# SignDrop в драйвере CLFS: эксплойт отключает любой антивирус в Windows

> 2026-11-14 · AI Release · @ai_release1

> #CLFS #zero-day #Windows #кибербезопасность #AI #эксплойт #инфобез #нейросети

### ⚡ Главное за 5 секунд - Nightmare Eclipse опубликовал SignDrop — zero-day в драйвере CLFS Windows, повышающий привилегии до SYSTEM. - Уязвимы, по его оценке, 80% установок Windows; проверка — реестр `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode` или PoC. - Патча нет, обходного решения тоже: отключить защиту CLFS — значит открыть дорогу старым атакам на повреждение памяти. ### 🔍 Что случилось Инженер по ИБ Абдельхамид Насери, известный как Nightmare Eclipse или MSNightmare, выложил в открытый доступ уязвимость нулевого дня SignDrop. Он нашёл её в драйвере Common Log File System (CLFS) — том самом компоненте Windows, который за последние годы собрал больше всего эксплойтов. Сам Насери — бывший сотрудник подразделения Microsoft V&M (Vulnerabilities & Mitigation) в MSRC, так что тему он знает изнутри. Ссылку на разбор и детали он выложил публично, Хабр пересказал их в статье. Механика такая. CLFS создаёт файл аутентификации `.cnpf`, когда заводит новый журнал. Проверки доступа на входе отрабатывают корректно — проблема в том, что происходит дальше. Если привилегированный процесс позже откроет файл журнала, логику можно вывернуть наизнанку. Принудительно открыть такой файл можно даже Windows Defender: файл аутентификации создаётся с правами SYSTEM, а CLFS подставляет права исходного файла. Дальше — самое интересное. Злоумышленник инициирует создание произвольного файла в контексте самого антивирусного процесса, и для драйверов ядра запрос выглядит так, будто его прислал легитимный движок. Система его пропускает. Сам Насери описал это так: «Microsoft всё реализовала корректно, однако сама логика работы допускает злоупотребления». И добавил, что метод работает против любого антивируса или системы класса EDR. Протестировал он SignDrop на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. Проверка простая: если PoC открывает командную оболочку SYSTEM — машина уязвима. Второй маркер — значение `Authentication\Mode` в реестре: 0 или 1 (режим обучения или принудительного применения) тоже означают уязвимость. ### 🧠 Наш разбор Здесь красивая ирония, и она же — главная проблема. Меры, которые Microsoft ввела в октябре 2025 года против атак на аутентификацию в CLFS, реально сократили число атак на драйвер. Наша оценка: это тот случай, когда защитный механизм сам стал новой поверхностью атаки. Не потому, что его плохо написали, а потому, что он меняет правила игры для всех, кто вызывает CLFS, и не все эти вызовы безопасны. Что это меняет на практике — вопрос денег и доверия. Антивирус с отключённой самозащитой перестаёт быть антивирусом, а EDR без защиты от вмешательства — просто логгер. Похоже на то, что корпоративный рынок получит очередной раунд проверок: если метод действительно универсален, он бьёт по любому вендору защитного ПО на Windows, а не по одному. Вендорам придётся объяснять клиентам, почему их «самозащита» держится на честном слове драйвера CLFS. Кто выигрывает? Пока — только сам исследователь: охват и репутация растут с каждой публикацией. Кто проигрывает — Microsoft, у которой нет патча, и все, кто ставит на самозащиту как на последнюю линию обороны. Скептикам напомню: Насери в этом году уже выкатывал BigDiskBuster по Defender, а до того — BlueHammer, RedSun, GreenPlasma, YellowKey, UnDefend и ShieldCrash. Это не случайный человек с гипотезой, но и не официальное подтверждение уязвимости. ### ⚠️ Чего мы не знаем Главное: нет CVE, нет реакции Microsoft, нет независимого воспроизведения. Оценка «80% установок Windows» — это подсчёт самого исследователя, методику он в пересказе не раскрыл, и верить цифре на слово не стоит. Тестирование шло на трёх сборках, причём две помечены как Experimental. Отдельно непонятно, что именно даёт значение `Authentication\Mode` = 1: в источнике оно названо маркером уязвимости, хотя логичнее было бы ждать от принудительного режима обратного. Проверять PoC стоит на изолированной машине, а не на рабочей. ### 💬 О чём спорить - Публиковать эксплойт до патча или отдать Microsoft время? У обеих позиций есть живые аргументы: публикация ускоряет патч, но она же вооружает всех остальных. - Чья это ошибка: Microsoft, которая спроектировала логику `.cnpf`, или вендоров антивирусов, чьи процессы можно заставить открывать чужие файлы? - Стоит ли вообще строить самозащиту антивируса на механизмах ядра, которые можно вывернуть через цепочку легитимных вызовов? **Прогноз:** в течение квартала Microsoft выпустит внеплановое обновление с CVE по CLFS и правкой логики создания `.cnpf`. Если вместо этого ограничатся сменой режима по умолчанию, уязвимость останется — просто порог входа вырастет. **Дисклеймер:** официально не подтверждено, один источник и один исследователь. **Источник:** Хабр

[Источник](https://habr.com/ru/articles/1107890/)