Abdelhamid Naceri zeigt SignDrop-Exploit für SYSTEM-Rechte

Ein neuentdeckter Zero-Day-Exploit namens SignDrop versetzt die IT-Sicherheitswelt in Aufruhr. Die Schadsoftware nutzt eine Log-Authentifizierungsfunktion des Common Log File System (CLFS) in Windows aus.

Entwickelt wurde das Werkzeug vom Sicherheitsforscher Abdelhamid Naceri, der unter anderem unter den Namen Nightmare Eclipse und MSNightmare bekannt ist. Ziel des Angriffs ist es, lokalen Angreifern mit geringen Rechten den Zugriff auf SYSTEM-Berechtigungen zu ermöglichen und gängige Sicherheitsvorkehrungen zu umgehen.

Das von Naceri und weiteren Beobachtern beschriebene Szenario beruht auf einer Logikschwäche in der Art und Weise, wie der CLFS-Treiber Authentifizierungsdateien erzeugt. Laut dem Forscher validiert Microsoft Zugriffe zwar zu Beginn korrekt, allerdings lässt sich das Verfahren aushebeln, wenn ein privilegierter Prozess – wie etwa der Antimalwaredienst von Windows Defender – eine zuvor von einem Standardbenutzer vorbereitete Protokolldatei öffnet.

Durch die Nutzung von Symbollinks im Objekt-Manager leitet der Exploit die Erstellung der sogenannten .cnpf-Datei um. Da das System die Datei im Sicherheitskontext des privilegierten Prozesses generiert, sie aber die Zugriffsberechtigungen des ursprünglichen Logs erbt, entsteht eine Datei mit SYSTEM-Rechten, die vom Standardbenutzer beschrieben werden kann. Diese Kette führt nach Angaben des Autors direkt zu einer SYSTEM-Shell.

Besondere Brisanz erhält the Exploit dadurch, dass er sich gegen diverse Schutzsoftware richten kann.

„Das Lustige ist die Tatsache, dass er gegen jede Antimalware-Engine eingesetzt werden kann, um deren Selbstverteidigungs- oder Manipulationsschutzmechanismus zu umgehen, da man im Kontext ihres eigenen Antimalware-Prozesses eine beliebige Dateierstellung auslösen kann; aus Sicht ihrer Kernel-Treiber kommt die Dateierstellungsanforderung also von ihrem eigenen legitimen Prozess, sodass sie durchgeht. Das macht diese Schwachstelle einzigartig, da sie genutzt werden kann, um jedes Antivirenprogramm oder EDR abzuschalten,“ erklärte Nightmare Eclipse zu den einzigartigen Merkmalen des Angriffs.

Erfolgreiche Tests des Proof-of-Concepts (PoC) erfolgten laut den The Hacker News vorliegenden Angaben auf Windows 11 26H2, Windows 11 26H2 Experimental sowie Windows Server 2025 Experimental. Der Forscher selbst schätzt, dass rund 80 Prozent der Windows-Installationen betroffen sein könnten.

Microsoft hat den Vorfall bislang weder mit einer CVE-Nummer versehen noch einen offiziellen Patch bereitgestellt; im Update-Verzeichnis von Microsoft Defender tauchte lediglich eine Erkennung unter der Bezeichnung „Exploit:Win64/SignDrop.DA!MTB“ mit dem Schweregrad „severe“ auf.

Unabhängige Prüfungen bestätigten die grundsätzliche Funktionsweise, schränkten jedoch die praktische Einsetzbarkeit ein. Forscher der koreanischen Sicherheitsfirma 78researchlab konstatierten laut den Berichten von The Hacker News, dass das Skript derzeit nicht zuverlässig genug für operative Angriffe arbeite und das Ausführen zu auffälligen Reaktionen am System führe.

Zudem wies der Experte Will Dormann in einem Interview darauf hin, dass bestimmte Voraussetzungen erfüllt sein müssen: So scheinen neben einer Windows-26H2-Version vor allem Systeme gefährdet, deren Installation älter als 90 Tage ist.

Maßgeblich für die Anfälligkeit ist der Registrierungswert unter HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode. Steht dieser Wert auf 0 (Enforcement-Modus) oder 1 (Lernmodus), gilt das System als verwundbar. Werte von 2 oder 3 deaktivieren die Mitigation zwar, öffnen jedoch alten Speicherorruptionsschwachstellen Tür und Tor.

Da von offizieller Seite noch keine Behebung vorliegt, raten Experten davon ab, die CLFS-Authentifizierung zu deaktivieren. Administratoren sollten stattdessen die Systeme aktuell halten und die veröffentlichten Demodateien keinesfalls auf Produktionsmaschinen ausführen.