یک اثبات مفهوم (Proof of Concept) جدید از اکسپلویت زیرو دِی (Zero-day) با نام SignDrop منتشر شده است که نشان می‌دهد یک کاربر معمولی در ویندوز می‌تواند از طریق درایور سیستم فایل لاگ مشترک (Common Log File System یا CLFS)، سطح دسترسی خود را به سطح SYSTEM ارتقا دهد.
درایور CLFS که زیرسیستم ثبت وقایع (Logging) داخلی ویندوز است، مدت‌هاست که هدف حملات ارتقای سطح دسترسی (Privilege Escalation) قرار دارد. مایکروسافت اخیراً برای مقابله با این تهدید، قابلیت احراز هویت (Authentication) را به CLFS در نسخه‌های جدید ویندوز ۱۱ (نسخه‌های 25H2 و 26H1) و ویندوز سر ۲۰۲۵ اضافه کرده بود. این قابلیت از طریق یک کد پیام احراز هویت مبتنی بر هش (HMAC) عمل می‌کند تا اطمینان حاصل شود که درایور فقط لاگ‌هایی را که خودش نوشته است، تجزیه (Parse) می‌کند.
مکانیسم حمله SignDrop
اکسپلویت SignDrop دقیقاً این قابلیت امنیتی جدید را هدف قرار می‌دهد. زمانی که یک فرآیند دارای سطح دسترسی بالا (مانند سرویس آنتی‌مال‌ور Defender) یک فایل لاگ را باز می‌کند، درایور CLFS فایل همراهی به نام .cnpf را در بافت امنیتی (Security Context) آن فرآیند ایجاد می‌کند، نه کاربر معمولی. مهاجم با استفاده از لینک‌های نمادین (Symbolic Links) در Object Manager، فرآیند ایجاد این فایل را به مسیری که خودش کنترل می‌کند، هدایت می‌کند.
از آنجایی که فایل .cnpf مجوزهای فایل لاگ اصلی را به ارث می‌برد، نتیجه ایجاد فایلی توسط سطح SYSTEM است که کاربر معمولی می‌تواند در آن نوشتن (Write) داشته باشد. این نقص منطقی اجازه می‌دهد تا مهاجم یک شل (Shell) با سطح دسترسی SYSTEM ایجاد کند.
وضعیت فعلی و اقدامات دفاعی
در حال حاضر مایکروسافت این آسیب‌پذیری را تأیید نکرده و هنوز پَچ (Patch) یا شناسه CVE اختصاصی برای آن منتشر نشده است. آزمایش‌های مستقل نشان داده‌اند که اگرچه این اکسپلویت برای استفاده عملیاتی در حملات گسترده کاملاً پایدار نیست، اما می‌تواند با فعال بودن Defender، باعث تغییر رفتار اعلان‌های UAC و ایجاد شل‌های سطح SYSTEM شود.
مدیران سیستم می‌توانند وضعیت امنیتی این درایور را از طریق رجیستری در مسیر زیر بررسی کنند:
HKLMSYSTEMCurrentControlSetServicesCLFSAuthentication
اگر مقدار این کلید برابر با 0 (اجبار به استفاده) یا 1 (حالت یادگیری) باشد، سیستم در معرض خطر قرار دارد. توصیه می‌شود از غیرفعال کردن این قابلیت خودداری شود، زیرا باعث بازگشت به آسیب‌پذیری‌های قدیمی‌تر در تجزیه حافظه (Memory Corruption) می‌شود.
