新的 Windows SignDrop 零日漏洞让黑客获得 SYSTEM 权限

安全研究员 Abdelhamid Naceri（亦称 Nightmare Eclipse）发布了一个新的 Windows 零日利用程序，可让攻击者获得 SYSTEM 权限。

该利用程序名为 SignDrop，利用的是 Microsoft 于 2025 年 10 月引入的缓解措施——该措施旨在防御针对 Common Log File System（CLFS）驱动程序漏洞的认证攻击。Naceri 补充说，在缓解措施推出后，利用 CLFS 漏洞的攻击大幅减少，但 Microsoft 的缓解措施本身引入了这个新漏洞。

据 Naceri 称，该缺陷存在于 CLFS 在创建新日志文件时处理认证文件（".cnpf"）创建的方式中。他表示，CLFS 在开始时正确地执行了访问检查，但如果之后有一个不同的特权进程打开该日志文件，其逻辑就可能被滥用。

他还补充说，像 Windows Defender 这样的特权进程可以被强制打开这些文件，因此认证文件会以 SYSTEM 权限被创建，而 CLFS 会以原始文件的访问权限来创建它。

Naceri 指出，Microsoft 对缓解措施的实现是正确的，但 "其逻辑允许被滥用"，并表示该技术对任何反恶意软件引擎的自防御（篡改保护）都有效，因为文件创建请求看起来来自引擎自身的合法进程。

"如果整个链条正确串联起来，有趣的是，这个合法的安全缓解措施可以被用来对抗它自身，并实现权限提升。Microsoft 在这里的实现是完全规范的，但逻辑上允许被滥用，" 这位安全研究员说。

"更有趣的是，它可以被用来对付任何反恶意软件引擎以绕过其自防御（或篡改保护）机制，因为你可以在它们自己的反恶意软件进程上下文中触发任意文件创建，因此从它们内核驱动的视角来看，文件创建请求来自它们自己的合法进程，所以检查会通过。这使得该漏洞非常独特，因为它可以被用来关闭任何杀毒软件/EDR。"

虽然 SignDrop 无法用于所有 Windows 机器，但 Naceri 在 Windows 11 26H2、Windows 11 26H2 Experimental 和 Windows Server 2025 Experimental 上测试了该利用程序，并估计 80% 的 Windows 安装都存在漏洞。

Naceri 建议运行概念验证（PoC）利用程序来检查某台 Windows 设备是否易受 SignDrop 攻击，或检查 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode 注册表值下的 CLFS 认证模式。

如果 PoC 利用程序生成了一个 SYSTEM shell，则该机器存在漏洞。此外，如果注册表值为 0 或 1（学习模式或强制模式），则该计算机存在漏洞。

Naceri 补充说，目前没有解决方案，只能等待 Microsoft 的补丁，因为禁用 CLFS 缓解措施会使设备暴露于利用内存损坏漏洞的攻击之下。

这位自称是 Microsoft 前员工的安全研究员，自 4 月以来已披露了 Microsoft Defender、BitLocker 和其他 Windows 组件中的大量零日缺陷，包括 BigDiskBuster、ShieldCrash、ShieldBreak、LegacyHive、RoguePlanet、BlueHammer、RedSun、YellowKey、GreenPlasma、MiniPlasma 和 UnDefend。

五年前，Naceri 曾发布过多个允许在各种 Windows 版本上进行权限提升的零日利用程序。

在 Naceri 未经私下报告尝试就公开披露这些零日漏洞后，Microsoft 警告称将对任何从事 "对该公司客户造成真实危害的恶意活动" 的人采取法律行动，这导致信息安全界的许多人将该公司的行为视为对这位安全研究员的直接威胁。

尽管 Microsoft 已修复了 Naceri 自今年年初以来披露的部分安全缺陷（包括 ShieldBreak、RoguePlanet、YellowKey、GreenPlasma 和 MiniPlasma 缺陷），但其他零日漏洞仍缺乏官方补丁。