Vulnerabilidade SignDrop dá acesso total no Windows

O bem conhecido Nightmare Eclipse volta a revelar novo explot zero-day para Windows, chamado SignDrop, que permite obter privilégios SYSTEM.

O investigador de segurança Abdelhamid Naceri, mais conhecido como Nightmare Eclipse, divulgou novo exploit zero-day para Windows, denominado SignDrop, que permite que atacantes com acesso local obtenham privilégios totais de SYSTEM. A vulnerabilidade afecta o Common Log File System (CLFS) e, ironicamente, tira partido de uma medida de segurança lançada pela Microsoft em Outubro de 2025 para proteger o Windows contra ataques relacionados com a autenticação.

A falha está relacionada com a forma como o CLFS cria ficheiros de autenticação durante a criação de novos ficheiros de registo. Embora o Windows verifique inicialmente as permissões de acesso de forma correcta, os atacantes podem explorar o processo ao obrigar uma aplicação com privilégios elevados, como o Microsoft Defender, a abrir um ficheiro de registo especialmente preparado. O CLFS acaba por criar o ficheiro de autenticação com privilégios SYSTEM, mas mantém permissões que poderão permitir ao atacante aceder-lhe.

A mesma técnica também poderá contornar os mecanismos de autoprotecção utilizados por antivírus e soluções de segurança empresarial. Como a criação do ficheiro parece ter origem num processo legítimo da própria aplicação de segurança, os respectivos mecanismos de protecção poderão permitir a operação. O exploit terá sido testado no Windows 11 26H2, em versões experimentais do Windows 11, e no Windows Server 2025 Experimental. O investigador estima que cerca de 80% das instalações do Windows possam estar vulneráveis.

Para já, não existe uma correcção oficial, e Naceri alerta que desactivar a medida de segurança do CLFS poderá deixar os sistemas expostos a outros ataques. Os utilizadores podem verificar o modo de autenticação do CLFS no Registo do Windows, mas a Microsoft ainda não disponibilizou uma actualização para resolver o SignDrop. Naceri, antigo funcionário da empresa e que se sentiu injustiçado pela forma como foi tratado, tem estado em conflito aberto com a MS e já divulgou múltiplas vulnerabilidades zero-day do Windows este ano (ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, e MiniPlasma), algumas das quais permanencem sem correcções oficiais.