Дослідник виявив нову вразливість нульового дня у драйвері Windows CLFS

Дослідник безпеки Абдельхамід Насері, також відомий як Nightmare Eclipse, виявив нову вразливість нульового дня у операційній системі Windows, яка дозволяє зловмисникам отримувати привілеї рівня SYSTEM. Інструмент, названий SignDrop, експлуатує механізми захисту, введені Microsoft у жовтні 2025 року для протидії атакам на драйвер Common Log File System (CLFS).

Про це повідомляє BleepingComputer

За словами Насері, проблема полягає у процесі створення файлів автентифікації при генерації нових лог-файлів. Хоча Microsoft коректно реалізувала заходи захисту, логіка їх роботи дозволяє зловмисникам змусити привілейовані процеси, наприклад Windows Defender, створювати файли з необхідними правами доступу. Це дозволяє обходити механізми самозахисту антивірусного програмного забезпечення.

Якщо все вірно скомпоновано, цей легітимний засіб безпеки можна використати проти нього самого, що дозволить підвищити привілеї. Microsoft все зробила правильно, але сама логіка дозволяє зловживання.

— Абдельхамід Насері

Найбільш цікаво те, що це можна використати проти будь-якого антивірусного механізму, щоб обійти їхній захист від втручання, оскільки запит на створення файлу виглядає так, ніби він надходить від самого легітимного процесу.

— Абдельхамід Насері

Насері протестував експлойт на Windows 11 26H2 та Windows Server 2025 Experimental. За його оцінками, близько 80% інсталяцій Windows є вразливими. До випуску офіційного виправлення від Microsoft дослідник не рекомендує вимикати існуючі засоби захисту CLFS, оскільки це відкриває пристрої для атак на основі пошкодження пам’яті.

Раніше Насері вже розкривав низку вразливостей у компонентах Microsoft, включаючи BitLocker та Windows Defender. Попри те, що частина раніше виявлених ним недоліків була виправлена, багато інших помилок досі залишаються без офіційних патчів від компанії.