SignDrop Windows ज़ीरो-डे: Defender से ही मिल रहे System अधिकार

SignDrop कैसे काम करता है?

हमलावर Defender के वैध फ़ंक्शन ServerMpUpdateEngineSignature के ज़रिए उससे अपना बनाया CLFS लॉग फ़ाइल खुलवाता है। Object Manager के symbolic link में हेरफेर करके यह फ़ाइल Defender के सुरक्षा संदर्भ में खुलती है। अगर संबंधित authentication फ़ाइल मौजूद न हो, तो CLFS उसे Defender के System अधिकारों से बना देता है। CLFS नई फ़ाइल को मूल फ़ाइल की ही DACL (एक्सेस नियमों की सूची) दे देता है, इसलिए हमलावर को System अधिकार वाली फ़ाइल तक पहुँच मिल जाती है।

विडंबना यह है कि खामी उसी सुरक्षा उपाय से निकली है, जो Microsoft ने अक्टूबर 2025 में CLFS की दूसरी कमज़ोरियों को रोकने के लिए जोड़ा था। रिसर्चर के मुताबिक Microsoft ने सब कुछ ठीक किया, पर तर्क में गड़बड़ी है। उसका दावा है कि यही तरकीब किसी भी एंटीमैलवेयर इंजन की self-defense या tamper protection को चकमा दे सकती है।

कौन से सिस्टम प्रभावित हैं?

Nightmare Eclipse के अनुसार exploit Windows 11 26H2, Windows 11 26H2 Experimental और Windows Server 2025 Experimental पर चला। सिस्टम की जाँच के लिए CLFS authentication mode देखा जाता है। learning या enforcement mode में सिस्टम कमज़ोर है।

रिसर्चर Will Dormann ने exploit को दोहराकर देखा और कहा कि यह बताए अनुसार चलता है, पर हर Windows 11 पर नहीं। उनके मुताबिक Windows 26H2 चाहिए और वह कम से कम 90 दिन पुराना होना चाहिए। रजिस्ट्री में CLFS\Authentication\Mode का मान 0 या 1 होना ज़रूरी है। उनकी कई मशीनों में से सिर्फ एक इस शर्त पर खरी उतरी। अपना वर्शन जानने के लिए "winver" चलाया जा सकता है।

Microsoft ने कहा कि वह मामले की जाँच कर रहा है, खुलेआम इस्तेमाल का कोई सबूत नहीं है और Defender संभावित हमले की कोशिशों को रोकता है।