La nueva vulnerabilidad de día cero SignDrop de Windows otorga a los hackers privilegios de SYSTEM.

El investigador de seguridad Abdelhamid Naceri (también conocido como Nightmare Eclipse) ha publicado una nueva vulnerabilidad de día cero en Windows que permite a los atacantes obtener privilegios de SYSTEM.

Denominada SignDrop, esta vulnerabilidad explota las medidas de mitigación que Microsoft implementó en octubre de 2025 para protegerse contra ataques de autenticación dirigidos a vulnerabilidades en el controlador del Sistema Común de Archivos de Registro (CLFS). Naceri añadió que los ataques que explotaban vulnerabilidades de CLFS disminuyeron drásticamente tras la implementación de estas medidas, pero que la propia mitigación de Microsoft introdujo esta nueva vulnerabilidad.

Según Naceri, el fallo reside en la forma en que CLFS gestiona la creación del archivo de autenticación ("cnpf") al crear un nuevo archivo de registro. Explicó que CLFS aplica correctamente las comprobaciones de acceso al inicio, pero esta lógica puede ser vulnerada si un proceso diferente con privilegios abre posteriormente el archivo de registro.

También añadió que se puede forzar a procesos con privilegios, como Windows Defender, a abrir los archivos, de modo que el archivo de autenticación se crea con privilegios de SYSTEM, mientras que CLFS lo crea con los permisos de acceso del archivo original. Naceri señaló que Microsoft implementó la mitigación correctamente, pero que "la lógica permite el abuso" y afirmó que la técnica funciona contra la autoprotección (protección contra manipulaciones) de cualquier motor antimalware, ya que la solicitud de creación de archivos parece provenir del propio proceso legítimo del motor.

"Si todo está correctamente encadenado, curiosamente, esta mitigación de seguridad legítima puede usarse en su contra y permitir una elevación de privilegios. Microsoft lo hizo todo correctamente, pero la lógica permite el abuso", declaró el investigador de seguridad.