Windows SignDrop جدید zero-day به هکرها امتیازات SYSTEM را می دهد

عبدالحمید ناکری، محقق امنیتی (همچنین به عنوان Nightmare Eclipse شناخته می شود) یک سوء استفاده جدید ویندوز روز صفر را منتشر کرده است که می تواند به مهاجمان اجازه دهد امتیازات SYSTEM را به دست آورند.

SignDrop نام دارد و از اقدامات کاهشی مایکروسافت در اکتبر 2025 برای دفاع در برابر حملات احراز هویت که آسیب‌پذیری‌های موجود در درایور Common Log File System (CLFS) را هدف قرار می‌دهند، استفاده می‌کند. Naceri افزود که حملاتی که از آسیب‌پذیری‌های CLFS استفاده می‌کنند پس از کاهش به شدت کاهش یافته است، اما خود کاهش‌دهنده مایکروسافت این آسیب‌پذیری جدید را معرفی کرده است.

به گفته Naceri، نقص در نحوه مدیریت CLFS با ایجاد فایل احراز هویت (.cnpf") هنگام ایجاد یک فایل گزارش جدید است. او گفت که CLFS در ابتدا بررسی‌های دسترسی را به درستی اجرا می‌کند، اما اگر بعدا یک فرآیند ممتاز، فایل لاگ را باز کند، منطق می‌تواند مورد سوء استفاده قرار گیرد.

او همچنین اضافه کرد که فرآیندهای ممتاز مانند Windows Defender را می توان مجبور به باز کردن فایل ها کرد، بنابراین فایل احراز هویت با امتیازات SYSTEM ایجاد می شود و CLFS آن را با مجوزهای دسترسی فایل اصلی ایجاد می کند.

ناسری خاطرنشان کرد که مایکروسافت این کاهش را به درستی اجرا کرده است، اما "منطق اجازه سوء استفاده را می دهد" و گفت که این تکنیک در برابر دفاع شخصی موتورهای ضد بدافزار (محافظت از دستکاری) کار می کند، زیرا به نظر می رسد درخواست ایجاد فایل از فرآیند قانونی خود موتور است.

این محقق امنیتی گفت: "اگر همه چیز به درستی و به صورت خنده دار زنجیره ای شود، این کاهش امنیتی قانونی می تواند علیه خودش استفاده شود و امتیازات را افزایش دهد. همه چیز در اینجا به درستی توسط مایکروسافت انجام می شود، اما منطق اجازه سوء استفاده را می دهد."

"چیزی که آن را خنده دارتر می کند این واقعیت است که می توان از آن در برابر هر موتور ضد بدافزاری برای دور زدن مکانیسم دفاع شخصی (یا محافظت از دستکاری) آنها استفاده کرد، زیرا می توانید ایجاد فایل دلخواه را در چارچوب فرآیند ضد بدافزار خود آنها آغاز کنید، بنابراین از منظر درایورهای هسته آنها، درخواست ایجاد فایل از فرآیند قانونی خود آنها می آید، بنابراین عبور می کند، این باعث می شود از این آسیب پذیری برای غیرفعال کردن/خاموش کردن ضد ویروس RED منحصر به فرد استفاده شود.

در حالی که SignDrop را نمی توان در برابر همه ماشین های ویندوز استفاده کرد، Naceri این اکسپلویت را روی Windows 11 26H2، Windows 11 26H2 Experimental و Windows Server 2025 Experimental آزمایش کرد و تخمین می زند که 80٪ از نصب های ویندوز آسیب پذیر هستند.

Naceri توصیه می‌کند که برای بررسی آسیب‌پذیری یک دستگاه ویندوز در برابر حملات SignDrop یا برای بررسی حالت احراز هویت CLFS تحت HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\SYSTEM، اکسپلویت اثبات مفهوم (PoC) را اجرا کنید.

اگر اکسپلویت PoC یک پوسته SYSTEM ایجاد کند، ماشین آسیب پذیر است. علاوه بر این، اگر مقدار رجیستری 0 یا 1 باشد (حالت یادگیری یا حالت اجرا)، رایانه آسیب پذیر است.

Naceri اضافه کرد که در حال حاضر هیچ راه حلی جز انتظار برای وصله مایکروسافت وجود ندارد، زیرا غیرفعال کردن کاهش CLFS دستگاه ها را در معرض حملاتی قرار می دهد که از آسیب پذیری های تخریب حافظه سوء استفاده می کنند.

این محقق امنیتی که می‌گوید کارمند سابق مایکروسافت است، از آوریل فهرستی طولانی از نقص‌های روز صفر دیگر در Microsoft Defender، BitLocker، و سایر اجزای ویندوز، از جمله BigDiskBuster، ShieldCrash، ShieldBreak، LegacyHive، RoguePlanet، BlueHammer، RedSunP, MiniP، و RedSun را فاش کرده است. UnDefend

پنج سال پیش، Naceri چندین اکسپلویت روز صفر را منتشر کرد که امکان افزایش امتیاز را در نسخه‌های مختلف ویندوز فراهم می‌کرد.

پس از اینکه Naceri به طور علنی روزهای صفر را بدون اینکه قبلا اقدام به گزارش خصوصی آنها کند، افشا کرد، مایکروسافت نسبت به اقدامات قانونی علیه هر کسی که در "فعالیت مخربی که باعث آسیب واقعی" به مشتریان شرکت می‌شود، هشدار داد، که باعث شد بسیاری از جامعه infosec اقدامات شرکت را به‌عنوان یک تهدید مستقیم برای محقق امنیتی ببینند.

در حالی که مایکروسافت برخی از نقص‌های امنیتی را که Naceri از ابتدای سال فاش کرده بود (از جمله نقص‌های ShieldBreak، RoguePlanet، YellowKey، GreenPlasma و MiniPlasma) برطرف کرده است، سایر باگ‌های روز صفر هنوز فاقد وصله رسمی هستند.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

مایکروسافت دیفندر جدید «ShieldCrash» روز صفر به سیستم دسترسی می دهد

Tailscale در مورد نقص SSH هشدار می دهد که اجازه می دهد امتیاز root را افزایش دهد

TeamViewer از کاربران می‌خواهد «در اسرع وقت» نقص‌های شدید را برطرف کنند.

گوگل روز صفر اندروید را که به طور فعال مورد سوء استفاده قرار گرفته اند را در دستگاه های پیکسل برطرف می کند

ایوانتی دو روز دیگر Connect Secure را به صورت زنجیره ای در حملات وصله می کند