Ein öffentlich verfügbarer Exploit namens SignDrop verschafft einem normalen Windows-Nutzer SYSTEM-Rechte. Ausgerechnet eine Schutzfunktion, mit der Microsoft seit Herbst 2025 Angriffe auf den Log-Treiber CLFS bremsen wollte, macht das möglich. Einen Patch gibt es bislang nicht.
Veröffentlicht hat den Proof of Concept der Sicherheitsforscher Abdelhamid Naceri, bekannt als „Nightmare Eclipse“. Code und technische Beschreibung liegen seit der Nacht vom 10. auf den 11. November auf GitHub, also unmittelbar nach dem November-Patchday. Microsoft wurde vorab nicht informiert. BleepingComputer und The Hacker News haben den Fall aufgegriffen.
Die Vorgeschichte: CLFS als Dauerbaustelle
Das Common Log File System (CLFS) ist ein Windows-Treiber, der Protokolldateien im Kernel verarbeitet. Weil er komplexe Dateiformate im Kernelmodus parst, war er jahrelang ein beliebtes Ziel: Fehlerhafte Log-Dateien führten zu Speicherfehlern, die sich für Rechteausweitungen nutzen ließen, auch in Ransomware-Angriffen.
Microsoft reagierte mit einer Authentifizierung für CLFS-Logs: Jede Log-Datei erhält kryptografische Prüfcodes (HMACs), die in einer Begleitdatei mit der Endung .cnpf liegen. Manipulierte Logs öffnet der Treiber dann nicht mehr. Laut Microsoft läuft die Funktion zunächst 90 Tage im Lernmodus und schaltet danach automatisch in den Erzwingungsmodus. Nach Naceris Angaben ist sie seit dem 28. Oktober 2025 im regulären Release-Kanal. Die Zahl öffentlich ausgenutzter CLFS-Lücken sei danach deutlich gesunken.
Was belegt ist
Laut Naceris Beschreibung steckt der Fehler in der Art, wie clfs.sys die .cnpf-Datei anlegt. Ein Standardnutzer kann ein Log mit einem zugeordneten zweiten Container einrichten. Ist dieser Container leer, versucht CLFS ihn zu signieren und legt dafür die Authentifizierungsdatei neu an, egal ob sie schon existiert.
Solange der Nutzer selbst das Log öffnet, ist das unkritisch: Windows prüft die Rechte im Kontext des aufrufenden Prozesses. Das Problem entsteht, wenn ein privilegierter Prozess dasselbe Log öffnet. Im Proof of Concept bringt Naceri über die Defender-Funktion ServerMpUpdateEngineSignature und manipulierte symbolische Links im Object Manager die Antimalware-Engine von Microsoft Defender dazu. Die Datei entsteht dann mit SYSTEM-Rechten, übernimmt aber die Zugriffsrechte der ursprünglichen Log-Datei und bleibt für den Angreifer beschreibbar. Daraus wird eine Rechteausweitung.
Naceris Fazit: Microsoft habe die Schutzfunktion korrekt umgesetzt, „aber die Logik erlaubt Missbrauch“. Getestet hat er den Exploit nach eigenen Angaben unter Windows 11 26H2, Windows 11 26H2 Experimental und Windows Server 2025 Experimental.
Wer betroffen ist
Entscheidend ist der Registry-Wert Mode unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Laut Microsoft steht 0 für erzwungene und 1 für lernende Authentifizierung, 2 und 3 für eine abgeschaltete Funktion. Anfällig sind nach Naceri Systeme mit 0 oder 1, also genau die, auf denen die Schutzfunktion aktiv ist. Da sie standardmäßig eingeschaltet ist, schätzt er, dass rund 80 Prozent aller Windows-Installationen betroffen sind. Diese Zahl ist seine eigene Schätzung, unabhängig geprüft ist sie nicht.
Der harte Punkt ist die fehlende Ausweichmöglichkeit
Einen sauberen Workaround gibt es nicht. Wer die CLFS-Authentifizierung abschaltet, schließt zwar SignDrop, öffnet aber wieder die Tür für die alten Speicherfehler-Angriffe, gegen die die Funktion eingeführt wurde. Naceri rät deshalb, auf einen Patch von Microsoft zu warten. Eine CVE-Nummer oder eine Stellungnahme von Microsoft lag bis Donnerstagabend nicht vor.
Zur Einordnung: SignDrop ist eine lokale Rechteausweitung. Ein Angreifer muss bereits Code auf dem Rechner ausführen können, etwa über eine Phishing-Mail oder eine andere Lücke. Für sich genommen ist das kein Fernzugriff. Gerade in Angriffsketten ist der Schritt vom normalen Nutzer zu SYSTEM aber der, auf den Ransomware-Gruppen angewiesen sind.
Brisant ist eine weitere Behauptung des Forschers: Weil die Dateierstellung aus dem Prozess der Antimalware-Engine selbst kommt, lasse sich die Technik gegen den Selbstschutz (Tamper Protection) beliebiger Virenscanner und EDR-Produkte einsetzen. Deren Kernel-Treiber hielten die Anfrage für legitim. Belegt hat Naceri das öffentlich nur für Microsoft Defender.
Nicht der erste Zero-Day dieser Art
Naceri, der nach eigener Aussage früher bei Microsoft gearbeitet hat, veröffentlicht seit April 2026 eine ganze Serie von Windows-Zero-Days, darunter ShieldCrash, ShieldBreak, BlueHammer, RedSun, YellowKey und UnDefend. Laut BleepingComputer hat Microsoft einen Teil davon inzwischen behoben, etwa ShieldBreak, RoguePlanet, YellowKey, GreenPlasma und MiniPlasma. Andere sind weiter offen.
Was Admins jetzt tun können
- Den Registry-Wert
Mode der CLFS-Authentifizierung inventarisieren, um das eigene Risiko einzuschätzen, die Funktion aber nicht vorschnell abschalten.
- EDR- und Monitoring-Regeln auf ungewöhnliche Zugriffe auf
\CLFS, neue .blf- und .cnpf-Dateien in Nutzerverzeichnissen sowie Object-Manager-Symlinks prüfen.
- Den Grundschutz gegen den ersten Fuß in der Tür ernst nehmen: Ohne lokale Codeausführung bleibt SignDrop wirkungslos.
- Microsofts Security Update Guide beobachten und einen Fix zügig verteilen, sobald er erscheint.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
