SignDrop: como a proteção do Windows virou porta de entrada para ataques SYSTEM

Na semana passada, Abdelhamid Naceri — conhecido no mundo da segurança como Nightmare Eclipse (ou MSNightmare) — fez algo que chama atenção de todos os administradores de sistemas: liberou em repositório público um exploit completo para uma vulnerabilidade zero-day no Windows que concede privilégios SYSTEM a qualquer usuário local.

Chamado de SignDrop, o exploit é elegante não por ser sofisticado, mas por ser irônico. Ele usa exatamente a proteção que a Microsoft introduziu para defender o Windows contra ataques contra a própria proteção. O resultado: um atacante com acesso local comum pode assumir controle total da máquina.

O que o SignDrop faz

O SignDrop atua no driver Common Log File System (CLFS) do Windows, um subsistema de kernel responsável por gerenciar arquivos de log usados por diversos componentes do sistema operacional. O CLFS é um alvo clássico para escalada de privilégios — já apareceu em 10 vulnerabilidades diferentes listadas no catálogo de ameaças exploradas da CISA, incluindo uma usada em campanhas de ransomware em abril de 2025.

O que torna o SignDrop diferente é que ele não explora uma falha no CLFS em si, mas sim uma proteção que a Microsoft adicionou ao driver em outubro de 2025. Essa proteção, distribuída nas atualizações KB5056852 para Windows 11 25H2 e Windows Server 2025, introduz códigos de autenticação baseados em hashes para garantir que apenas o próprio driver do Windows possa ler e modificar os arquivos de log do sistema.

A lógica da proteção é correta — o problema está em como ela interage com um processo privilegiado do próprio Windows. O exploit força o Windows Defender a abrir um arquivo de log preparado por um usuário comum. Quando o Defender tenta processar esse arquivo, o CLFS cria um arquivo de autenticação (com extensão ".cnpf") usando os privilégios SYSTEM do próprio Defender. Como o CLFS transfere as permissões do arquivo original para o novo arquivo autenticado, o atacante ganha acesso a um arquivo criado com privilégios de sistema.

Em termos práticos, isso significa que qualquer processo malicioso rodando com direitos de usuário normal pode, em seguida, manipular esse arquivo de autenticação e executar operações no contexto SYSTEM — o nível de acesso mais elevado possível no Windows, acima até mesmo do administrador.

Por que essa vulnerabilidade é particularmente interessante

Naceri não é um pesquisador qualquer. Ele afirma ser um ex-funcionário da Microsoft e tem um histórico público de conflitos com a empresa. Desde abril de 2026, ele vem divulgando uma série de zero-days no Defender, BitLocker e outros componentes do Windows — incluindo vulnerabilidades com nomes como BigDiskBuster, ShieldCrash, ShieldBreak, LegacyHive, RoguePlanet e BlueHammer. Diversas dessas falhas ainda não têm correção oficial.

O que torna o SignDrop único é o fato de que o ataque funciona contra qualquer mecanismo de antimalware que execute com privilégios elevados. "Pode ser usado contra qualquer motor de antimalware para contornar sua autodefesa", escreveu Naceri. "Você pode disparar qualquer criação de arquivo no contexto do próprio processo de antimalware, então, do ponto de vista dos drivers de kernel, o pedido de criação de arquivo vem do próprio processo legítimo — então ele passa."

Em outras palavras, a proteção que a Microsoft implementou para tornar o Windows mais seguro pode, em circunstâncias específicas, ser usada como uma alavanca para desativar a própria proteção do sistema.

Quem está vulnerável

O exploit foi testado com sucesso no Windows 11 26H2, em uma compilação experimental do Windows 11 26H2 e em uma versão experimental do Windows Server 2025. Naceri estima que cerca de 80% das instalações do Windows estão vulneráveis.

Os sistemas afetados são aqueles cujo modo de autenticação do CLFS está definido como "0" (modo de aprendizado) ou "1" (modo de aplicação). Instalações com mais de 90 dias normalmente entram no modo de aplicação automaticamente. O valor do registro pode ser verificado em:

``` HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode ```

Se o valor for 0 ou 1, a máquina está vulnerável.

A Cyderes, empresa de segurança, compilou e testou o código de prova de conceito e confirmou que ele funciona, embora tenha observado que a exploração operacional é desafiadora: o Defender precisa estar habilitado, e a cadeia de exploração altera as prompts de controle de usuário (UAC) de forma visível, o que poderia alertar o usuário final.

O que fazer agora

Não há correção disponível. A Microsoft não divulgou comunicação oficial, não atribuiu um número CVE e não liberou um patch. O próximo Patch Tuesday ocorre em 8 de dezembro de 2026.

Naceri recomenda que os administradores desabilitem a mitigação do CLFS, mas isso expõe as máquinas a outros exploits de corrupção de memória que exploram vulnerabilidades do CLFS — o que significa que a única solução segura é esperar o patch da Microsoft.

Para equipes de segurança, o conselho do ThreatDefence é claro: bloqueie execução de código não confiável com controle de aplicativos (application control) e faça patrulhamento ativo por shells SYSTEM suspeitos e ferramentas de segurança que fiquem silenciosas inesperadamente. Se o Windows Defender parar de gerar logs ou se um shell SYSTEM aparecer em processos inesperados, é provável que o dispositivo já tenha sido comprometido.

Até o momento, a Microsoft e a CISA não reportaram uso ativo do exploit em ataques reais. Mas o código de prova de conceito está público desde 10 de novembro, e a janela para exploração em produção está aberta.

A ironia do SignDrop — uma proteção transformada em arma — é um lembrete de que a segurança por camadas pode, em certas circunstâncias, criar novas superfícies de ataque. O que protege contra um vetor de ataque pode, ao mesmo tempo, introduzir outro.

Fontes: Bleeping Computer, ThreatDefence, The Hacker News

✓ Fontes independentes cruzadas e verificadas antes da publicação