آسیب پذیری جدید ویندوز به هکرها اجازه می دهد تا کنترل کامل ویندوز را در دست بگیرند

یک محقق امنیت سایبری آسیب‌پذیری روز صفر جدیدی را در ویندوز شناسایی کرده است که به مهاجمان اجازه می‌دهد به بالاترین سطح مجوز سیستم (SYSTEM) دسترسی پیدا کنند.

این آسیب پذیری که SignDrop نام دارد حتی می تواند مکانیسم های امنیتی آنتی ویروس ها را دور بزند. عبدالحمید ناصری محقق امنیت سایبری که با نام مستعار Nightmare Eclipse شناخته می شود، یک اکسپلویت جدید ویندوز روز صفر را منتشر کرده است. SignDrop به مهاجمان اجازه می دهد تا کنترل سیستم را با بالاترین سطح دسترسی به دست بگیرند.

SignDrop از مکانیسم‌های امنیتی استفاده می‌کند که مایکروسافت در اکتبر 2025 برای مقابله با حملات احراز هویت در برابر آسیب‌پذیری‌ها در درایور Common Log File System یا CLFS معرفی کرد. به گفته نصری، پس از اجرای این مکانیسم‌های امنیتی، تعداد حملاتی که از آسیب‌پذیری‌های CLFS سوء استفاده می‌کنند، به شدت کاهش یافته است. اما همین اقدامات امنیتی مایکروسافت در نهایت منجر به شکل گیری یک آسیب پذیری جدید شد.

به گفته این محقق، مشکل مربوط به نحوه مدیریت فایل احراز هویت با پسوند cnpf در فرآیند ایجاد فایل گزارش جدید توسط CLFS است. این درایور در ابتدا بررسی های دسترسی را به درستی انجام می دهد. اما اگر فرآیند دیگری با سطح دسترسی بالاتر فایل log را بعدا باز کند، مهاجمان می توانند از منطق این مکانیسم سوء استفاده کنند.

نصری توضیح می‌دهد که مهاجمان می‌توانند فرآیندهای با دسترسی بالا، از جمله Windows Defender را مجبور به باز کردن فایل‌های مورد نظر خود کنند. در چنین حالتی، فایل احراز هویت با مجوزهای SYSTEM ایجاد می شود و CLFS مجوزهای دسترسی به فایل اصلی را برای آن در نظر می گیرد.

این محقق تاکید می کند که مایکروسافت مکانیسم امنیتی مورد بحث را به درستی پیاده سازی کرده است، اما منطق آن همچنان اجازه سوء استفاده را می دهد. به گفته وی، این روش می تواند مکانیسم حفاظت از دستکاری را در موتورهای مختلف ضد بدافزار هدف قرار دهد. زیرا درخواست ایجاد فایل از نظر سیستم توسط مراحل قانونی خود آنتی ویروس صادر می شود.

نصری در توضیح این مطلب می گوید:

اگر همه مراحل به درستی وصل شوند، نکته جالب این است که می توان از همین مکانیسم امنیتی قانونی علیه خودش استفاده کرد و سطح دسترسی را افزایش داد. مایکروسافت تمام قسمت ها را به درستی پیاده سازی کرده است، اما منطق این مکانیسم اجازه سوء استفاده را می دهد.

او در ادامه به ویژگی منحصر به فرد SignDrop اشاره می کند:

جالب‌تر اینکه این روش می‌تواند در برابر هر موتور ضد بدافزاری برای دور زدن مکانیسم محافظت از دستکاری آن استفاده شود. مهاجم می تواند ایجاد فایل های دلخواه را در پس زمینه خود فرآیند ضد بدافزار فعال کند. بنابراین از نظر درایورهای کرنل درخواست ایجاد فایل با طی مراحل قانونی خود آنتی بدافزار صادر و در نتیجه تایید می شود. این ویژگی این آسیب پذیری را منحصر به فرد می کند. زیرا می توان از آن برای غیرفعال کردن هرگونه راه حل آنتی ویروس یا نقطه پایانی شناسایی و پاسخ تهدید (EDR) استفاده کرد.

با این حال، SignDrop در همه رایانه های ویندوز در دسترس نیست. نصری این اکسپلویت را روی ویندوز 11 26H2، ویندوز 11 26H2 بتا و ویندوز سرور 2025 بتا آزمایش کرده است. او تخمین می زند که حدود 80 درصد از نصب های ویندوز در برابر این آسیب پذیری آسیب پذیر هستند.

برای بررسی وضعیت سیستم‌ها، این محقق به کاربران پیشنهاد کرده است که از کد اثبات مفهوم (PoC) این آسیب‌پذیری استفاده کنند یا مقدار حالت احراز هویت CLFS را در مسیر رجیستری زیر بررسی کنند:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode

اگر اجرای کد اثبات مفهوم منجر به یک محیط خط فرمان با سطح دسترسی SYSTEM شود، دستگاه در برابر حملات SignDrop آسیب پذیر خواهد بود. همچنین، اگر مقدار کلید رجیستری مذکور صفر یا یک باشد، به این معنی است که رایانه در حالت یادگیری یا حالت اجرایی است و همچنان در معرض این آسیب‌پذیری قرار دارد.

نصری اضافه می کند که در حال حاضر راه حل خاصی برای رفع این مشکل وجود ندارد و کاربران باید منتظر باشند تا مایکروسافت یک اصلاح رسمی را منتشر کند. غیرفعال کردن مکانیسم امنیتی CLFS نیز راه حل خوبی نیست. زیرا با انجام این کار، رایانه ها در معرض حملاتی قرار می گیرند که از آسیب پذیری های تخریب حافظه سوء استفاده می کنند.

این محقق امنیتی که قبلا در مایکروسافت کار می‌کرد، از آوریل فهرستی طولانی از آسیب‌پذیری‌های روز صفر را در Microsoft Defender، BitLocker و سایر اجزای ویندوز فاش کرده است. اینها عبارتند از BigDiskBuster، ShieldCrash، ShieldBreak، LegacyHive، RoguePlanet، BlueHammer، RedSun، YellowKey، GreenPlasma، MiniPlasma و UnDefend.

پنج سال پیش، نصری چندین اکسپلویت روز صفر را منتشر کرد که امکان افزایش سطح دسترسی در نسخه‌های مختلف ویندوز را فراهم می‌کرد.

پس از افشای عمومی این آسیب‌پذیری توسط محقق بدون اطلاع‌رسانی خصوصی و هماهنگی قبلی با مایکروسافت، این شرکت تهدید کرد که علیه افرادی که در «فعالیت‌های مخرب و آسیب واقعی به مشتریان» دخیل هستند، اقدام قانونی خواهد کرد. این واکنش باعث شد بسیاری از فعالان حوزه امنیت اطلاعات اظهارات مایکروسافت را تهدیدی مستقیم علیه این محقق امنیتی بدانند.

از ابتدای سال، مایکروسافت برخی از آسیب‌پذیری‌های افشا شده توسط نصری، از جمله ShieldBreak، RoguePlanet، YellowKey، GreenPlasma و MiniPlasma را برطرف کرده است. با این حال، سایر آسیب‌پذیری‌های روز صفر گزارش شده هنوز وصله رسمی دریافت نکرده‌اند.