Исследователь опубликовал эксплойт SignDrop для повышения прав в Windows до SYSTEM
Изображение: OpenAI
Исследователь безопасности опубликовал эксплойт SignDrop, который может повысить привилегии до SYSTEM в Windows через пока не исправленную уязвимость драйвера CLFS. Как сообщает BleepingComputer, по словам исследователя, ошибка появилась в защитном механизме, который Microsoft внедрила в октябре 2025 года; после этого атаки на уязвимости CLFS резко сократились.
По утверждению исследователя, техника позволяет обойти самозащиту любого антивируса или EDR и отключить его. Защитное ПО пропускает запрос на создание файла, поскольку тот поступает от его собственного доверенного процесса.
Ошибка связана с созданием файла аутентификации .cnpf. CLFS правильно проверяет права при создании журнала, но логику можно использовать во вред, если позднее журнал откроет процесс с повышенными правами. По словам исследователя, открыть журнал можно заставить, например, Windows Defender. Тогда CLFS создаёт файл аутентификации от имени SYSTEM, сохраняя права доступа исходного файла.
По оценке автора эксплойта, уязвимы 80% систем Windows. Он проверил SignDrop на следующих версиях:
- Windows 11 26H2;
- экспериментальная версия Windows 11 26H2;
- экспериментальная версия Windows Server 2025.
Для проверки исследователь предлагает посмотреть значение параметра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode: по его словам, значения 0 или 1 означают, что компьютер уязвим.
Исправления пока нет. Отключение защитного механизма CLFS исследователь не считает решением, поскольку это открывает путь к атакам на уязвимости, связанные с повреждением памяти.
