SignDrop su Windows: come verificare se il tuo dispositivo è esposto

SignDrop è un exploit pubblico che può consentire a un utente locale di elevare i propri privilegi fino a SYSTEM in Windows, sfruttando il modo in cui il sistema di registrazione CLFS crea i file di autenticazione. La ricerca pubblicata lo ha testato su Windows 11 26H2 e su versioni sperimentali di Windows 11 e Windows Server 2025; Microsoft ha dichiarato a SecurityWeek di stare indagando sul problema, che Defender rileva e blocca lo sfruttamento e che non ha osservato attacchi in corso. Verifica la modalità di CLFS, ma non eseguire il PoC.

Chi potrebbe essere interessato e come verificarlo

La vulnerabilità, chiamata SignDrop dal suo autore, Abdelhamid Naceri, noto come Nightmare Eclipse, riguarda CLFS, il sottosistema di Windows che gestisce i registri. L'exploit prepara file di registro e cerca di indurre un processo con privilegi ad aprirli; secondo la spiegazione tecnica, il file ausiliario di autenticazione può essere creato con autorizzazioni SYSTEM e conservare autorizzazioni che consentono all'utente che lo ha preparato di modificarlo.

La verifica proposta dal ricercatore e dagli articoli di The Hacker News e BleepingComputer consiste nel leggere il valore Mode di questa chiave del Registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication\Mode

I valori 0 e 1 indicano esposizione secondo l'ambito descritto per SignDrop: corrispondono alle modalità di apprendimento e applicazione dell'autenticazione. The Hacker News segnala che i sistemi in genere passano dalla modalità di apprendimento a quella di applicazione dopo 90 giorni. I valori 2 e 3 non rientrano nell'attacco descritto, ma non sono una soluzione consigliabile: disattivare la mitigazione consente a CLFS di elaborare nuovamente registri manipolati e può esporre il dispositivo a vulnerabilità di corruzione della memoria.

I test pubblicati sono stati eseguiti su Windows 11 26H2, Windows 11 26H2 Experimental e Windows Server 2025 Experimental. Naceri stima che il problema interessi una grande parte delle installazioni di Windows, ma si tratta di una sua stima, non di una misurazione indipendente. SecurityWeek riferisce inoltre che Cyderes ha compilato e testato il PoC; una valutazione indipendente citata da The Hacker News ha rilevato che l'exploit funziona, anche se non con un'affidabilità sufficiente per l'uso operativo.

Cosa fare ora

1. Leggi il valore, senza modificarlo. Apri l'Editor del Registro e vai a HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication; consulta il dato di Mode. Se non hai esperienza con il Registro, chiedi aiuto all'amministratore del dispositivo invece di modificare le chiavi. La verifica deve limitarsi a controllare se il valore è 0, 1, 2 o 3.

2. Se compare 0 o 1, considera il dispositivo esposto. Questo non significa che il sistema sia stato attaccato: indica che corrisponde alle modalità che il ricercatore considera vulnerabili. Sui dispositivi gestiti, comunica il valore al team responsabile della sicurezza o dell'IT, in modo che possa valutare il dispositivo e seguire gli aggiornamenti di Microsoft.

3. Mantieni attiva la mitigazione di CLFS. Non modificare il valore impostandolo su 2 o 3 per cercare di bloccare SignDrop. Anche se queste modalità non rientrano nell'attacco pubblicato, sia il ricercatore sia la documentazione citata avvertono che disattivare l'autenticazione significa non proteggersi più dai registri manipolati e dalle vulnerabilità di corruzione della memoria che la mitigazione mira a contenere.

4. Lascia attivo Microsoft Defender. Secondo The Hacker News, la catena del PoC pubblicato richiede che Defender sia attivo. SecurityWeek riferisce che Microsoft afferma che Defender rileva e blocca lo sfruttamento e segnala il comportamento di elevazione dei privilegi. Non disattivare l'antivirus né la protezione antimanomissione per testare il problema.

5. Installa gli aggiornamenti ufficiali di Windows quando saranno disponibili e segui le indicazioni di Microsoft sugli aggiornamenti di sicurezza. Gli aggiornamenti di novembre citati da The Hacker News non includevano una patch per SignDrop. SecurityWeek ha riferito che Microsoft stava indagando sulla vulnerabilità; pertanto, sulla base di queste informazioni, non è disponibile una correzione specifica da installare né una versione corretta da consigliare.

6. Segnala eventuali avvisi o attività sospette all'amministratore o al team di sicurezza della tua organizzazione. Le informazioni pubblicate non confermano attacchi reali con SignDrop e Microsoft ha dichiarato a SecurityWeek di non aver osservato sfruttamenti in corso. L'assenza di casi osservati non consente di concludere che un dispositivo specifico sia pulito se ci sono altri segnali di compromissione.

Errori che possono peggiorare la situazione

Non eseguire l'exploit di prova sul tuo computer per scoprire se è vulnerabile. BleepingComputer riferisce che Naceri suggerisce di usare il PoC o di controllare il Registro, ma verificare il valore evita di eseguire codice di exploit. Inoltre, The Hacker News avverte che il PoC pubblicato può modificare le richieste di UAC per aprire una console utente standard e un'altra SYSTEM, bloccando altre azioni e rendendo visibile il test.

Non confondere “fuori dall'ambito del PoC” con “più sicuro”. I valori 2 e 3 disattivano la mitigazione dell'autenticazione di CLFS; il meccanismo stesso è stato introdotto per limitare gli attacchi contro le vulnerabilità del driver. Disattivare questa protezione sostituisce un rischio con un altro, non risolve SignDrop.

Inoltre, non dare per scontato che qualsiasi antivirus sia protetto da questa tecnica. Naceri afferma che potrebbe interessare i motori antimalware con processi privilegiati, ma The Hacker News sottolinea che questa possibilità più ampia non è stata testata. La catena pubblicata si serve di Defender; Microsoft sostiene che il suo prodotto rileva e blocca lo sfruttamento.

Infine, non interpretare la pubblicazione di un PoC come prova di attacchi in corso, né l'assenza di segnalazioni come garanzia di sicurezza. Le informazioni disponibili descrivono un rischio locale che può elevare i privilegi e una risposta di Microsoft ancora in fase di indagine. Per l'utente, il passo pratico da compiere ora è verificare Mode senza modificarlo e attendere una correzione ufficiale.

Fonti: BleepingComputer, The Hacker News, SecurityWeek, GitHub