SignDrop: PoC pública visa SYSTEM no Windows; ainda sem correção

A atualização mais recente do lote reforça a alegação de que o SignDrop permite a um usuário local elevar privilégios até SYSTEM explorando o driver CLFS do Windows. O código de prova de conceito está público, mas o lote não contém confirmação da Microsoft, CVE ou correção oficial.[1]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes

Um repositório público apresentou o SignDrop, e reportagens posteriores descreveram uma cadeia de elevação local de privilégios. Segundo essa descrição, um arquivo CLFS preparado leva um processo privilegiado, como o Microsoft Defender, a abri-lo e aciona a criação de outro arquivo com privilégios de SYSTEM.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes[1]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

Se a prova de conceito funcionar como descrito, alguém que já consiga executar código como usuário local poderá tentar obter o nível mais alto de controle do Windows. Os relatos também levantam a possibilidade de contornar mecanismos de autoproteção de antivírus ou EDR, mas o lote não demonstra esse impacto de forma independente.[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes[1]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

Não desative a mitigação de autenticação do CLFS como atalho, pois isso poderia reabrir exposição a outros ataques contra o driver. Como a cadeia descrita exige execução local, restringir código de origem não confiável e acompanhar orientações da Microsoft são contenções prudentes, não uma correção comprovada para o SignDrop.[4]New Windows SignDrop zero-day grants SYSTEM privileges and bypasses antivirus tamper protectionreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes

O lote mostra divulgação pública e cobertura técnica, mas não inclui boletim da Microsoft, identificador CVE, correção oficial, telemetria de exploração ativa ou validação independente da prova de conceito. Uma publicação afirma explicitamente que a Microsoft ainda não confirmou a falha.[5]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes

Uma discussão atribui ao pesquisador Abdelhamid Naceri a estimativa de que 80% das instalações do Windows seriam vulneráveis. Outra publicação diz que o código foi testado em variantes do Windows 11 26H2 e do Windows Server 2025 Experimental. São alegações reproduzidas por terceiros, não medições ou testes independentes presentes no lote.[4]New Windows SignDrop zero-day grants SYSTEM privileges and bypasses antivirus tamper protectionreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes[1]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

A narrativa técnica situa a origem do problema em uma função de autenticação adicionada ao CLFS para reduzir ataques anteriores. A cobertura afirma que essa proteção passou a criar arquivos auxiliares quando um log é aberto e que o SignDrop explora justamente a lógica dessa criação, transformando uma mitigação em possível caminho de elevação de privilégios.[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes[4]New Windows SignDrop zero-day grants SYSTEM privileges and bypasses antivirus tamper protectionreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

4 grupos independentes, 5 atualizações e 10 interações. Comunidades observadas: r/pwnhub.

O mecanismo descrito combina um contêiner CLFS preparado com redirecionamento de caminho. Quando um processo privilegiado abre o log, o clfs.sys supostamente cria um arquivo auxiliar de autenticação sob a identidade desse processo. O atacante tentaria direcionar essa criação para um local escolhido e usar o arquivo privilegiado como etapa da elevação até SYSTEM.[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes[1]DarkWebInformerx.com · DarkWebInformer · xAbrir fonte originalVer na lista de fontes

A base mais direta do lote é o repositório público associado ao SignDrop, enquanto os detalhes do mecanismo vêm principalmente de uma reportagem e de publicações em redes sociais. Como não há resposta técnica da Microsoft nem reprodução independente documentada entre as evidências fornecidas, autoria, alcance, eficácia e condição de dia zero permanecem alegações.[3]github.comgithub.com · rssAbrir fonte originalVer na lista de fontes[2]New SignDrop Zero-Day Exploit Turns Windows CLFS Security Feature Into SYSTEM Accessthehackernews.com · rssAbrir fonte originalVer na lista de fontes[5]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes