Un investigador ha publicado SignDrop, una prueba de escalada de privilegios en Windows que permite, según su demostración, pasar de una cuenta local estándar a SYSTEM, el contexto de privilegios elevados del sistema. La técnica utiliza el controlador Common Log File System (CLFS) y una cadena que implica a Microsoft Defender. Requiere un punto de entrada previo: no demuestra que se pueda acceder desde Internet a un ordenador sin tener ya acceso local.
Microsoft indicó el 13 de noviembre que investiga el informe y que Defender detecta y bloquea la explotación, además de alertar sobre la escalada de privilegios asociada. La empresa afirmó que no había observado explotación real. Al cierre de la información disponible, no constaban un identificador CVE ni un parche específico para SignDrop.
Cómo intervienen CLFS y Defender
CLFS gestiona registros en Windows. Microsoft incorporó un mecanismo de autenticación que comprueba su integridad antes de analizarlos mediante códigos HMAC, utilizados para detectar alteraciones. Su documentación contempla un periodo inicial de aprendizaje de 90 días y el posterior paso al modo de aplicación de la protección.
SignDrop aprovecha la creación de un archivo auxiliar con extensión .cnpf cuando CLFS abre un registro preparado. Si quien lo abre es un proceso privilegiado, ese archivo puede crearse en contexto SYSTEM y conservar permisos asociados al archivo original. La cadena publicada induce a Defender a abrir el registro mediante su interfaz de actualización de firmas; el autor afirma que así consigue una consola con privilegios SYSTEM.
Una evaluación técnica de la prueba consiguió ejecutarla, aunque observó un funcionamiento poco fiable. También señaló que la cadena publicada necesita Defender activo y provoca cambios visibles en los avisos del Control de cuentas de usuario (UAC), que solicita autorización para determinadas acciones con privilegios elevados.
Alcance declarado y protección
El autor declara pruebas en Windows 11 26H2, Windows 11 26H2 Experimental y Windows Server 2025 Experimental. Sitúa el alcance en equipos cuyo valor Mode de autenticación CLFS sea 0 o 1. Estos datos describen sus pruebas y su interpretación del mecanismo; no constituyen un inventario confirmado de todas las instalaciones vulnerables.
Desactivar la autenticación CLFS no es una solución general. Los valores 2 y 3 deshabilitan esa protección y quedan fuera del alcance alegado por el investigador. Sin embargo, Microsoft advierte de que la autenticación evita que se analicen registros alterados: desactivarla elimina precisamente esa comprobación de integridad.
