Pesquisador publica falha zero-day no Windows que dá direitos de System a usuário comum

O pesquisador que atua sob o pseudônimo Nightmare Eclipse, em conflito público com a Microsoft, divulgou na terça-feira mais uma falha zero-day no Windows. Batizada de SignDrop, ela permite que um usuário local, com permissões comuns, obtenha direitos de System em algumas versões do sistema.

A falha está no Common Log File System (CLFS), serviço de registro de logs usado por programas em modo usuário e em modo kernel. O atacante força um processo privilegiado, como o Windows Defender, a abrir um contêiner CLFS manipulado. Para isso, aciona a função legítima ServerMpUpdateEngineSignature, que o Defender usa para processar atualizações de assinaturas do antivírus.

Com links simbólicos do Object Manager do Windows, o atacante faz o Defender abrir o contêiner no contexto de segurança do mecanismo antimalware. Se faltar um arquivo de autenticação associado, o CLFS o cria com os privilégios de System do Defender. Como o novo arquivo herda a lista de controle de acesso do arquivo original, o atacante pode acessá-lo, e essa criação de arquivo serve de base para a escalada de privilégios.

Há uma ironia no caso: a brecha vem de uma medida de segurança que a Microsoft introduziu em outubro de 2025 para barrar a exploração de outras falhas no CLFS. Nas palavras do pesquisador, a mitigação legítima pode ser usada contra si mesma, e a Microsoft fez tudo certo, mas a lógica permite o abuso.

Nightmare Eclipse afirma ainda que a técnica funciona contra qualquer engine antimalware. Como a criação do arquivo parece partir do processo legítimo do próprio antivírus, os drivers de kernel dele a aceitam, o que burlaria a autoproteção (tamper protection). Segundo o pesquisador, isso permitiria desligar qualquer antivírus ou EDR. Ele diz que o exploit funcionou no Windows 11 26H2, no 26H2 Experimental e no Windows Server 2025 Experimental.

O pesquisador Will Dormann disse que reproduziu o ataque e que ele funciona como descrito, mas não em todas as versões do Windows 11. Pelos testes dele, o sistema precisa ser 26H2 e existir há mais de 90 dias; uma instalação nova com atualizações não seria afetada. Dormann explicou que o valor de registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode precisa ser 0 ou 1 (modo de aprendizado ou de imposição). Entre as muitas máquinas que ele usa, só uma atendia a esse requisito.

Como a Microsoft libera atualizações como a 26H2 de forma escalonada, não está claro quantas pessoas a têm. Dá para conferir a versão com o comando "winver". A Microsoft não respondeu ao pedido de comentário. Nightmare Eclipse já publicou vários outros zero-days do Windows nos últimos meses.