SignDrop в драйвере CLFS: эксплойт отключает любой антивирус в Windows

⚡ Главное за 5 секунд

• Nightmare Eclipse опубликовал SignDrop — zero-day в драйвере CLFS Windows, повышающий привилегии до SYSTEM.
• Уязвимы, по его оценке, 80% установок Windows; проверка — реестр HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode или PoC.
• Патча нет, обходного решения тоже: отключить защиту CLFS — значит открыть дорогу старым атакам на повреждение памяти.

🔍 Что случилось

Инженер по ИБ Абдельхамид Насери, известный как Nightmare Eclipse или MSNightmare, выложил в открытый доступ уязвимость нулевого дня SignDrop. Он нашёл её в драйвере Common Log File System (CLFS) — том самом компоненте Windows, который за последние годы собрал больше всего эксплойтов. Сам Насери — бывший сотрудник подразделения Microsoft V&M (Vulnerabilities & Mitigation) в MSRC, так что тему он знает изнутри. Ссылку на разбор и детали он выложил публично, Хабр пересказал их в статье.

Механика такая. CLFS создаёт файл аутентификации .cnpf, когда заводит новый журнал. Проверки доступа на входе отрабатывают корректно — проблема в том, что происходит дальше. Если привилегированный процесс позже откроет файл журнала, логику можно вывернуть наизнанку. Принудительно открыть такой файл можно даже Windows Defender: файл аутентификации создаётся с правами SYSTEM, а CLFS подставляет права исходного файла. Дальше — самое интересное. Злоумышленник инициирует создание произвольного файла в контексте самого антивирусного процесса, и для драйверов ядра запрос выглядит так, будто его прислал легитимный движок. Система его пропускает.

Сам Насери описал это так: «Microsoft всё реализовала корректно, однако сама логика работы допускает злоупотребления». И добавил, что метод работает против любого антивируса или системы класса EDR. Протестировал он SignDrop на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. Проверка простая: если PoC открывает командную оболочку SYSTEM — машина уязвима. Второй маркер — значение Authentication\Mode в реестре: 0 или 1 (режим обучения или принудительного применения) тоже означают уязвимость.

🧠 Наш разбор

Здесь красивая ирония, и она же — главная проблема. Меры, которые Microsoft ввела в октябре 2025 года против атак на аутентификацию в CLFS, реально сократили число атак на драйвер. Наша оценка: это тот случай, когда защитный механизм сам стал новой поверхностью атаки. Не потому, что его плохо написали, а потому, что он меняет правила игры для всех, кто вызывает CLFS, и не все эти вызовы безопасны.

Что это меняет на практике — вопрос денег и доверия. Антивирус с отключённой самозащитой перестаёт быть антивирусом, а EDR без защиты от вмешательства — просто логгер. Похоже на то, что корпоративный рынок получит очередной раунд проверок: если метод действительно универсален, он бьёт по любому вендору защитного ПО на Windows, а не по одному. Вендорам придётся объяснять клиентам, почему их «самозащита» держится на честном слове драйвера CLFS.

Кто выигрывает? Пока — только сам исследователь: охват и репутация растут с каждой публикацией. Кто проигрывает — Microsoft, у которой нет патча, и все, кто ставит на самозащиту как на последнюю линию обороны. Скептикам напомню: Насери в этом году уже выкатывал BigDiskBuster по Defender, а до того — BlueHammer, RedSun, GreenPlasma, YellowKey, UnDefend и ShieldCrash. Это не случайный человек с гипотезой, но и не официальное подтверждение уязвимости.

⚠️ Чего мы не знаем

Главное: нет CVE, нет реакции Microsoft, нет независимого воспроизведения. Оценка «80% установок Windows» — это подсчёт самого исследователя, методику он в пересказе не раскрыл, и верить цифре на слово не стоит. Тестирование шло на трёх сборках, причём две помечены как Experimental. Отдельно непонятно, что именно даёт значение Authentication\Mode = 1: в источнике оно названо маркером уязвимости, хотя логичнее было бы ждать от принудительного режима обратного. Проверять PoC стоит на изолированной машине, а не на рабочей.

Прогноз: в течение квартала Microsoft выпустит внеплановое обновление с CVE по CLFS и правкой логики создания .cnpf. Если вместо этого ограничатся сменой режима по умолчанию, уязвимость останется — просто порог входа вырастет.

Дисклеймер: официально не подтверждено, один источник и один исследователь.

Источник: Хабр