Sebastian Juul
En sikkerhedsforsker har offentliggjort et nyt hul i Windows, som Microsoft endnu ikke har lukket.
Hullet er døbt SignDrop og blev offentliggjort på GitHub tirsdag den 10. november af forskeren Abdelhamid Naceri under aliaset Nightmare Eclipse, skriver BleepingComputer. Udgivelsen faldt dermed sammen med Microsofts månedlige sikkerhedsopdatering, som ikke indeholdt en rettelse.
Zero-day-hullet sidder i Common Log File System, forkortet CLFS, en komponent i Windows-kernen som bruges til at føre log-filer. Lykkes et angreb, får angriberen SYSTEM-rettigheder, altså den højeste adgang på maskinen, forklarer The Hacker News. Med den adgang kan en angriber installere programmer, læse og slette filer, oprette nye brugere og slå sikkerhedsværktøjer fra.
Rammer bredt i Windows-verden
Ifølge Naceri er omkring 80 procent af alle Windows-installationer sårbare. Han har testet metoden på Windows 11 26H2 og de nyeste versioner af Windows Server 2025. Tommelfingerreglen er, at en pc er sårbar, hvis installationen er ældre end 90 dage, oplyser SecurityWeek.
Det paradoksale er, at hullet opstår i en sikkerhedsforanstaltning. I oktober 2025 indførte Microsoft nye signerede autentificeringsfiler i CLFS for at bremse en bølge af hackerangreb mod netop den komponent. SignDrop vender den beskyttelse mod sig selv. “Hvis det hele kædes rigtigt sammen, kan denne legitime sikkerhedsforanstaltning faktisk bruges mod sig selv og give en rettighedsoptrapning,” siger Naceri til BleepingComputer.
Kan narre antivirussen selv
Et andet opsigtsvækkende træk er, at eksploit-koden kan udnytte Windows Defender til at udføre selve angrebet. Metoden tvinger en privilegeret proces, for eksempel antivirusmotoren, til at oprette en særlig autentificeringsfil, og med et symbolsk link kan filen placeres et sted, hvor den almindelige bruger har skriveadgang. Resultatet er, at angrebet gennemføres i antivirusprogrammets egen sikkerhedskontekst, hvilket omgår den tamper-beskyttelse, der normalt skulle stoppe det.
Teknisk bruger eksploitet også systemfilen consent.exe, som Windows kører som SYSTEM, når brugeren får vist en UAC-dialog, altså det kendte vindue der beder om tilladelse til at ændre systemet. Når consent.exe starter, indlæser den en fil ved navn hid.dll, og hvis angriberen har fået placeret sin egen version af den fil det rigtige sted, eksekveres koden med fuld SYSTEM-adgang, oplyser IT-Connect.
Ingen rettelse i november-opdateringen
Microsoft udsendte ikke en rettelse af SignDrop i den månedlige sikkerhedsopdatering, og selskabet har heller ikke offentligt bekræftet hullet. Sikkerhedsfirmaet Cyderes, der har testet den offentliggjorte kode, oplyser til SecurityWeek, at der endnu ikke er tegn på, at hullet bliver udnyttet i konkrete angreb.
Angrebet kræver, at hackeren allerede har en fod indenfor, for eksempel via en inficeret fil eller et skadeligt program, som brugeren selv kommer til at køre. Det gør hullet mindre akut for den enkelte hjemmebruger end et hul, der kan udnyttes gennem browseren, men i kombination med phishing eller trojanske heste kan SignDrop løfte et almindeligt indbrud til fuld kontrol over maskinen.
For almindelige brugere gælder de sædvanlige råd: hold Windows opdateret, så en rettelse installeres, så snart den udsendes, og undgå at køre programmer fra ukendte kilder. Teknisk kyndige brugere kan tjekke registreringsnøglen HKLM\\SYSTEM\\CurrentControlSet\\Services\\CLFS\\Authentication, oplyser ThreatDefence. Står værdien Mode til 0 eller 1, er systemet i den sårbare konfiguration. Værdien 2 lukker SignDrop, men fjerner samtidig den beskyttelse, Microsoft indførte sidste år mod ældre CLFS-angreb, så den bør ikke ændres på egen hånd.
