SignDrop: Windows-Zero-Day nutzt Defender für System-Rechte

Mit symbolischen Links im Windows Object Manager sorgt der Angreifer dafür, dass Defender den Container mit den Rechten der Antimalware-Engine öffnet. Fehlt eine zugehörige Authentifizierungsdatei, legt CLFS sie mit den System-Rechten von Defender an. Die neue Datei übernimmt die Zugriffsliste der ursprünglichen, sodass der Angreifer Zugriff auf eine als System erstellte Datei erhält und damit seine Rechte ausweiten kann.

Die Ironie: Die Lücke geht auf eine Schutzmaßnahme zurück, die Microsoft im Oktober 2025 gegen andere CLFS-Angriffe eingeführt hat. „Microsoft macht hier alles richtig, aber die Logik erlaubt Missbrauch“, schrieb Nightmare Eclipse sinngemäß. Der Forscher behauptet zudem, der Trick funktioniere gegen jede Antimalware-Engine, weil die Dateierstellung scheinbar vom eigenen, vertrauenswürdigen Prozess stammt. So ließen sich Virenscanner oder EDR-Tools abschalten.

Welche Windows-Versionen sind betroffen?

Laut Nightmare Eclipse funktionierte der Exploit unter Windows 11 26H2, Windows 11 26H2 Experimental und Windows Server 2025 Experimental. Anfällig ist ein System, dessen CLFS-Authentifizierungsmodus auf Learning oder Enforcement steht.

Der Forscher Will Dormann konnte den Exploit nachvollziehen, mit einer Einschränkung: Offenbar braucht es Windows 26H2, das schon mehr als 90 Tage installiert ist. Eine frische Installation mit Updates reicht nicht. Der Registry-Wert HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode muss 0 oder 1 sein. Von Dormanns vielen Rechnern erfüllte nur einer diese Bedingung.

Microsoft verteilt Versionen wie 26H2 gestaffelt, deshalb ist unklar, wie viele Nutzer betroffen sind. Ihre Version sehen Sie mit dem Befehl „winver“. Microsoft erklärt, man prüfe den Bericht, habe keine Hinweise auf Angriffe in freier Wildbahn, und Defender blockiere mögliche Ausnutzungsversuche. Nightmare Eclipse hat in den vergangenen Monaten zahlreiche weitere Windows-Zero-Days veröffentlicht.