SignDrop: un zero-day de Windows vuelve Defender contra sí mismo

Mediante enlaces simbólicos del Administrador de objetos de Windows, el atacante consigue que Defender abra el contenedor con los permisos del motor antimalware. Si falta un archivo de autenticación asociado, CLFS lo crea con los privilegios System de Defender. El archivo nuevo hereda la lista de control de acceso del original, así que el atacante puede acceder a un archivo creado como System y usarlo para escalar privilegios.

La ironía es que el fallo nace de una medida que Microsoft introdujo en octubre de 2025 para frenar otros ataques contra CLFS. «Microsoft hace todo correctamente aquí, pero la lógica permite el abuso», escribió Nightmare Eclipse. El investigador asegura además que el truco sirve contra cualquier motor antimalware, porque la creación del archivo parece venir de su propio proceso de confianza. Eso permitiría desactivar antivirus o herramientas EDR (detección y respuesta en endpoints).

¿Qué versiones de Windows están afectadas?

Según Nightmare Eclipse, el exploit funcionó en Windows 11 26H2, Windows 11 26H2 Experimental y Windows Server 2025 Experimental. Un sistema es vulnerable si su modo de autenticación de CLFS está en aprendizaje o en cumplimiento.

El investigador Will Dormann reprodujo el exploit y confirma que funciona como se describe, con una salvedad. Parece requerir Windows 26H2 instalado desde hace más de 90 días, así que una instalación nueva con actualizaciones no basta. El valor de registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode debe ser 0 o 1. De las muchas máquinas de Dormann, solo una cumplía el requisito.

Microsoft despliega versiones como 26H2 por fases, por lo que no está claro cuánta gente la tiene. Puedes comprobar tu versión ejecutando «winver». Microsoft dice que investiga el informe, que no tiene pruebas de explotación activa y que Defender bloquea posibles intentos. Nightmare Eclipse ha publicado muchos otros zero-days de Windows en los últimos meses.