Исследователь Абдельхамид Насери (MSNightmare) 10 ноября опубликовал PoC SignDrop: пользователь со стандартной учётной записью Windows повышает права до SYSTEM. Цепочка задействует драйвер CLFS и службу Microsoft Defender как привилегированный процесс. Microsoft уязвимость не подтвердила, CVE не присвоен, патча нет. Автор тестировал технику на Windows 11 26H2 и Windows Server 2025; его утверждение о обходе антивирусов и EDR независимо не подтверждено.
Как работает SignDrop
CLFS, Common Log File System, - подсистема журналирования Windows с драйвером clfs.sys. В октябре 2025 года Microsoft добавила в неё механизм аутентификации логов: для файла журнала считается HMAC на основе данных и системного ключа, а рядом создаётся служебный файл с расширением .cnpf. Задумано это против подмены журналов и атак через специально подготовленные файлы.
До появления этой защиты CLFS был известным источником локальных повышений прав: злоумышленники подсовывали системе специально сформированные журналы, и разбор таких файлов приводил к повреждению памяти. Механизм с HMAC должен был отделить подлинные журналы от поддельных. SignDrop показывает, что сама проверка создаёт новый файл - .cnpf, и этим можно воспользоваться.
SignDrop обходит эту защиту через особенность создания служебных файлов. Когда привилегированный процесс открывает подготовленный журнал, CLFS создаёт файл аутентификации в контексте безопасности этого процесса. Если заранее подменить пути и перенаправить файловые операции через символические ссылки объектного менеджера, файл создаётся в месте, которое контролирует атакующий. Права на новый файл наследуются от исходного, поэтому атакующий сохраняет над ним контроль, хотя создан он привилегированным процессом.
Дальше остаётся превратить это в повышение прав. В опубликованном PoC привилегированным процессом выступает служба Microsoft Defender: она открывает подготовленный журнал, создаёт .cnpf-файл, а цепочка файловых операций доводит дело до оболочки с правами SYSTEM. Автор подчёркивает, что в его сценарии Defender должен быть включён.
Условия эксплуатации
Атака локальная: нужен доступ к системе со стандартной учётной записью, сетевого вектора здесь нет. Дополнительное условие - включённый механизм аутентификации CLFS в режиме обучения или принудительном режиме. Microsoft добавила его обновлениями от 28 октября 2025 года для Windows 11 25H2 и Windows Server 2025; в документации также упоминается Windows 11 26H1. Автор проверял эксплойт на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental.
Практически это ступень после получения обычного пользовательского доступа: фишинга, украденных учётных данных или другой ошибки, давшей foothold. Сама по себе SignDrop не открывает удалённый вход, но снимает ограничение между пользователем и системой.
Microsoft уязвимость не подтвердила, CVE не присвоен, обновления нет. Независимое тестирование показало, что эксплойт работает, но надёжность может быть недостаточной для стабильного применения. Утверждение автора о том, что технику можно использовать для обхода антивирусов и EDR, независимо не проверялось, поэтому относиться к нему стоит осторожно.
Пока патча нет, снизить риск можно только ограничением прав и мониторингом: это не устраняет ошибку, но сокращает число машин, где сценарий вообще применим.
Проверить режим можно через реестр: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Важная оговорка: значения 0 или 1 сами по себе не доказывают компрометацию, они лишь описывают конфигурацию аутентификации.
Чем опасно
SYSTEM - максимальный уровень прав в Windows. С ним можно отключать защитные механизмы, менять защищённые файлы, службы и реестр, закрепляться в системе и двигаться дальше по сети. Для атакующего, у которого уже есть стандартная учётная запись на машине, это превращает ограниченный доступ в полный контроль.
Если заявленный обход EDR подтвердится, расследовать такие атаки станет сложнее. Но пока речь о локальном сценарии с публичным PoC и неясной стабильностью: массового оружия из этого ещё не вышло.
Что делать
Не отключать аутентификацию CLFS. Microsoft предупреждает, что отключение защиты возвращает систему к ранее закрытым атакам на память, поэтому такой обходной путь не годится. Правильная тактика - ограничение прав: стандартные пользователи не должны иметь локальных администраторских прав без необходимости, а интерактивный доступ к серверам стоит ограничить.
Защиту Defender и других endpoint-средств нужно держать включённой, обновлённой и защищённой от несанкционированного изменения. В телеметрии стоит искать создание .cnpf-файлов привилегированными процессами, необычные операции CLFS с файлами и попытки изменить настройки антивируса, исключения или tamper protection. Отслеживайте обновления Microsoft: когда выйдет патч, его нужно будет протестировать и поставить в приоритетном порядке.
Для серверов риск выше, чем для рабочих станций: на них обычно включены защитные механизмы и одновременно больше ценных данных и сетевых доступов. Если обычные пользователи могут интерактивно работать на серверах, стоит пересмотреть такую практику и ограничить вход административными сессиями.
Если есть подозрение на эксплуатацию, машину стоит изолировать и провести полное расследование, чтобы понять, получен ли SYSTEM-доступ. Отдельно проверьте учётные записи с локальными правами и сессии на серверах: стандартная учётная запись - обязательное условие этой атаки.
Порядок действий: проверить режим аутентификации CLFS, не отключать саму защиту, ограничить локальные права и интерактивный доступ, усилить мониторинг .cnpf и операций CLFS, затем установить обновление Microsoft, когда оно появится. PoC уже опубликован, поэтому окно риска будет расти до выхода патча.
Ссылки
- https://github.com/MSNightmare/SignDrop
- https://support.microsoft.com/en-us/servicing/os/windows/2025/03/common-log-file-system-clfs-authentication-mitigation
- https://learn.microsoft.com/en-us/windows-hardware/drivers/kernel/clfs-authentication
- https://cirt.gy/article/al2026_56-signdrop-windows-zero-day-allows-attackers-to-gain-system-privileges-november-12th-2026/
