Kolejna niezałatana luka w Windows trafiła do sieci, a tym razem brudną robotę wykonuje Defender

Badacz znany jako Nightmare Eclipse opublikował kolejną lukę. Abdelhamid Naceri, którego wcześniejsze publikacje obejmowały BigDiskBuster, umieścił w tym tygodniu na GitHubie działający exploit o nazwie SignDrop, a słabość, z której korzysta, nie została naprawiona.

SignDrop to coś, co specjaliści nazywają eskalacją uprawnień. Sam nie dostanie się do komputera. Bierze natomiast program, który już działa ze zwykłymi uprawnieniami użytkownika, i daje mu SYSTEM, najwyższy poziom kontroli w Windows. Droga prowadzi przez Common Log File System, część Windows prowadzącą niektóre pliki dziennika, oraz przez zabezpieczenia, które Microsoft dodał do niej w październiku 2025 roku. Według SecurityWeek exploit skłania Microsoft Defender do utworzenia pliku podpisu w miejscu wybranym przez atakującego. Defender robi to z pełnymi uprawnieniami systemowymi, a exploit wsuwa potem do pliku własny ładunek. Naceri twierdzi też, że ta sama technika potrafi wyłączyć samoobronę, którą programy antywirusowe chronią się przed ingerencją szkodników.

Naceri przetestował go na Windows 11 26H2 i szacuje, że podatnych jest około 80% instalacji Windows, czego ani BleepingComputer, ani SecurityWeek nie sprawdziły. Cyderes, firma zajmująca się bezpieczeństwem, która skompilowała i uruchomiła kod, nie widzi dowodów na użycie SignDrop w prawdziwych atakach. Poprawki nie ma, a według Naceriego wyłączenie ochrony dzienników otworzyłoby tylko starsze dziury, więc nie ruszaj rejestru. Nie pobieraj też dowodu koncepcji, żeby „przetestować” własny komputer.

Skuteczna obrona jest ta nudna. Taka luka potrzebuje najpierw przyczółka, zwykle programu, który ktoś dał się namówić uruchomić: scrackowana gra, fałszywa aktualizacja przeglądarki i „kodek” wideo, którego rzekomo wymaga jakaś strona, pozostają prawdziwym zagrożeniem. Zostaw włączoną usługę Windows Update, żeby poprawka dotarła w dniu, w którym Microsoft ją wyda, a kontrola bezpieczeństwa Tendvane pokaże jednym rzutem oka, czy Defender, zapora i aktualizacje są w porządku.