Forscher argumentiert außerdem, dass die Erstellung von Dateien im eigenen Prozess eines Antimalware-Produkts dessen Selbstschutzprüfungen umgehen kann. Darauf stützt er die Behauptung, SignDrop könne den Antivirus- oder EDR-Schutz anderer Produkte deaktivieren.
Angaben zur Betroffenheit widersprechen sich
Chaotic Eclipse schätzt, dass rund 80 Prozent aller Windows-Installationen betroffen sein könnten. Die Angaben zum 90-Tage-Fenster sind jedoch widersprüchlich: Das vom Forscher zitierte GitHub-Statement bezeichnet Installationen, die älter als 90 Tage sind, allgemein als verwundbar. Die Erläuterung des Artikels verweist dagegen auf Systeme, die sich noch in der Lernphase befinden oder bei denen der Schutz nur teilweise aktiviert ist.
Der Bericht nennt eine konkretere Prüfung der Konfiguration: Man sollte HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode kontrollieren. Die Werte 0 und 1 gelten demnach als verwundbar, die Werte 2 und 3 als geschützt. Administratoren können diese Unterscheidung zur Bewertung der Konfiguration nutzen, sollten die weltweite Schätzung der Betroffenheit jedoch als Behauptung des Forschers behandeln.
Der Forscher, der sich kürzlich als Abdelhamid Naceri zu erkennen gegeben hat, hat bereits Exploits veröffentlicht, die sich gegen Microsoft Defender und andere Sicherheitsprodukte richten. Security Affairs berichtet, dass einige dieser früheren Veröffentlichungen später in freier Wildbahn ausgenutzt wurden.
Die Deaktivierung der CLFS-Authentifizierung soll den SignDrop-Angriffsweg zwar schließen, zugleich aber den Schutz vor Speicherbeschädigungsangriffen entfernen, für den sie eingeführt wurde. Der Forscher bezeichnet die Deaktivierung deshalb als Abwägung und sagt, dass ein Microsoft-Patch nötig sei, um das Problem zu beheben.
