В начале недели на GitHub появился публичный эксплойт SignDrop, который, по утверждению автора, позволяет локальному пользователю Windows подняться до привилегий SYSTEM через драйвер Common Log File System (clfs.sys). Код и подробный разбор опубликовал исследователь под ником MSNightmare — во вторник, в тот же день, когда Microsoft выпустила ноябрьские обновления безопасности. Ни CVE, ни бюллетеня, ни патча для SignDrop в них нет: вендор заявленную уязвимость не подтвердил.
Что именно ломает эксплойт
CLFS — подсистема журналирования, встроенная в Windows, и её драйвер давно входит в число любимых целей для повышения привилегий. В каталоге CISA, где собраны уязвимости с подтверждённой эксплуатацией, числятся 10 проблем CLFS, включая одну, которую использовали в кампаниях шифровальщиков в апреле 2025 года.
Чтобы сократить эту поверхность атаки, в октябре 2025 года Microsoft добавила в CLFS проверку подлинности файлов журнала — в обновлениях для Windows 11 25H2, 26H1 и Windows Server 2025. Проверка прикрепляет к журналу код аутентификации на основе хеша (HMAC), построенный из данных журнала и ключа, уникального для каждой машины. После этого драйвер разбирает только те файлы, которые записал сам. Рядом с каждым журналом создаётся сопутствующий файл .cnpf с данными для восстановления, причём с теми же атрибутами безопасности, что и у исходного журнала, — так это описано на странице документации Microsoft о проверке подлинности файлов журнала.
SignDrop бьёт именно в момент создания этого сопутствующего файла. По коду эксплойта, обычный пользователь готовит журнал CLFS и контейнер с путями, которые сам контролирует. Когда привилегированный процесс позже открывает такой журнал, драйвер создаёт файл .cnpf уже в контексте безопасности привилегированного процесса, а не пользователя. Эксплойт перенаправляет это создание через символические ссылки диспетчера объектов в выбранное атакующим место. В опубликованном коде роль привилегированного процесса играет антивирусная служба Defender, которую запускают через её интерфейс обновления.
«Здесь Microsoft всё сделала правильно, но сама логика позволяет злоупотребление», — пишет исследователь.
Поскольку .cnpf наследует права исходного журнала, на выходе получается файл, созданный от имени SYSTEM, но доступный на запись обычному пользователю. Дальше, по словам автора, цепочку можно довести до шелла с привилегиями SYSTEM.
Где проверяли и кого это касается
Согласно репозиторию, эксплойт тестировали на Windows 11 26H2, экспериментальной сборке Windows 11 26H2 и экспериментальной сборке Windows Server 2025.
Система попадает в зону риска, когда режим проверки подлинности CLFS в реестре выставлен в 0 (принудительный) или 1 (обучающий). Установки старше 90 дней обычно сами переходят из обучающего режима в принудительный, так что эксплойт целится ровно в конфигурацию по умолчанию на давно работающих машинах.
Значения 2 или 3 означают, что механизм защиты отключён. Формально это выводит систему за пределы заявленной поверхности атаки, но и исследователь, и документация драйвера предупреждают против такого шага: с отключённой проверкой CLFS снова разбирает подделанные файлы журналов, открывая те самые уязвимости повреждения памяти, ради которых защиту и строили.
Независимая проверка: работает, но нестабильно
Sungyup Nam, руководитель исследований корейской компании 78researchlab, опубликовал оценку: исследователь Хи Вон Сон из наступательной команды PurpleHound той же фирмы проверил эксплойт и подтвердил, что он рабочий. При этом, по оценке Сона, он срабатывает недостаточно надёжно для боевого применения, пишет Nam.
Для успеха опубликованной цепочки Defender должен быть включён. Запуск эксплойта подменяет все запросы UAC так, что открываются шелл обычного пользователя и шелл SYSTEM, блокируя остальные действия, — атака становится заметной любому, кто сидит за машиной.
В репозитории утверждается, что техника сработает против любого антивирусного движка, чей процесс выполняется с повышенными привилегиями. Это более широкое заявление не проверяли.
Что делать администратору
Патча нет, в каталоге CISA Known Exploited Vulnerabilities SignDrop не значится, сообщений об атаках с его использованием не поступало. Проверить экспозицию можно по режиму проверки подлинности CLFS в реестре:
HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication
Значение Mode, равное 0 или 1, попадает в заявленную исследователем область. В документации вендора по смягчению последствий описаны и сам параметр, и риски его отключения. За ответом вендора стоит следить в его руководстве по обновлениям безопасности.
Это не первая работа MSNightmare по Windows и Defender с апреля. Более ранний эксплойт для Defender под названием RoguePlanet вендор подтвердил в июне как CVE-2026-50656 и закрыл месяцем позже. В августе последовал обход ShieldBreak, получивший CVE-2026-69414. Три из прежних находок исследователя в Defender уже использовались в атаках.
SignDrop — проблема другого класса: если ранние эксплойты били по состояниям гонки в обработке файлов Defender, то этот атакует саму функцию проверки подлинности драйвера CLFS. Показательный ориентир — история с рабочим эксплойтом AnyPwn для AnyDesk Linux, дающего root до аутентификации, и цепочкой Plex2Shell из четырёх уязвимостей: там публичный код эксплойта тоже опережал официальный патч.
Частые вопросы
Кого касается SignDrop?
Локальных пользователей Windows 11 25H2, 26H1, 26H2 и Windows Server 2025, где режим проверки подлинности CLFS равен 0 или 1. Удалённо эксплойт не работает: нужен вход в систему и запуск кода от обычного пользователя.
Есть ли CVE и патч?
Нет. Microsoft уязвимость не подтвердила, CVE не присвоила, исправления в ноябрьских обновлениях нет. В каталоге CISA Known Exploited Vulnerabilities SignDrop тоже отсутствует.
Как проверить свою машину?
Откройте ветку HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication и посмотрите значение Mode. 0 или 1 — система в заявленной области риска, 2 или 3 — защита отключена.
Стоит ли выставить Mode в 2 или 3, чтобы закрыться?
Нет. Так вы отключаете проверку подлинности журналов, и CLFS снова начнёт разбирать подделанные файлы — вернутся уязвимости повреждения памяти, ради которых защиту и добавляли. Против этого предупреждают и исследователь, и документация драйвера.
Насколько эксплойт опасен на практике?
Независимая проверка 78researchlab подтвердила работоспособность, но надёжность признана недостаточной для боевого применения. К тому же запуск подменяет запросы UAC и блокирует работу за машиной — атаку трудно не заметить.
Обязательно ли включён Defender?
Для опубликованной цепочки — да, привилегированным процессом в ней выступает служба Defender, запускаемая через интерфейс обновления. Автор утверждает, что техника применима к любому антивирусному движку с повышенными привилегиями, но это не проверяли.
Что делать, если обновиться нечем?
Патча всё равно нет, так что обновление сейчас ничего не решает. Разумный минимум — не отключать проверку подлинности CLFS, следить за руководством Microsoft по обновлениям безопасности и ограничить локальный доступ посторонних к рабочим станциям и серверам.
Это связано с прежними эксплойтами того же автора?
Только автором. RoguePlanet (CVE-2026-50656) и ShieldBreak (CVE-2026-69414) били по состояниям гонки в обработке файлов Defender, а SignDrop — по функции проверки подлинности драйвера CLFS.
Источник: thehackernews.com