Exploit Zero-Day ‘SignDrop’ no Windows 11 Subverte Correção da Própria Microsoft Para Obter Privilégios SYSTEM

O ecossistema de segurança do Windows acaba de ser abalado por uma das descobertas mais irônicas e perigosas dos últimos anos. Uma vulnerabilidade de dia zero batizada de SignDrop permite que qualquer invasor com uma conta de usuário padrão — sem privilégios administrativos — assuma o controle irrestrito da máquina, escalando seus acessos para NT AUTHORITYSYSTEM, o nível de autoridade mais alto do sistema operacional da Microsoft.

O aspecto mais alarmante do caso não reside em uma complexa corrupção de memória tradicional, mas no fato de o exploit subverter uma ferramenta desenvolvida pela própria Microsoft especificamente para proteger o sistema. Ao transformar uma barreira de defesa recém-lançada em um vetor de ataque, o SignDrop expõe uma brecha arquitetural que atinge desde máquinas domésticas com Windows 11 até servidores corporativos com Windows Server 2025.

A anatomia do SignDrop e o histórico problemático do CLFS

Para compreender a gravidade do problema, é necessário olhar para o Common Log File System (clfs.sys), um dos componentes de kernel mais visados por grupos de cibercriminosos e operadores de ransomware nos últimos cinco anos. Por gerenciar logs transacionais do sistema com alto nível de privilégio, o driver do CLFS acumulou dezenas de falhas críticas de escalonamento local de privilégios (LPE).

Ciente dessa vulnerabilidade histórica crônica, a Microsoft desenvolveu e implementou um mecanismo rigoroso de autenticação de arquivos de log. A premissa parecia infalível: para que um contêiner de log do CLFS fosse aceito e executado, ele precisava conter um arquivo de assinatura e autenticação de integridade criptográfica com a extensão .cnpf. Sem esse certificado assinado, o driver simplesmente recusaria qualquer processamento de dados malformados.

No entanto, a implementação prática dessa proteção continha uma fragilidade de lógica profunda. O pesquisador de segurança Abdelhamid Naceri (conhecido na comunidade hacker pelos pseudônimos Nightmare Eclipse e MSNightmare) descobriu que as rotinas que criam esses arquivos de validação .cnpf durante a inicialização de contêineres vazios podiam ser manipuladas de forma previsível por usuários sem privilégios.

Manipulando o Windows Defender para trabalhar a favor do invasor

A mecânica do SignDrop é sofisticada e engenhosa. Em vez de atacar o kernel de frente, o exploit utiliza o recurso de links simbólicos dentro do Gerenciador de Objetos do Windows para coagir um serviço de alta confiança a fazer o trabalho pesado.

Nesse cenário, o invasor mira a interface de RPC exposta pelo Windows Defender para atualização de assinaturas de mecanismo (ServerMpUpdateEngineSignature). Como o motor de antimalware da Microsoft opera nativamente com privilégios de SYSTEM, qualquer solicitação de criação e validação de arquivos disparada por ele herda automaticamente essa autoridade suprema.

“A grande ironia do SignDrop é que a própria rotina de proteção criada para mitigar vulnerabilidades no CLFS foi armada para criar arquivos arbitrários com privilégios de SYSTEM em diretórios controlados pelo invasor, contornando todas as camadas de proteção contra violação”, pontuou Abdelhamid Naceri em sua análise técnica.

Ao enganar o Windows Defender para abrir e inicializar um contêiner CLFS forjado em um caminho controlado, o serviço gera o arquivo .cnpf legítimo assinado. A partir desse ponto, o invasor ganha a capacidade de reabrir, redirecionar e manipular esse arquivo para injetar uma carga útil (payload) maliciosa e invocar um shell de comando com privilégios plenos de SYSTEM.

O perigo do período de aprendizado de 90 dias

Outro fator que amplia exponencialmente a superfície de ataque é a estratégia de transição adotada pela Microsoft. Para evitar incompatibilidades de software legadas em ambientes de produção, a empresa adotou uma implantação gradual da autenticação do CLFS, que inclui uma fase inicial de “modo de aprendizado” com duração de 90 dias.

Durante esse período — ou em computadores onde a chave de registro correspondente em HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode está definida como 0 ou 1 —, o sistema opera com validações parciais. De acordo com as estimativas divulgadas pelo pesquisador, cerca de 80% das instalações ativas do Windows em todo o mundo estão atualmente vulneráveis à exploração do SignDrop.

A técnica também representa um pesadelo para soluções de segurança corporativa (EDR) e mecanismos de Tamper Protection de antivírus. Como a operação é executada através de canais e serviços confiáveis do próprio sistema operacional, a atividade inicial costuma passar despercebida pelos alertas de comportamento suspeito comuns a malwares convencionais.

Prova de conceito pública e cenário de mitigação

A prova de conceito (PoC) funcional completa do exploit foi publicada abertamente no repositório de Abdelhamid Naceri no GitHub, demonstrando passo a passo a obtenção do terminal administrativo em compilações recentes do Windows 11.

Ao contrário de outras falhas pontuais onde administradores de rede podem aplicar soluções paliativas rápidas — como desabilitar um serviço periférico ou bloquear uma porta de rede —, no caso do SignDrop não existe uma desativação recomendada. Desativar manualmente as mitigações do CLFS deixaria o computador desprotegido contra a avalanche de ataques clássicos de corrupção de memória que o recurso foi desenhado para combater.

Até o momento, a Microsoft ainda não liberou um boletim de segurança oficial ou correção emergencial em formato Out-of-Band para sanar a falha de lógica no driver clfs.sys. A expectativa é que a gigante de Redmond inclua uma correção definitiva nos próximos ciclos do Patch Tuesday. Até lá, a recomendação para administradores de sistemas e equipes de TI é manter o monitoramento rigoroso de criações anômalas de arquivos vinculadas a rotinas de atualização do Windows Defender e restringir ao máximo o acesso físico e remoto de contas locais não autorizadas.