Un chercheur a publié SignDrop, un exploit de démonstration (proof of concept) qui permettrait à un utilisateur local de Windows d'obtenir des privilèges SYSTEM en détournant une mesure de sécurité conçue pour protéger les fichiers journaux de Windows. Security Affairs a rapporté le 13 novembre que le chercheur, connu sous le nom de Chaotic Eclipse, a publié le code et une explication technique sur GitHub. Il y décrit une méthode pour amener Windows Defender à créer des fichiers avec les privilèges système les plus élevés de Windows.
L'attaque signalée exige qu'un utilisateur local prépare des fichiers et amène un processus plus privilégié à les ouvrir. Le chercheur a testé la preuve de concept sur Windows 11 26H2, Windows 11 26H2 Experimental et Windows Server 2025 Experimental. Il affirme par ailleurs que la technique pourrait aussi contourner les protections anti-altération des antivirus et des solutions de détection et de réponse sur les terminaux (EDR). Ces affirmations plus larges dépassent les configurations de test citées.
Un mécanisme de protection devient la voie d'attaque
SignDrop cible le Common Log File System (CLFS), un composant de Windows qui traite les fichiers journaux dans le noyau, c'est-à-dire le cœur privilégié du système d'exploitation. Sa gestion des fichiers complexes en a fait une cible récurrente des vulnérabilités de corruption de mémoire.
Microsoft a commencé à déployer l'authentification CLFS sur le canal de publication public le 28 octobre 2025. La protection commence par une période d'apprentissage de 90 jours, puis exige que les fichiers journaux comportent un code d'authentification valide.
La faille signalée concerne la façon dont le pilote CLFS, clfs.sys, crée un fichier d'authentification .cnpf pour un nouveau conteneur de journal. Lorsqu'un processus crée ses propres fichiers journaux, CLFS utilise OBJ_FORCE_ACCESS_CHECK pour appliquer les autorisations dans le contexte de sécurité de ce processus. Mais l'ouverture d'un fichier journal ouvre aussi le conteneur associé. Si le fichier associé est vide, CLFS tente de le signer, même si un fichier de signature existe déjà.
Cela devient exploitable lorsqu'un processus privilégié ouvre un fichier préparé par un utilisateur standard. Dans la technique publiée, le chercheur appelle ServerMpUpdateEngineSignature et modifie des liens symboliques, c'est-à-dire des références qui redirigent les recherches d'objets, dans le gestionnaire d'objets de Windows (Object Manager). Cela amène le moteur antimalware de Defender à ouvrir le conteneur CLFS.
Defender suit alors le chemin du fichier associé et, lorsqu'aucune signature n'est présente, en crée une avec les privilèges SYSTEM. CLFS applique la liste de contrôle d'accès discrétionnaire (DACL) du fichier d'origine, qui définit qui peut accéder au nouveau fichier. Selon les informations disponibles, cette chaîne offre à l'attaquant une voie vers des privilèges plus élevés.
Le chercheur soutient également que la création de fichiers effectuée dans le processus propre d'un produit antimalware peut contourner les contrôles d'autodéfense de ce produit. Sur cette base, il affirme que SignDrop pourrait désactiver les protections des antivirus ou des EDR d'autres produits.
Les consignes d'exposition contiennent des descriptions contradictoires
Chaotic Eclipse estime qu'environ 80 % des installations Windows pourraient être concernées. Toutefois, son compte rendu donne des descriptions contradictoires de la fenêtre de 90 jours : la déclaration citée sur GitHub considère les installations de plus de 90 jours comme généralement vulnérables, tandis que l'explication de l'article vise les systèmes encore en phase d'apprentissage ou dont la protection n'est que partiellement activée.
Le rapport propose une vérification de configuration plus précise : examiner HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Il décrit les valeurs 0 et 1 comme vulnérables, et les valeurs 2 et 3 comme protégées. Les administrateurs peuvent s'appuyer sur cette distinction pour évaluer leur configuration, tout en considérant l'estimation mondiale d'exposition comme une affirmation du chercheur.
Le chercheur, qui s'est récemment identifié comme Abdelhamid Naceri, a déjà publié des exploits visant Microsoft Defender et d'autres produits de sécurité. Security Affairs indique que certaines de ces publications antérieures ont ensuite été exploitées dans la nature.
Selon les informations disponibles, désactiver l'authentification CLFS supprimerait la voie d'attaque SignDrop, mais supprimerait aussi la protection contre les attaques par corruption de mémoire que cette authentification devait précisément contrer. Le chercheur présente donc cette désactivation comme un compromis et affirme qu'un correctif de Microsoft est nécessaire pour résoudre le problème.
