Código de exploit público divulgado no início desta semana afirma que um usuário local do Windows pode obter privilégios SYSTEM por meio do driver Common Log File System (CLFS, ou Sistema Comum de Arquivos de Log).
A prova de conceito, chamada SignDrop, mira um recurso de autenticação de logs adicionado ao driver no ano passado. Ela explora a forma como o clfs.sys cria arquivos companheiros quando um processo privilegiado abre um log preparado, usando redirecionamento de caminho para assumir o controle da operação. A Microsoft não confirmou a falha alegada, não atribuiu um CVE (identificador de vulnerabilidade) e não lançou uma correção.
O pesquisador por trás do exploit, que publica com o nome MSNightmare, divulgou o código e um relatório técnico detalhado no GitHub na terça-feira, mesmo dia em que a empresa publicou suas atualizações de segurança de novembro.
O CLFS é um subsistema de registro de logs integrado ao Windows. Seu driver tem sido alvo frequente de escalonamento de privilégios: 10 falhas do CLFS aparecem no catálogo da CISA (Agência de Segurança de Infraestrutura e Cibersegurança dos EUA) de vulnerabilidades conhecidas por terem sido exploradas em ataques, incluindo uma usada em campanhas de ransomware em abril de 2025.
Para reduzir essa exposição, a Microsoft adicionou uma verificação de autenticação aos arquivos de log do CLFS nas atualizações do Windows 11 25H2, 26H1 e Windows Server 2025 lançadas em outubro de 2025. A verificação anexa um código de autenticação de mensagem baseado em hash, construído a partir dos dados do log e de uma chave exclusiva de cada máquina.
O driver então analisa apenas arquivos de log que ele mesmo gravou. Um arquivo companheiro .cnpf armazena dados de recuperação ao lado de cada log e é criado com os mesmos atributos de segurança do original, segundo a página da Microsoft sobre autenticação de arquivos de log.
O SignDrop mira a criação desse arquivo companheiro. De acordo com o código de prova de conceito, um usuário padrão prepara um log e um contêiner do CLFS com caminhos controlados por ele. Quando um processo privilegiado abre esse log depois, o driver cria o arquivo .cnpf no contexto de segurança do processo privilegiado, e não no do usuário.
O exploit usa links simbólicos do gerenciador de objetos para redirecionar essa criação de arquivo para um local escolhido pelo atacante. No código publicado, o processo privilegiado é o serviço antimalware Defender, acionado por meio de sua interface de atualização.
“Tudo é feito corretamente pela Microsoft aqui, mas a lógica permite abuso”, escreveu o pesquisador.
Como o arquivo .cnpf herda as permissões do log original, o resultado é um arquivo criado como SYSTEM no qual o usuário padrão pode escrever. O pesquisador afirma que isso pode ser encadeado em um shell SYSTEM.
O exploit foi testado no Windows 11 26H2, em uma build experimental do Windows 11 26H2 e no Windows Server 2025 Experimental, segundo o repositório. Os sistemas são afetados quando o modo de autenticação do CLFS no registro está definido como 0 (aplicado) ou 1 (aprendizado). Sistemas com mais de 90 dias normalmente passam automaticamente do modo de aprendizado para o modo de aplicação, de modo que a configuração padrão em instalações estabelecidas é justamente a que o exploit tem como alvo.
Um valor de registro 2 ou 3 significa que a mitigação está desativada. Isso tira o sistema da superfície de ataque alegada, mas o pesquisador e a própria documentação do driver alertam contra essa configuração: desativá-la permite que o CLFS analise arquivos de log adulterados, reabrindo as falhas de corrupção de memória que a proteção foi criada para evitar.
Teste independente
Sungyup Nam, chefe de pesquisa da empresa de segurança sul-coreana 78researchlab, relatou em uma avaliação publicada hoje que o pesquisador Heewon Song, da equipe de conteúdo ofensivo PurpleHound da empresa, testou o exploit e constatou que ele funciona. Song avaliou que ele não roda de forma confiável o suficiente para uso operacional, escreveu Nam.
O Defender precisa estar habilitado para que a cadeia publicada tenha sucesso. Ao executar o exploit, todas as solicitações do UAC (Controle de Conta de Usuário) passam a abrir um shell de usuário padrão e um shell SYSTEM, bloqueando outras ações e tornando o ataque perceptível para qualquer pessoa diante da máquina.
O repositório afirma que a técnica pode funcionar contra qualquer mecanismo antimalware cujo processo seja executado com privilégios elevados. Essa afirmação mais ampla não foi testada.
O que os defensores podem fazer
Nenhum CVE, aviso ou correção para o SignDrop apareceu nas atualizações de segurança de novembro. O catálogo de vulnerabilidades exploradas conhecidas da CISA não o inclui, e nenhum ataque usando o exploit foi relatado.
Administradores podem verificar sua exposição lendo o modo de autenticação do CLFS em HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication (HKLM, abreviação de HKEY_LOCAL_MACHINE, chave do Registro do Windows), onde um valor Mode de 0 ou 1 se encaixa no escopo alegado pelo pesquisador. O guia de mitigação da Microsoft descreve a configuração e os riscos de desativá-la.
O pesquisador lançou uma série de exploits contra o Windows e o Defender desde abril. A Microsoft confirmou um exploit anterior contra o Defender chamado RoguePlanet em junho, como CVE-2026-50656, e o corrigiu no mês seguinte.
O bypass ShieldBreak veio em agosto e recebeu o CVE-2026-69414. Três das falhas anteriores do pesquisador no Defender foram exploradas em ataques.
O SignDrop é uma classe de problema diferente. Enquanto os exploits anteriores miravam condições de corrida no tratamento de arquivos do Defender, este mira o próprio recurso de autenticação do driver CLFS. O guia de atualizações de segurança da Microsoft é o lugar para acompanhar uma resposta.
