Защита Windows от атак через системные журналы сама стала инструментом повышения привилегий. 10 ноября Абдельхамид Насери опубликовал эксплойт SignDrop, который, по заявлению автора, даёт обычному пользователю права SYSTEM. Ошибка находится в драйвере Common Log File System (CLFS) и потенциально затрагивает настольные и серверные выпуски Windows.
Microsoft объясняет, что 28 октября 2025 года добавила проверку целостности журналов CLFS. Windows подписывает файлы криптографическим кодом HMAC, связанным с конкретным компьютером, и отказывается читать изменённые журналы. Новую защиту внедрили после атак на драйвер, в которых подготовленные файлы позволяли получить повышенные привилегии.
SignDrop обращает защиту против самой системы. При создании журнала драйвер формирует файл .blf, а для проверки подлинности использует .cnpf. Пользователь может присоединять дополнительные контейнеры. Если контейнер остаётся пустым, при последующем открытии CLFS пытается создать для контейнера файл проверки подлинности. Права вызывающего процесса определяют, с какими привилегиями выполняется операция.
В опубликованном примере Насери заставляет Microsoft Defender открыть подготовленный контейнер через служебный интерфейс и перенаправляет путь символическими ссылками. CLFS создаёт недостающий .cnpf от имени SYSTEM, сохраняя права доступа исходного файла. По результатам демонстрации цепочка позволяет запускать командную оболочку с максимальными системными привилегиями.
SignDrop также потенциально обходит самозащиту антивирусов. Создание файла выглядит как действие доверенного процесса защитного ПО, поэтому защитный драйвер может разрешить операцию. Насери предполагает, что такая схема позволит отключать антивирусы и EDR-системы. Независимой проверки обхода любых защитных продуктов пока нет, а применение техники в атаках не зафиксировано.
Автор испытал эксплойт на Windows 11 26H2, экспериментальной сборке 26H2 и экспериментальном Windows Server 2025. Официальная документация относит защитный механизм также к Windows 11 25H2, 26H1 и обычным сборкам Server 2025. Потенциальный круг систем шире испытанных версий, но работоспособность SignDrop на каждой сборке не доказана. Для Windows 10 и старых серверных выпусков затронутость не подтверждена.
Риск зависит от параметра Mode в разделе реестра HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. По оценке Насери, значения 0 и 1 означают уязвимые режимы, а 2 и 3 исключают описанный сценарий. Первые 90 дней после внедрения защиты CLFS обучается, затем переходит к строгой проверке. Оба режима потенциально уязвимы. Заявленная доля в 80% компьютеров Windows не подкреплена измерениями.
Ранее другую ошибку CLFS, CVE-2025-29824, использовали в атаках с участием вымогателей. SignDrop, напротив, пока известна по демонстрации и требует предварительного запуска кода на компьютере. На 12 ноября новый дефект не получил собственного CVE, оценки CVSS и исправления Microsoft. Отключать защиту CLFS не советуют, поскольку вновь станут доступны прежние способы взлома драйвера.
