Nuevo zero-day en Windows permite que un usuario común se convierta en SYSTEM

La protección de Windows contra ataques a través de los registros del sistema se ha convertido en una herramienta de escalada de privilegios. El 10 de noviembre Abdelhamid Naseri publicó el exploit SignDrop, que, según el autor, otorga a un usuario normal los privilegios SYSTEM. La falla se encuentra en el controlador del Sistema común de archivos de registro (CLFS) y potencialmente afecta las ediciones de escritorio y servidor de Windows.

Microsoft explica que el 28 de octubre de 2025 añadió una comprobación de integridad para los registros CLFS. Windows firma los archivos con un código criptográfico HMAC vinculado a un equipo concreto y rechaza leer registros modificados. La nueva protección se implementó después de ataques al controlador en los que archivos preparados permitían obtener privilegios elevados.

SignDrop vuelve la protección contra el propio sistema. Al crear un registro, el controlador genera un archivo .blf y utiliza .cnpf para la verificación de autenticidad. El usuario puede adjuntar contenedores adicionales. Si un contenedor permanece vacío, al abrirse posteriormente CLFS intenta crear para ese contenedor un archivo de verificación de autenticidad. Los permisos del proceso llamante determinan con qué privilegios se ejecuta la operación.

En el ejemplo publicado, Naseri obliga a Microsoft Defender a abrir un contenedor preparado a través de una interfaz de servicio y redirige la ruta mediante enlaces simbólicos. CLFS crea el .cnpf faltante en nombre de SYSTEM, conservando los permisos de acceso del archivo original. Según la demostración, la cadena permite ejecutar una consola de comandos con los máximos privilegios del sistema.

SignDrop también puede eludir la autodefensa de los antivirus. La creación del archivo parece una acción de un proceso de confianza del software de protección, por lo que el controlador de protección puede permitir la operación. Naseri supone que tal esquema permitiría desactivar antivirus y sistemas EDR. Aún no hay verificación independiente de la elusión de ningún producto de protección, y no se ha registrado el uso de la técnica en ataques.

El autor probó el exploit en Windows 11 26H2, en una compilación experimental 26H2 y en un Windows Server 2025 experimental. La documentación oficial también atribuye el mecanismo de protección a Windows 11 25H2, 26H1 y a las compilaciones regulares de Server 2025. El conjunto potencial de sistemas es más amplio que las versiones probadas, pero no se ha demostrado la efectividad de SignDrop en cada compilación. Para Windows 10 y versiones server más antiguas la afectación no está confirmada.

El riesgo depende del parámetro Mode en la rama del registro HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. Según la valoración de Naseri, los valores 0 y 1 indican modos vulnerables, mientras que 2 y 3 excluyen el escenario descrito. Durante los primeros 90 días después de la implementación de la protección, CLFS se adapta y luego pasa a la comprobación estricta. Ambos modos son potencialmente vulnerables. La proporción declarada del 80% de equipos Windows no está respaldada por mediciones.

Anteriormente, otra falla de CLFS, CVE-2025-29824, se utilizó en ataques con participación de grupos de ransomware. SignDrop, por el contrario, hasta ahora solo se conoce por la demostración y requiere la ejecución previa de código en el equipo. Al 12 de noviembre el nuevo defecto no ha recibido un CVE propio, una valoración CVSS ni una corrección por parte de Microsoft. No se recomienda desactivar la protección CLFS, ya que volverían a estar disponibles los métodos anteriores para explotar el controlador.