SignDrop: cómo la propia función de seguridad de Windows se convirtió en una puerta de entrada para la escalada de privilegios
La semana pasada, Abdelhamid Naceri — conocido en los círculos de seguridad como Nightmare Eclipse (o MSNightmare) — hizo algo que envió un escalofrío por la bandeja de entrada de cada administrador de sistemas Windows: liberó un exploit completo y funcional para una vulnerabilidad zero-day de Windows que otorga privilegios a nivel SYSTEM a cualquier usuario local.
Llamado SignDrop, el exploit es notable no por su complejidad, sino por su ironía. Arma la propia protección que Microsoft introdujo para defender el kernel de Windows contra ataques de escalada de privilegios. El resultado: un atacante con acceso ordinario de usuario local puede tomar control total de la máquina.
Qué hace SignDrop
SignDrop opera contra el controlador Common Log File System (CLFS) de Windows, un subsistema del kernel responsable de gestionar archivos de registro utilizados por numerosos componentes del sistema operativo. CLFS ha sido durante mucho tiempo un objetivo clásico para la escalada de privilegios — ha aparecido en 10 vulnerabilidades diferentes listadas en el catálogo de amenazas explotadas de la CISA, incluyendo una utilizada en campañas de ransomware en abril de 2025.
Lo que hace diferente al SignDrop es que no explota una falla en el propio CLFS, sino en una protección que Microsoft añadió al controlador en octubre de 2025. Esta protección, distribuida en las actualizaciones KB5056852 para Windows 11 25H2 y Windows Server 2025, introdujo códigos de autenticación basados en hashes para garantizar que solo el propio controlador de Windows pudiera leer y modificar los archivos de registro del sistema.
La lógica de la protección es sólida — el problema radica en cómo interactúa con un proceso privilegiado de Windows. El exploit fuerza al Windows Defender a abrir un archivo de registro preparado por un usuario normal. Cuando el Defender intenta procesar este archivo, el CLFS crea un archivo de autenticación (con la extensión ".cnpf") utilizando los propios privilegios SYSTEM del Defender. Como el CLFS transfiere los permisos del archivo original al nuevo archivo autenticado, el atacante obtiene acceso a un archivo creado con privilegios a nivel de sistema.
En términos prácticos, esto significa que cualquier proceso malicioso que se ejecute con derechos normales de usuario puede, posteriormente, manipular este archivo de autenticación y ejecutar operaciones en el contexto SYSTEM — el nivel de acceso más alto posible en Windows, incluso por encima del del administrador.
Por qué esta vulnerabilidad es particularmente interesante
Naceri no es un investigador cualquiera. Afirma ser un ex-empleado de Microsoft y tiene un historial público de conflicto con la empresa. Desde abril de 2026, ha estado divulgando una serie de zero-days en el Defender, BitLocker y otros componentes de Windows — incluyendo vulnerabilidades con nombres como BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet y BlueHammer. Varios de estos fallos aún carecen de parches oficiales.
Lo que hace único al SignDrop es el hecho de que el ataque funciona contra cualquier motor de antimalware que se ejecute con privilegios elevados. "Puede usarse contra cualquier motor de antimalware para eludir su autodefensa", escribió Naceri. "Puedes disparar cualquier creación de archivo en el contexto del propio proceso de antimalware, entonces, desde la perspectiva de sus controladores de kernel, la solicitud de creación de archivo viene de su propio proceso legítimo — así que pasa."
En otras palabras, la protección que Microsoft implementó para hacer Windows más seguro puede, en circunstancias específicas, usarse como una palanca para desactivar las propias protecciones del sistema.
Quiénes están afectados
El exploit fue probado exitosamente en Windows 11 26H2, en una compilación experimental de Windows 11 26H2 y en una versión experimental de Windows Server 2025. Naceri estima que aproximadamente el 80% de las instalaciones de Windows son vulnerables.
Los sistemas afectados son aquellos cuyo modo de autenticación del CLFS está configurado en "0" (modo de aprendizaje) o "1" (modo de aplicación). Las instalaciones con más de 90 días normalmente transicionan al modo de aplicación automáticamente. El valor del registro puede verificarse en:
``` HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode ```
Si el valor es 0 o 1, la máquina es vulnerable.
Cyderes, una empresa de seguridad, compiló y probó el código de prueba de concepto y confirmó que funciona, aunque observó que la explotación operacional es desafiante: el Defender debe estar habilitado, y la cadena de exploit altera las indicaciones de UAC de manera visible que podría alertar al usuario final.
Qué hacer ahora
No hay solución disponible. Microsoft no ha emitido un comunicado oficial, no ha asignado un número de CVE y no ha lanzado un parche. El próximo Patch Tuesday ocurre el 8 de diciembre de 2026.
Naceri recomienda a los administradores deshabilitar la mitigación del CLFS, pero esto expone las máquinas a otros exploits de corrupción de memoria que apuntan a vulnerabilidades del CLFS — lo que significa que la única opción segura es esperar el parche de Microsoft.
Para los equipos de seguridad, el consejo de ThreatDefence es claro: bloquear la ejecución de código no confiable con control de aplicaciones y buscar activamente shells SYSTEM sospechosos y herramientas de seguridad que dejen de funcionar inesperadamente. Si el Windows Defender deja de generar registros o un shell SYSTEM aparece en procesos inesperados, el dispositivo probablemente ya está comprometido.
Hasta la fecha, ni Microsoft ni la CISA han reportado explotación activa del exploit en ataques reales. Pero el código de prueba de concepto está disponible desde el 10 de noviembre, y la ventana para la explotación en producción está abierta.
La ironía del SignDrop — una protección convertida en arma — sirve como recordatorio de que la seguridad en capas puede, en ciertas circunstancias, crear nuevas superficies de ataque. Lo que defiende contra un vector de ataque puede, simultáneamente, introducir otro.
Fuentes: Bleeping Computer, ThreatDefence, The Hacker News
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
