Un ricercatore ha pubblicato SignDrop, un proof of concept (PoC) che, secondo quanto riportato, permette a un utente locale di Windows di ottenere privilegi SYSTEM abusando di un meccanismo di sicurezza pensato per proteggere i file di log di Windows. Security Affairs ha riportato il 13 novembre che il ricercatore, noto come Chaotic Eclipse, ha rilasciato codice e una spiegazione tecnica su GitHub, descrivendo un modo per far creare a Windows Defender file con i privilegi di sistema più elevati.
L'attacco descritto richiede che un utente locale prepari dei file e faccia in modo che un processo con più privilegi li apra. Il ricercatore ha testato il PoC su Windows 11 26H2, Windows 11 26H2 Experimental e Windows Server 2025 Experimental, e afferma che la tecnica potrebbe anche aggirare le protezioni anti-manomissione di antivirus e di endpoint detection and response (EDR). Queste affermazioni più ampie vanno oltre le configurazioni di test indicate.
Un meccanismo di protezione diventa il percorso d'attacco
SignDrop prende di mira il Common Log File System (CLFS), un componente di Windows che elabora i file di log nel kernel, il nucleo privilegiato del sistema operativo. La gestione dei file complessi ne ha fatto un bersaglio ricorrente delle vulnerabilità di corruzione della memoria.
Microsoft ha iniziato a distribuire l'autenticazione CLFS sul canale di rilascio pubblico il 28 ottobre 2025. La protezione inizia con un periodo di apprendimento di 90 giorni, poi richiede che i file di log abbiano un codice di autenticazione valido.
La falla segnalata riguarda il modo in cui il driver CLFS, clfs.sys, crea un file di autenticazione .cnpf per un nuovo contenitore di log. Quando un processo crea i propri file di log, CLFS usa OBJ_FORCE_ACCESS_CHECK per applicare i permessi nel contesto di sicurezza di quel processo. Ma aprire un file di log apre anche il contenitore associato. Se il file associato è vuoto, CLFS tenta di firmarlo, anche quando esiste già un file di firma.
Ciò diventa sfruttabile quando un processo privilegiato apre un file preparato da un utente standard. Nella tecnica pubblicata, il ricercatore richiama ServerMpUpdateEngineSignature e modifica i link simbolici, cioè i riferimenti che reindirizzano le ricerche di oggetti, nell'Object Manager di Windows. Questo porta il motore antimalware di Defender ad aprire il contenitore CLFS.
Defender segue quindi il percorso del file associato e, quando manca una firma, ne crea una con privilegi SYSTEM. CLFS applica la DACL (discretionary access control list) del file originale, che definisce chi può accedere al nuovo file. La catena, secondo quanto riferito, offre all'attaccante una via verso privilegi più elevati.
Il ricercatore sostiene inoltre che la creazione di file eseguita all'interno del processo di un prodotto antimalware possa superare i controlli di autodifesa di quel prodotto. Su questa base afferma che SignDrop potrebbe disattivare le protezioni di antivirus o EDR di altri prodotti.
Le indicazioni sull'esposizione contengono descrizioni contrastanti
Chaotic Eclipse stima che circa l'80% delle installazioni di Windows potrebbe essere interessato, ma il suo resoconto offre descrizioni contrastanti della finestra di 90 giorni: la dichiarazione citata su GitHub identifica come generalmente vulnerabili le installazioni più vecchie di 90 giorni, mentre la spiegazione dell'articolo indica sistemi ancora in fase di apprendimento o con protezione attivata solo in parte.
Il report offre un controllo di configurazione più specifico: verificare HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. Descrive i valori 0 e 1 come vulnerabili, e 2 e 3 come protetti. Gli amministratori possono usare questa distinzione, come riportata, per valutare la configurazione, trattando però la stima mondiale dell'esposizione come un'affermazione del ricercatore.
Il ricercatore, che di recente si è identificato come Abdelhamid Naceri, ha già pubblicato exploit che colpiscono Microsoft Defender e altri prodotti di sicurezza; Security Affairs riferisce che alcune delle sue pubblicazioni precedenti sono state poi sfruttate attivamente.
Secondo quanto riferito, disattivare l'autenticazione CLFS eliminerebbe il percorso di attacco SignDrop, ma comporterebbe anche la perdita della protezione contro gli attacchi di corruzione della memoria per cui era stata introdotta. Il ricercatore descrive quindi la disattivazione come un compromesso e sostiene che per risolvere il problema serve una patch di Microsoft.
