Ein öffentlicher Exploit missbraucht Microsofts Schutzmaßnahme für das Log-System CLFS. Einen Patch und eine CVE-Kennung gibt es bislang nicht.
Schutzfunktion als Angriffsweg
SignDrop: Neuer Windows-Zero-Day verschafft SYSTEM-Rechte
Bildquelle: Alberto Garcia Guillen / Shutterstock.com
Ein Sicherheitsforscher hat auf GitHub einen funktionierenden Exploit für eine ungepatchte Windows-Lücke veröffentlicht, über die normale Benutzer SYSTEM-Rechte erlangen können. Die als SignDrop bezeichnete Methode missbraucht eine Schutzmaßnahme, die Microsoft für das Common Log File System (CLFS) eingeführt hat. Veröffentlicht hat den Exploit der Forscher mit den Pseudonymen MSNightmare und Nightmare Eclipse, nach Angaben von BleepingComputer Abdelhamid Naceri, der sich selbst als früheren Microsoft-Mitarbeiter bezeichnet. Eine CVE-Kennung, einen Patch oder eine Bestätigung durch Microsoft gibt es bislang nicht. Hinweise auf Angriffe liegen ebenfalls nicht vor.
Schutzfunktion als Angriffsweg
CLFS ist ein Protokollsystem von Windows, dessen Treiber clfs.sys in der Vergangenheit wiederholt für Angriffe genutzt wurde. Microsoft hatte deshalb ab Oktober 2025 mit Updates für Windows 11 25H2 und Windows Server 2025 eine Authentifizierung für Protokolldateien eingeführt. CLFS signiert die Dateien mit einem systemspezifischen Schlüssel und öffnet keine Protokolle, die die Prüfung nicht bestehen. Nach einer Lernphase von 90 Tagen wechselt der Treiber in einen Durchsetzungsmodus.
SignDrop knackt nicht die Kryptografie, sondern nutzt die Art, wie clfs.sys die dazugehörige Signaturdatei mit der Endung .cnpf anlegt. Über symbolische Links im Objektmanager, Timing-Tricks und eine interne Schnittstelle von Windows Defender bringt der Exploit einen privilegierten Prozess dazu, die Datei mit SYSTEM-Rechten an einem vom Angreifer gewählten Ort zu erstellen. Daraus lässt sich eine Shell mit SYSTEM-Rechten gewinnen. Getestet hat der Forscher den Exploit unter Windows 11 26H2 sowie mit experimentellen Builds von Windows 11 und Windows Server 2025.
Registry-Wert zeigt Anfälligkeit
Der Forscher schätzt, dass „80 Prozent der Windows-Installationen weltweit“ anfällig sind. Belege dafür nennt er nicht. Ob ein System betroffen ist, lässt sich laut den Berichten am Registry-Wert HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode ablesen. Bei den Werten 0 und 1, also im Lern- und im Durchsetzungsmodus, gilt ein System als anfällig, bei 2 oder 3 nicht.
Da SignDrop eine lokale Rechteausweitung ist, benötigen Angreifer zunächst die Möglichkeit, Code mit den Rechten eines normalen Benutzers auszuführen, etwa über Phishing oder ein anderes Einfallstor. Administratoren sollten die Ausführung unbekannter Programme einschränken und auf ungewöhnliche Dateierstellungen durch clfs.sys oder Defender-Prozesse achten, bis Microsoft eine Korrektur veröffentlicht.
Der Forscher hat seit April eine Reihe weiterer Zero-Day-Lücken in Microsoft Defender, BitLocker und anderen Windows-Komponenten ohne vorherige Abstimmung mit Microsoft veröffentlicht. Laut dem Sicherheitsunternehmen Howler Cell umfasst die Serie inzwischen 16 öffentlich gemachte Zero-Days in sieben Monaten. Am November-Patchday hatte Microsoft laut BleepingComputer 1.235 Sicherheitslücken geschlossen.
(red)
