Leia a versão deste conteúdo em: inglês (English) · espanhol (Español)
Uma nova vulnerabilidade zero-day no sistema operacional Windows 11, apelidada de SignDrop, representa uma ameaça significativa de segurança. A falha permite que atacantes com privilégios de usuário padrão consigam obter acesso total de nível SYSTEM, um nível de acesso extremamente elevado dentro do sistema. O risco foi exposto por pesquisadores independentes após a descoberta de uma brecha em um mecanismo de segurança que a própria Microsoft havia implementado em 2025 para prevenir justamente esse tipo de escalada de privilégios.
O Risco SignDrop: Como um Zero-Day Exploit Eleva Privilégios
O SignDrop é um exemplo clássico de ataque zero-day, o que significa que a falha era desconhecida para o público e, crucialmente, para os desenvolvedores de segurança até o momento da sua divulgação. Essa natureza inédita torna a vulnerabilidade particularmente perigosa.
O pesquisador de segurança Abdelhamid Naceri, também conhecido pelos pseudônimos Nightmare Eclipse ou MSNightmare, tornou público o código de prova de conceito (PoC) do SignDrop em 10 de novembro de 2026, utilizando o repositório GitHub. Ele demonstrou que o ataque visa o driver de Common Log File System (CLFS) da Microsoft, um componente vital responsável pelo gerenciamento de operações de registro (logging) em diversos aplicativos e serviços do sistema Windows.
A principal ameaça reside no fato de que o exploit permite que um usuário comum eleve seus privilégios de acesso. Em um cenário normal, um usuário padrão não teria capacidade de executar comandos de nível SYSTEM. No entanto, o SignDrop contorna essas barreiras, indicando um potencial risco de comprometer sistemas corporativos e pessoais em larga escala.
Mecanismo de Ataque: Explorando o Driver CLFS e o Windows Defender
O mecanismo de ataque é sofisticado, pois não ataca um ponto isolado, mas sim a interação entre diferentes componentes de segurança do Windows. Ele explora especificamente como o driver clfs.sys cria os arquivos de autenticação complementares, conhecidos como arquivos .cnpf.
A Microsoft havia introduzido o endurecimento de autenticação do CLFS em outubro de 2025, utilizando códigos criptográficos para garantir a integridade dos registros. Contudo, Naceri observou que o próprio mecanismo de autenticação poderia ser manipulado para criar arquivos com privilégios elevados. O atacante, portanto, precisa apenas preparar um arquivo de log especialmente elaborado e, em seguida, forçar um processo privilegiado do Windows, como o Microsoft Defender, a abrir esse conteúdo.
Essa interação permite que o CLFS crie o arquivo de autenticação usando privilégios SYSTEM, mas mantendo permissões de acesso herdadas do arquivo controlado pelo atacante. Essa combinação de manipulações permite a escalada de privilégios por um usuário ordinário. Além disso, o pesquisador alegou que a técnica poderia contornar mecanismos de proteção EDR (Endpoint Detection and Response) e antivírus, visto que as operações de arquivo privilegiadas parecem originar-se de processos de segurança legítimos.
Contexto Técnico: O que é o Common Log File System (CLFS) e a Correção de Segurança
Para entender a gravidade do SignDrop, é essencial compreender o CLFS. O Common Log File System é um subsistema de registro (logging) de propósito geral, acessível tanto por aplicações em modo usuário quanto por aplicações em modo kernel. Ele foi introduzido originalmente com o Windows Server 2003 R2 e é utilizado em diversas versões posteriores do Windows, incluindo Windows 11.
O CLFS é uma ferramenta robusta, utilizada para armazenar logs transacionais e de eventos, sendo vital para o funcionamento de sistemas que dependem de rastreamento de alterações de estado. A Microsoft, ciente das vulnerabilidades históricas, implementou o endurecimento de autenticação em outubro de 2025. Este recurso adicionou verificações criptográficas para validar a integridade dos dados antes que o driver os processasse.
Tanto o Windows 11 quanto o Windows Server 2025 — a versão de servidor lançada em 2024 — utilizam esse sistema. O SignDrop, portanto, não é apenas um ataque ao sistema de logs, mas um ataque que explora uma falha de lógica na forma como o próprio mecanismo de defesa foi implementado, tornando o sistema de segurança um vetor de ataque.
Recomendação e Impacto: O que Usuários e Empresas Devem Monitorar Agora
Após reproduzir o exploit, pesquisadores independentes de Cyderes confirmaram o sucesso da técnica, obtendo um shell de comando de nível SYSTEM sob certas condições. O pesquisador Naceri testou o SignDrop em sistemas como Windows 11 26H2 e Windows Server 2025 Experimental, estimando que cerca de 80% das instalações Windows poderiam estar expostas, embora ele ressalte que esta estimativa ainda não foi verificada.
Em termos de monitoramento, os usuários podem verificar o status da mitigação consultando o seguinte local no Registro do Windows: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode. De acordo com a documentação, valores de 0 (modo de aplicação) ou 1 (modo de aprendizado) indicam que a mitigação está ativa, configurando potencialmente um estado vulnerável. Contudo, é fundamental notar que esta simples verificação não garante a invulnerabilidade do sistema.
É crucial que os usuários e administradores de sistema não desativem a autenticação do CLFS como medida paliativa. Desabilitar o recurso poderia, na verdade, expor o computador a vulnerabilidades mais antigas relacionadas à corrupção de memória. Até o momento, Microsoft confirmou que está investigando o problema, e o próprio Microsoft Defender pode detectar e bloquear tentativas de exploração. No entanto, como não há um número CVE oficial nem um patch dedicado, a orientação mais segura é manter o sistema operacional e o Defender rigorosamente atualizados, aguardando o parecer oficial da Microsoft.
A segurança de sistemas operacionais modernos como o Windows 11, sucessor do Windows 10, exige vigilância constante, especialmente quando mecanismos de segurança avançados se tornam, ironicamente, o ponto de falha.
Fonte: SignDrop proof-of-concept GitHub repo