SignDrop: Exploit missbraucht CLFS-Schutzfunktion von Windows für SYSTEM-Rechte

Den Code und eine ausführliche Beschreibung stellte der Forscher am Dienstag auf GitHub bereit, am selben Tag, an dem Microsoft seine Sicherheitsupdates für November veröffentlichte. CLFS ist ein fest in Windows integriertes Logging-Subsystem. Sein Treiber clfs.sys wird häufig angegriffen, um Rechte auszuweiten: Im Katalog der US-Behörde CISA mit bekanntermaßen ausgenutzten Schwachstellen stehen zehn CLFS-Lücken. Eine davon wurde im April 2025 in Ransomware-Kampagnen eingesetzt.

Um diese Angriffsfläche zu verkleinern, hat Microsoft mit den Updates vom Oktober 2025 für Windows 11 25H2 und 26H1 sowie für Windows Server 2025 eine Authentifizierungsprüfung für CLFS-Logdateien eingeführt. Jede Logdatei erhält dabei einen hashbasierten Nachrichtenauthentifizierungscode (HMAC). Er wird aus den Logdaten und einem Schlüssel berechnet, der für jeden Rechner einzigartig ist. Der Treiber verarbeitet danach nur noch Logdateien, die er selbst geschrieben hat. Laut Microsofts Dokumentation zur Logauthentifizierung liegt neben jedem Log eine Begleitdatei mit der Endung .cnpf. Sie enthält Wiederherstellungsdaten und wird mit denselben Sicherheitsattributen angelegt wie das ursprüngliche Log.

An dieser Stelle setzt SignDrop an. Dem Proof-of-Concept-Code zufolge legt ein Standardnutzer ein CLFS-Log und einen Container mit Pfaden an, die er selbst kontrolliert. Öffnet später ein privilegierter Prozess dieses Log, erzeugt der Treiber die .cnpf-Datei im Sicherheitskontext dieses Prozesses und nicht in dem des Nutzers. Über symbolische Links des Objekt-Managers leitet der Exploit die Dateierstellung an einen Ort um, den der Angreifer bestimmt. Im veröffentlichten Code übernimmt der Antimalware-Dienst von Defender die Rolle des privilegierten Prozesses. Ausgelöst wird er über seine Update-Schnittstelle. „Microsoft macht hier alles richtig, aber die Logik lässt sich missbrauchen“, schreibt der Forscher.

Weil die .cnpf-Datei die Berechtigungen des ursprünglichen Logs übernimmt, entsteht eine Datei, die SYSTEM angelegt hat und in die der Standardnutzer schreiben darf. Nach Angaben des Forschers lässt sich das zu einer SYSTEM-Shell ausbauen. Laut Repository wurde der Exploit unter Windows 11 26H2, einem Experimental-Build von Windows 11 26H2 und Windows Server 2025 Experimental getestet. Betroffen sind Systeme, bei denen der Registry-Modus der CLFS-Authentifizierung auf 0 (erzwungen) oder 1 (Lernmodus) steht. Systeme, die älter als 90 Tage sind, wechseln in der Regel automatisch vom Lern- in den Erzwingungsmodus. Damit zielt der Exploit genau auf die Standardkonfiguration länger bestehender Installationen.

Die Werte 2 oder 3 deaktivieren die Schutzmaßnahme. Solche Systeme liegen dann außerhalb der beschriebenen Angriffsfläche. Sowohl der Forscher als auch die Treiberdokumentation raten jedoch davon ab: Ohne die Prüfung verarbeitet CLFS auch manipulierte Logdateien. Dadurch werden die Speicherfehler wieder ausnutzbar, gegen die der Schutz eingeführt wurde.

Sungyup Nam leitet die Forschung beim koreanischen Sicherheitsunternehmen 78researchlab. In einer veröffentlichten Einschätzung berichtet er, dass Heewon Song aus dem offensiven Team PurpleHound den Exploit getestet hat und dieser funktioniert. Nach Songs Einschätzung läuft er allerdings nicht zuverlässig genug für den praktischen Einsatz. Damit die veröffentlichte Angriffskette gelingt, muss Defender aktiviert sein. Außerdem öffnet nach dem Ausführen jede UAC-Abfrage eine Standardnutzer-Shell und eine SYSTEM-Shell. Das blockiert andere Aktionen und macht den Angriff für jeden bemerkbar, der am Rechner sitzt. Laut Repository soll die Technik gegen jede Antimalware-Engine funktionieren, deren Prozess mit erhöhten Rechten läuft. Diese weitergehende Behauptung wurde bislang nicht überprüft.

In den November-Updates fand sich weder eine CVE noch ein Sicherheitshinweis oder ein Patch zu SignDrop. Im KEV-Katalog der CISA ist die Lücke nicht aufgeführt, und Angriffe mit dem Exploit sind bislang nicht bekannt. Ob ein System betroffen ist, können Administratoren über den Wert „Mode“ unter HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication prüfen. Die Werte 0 und 1 fallen in den vom Forscher beschriebenen Bereich. Microsofts Hinweise zur Schutzmaßnahme erläutern die Einstellung und die Risiken einer Deaktivierung. Eine Reaktion des Herstellers dürfte im Security Update Guide erscheinen.

MSNightmare veröffentlicht seit April eine Reihe von Exploits gegen Windows und Defender. Den Defender-Exploit RoguePlanet bestätigte Microsoft im Juni als CVE-2026-50656 und patchte ihn im Folgemonat. Im August folgte der Umgehungsangriff ShieldBreak, dem die Nummer CVE-2026-69414 zugewiesen wurde. Drei der früheren Defender-Lücken des Forschers wurden bereits für Angriffe ausgenutzt. SignDrop gehört allerdings zu einer anderen Klasse: Die früheren Exploits zielten auf Race Conditions bei der Dateiverarbeitung von Defender, der neue Exploit dagegen auf die Authentifizierungsfunktion des CLFS-Treibers selbst.