Un investigador ha publicado SignDrop, un exploit de prueba de concepto que, según se informa, permite a un usuario local de Windows obtener privilegios SYSTEM abusando de una medida de seguridad diseñada para proteger los archivos de registro de Windows. Security Affairs informó el 13 de noviembre de que el investigador, conocido como Chaotic Eclipse, publicó código y una explicación técnica en GitHub, en la que describe cómo hacer que Windows Defender cree archivos con los privilegios de sistema más altos de Windows.
El ataque descrito requiere que un usuario local prepare archivos y haga que un proceso con más privilegios los abra. El investigador probó la prueba de concepto en Windows 11 26H2, Windows 11 26H2 Experimental y Windows Server 2025 Experimental, y afirma que la técnica también podría eludir las protecciones contra manipulación de antivirus y de detección y respuesta en endpoints (EDR). Esas afirmaciones más amplias van más allá de las configuraciones de prueba mencionadas.
Un mecanismo de protección se convierte en la vía de ataque
SignDrop tiene como objetivo el Common Log File System (CLFS), un componente de Windows que procesa archivos de registro en el kernel, el núcleo privilegiado del sistema operativo. Su tratamiento de archivos complejos lo ha convertido en un objetivo recurrente de vulnerabilidades de corrupción de memoria.
Microsoft comenzó a desplegar la autenticación de CLFS en el canal de versiones públicas el 28 de octubre de 2025. La protección empieza con un período de aprendizaje de 90 días y, después, exige que los archivos de registro incluyan un código de autenticación válido.
El fallo descrito afecta a la forma en que el controlador de CLFS, clfs.sys, crea un archivo de autenticación .cnpf para un nuevo contenedor de registro. Cuando un proceso crea sus propios archivos de registro, CLFS utiliza OBJ_FORCE_ACCESS_CHECK para aplicar los permisos en el contexto de seguridad de ese proceso. Pero al abrir un archivo de registro también se abre su contenedor asociado. Si el archivo asociado está vacío, CLFS intenta firmarlo, incluso si ya existe un archivo de firma.
Esto se vuelve explotable cuando un proceso privilegiado abre un archivo preparado por un usuario estándar. En la técnica publicada, el investigador invoca ServerMpUpdateEngineSignature y modifica enlaces simbólicos (referencias que redirigen las búsquedas de objetos) en el Administrador de objetos de Windows. Así, el motor antimalware de Defender es dirigido a abrir el contenedor de CLFS.
Defender sigue entonces la ruta del archivo asociado y, cuando falta una firma, crea una con privilegios SYSTEM. CLFS aplica la lista de control de acceso discrecional (DACL) del archivo original, que define quién puede acceder al nuevo archivo. Según se informa, la cadena ofrece al atacante una vía hacia privilegios más altos.
El investigador sostiene además que la creación de archivos realizada dentro del propio proceso de un producto antimalware puede superar sus comprobaciones de autodefensa. Sobre esa base, afirma que SignDrop podría desactivar las protecciones de antivirus o EDR de otros productos.
La guía de exposición contiene descripciones contradictorias
Chaotic Eclipse calcula que alrededor del 80 % de las instalaciones de Windows podrían verse afectadas, pero su versión ofrece descripciones contradictorias del período relevante de 90 días: su declaración citada en GitHub identifica como generalmente vulnerables las instalaciones con más de 90 días, mientras que la explicación del artículo apunta a sistemas que todavía están en fase de aprendizaje o con la protección solo parcialmente habilitada.
El informe ofrece una comprobación de configuración más concreta: revisar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Describe los valores 0 y 1 como vulnerables, y 2 y 3 como protegidos. Los administradores pueden usar esa distinción descrita para evaluar la configuración, pero deben tratar la estimación mundial de exposición como una afirmación del investigador.
El investigador, que recientemente se identificó como Abdelhamid Naceri, ha publicado anteriormente exploits dirigidos a Microsoft Defender y a otros productos de seguridad; Security Affairs afirma que algunas publicaciones anteriores fueron explotadas posteriormente en ataques reales.
Según se informa, desactivar la autenticación de CLFS elimina la vía de ataque de SignDrop, pero también elimina la protección frente a los ataques de corrupción de memoria para los que se introdujo. Por ello, el investigador describe la desactivación como un compromiso y afirma que se necesita un parche de Microsoft para resolver el problema.
