SignDrop: il buco di Windows che trasforma una protezione in arma contro se stessa

Un ricercatore insoddisfatto ha appena pubblicato il codice di un exploit zero-day per Windows, chiamato SignDrop, che consente a un utente locale di ottenere privilegi di Sistema completi. Il colpo più ironico? L'exploit sfrutta proprio una misura di sicurezza che Microsoft aveva introdotto appena un anno fa per difendere il sistema da attacchi precedenti al driver CLFS (Common Log File System). Secondo Ars Technica, il ricercatore dietro il rilascio è Abdelhamid Naceri, noto con lo pseudonimo Nightmare Eclipse, che da mesi pubblica zero-day Windows in segno di protesta contro il modo in cui Microsoft gestisce le segnalazioni di vulnerabilità.

Chi

Abdelhamid Naceri è un ricercatore di sicurezza che si identifica come ex dipendente Microsoft. Da aprile 2026 ha iniziato a divulgare pubblicamente una serie di zero-day per Windows e Microsoft Defender, tra cui BlueHammer, ShieldBreak, RoguePlanet, BigDiskBuster e altri ancora. Naceri sostiene che il processo di divulgazione coordinata di Microsoft sia inadeguato e frustrante: in particolare, critica il requisito dell'MSRC (Microsoft Security Response Center) di fornire un video dimostrativo dell'exploit, che a suo dire aumenta inutilmente il carico di lavoro per i ricercatori. Cinque anni fa aveva già pubblicato exploit senza preavviso, spingendo Microsoft a minacciare azioni legali contro chiunque causasse "danno malevolo" ai clienti.

Cosa è successo

SignDrop è un exploit che sfrutta il modo in cui il driver CLFS di Windows crea file di accompagnamento (.cnpf) quando un processo privilegiato apre un log file. Nel dettaglio:

• La vulnerabilità: Microsoft aveva aggiunto un controllo di autenticazione ai file di log CLFS nell'ottobre 2025 (negli aggiornamenti per Windows 11 25H2, 26H1 e Windows Server 2025). Questo controllo usa un codice di autenticazione basato su hash per verificare che i file di log non siano stati manomessi. Quando il driver crea il file .cnpf di accompagnamento, lo fa nel contesto di sicurezza del processo privilegiato che ha aperto il log, non dell'utente che lo ha creato.

• Come funziona l'exploit: Un utente standard prepara un log CLFS con percorsi che controlla. Quando un processo privilegiato (come il servizio Windows Defender) apre quel log, il driver crea il file .cnpf nel contesto di SYSTEM. L'exploit usa reindirizzamenti di symbolic link per far sì che il file venga creato dove l'attaccante desidera. Poiché il file .cnpf eredita i permessi del log originale, l'utente standard può scrivere su un file creato come SYSTEM.

• L'ironia: Naceri ha sottolineato che "tutto è stato fatto correttamente da Microsoft, ma la logica consente l'abuso". L'exploit può essere usato anche contro qualsiasi motore antimalware per bypassare i meccanismi di auto-difesa (tamper protection), perché dal punto di vista dei driver kernel, la richiesta di creazione del file proviene dal processo legittimo dell'antimalware stesso.

• Portata: Secondo Naceri, circa l'80% delle installazioni di Windows è vulnerabile. Il requisito tecnico è che il sistema esegua Windows 11 26H2 (o versioni sperimentali) e abbia almeno 90 giorni di vita. Inoltre, il valore di registro HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode deve essere 0 (enforcement) o 1 (learning mode).

• Verifiche indipendenti: Will Dormann, analista principale di vulnerabilità presso Tharros, ha confermato che l'exploit funziona come descritto. Sungyup Nam, capo ricerca della società di sicurezza coreana 78researchlab, ha riferito che il suo team ha testato SignDrop e ha confermato il funzionamento, anche se ha notato che non è abbastanza affidabile per un uso operativo in attacchi reali. L'exploit richiede che Windows Defender sia abilitato e cambia ogni prompt UAC in una shell utente standard e una shell SYSTEM, rendendo l'attacco potenzialmente visibile a chi usa il computer.

• Stato ufficiale: Microsoft non ha ancora confermato la vulnerabilità, non ha assegnato un CVE e non ha rilasciato una patch nei suoi aggiornamenti di novembre. L'azienda ha dichiarato di stare investigando e che Defender blocca i tentativi di sfruttamento.

Perché è importante

SignDrop rappresenta una minaccia concreta per la sicurezza di milioni di computer Windows, per diversi motivi:

Accesso locale come punto di partenza: Sebbene l'exploit richieda che un attaccante abbia già accesso locale al sistema, questo è tutt'altro che raro. Gli hacker possono ottenere accesso locale attraverso ingegneria sociale, sfruttamento di altre vulnerabilità software, attacchi basati su credenziali rubate, o semplicemente accesso fisico.

Bypass di protezioni antimalware: La capacità di disattivare antivirus e EDR (Endpoint Detection and Response) è particolarmente grave. Una volta che un attaccante ha privilegi SYSTEM, può installare malware, rubare dati, modificare il sistema e coprire le tracce. Questo rende SignDrop uno strumento potente per ransomware, spyware e altre minacce avanzate.

Contesto storico del CLFS: Il driver CLFS è stato un bersaglio frequente per gli attacchi di escalation dei privilegi. Secondo CISA, 10 vulnerabilità CLFS sono state effettivamente sfruttate in attacchi reali, inclusa una usata in campagne ransomware nell'aprile 2025. La protezione introdotta da Microsoft era un tentativo legittimo di ridurre questa superficie di attacco.

Il paradosso della mitigazione: Quello che rende SignDrop particolarmente preoccupante è che sfrutta esattamente la mitigazione che Microsoft aveva implementato per proteggere il sistema. Non è un bug di implementazione, ma un'abuso della logica stessa della protezione. Questo solleva domande sulla difficoltà di progettare difese che non creino nuove vulnerabilità.

Precedenti di Naceri: Questo non è il primo zero-day che Naceri pubblica. Da aprile ha divulgato una serie di exploit, alcuni dei quali Microsoft ha corretto (ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, MiniPlasma), ma molti altri rimangono senza patch. Il pattern di divulgazione pubblica senza preavviso è inusuale e controverso nella comunità della sicurezza, dove la pratica standard è la divulgazione coordinata.

Cosa aspettarsi

Ecco gli indicatori e gli scenari da monitorare:

Patch Microsoft: La priorità immediata è una patch ufficiale. Microsoft dovrebbe rilasciarla nel suo ciclo di aggiornamenti mensili (Patch Tuesday). La domanda tecnica aperta è se la patch risolverà il problema senza reintrodurre i rischi di memory corruption che la mitigazione originale era stata progettata per prevenire.

Sfruttamento in attacchi reali: Finora non ci sono segnalazioni di SignDrop usato in campagne malware attive. Tuttavia, dato che il codice è pubblico e l'exploit è relativamente semplice da usare, è probabile che i criminali informatici lo adottino nei prossimi mesi, soprattutto per attacchi mirati.

Reazione della comunità di sicurezza: La divulgazione di Naceri continua a dividere gli esperti. Alcuni lo vedono come un whistleblower che espone processi inadeguati di Microsoft; altri criticano la divulgazione pubblica senza preavviso come irresponsabile e potenzialmente dannosa per gli utenti finali. È possibile che questo episodio acceleri una discussione più ampia su come le aziende tech dovrebbero gestire i ricercatori insoddisfatti.

Azioni difensive: Gli amministratori IT possono verificare l'esposizione controllando il valore di registro CLFS. Se il valore Mode è 0 o 1, il sistema è vulnerabile. Nel frattempo, Microsoft consiglia di non disabilitare la mitigazione CLFS, poiché questo esporrebbe i sistemi ai rischi di memory corruption che la protezione era stata progettata per prevenire.

Ulteriori zero-day: Naceri ha accennato a una "lista lunga" di altri zero-day ancora non corretti. È probabile che continui a divulgare pubblicamente altre vulnerabilità nei prossimi mesi, mantenendo la pressione su Microsoft.

SignDrop è un promemoria che le difese di sicurezza, per quanto ben progettate, possono creare nuove superfici di attacco se non considerate da ogni angolo possibile.