SignDrop: Lỗ hổng zero-day biến tính năng bảo mật CLFS của Windows thành công cụ chiếm quyền SYSTEM

Mã khai thác công khai có tên SignDrop xuất hiện đầu tuần này, được cho là cho phép người dùng cục bộ trên Windows nâng quyền lên SYSTEM thông qua driver Common Log File System (CLFS). Đây là lỗ hổng zero-day chưa được Microsoft xác nhận, chưa có mã CVE và chưa có bản vá.

Bối cảnh: CLFS là mục tiêu quen thuộc

CLFS là hệ thống ghi log tích hợp sẵn trong Windows, và driver của nó từ lâu đã là mục tiêu ưa thích của các cuộc tấn công nâng quyền. Có tới 10 lỗ hổng CLFS nằm trong danh mục lỗ hổng từng bị khai thác thực tế của CISA, trong đó có một lỗ hổng bị dùng trong các chiến dịch ransomware hồi tháng 4/2025.

Để giảm rủi ro, Microsoft đã bổ sung cơ chế xác thực cho tệp log CLFS trong bản cập nhật tháng 10/2025 cho Windows 11 25H2, 26H1 và Windows Server 2025. Cơ chế này gắn một mã xác thực thông điệp dựa trên hash, được tạo từ dữ liệu log và khóa riêng của từng máy. Driver sau đó chỉ phân tích những tệp log do chính nó ghi ra. Mỗi tệp log đi kèm một tệp .cnpf lưu dữ liệu phục hồi, được tạo với cùng thuộc tính bảo mật như tệp gốc.

Cách SignDrop khai thác

Theo mã proof-of-concept, SignDrop nhắm vào bước tạo tệp đồng hành .cnpf. Người dùng thường chuẩn bị một log CLFS và container với đường dẫn do mình kiểm soát. Khi một tiến trình đặc quyền sau đó mở log này, driver tạo tệp .cnpf trong ngữ cảnh bảo mật của tiến trình đặc quyền thay vì của người dùng.

Kẻ tấn công dùng liên kết tượng trưng của object manager để chuyển hướng việc tạo tệp đến vị trí tùy ý. Trong mã đã công bố, tiến trình đặc quyền bị lợi dụng là dịch vụ chống mã độc Defender, được kích hoạt qua giao diện cập nhật của nó. Vì tệp .cnpf kế thừa quyền của log gốc, kết quả là một tệp được tạo với quyền SYSTEM nhưng người dùng thường lại ghi được vào đó — từ đây có thể nối chuỗi để có shell SYSTEM.

Nhà nghiên cứu công bố mã, với biệt danh MSNightmare, đăng code và bài phân tích chi tiết trên GitHub vào thứ Ba, trùng ngày Microsoft phát hành bản cập nhật bảo mật tháng 11. Người này nhận xét rằng Microsoft đã làm mọi thứ đúng quy trình, nhưng logic thiết kế vẫn cho phép bị lạm dụng.

Phạm vi ảnh hưởng và kiểm chứng độc lập

Khai thác được thử nghiệm trên Windows 11 26H2, bản Windows 11 26H2 Experimental và Windows Server 2025 Experimental. Hệ thống bị ảnh hưởng khi chế độ đăng ký xác thực CLFS được đặt là 0 (bắt buộc) hoặc 1 (học). Các hệ thống cũ hơn 90 ngày thường tự chuyển từ chế độ học sang bắt buộc, nên cấu hình mặc định trên các máy đã cài đặt lâu chính là đối tượng mà khai thác nhắm tới.

Giá trị đăng ký 2 hoặc 3 nghĩa là đã tắt biện pháp giảm thiểu, đưa hệ thống ra ngoài phạm vi bị ảnh hưởng — nhưng cả nhà nghiên cứu lẫn tài liệu của driver đều cảnh báo không nên làm vậy, vì tắt đi sẽ khiến CLFS phân tích các tệp log bị sửa đổi, mở lại những lỗ hổng hỏng bộ nhớ mà lớp bảo vệ này sinh ra để ngăn chặn.

Sungyup Nam, trưởng bộ phận nghiên cứu của hãng bảo mật Hàn Quốc 78researchlab, cho biết nhà nghiên cứu Heewon Song thuộc nhóm PurpleHound của hãng đã kiểm thử và xác nhận khai thác hoạt động. Tuy nhiên, Song đánh giá nó không đủ ổn định để dùng trong thực chiến. Chuỗi khai thác đã công bố yêu cầu Defender phải được bật; khi chạy, nó thay đổi mọi hộp thoại UAC thành shell người dùng thường và shell SYSTEM, chặn các thao tác khác và khiến cuộc tấn công dễ bị phát hiện bởi bất kỳ ai ngồi trước máy.

Repository còn tuyên bố kỹ thuật này có thể áp dụng với bất kỳ engine chống mã độc nào có tiến trình chạy với đặc quyền cao — tuyên bố rộng hơn này chưa được kiểm chứng.

Khuyến nghị cho quản trị viên

Không có CVE, khuyến cáo hay bản vá nào cho SignDrop trong bản cập nhật bảo mật tháng 11. Danh mục lỗ hổng bị khai thác thực tế của CISA cũng chưa liệt kê nó, và chưa ghi nhận cuộc tấn công nào sử dụng khai thác này.

Quản trị viên có thể kiểm tra mức độ phơi nhiễm bằng cách đọc chế độ xác thực CLFS tại HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication, nơi giá trị Mode là 0 hoặc 1 thuộc phạm vi mà nhà nghiên cứu tuyên bố. Hướng dẫn giảm thiểu của nhà cung cấp mô tả thiết lập này và các rủi ro khi tắt nó.

Đây là một loạt khai thác mà nhà nghiên cứu này công bố nhắm vào Windows và Defender từ tháng 4. Microsoft đã xác nhận một khai thác Defender trước đó có tên RoguePlanet vào tháng 6 là CVE-2026-50656 và vá vào tháng sau. Bypass ShieldBreak tiếp theo vào tháng 8 được gán CVE-2026-69414. Ba lỗ hổng Defender trước đó của nhà nghiên cứu này đã bị khai thác trong thực tế.

SignDrop thuộc nhóm vấn đề khác: trong khi các khai thác trước nhắm vào điều kiện tranh chấp trong xử lý tệp của Defender, lần này nhắm vào chính tính năng xác thực của driver CLFS. Hướng dẫn cập nhật bảo mật của Microsoft là nơi cần theo dõi phản hồi chính thức.

Nguồn: The Hacker News