LONDON (IT BOLTWISE) – Ein öffentlich bekannt gegebenes Windows-0-Day namens „SignDrop“ erlaubt lokalen Angreifern auf bestimmten Systemen vollständige Systemrechte. Die Schwachstelle nutzt die Interaktion von Common Log File System (CLFS), Windows Defender und Dateiberechtigungen, um privilegierte Dateierstellung zu missbrauchen. Das Vorgehen wirkt dabei wie ein legitimer Defender-Prozess und soll die Selbstschutzmechanismen von Sicherheitssoftware umgehen können. Betroffen sind laut dem Offenleger unter anderem Windows 11 26H2 und Windows Server 2025 Experimental; wie breit der Rollout ist, bleibt offen.
Ein neu offengelegter Windows-0-Day mit dem Namen „SignDrop“ zeigt einmal mehr, wie eng moderne Betriebssysteme sicherheitskritische Komponenten verzahnen. Laut dem Pseudonym „Nightmare Eclipse“ reicht auf betroffenen Windows-Versionen schon ein lokaler Zugriff als normaler Nutzer aus, um über einen Missbrauch der Datei- und Log-Funktionalität auf vollständige Systemrechte zu kommen. Interessant ist nicht nur das klassische Muster „lokaler Zugriff → Privilege Escalation“, sondern auch der Weg dorthin: Der Angriff lenkt einen legitimen, privilegierten Prozess – in diesem Fall Windows Defender – so um, dass er im Sicherheitskontext des Antimalware-Engine arbeitet.
Technisch sitzt die Schwachstelle im Common Log File System (CLFS), das Microsoft als „general-purpose logging service“ beschreibt und das sowohl von Software im User-Mode als auch im Kernel-Umfeld genutzt wird. Der Kernhebel ist, dass ein Angreifer mithilfe einer manipulierten CLFS-Container-Öffnung eine privilegierte Dateierstellung anstößt. Dazu wird Windows Defender als „Werkzeug“ eingesetzt: Der Exploit nutzt eine Defender-Funktion namens „ServerMpUpdateEngineSignature“, die an sich vorgesehen ist, um Signaturen für den Virenschutz zu verarbeiten. Wenn der Angreifer erreicht, dass Defender den CLFS-Container in einem Kontext öffnet, in dem die Antimalware-Engine arbeitet, entsteht ein Pfad, auf dem CLFS – bei fehlender Authentifizierungsdatei – mit Defender-Systemrechten eine neue Datei erzeugen kann.
Der nächste Schritt folgt aus den Dateizugriffsregeln: CLFS weist der neu erzeugten Datei eine Discretionary Access Control List (DACL) zu, die von der ursprünglichen Datei abgeleitet ist, die dem Prozess als Vorlage dient. Dadurch kann der Angreifer potenziell Zugriff auf eine Datei bekommen, die eigentlich nur durch den Systemkontext erzeugt werden durfte. Genau diese Kombination aus privilegiertem Öffnen, kontrollierbarer Erstellung und übernommener ACL soll es ermöglichen, die Dateierstelloperation in eine Privilege-Escalation einzubetten. „Ironisch“ daran: Der Offenleger führt aus, dass die Schwachstelle aus einer Sicherheitsmaßnahme hervorgegangen sei, die Microsoft im Oktober 2025 eingeführt habe, um Angreifer daran zu hindern, andere CLFS-Schwächen auszunutzen.
Besonders brisant ist die zweite Dimension, die der Forscher beschreibt: Der Angriff könne nicht nur Rechte erhöhen, sondern auch die „Self Defense“ oder „Tamper Protection“ von Sicherheitsprodukten aushebeln. In seiner Darstellung lässt sich die Logik so verketten, dass eine beliebige Antimalware-Engine in ihrem eigenen Kontext eine willkürliche Dateierstellung auslöst. Aus Sicht der Kernel-Treiber liege damit eine Anfrage vor, die wie eine legitime interne Prozessanfrage wirkt; der Selbstschutz greift dann offenbar zu kurz. Der Offenleger schreibt dazu, dass der Effekt „unique“ sei, weil sich damit in der Theorie jedes Antiviren- oder EDR-System deaktivieren lasse, sobald die internen Voraussetzungen erfüllt sind.
Beim realen Einsatz hängt die Machbarkeit allerdings offenbar stark von Voraussetzungen ab. „Nightmare Eclipse“ nennt als erfolgreiche Ziele konkret Windows 11 26H2, Windows 11 26H2 Experimental und Windows Server 2025 Experimental. Zur Einordnung soll man laut dem Forscher prüfen, welcher Modus für die CLFS-Authentifizierung aktiv ist: Wenn der CLFS-Authentication-Mode im System auf learning oder enforcement steht, gilt das System als verwundbar; ein Proof-of-Concept, der im Post bereitgestellt wurde, soll dann eine SYSTEM-Shell starten. Diese Steuerung basiert auf einem Registry-Wert unter „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFSAuthenticationMode“; „Will Dormann“, der den Exploit in einem Interview reproduziert haben will, nennt als weitere Bedingung, dass nicht jede Windows-11-Variante gleich schnell funktioniert.
Dormann zufolge sei die Reproduzierbarkeit gegeben, aber nicht auf allen Windows-11-Systemen; zugleich habe sich gezeigt, dass die Anforderungen „wichtig“ seien und offenbar Windows 26H2 benötigen sowie eine Konstellation, die seit mehr als 90 Tagen existiere. Er führt außerdem aus, dass es nicht genügt, ein neues 26H2-System frisch zu installieren und dann Updates einzuspielen, damit der Angriff zuverlässig greift. Erkennbar wird das laut seiner Aussage anhand der Registry: Nur wenn der CLFS-Authentication-Mode 0 oder 1 ist, besteht die Verwundbarkeit. Das Problem für die Praxis: Microsoft nutzt bei Windows-Updates gestaffelte Rollouts, daher bleibt unklar, wie viele Systeme tatsächlich in der relevanten Konfiguration unterwegs sind; als schnelle Heuristik wird der „winver“-Befehl genannt.
Für Unternehmen mit Security-Teams ergibt sich daraus ein zweigeteiltes Bild. Einerseits zeigt der Fall, wie eng die Angriffsfläche mit Update-Phasen, Konfigurationsflags und internen Sicherheitsmechanismen verknüpft ist: Selbst eine „Mitigation“ kann sich in bestimmten Interaktionsketten indirekt als Hebel erweisen. Andererseits rückt die operative Relevanz von CLFS- und Defender-Integrationen in den Fokus, weil ein lokaler Exploit nicht nur Rechte bringt, sondern – so die Darstellung – auch die Schutzschicht von Sicherheitssoftware aushebeln kann. Bis Microsoft eine Korrektur in einem passenden Patch-Zyklus nachreicht, bleibt für viele Teams vor allem die schnelle Bestandsaufnahme über die CLFS-Authentifizierungs-Konfiguration und das Monitoring ungewöhnlicher Dateierstellmuster durch Defender- oder Signaturverarbeitungs-Komponenten.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "SignDrop: Windows-0-Day hebt Rechte über CLFS und Windows Defender an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "SignDrop: Windows-0-Day hebt Rechte über CLFS und Windows Defender an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »SignDrop: Windows-0-Day hebt Rechte über CLFS und Windows Defender an« bei Google Deutschland suchen, bei Bing oder Google News!