Slapyvardžiu Nightmare Eclipse prisistatantis tyrėjas, jau kurį laiką viešai konfliktuojantis su „Microsoft“, paskelbė dar vieną „Windows“ nulinės dienos (0-day) spragą.
Antradienį Nightmare Eclipse atskleidė SignDrop – pažeidžiamumą, suteikiantį vietiniams naudotojams visas System teises kai kuriose „Windows“ versijose. Spraga slypi Common Log File System (CLFS) – „Microsoft“ šią sistemą apibūdina kaip „bendrosios paskirties žurnalų kaupimo paslaugą, kurią naudoja vartotojo arba branduolio režimu veikiančios programinės įrangos klientai“. Privertęs privilegijuotą procesą, pavyzdžiui, „Windows Defender“, atverti specialiai sukurtą CLFS konteinerį, įprastas teises turintis užpuolikas gali pasinaudoti privilegijuotu failo sukūrimu ir pakelti savo teises iki System lygio.
Paaiškinimas: Nulinės dienos spraga – tai programinės įrangos trūkumas, apie kurį gamintojas dar nežino arba kurio dar neištaisė, todėl nėra jokio oficialaus pataisymo. System teisės „Windows“ sistemoje yra aukščiausias privilegijų lygis, suteikiantis beveik visišką kontrolę kompiuteriui.
Apsauga, nukreipta prieš save
Ataka remiasi CLFS, „Windows Defender“ ir „Windows“ failų leidimų sąveika. Išnaudodama spragą, programa priverčia „Windows Defender“ atverti standartinio naudotojo sukurtą žurnalo failą, iškviesdama funkciją ServerMpUpdateEngineSignature – tai teisėta „Defender“ funkcija, skirta antivirusinių parašų atnaujinimams apdoroti.
Manipuliuodamas „Windows“ objektų tvarkytuvės (Object Manager) simbolinėmis nuorodomis, užpuolikas priverčia „Defender“ atverti CLFS konteinerį kenkėjiškų programų aptikimo variklio saugumo kontekste. Jei trūksta susieto autentifikavimo failo, CLFS jį sukuria naudodama „Defender“ System privilegijas. Kadangi CLFS naujai sukurtam failui priskiria originalaus failo diskrecinio prieigos valdymo sąrašą (Discretionary Access Control List), užpuolikas gali gauti prieigą prie failo, sukurto su System privilegijomis, – taip failo kūrimo operacija gali būti išnaudojama kaip privilegijų didinimo atakos dalis.
Kaip ironiška, pažeidžiamumas atsirado dėl saugumo priemonės, kurią „Microsoft“ įdiegė 2025 metų spalį, siekdama užkirsti kelią kitoms CLFS spragoms išnaudoti.
„Jei viskas sujungiama teisingai, juokinga, bet ši teisėta saugumo priemonė gali būti panaudota prieš save ir leisti pasikelti privilegijas“, – rašė Nightmare Eclipse. – „Čia „Microsoft“ viską padarė tinkamai, tačiau logika leidžia ja piktnaudžiauti.“
Tyrėjas tęsė:
What makes it funnier is the fact that it can be used against any antimalware engine to bypass their self defense (or tamper protection) mechanism as you can trigger arbitrary file creation in the context of their own antimalware process so from the perspective of their kernel drivers, the file creation request is coming from their own legit process so it passes, this makes this vulnerability unique as it can be used to turn off any antivirus/EDR.
Nightmare Eclipse teigė, kad išnaudojimo būdas veikė su „Windows 11 26H2“, „Windows 11 26H2 Experimental“ ir „Windows Server 2025 Experimental“. Patikrinti, ar sistema pažeidžiama, galima pasižiūrėjus CLFS autentifikavimo režimą. Jei jis veikia mokymosi (learning) arba vykdymo užtikrinimo (enforcement) režimu, sistema yra pažeidžiama, o įraše pateiktas koncepcijos įrodymas (PoC) turėtų atverti SYSTEM komandų eilutę. Pastaraisiais mėnesiais Nightmare Eclipse paskelbė ir daugybę kitų „Windows“ nulinės dienos spragų.
Tyrėjas Willas Dormannas interviu sakė sugebėjęs atkartoti šį išnaudojimo metodą ir patvirtino, kad jis veikia taip, kaip aprašyta, tačiau ne visose „Windows 11“ versijose. Anot jo, yra viena išlyga.
„Reikalavimai svarbūs: atrodo, kad reikia „Windows“ 26H2 versijos, ir tokios, kuri egzistuoja ilgiau nei 90 dienų, – paaiškino jis. – Tai yra, negalima tiesiog paimti naujos 26H2 sistemos, įdiegti atnaujinimų ir tikėtis, kad tai veiks.“
Pasak Dormanno, kad sistema būtų pažeidžiama, registro reikšmė HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode
turi būti 0 arba 1. Iš daugybės Dormanno naudojamų kompiuterių šį reikalavimą atitiko tik vienas.
„Microsoft“ „Windows“ atnaujinimus, tokius kaip 26H2, diegia etapais, todėl neaišku, kiek žmonių jį jau turi. Tai galima sužinoti paleidus komandą „winver“. „Microsoft“ atstovai į el. paštu išsiųstą prašymą pakomentuoti neatsakė.
