O pesquisador de segurança Abdelhamid Naceri, também conhecido como Nightmare Eclipse, lançou um novo exploit zero-day para Windows que pode permitir que invasores obtenham privilégios SYSTEM.
Batizado de SignDrop, o exploit contorna medidas de proteção que a Microsoft introduziu em outubro de 2025 para bloquear ataques de autenticação que exploram vulnerabilidades no driver do Common Log File System (CLFS). Segundo Naceri, os ataques que exploravam falhas no CLFS diminuíram acentuadamente após a adoção dessas medidas, mas a própria proteção da Microsoft introduziu uma nova vulnerabilidade.
De acordo com o pesquisador, a falha está na forma como o CLFS cria o arquivo de autenticação (".cnpf") ao gerar um novo arquivo de log. Naceri afirma que o sistema verifica corretamente as permissões de acesso no início do processo, mas essa lógica pode ser abusada se outro processo com privilégios elevados abrir o arquivo de log posteriormente.
Ele acrescenta que é possível forçar processos privilegiados, como o Windows Defender, a abrir esses arquivos. Com isso, o arquivo de autenticação é criado com privilégios SYSTEM, e o CLFS aplica a ele as permissões de acesso do arquivo original.
Naceri observa que a Microsoft implementou corretamente a proteção, mas que “a lógica permite abuso”. Segundo ele, a técnica funciona contra a proteção contra adulteração de qualquer mecanismo antimalware, pois a solicitação para criar o arquivo parece partir de um processo legítimo do próprio mecanismo.
“Se tudo for encadeado corretamente, é irônico que essa medida legítima de segurança possa ser usada contra si mesma e permitir a elevação de privilégios. A Microsoft fez tudo corretamente, mas a lógica permite abuso”, afirmou o pesquisador.
“O mais irônico é que a técnica pode ser usada contra qualquer mecanismo antimalware para contornar sua proteção contra adulteração. É possível acionar a criação de arquivos arbitrários no contexto do próprio processo antimalware. Assim, para os drivers de kernel, a solicitação para criar o arquivo vem de um processo legítimo do próprio mecanismo e é aceita. Isso torna a vulnerabilidade única, pois pode ser usada para desativar qualquer antivírus ou solução de detecção e resposta em endpoints (EDR).”
O SignDrop não funciona em todos os dispositivos com Windows. Naceri testou o exploit no Windows 11 26H2, no Windows 11 26H2 Experimental e no Windows Server 2025 Experimental. Ele estima que 80% das instalações do Windows estejam vulneráveis.
O pesquisador recomenda executar o exploit de prova de conceito (PoC) para verificar se um dispositivo com Windows pode ser alvo de ataques com o SignDrop. Outra opção é consultar o modo de autenticação do CLFS no valor do Registro `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode`.
Se o exploit de prova de conceito abrir um interpretador de comandos com privilégios SYSTEM, o dispositivo está vulnerável. O computador também está vulnerável se o valor do Registro for 0 ou 1, correspondentes aos modos de aprendizado e de imposição.
Naceri afirma que, por enquanto, não há solução além de aguardar um patch da Microsoft. Desativar a proteção do CLFS deixaria os dispositivos expostos a ataques que exploram vulnerabilidades de corrupção de memória.
O pesquisador, que afirma ser ex-funcionário da Microsoft, revelou desde abril uma longa lista de outras falhas zero-day no Microsoft Defender, no BitLocker e em outros componentes do Windows. Entre elas estão BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend.
Há cinco anos, Naceri lançou vários exploits zero-day que permitiam elevar privilégios em diferentes versões do Windows.
Depois que Naceri revelou publicamente as falhas zero-day sem tentar comunicá-las primeiro à Microsoft em particular, a empresa ameaçou tomar medidas legais contra quem praticasse “atividades maliciosas que causassem danos reais” aos clientes. Muitos integrantes da comunidade de segurança da informação interpretaram a declaração como uma ameaça direta ao pesquisador.
A Microsoft corrigiu algumas das falhas reveladas por Naceri desde o início do ano, entre elas ShieldBreak, RoguePlanet, YellowKey, GreenPlasma e MiniPlasma. As demais falhas zero-day ainda não receberam um patch oficial.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...