Otro fallo de Windows sin parche se ha hecho público, y este pone a Defender a hacer el trabajo sucio
El investigador conocido como Nightmare Eclipse ha publicado otro. Abdelhamid Naceri, cuyas entregas anteriores incluían BigDiskBuster, subió esta semana a GitHub un exploit funcional llamado SignDrop, y la debilidad que aprovecha no se ha corregido.
SignDrop es lo que los expertos llaman una escalada de privilegios. No puede entrar solo en un PC. Lo que hace es tomar un programa que ya se ejecuta con permisos de usuario normales y darle SYSTEM, el nivel de control más alto de Windows. El camino pasa por el Common Log File System, la parte de Windows que lleva ciertos archivos de registro, y por las protecciones que Microsoft le añadió en octubre de 2025. Según SecurityWeek, el exploit consigue que Microsoft Defender cree un archivo de firma en el lugar que elige el atacante. Defender lo hace con plenos derechos de sistema, y el exploit después mete su propia carga en el archivo. Naceri afirma además que la misma técnica puede desactivar la autoprotección que usan los antivirus para impedir que el malware los manipule.
Naceri lo probó en Windows 11 26H2 y calcula que alrededor del 80 % de las instalaciones de Windows son vulnerables, una cifra que ni BleepingComputer ni SecurityWeek han comprobado. Cyderes, una empresa de seguridad que compiló y ejecutó el código, dice no haber visto pruebas de que SignDrop se use en ataques reales. No hay solución, y según Naceri desactivar la protección de los registros solo volvería a abrir agujeros antiguos, así que no toque el registro de Windows. Tampoco descargue la prueba de concepto para "probar" su propio PC.
La defensa útil es la aburrida. Un fallo así necesita primero un punto de apoyo, normalmente un programa que alguien fue convencido de abrir: el juego pirateado, la falsa actualización del navegador y el "códec" de vídeo que una web asegura que necesita siguen siendo el peligro real. Mantenga Windows Update activado para que el parche llegue el mismo día en que Microsoft lo publique, y deje que la comprobación de seguridad de Tendvane confirme de un vistazo que Defender, el cortafuegos y las actualizaciones están en orden.