Антивирус Windows помог взломать Windows 11

Есть и хорошие новости: на только что обновленной системе уязвимость не работает.

Специалист по информационной безопасности под псевдонимом Nightmare Eclipse нашел уязвимость нулевого дня в Windows 11 и Windows Server 2025. Уязвимость, получившая название SignDrop, позволяет поднять уровень прав аккаунта и отключить антивирус.

Сама уязвимость находится в Common Log File System, системной службе Windows для ведения журналов. Для эксплуатации SignDrop используется функция Windows Defender ServerMpUpdateEngineSignature, предназначенная для обработки обновлений антивирусных сигнатур.

В ходе атаки злоумышленник создает специальный файл журнала и с помощью символических ссылок Windows Object Manager заставляет антивирус открыть его от имени процесса с системными привилегиями.

Если связанный с журналом файл аутентификации отсутствует, CLFS создает его с правами SYSTEM, сохраняя настройки доступа исходного файла. В результате обычный пользователь получает возможность использовать созданный системным процессом объект для повышения собственных привилегий.

Причиной уязвимости оказался защитный механизм, добавленный Microsoft в октябре 2025 года для борьбы с предыдущими атаками на CLFS. По словам Nightmare Eclipse, SignDrop позволяет обходить защиту от вмешательства в работу антивирусов и EDR-систем. Создание файлов происходит от имени доверенного процесса самого защитного ПО, поэтому его драйверы воспринимают запросы как легитимные.

Работоспособность эксплойта подтверждена на Windows 11 26H2, Windows 11 26H2 Experimental и Windows Server 2025 Experimental. Исследователь безопасности Уилл Дорманн воспроизвел атаку, однако обнаружил существенное ограничение: для атаки требуется Windows 11 26H2, установленная более 90 дней назад. Простая установка новой системы со всеми обновлениями аналогичного результата не дает.