พบช่องโหว่ Zero-Day ใหม่ 'SignDrop' บน Windows เสี่ยงถูกยกระดับสิทธิ์

Abdelhamid Naceri นักวิจัยด้านความปลอดภัยที่รู้จักกันในชื่อ Nightmare Eclipse ได้เผยแพร่ exploit สำหรับช่องโหว่ Zero-Day ตัวใหม่บนระบบปฏิบัติการ Windows เมื่อสัปดาห์นี้ที่ผ่านมา

exploit ดังกล่าวมีชื่อว่า SignDrop ซึ่งช่วยให้ผู้ใช้ทั่วไปภายในเครื่อง (local user) สามารถยกระดับสิทธิ์ของตนเองขึ้นเป็นสิทธิ์ระดับ System ได้ โดยอาศัยการอาบิวส์ตรรกะที่ผิดพลาดในส่วนของ Windows Common Log File System (CLFS)

CLFS เป็นส่วนที่ทำหน้าที่ประมวลผลไฟล์ log ที่มีความซับซ้อนในระดับ kernel mode ซึ่งตกเป็นเป้าหมายของกลุ่มภัยคุกคามมาอย่างยาวนาน โดยเมื่อปีที่แล้ว Microsoft ได้นำระบบการตรวจสอบความสมบูรณ์ของไฟล์ log โดยใช้รหัสรับรองความถูกต้อง (authentication codes) มาใช้เพื่อลดช่องโหว่ในการโจมตี

Naceri ระบุว่า SignDrop ใช้ประโยชน์จากความบกพร่องของ clfs.sys ในขั้นตอนการสร้างไฟล์ตรวจสอบสิทธิ์นามสกุล '.cnpf' ระหว่างการสร้างไฟล์ log โดยปกติแล้วโค้ดที่จัดการการสร้างหรือเปิดไฟล์ log จะพยายามลงลายเซ็น (sign) ให้กับ container เสมอแม้ว่าจะมีไฟล์ลายเซ็นอยู่แล้วหรือไม่ก็ตาม หากตรวจสอบพบว่า container นั้นว่างเปล่า

วิธีการโจมตีคือผู้ใช้ระดับมาตรฐานจะสร้างไฟล์ log และระบุพาธไปยัง container ที่ต้องการ จากนั้นจึงบังคับให้ Windows Defender เข้าไปเปิดไฟล์ผ่านกระบวนการของแอนตี้มัลแวร์โดยใช้ RPC interface สำหรับอัปเดตลายเซ็น

พฤติกรรมนี้ส่งผลให้ Windows Defender ใช้พาธที่กำหนดใน container เพื่อเปิดไฟล์ log ที่เกี่ยวข้อง และหากไม่พบไฟล์ลายเซ็น ระบบจะทำการสร้างขึ้นใหม่ทันทีด้วยสิทธิ์ระดับ System

SecurityWeek ยังไม่ได้ทำการทดสอบ SignDrop ด้วยตนเอง แต่มีข้อมูลระบุว่ามีการเปิดเผย PoC แล้ว โดยเป็นการอาบิวส์กลไกดังกล่าวเพื่อสร้างไฟล์ลายเซ็นในตำแหน่งที่ผู้โจมตีเป็นคนกำหนด จากนั้นจึงทำการเปิดไฟล์ซ้ำเพื่อวาง payload และรัน System shell ในที่สุด

ข้อมูลจากนักวิจัยระบุว่า SignDrop ผ่านการทดสอบบน Windows 11 26H2, Windows 11 26H2 Experimental และ Windows Server 2025 Experimental แล้ว โดยคาดว่าอาจส่งผลกระทบต่อผู้ใช้งาน Windows ทั่วโลกถึง 80% ซึ่ง Naceri ให้ความเห็นว่าผู้ใช้งานที่มีการติดตั้ง Windows นานกว่า 90 วันมักจะตกอยู่ในความเสี่ยง

ทางด้าน Cyderes ผู้ให้บริการความปลอดภัยทางไซเบอร์ที่ได้ทดสอบ exploit จาก PoC ระบุว่ายังไม่พบหลักฐานการนำช่องโหว่ Zero-Day นี้ไปใช้โจมตีจริงในขณะนี้ ขณะที่ทาง SecurityWeek ได้ติดต่อ Microsoft เพื่อขอรายละเอียดเพิ่มเติมและจะมีการอัปเดตข้อมูลให้ทราบต่อไป