Эксперт GSOC объяснил, почему отключение защиты CLFS сделает ПО более уязвимым

В Windows нашли уязвимость нулевого дня SignDrop. Она позволяет локальному пользователю с обычными правами поднять привилегии до SYSTEM. Атака использует логику защитного компонента, который Microsoft добавила против прежних атак на драйвер CLFS.

Владислав Шелепов, аналитик угроз GSOC «Газинформсервиса», отметил: уязвимость возникла в механизме, созданном для защиты от других атак на CLFS. Злоумышленники могут применять её после первоначального заражения машины, чтобы получить более высокие привилегии. Другие уязвимости CLFS уже использовались в реальных атаках, включая шифровальщики.

«Массовой эксплуатации SignDrop пока нет. Публичный эксплойт появился 10 ноября, подтвержденных случаев использования злоумышленниками нет. Но после публикации кода можно ждать попыток адаптировать его для атак», — подчеркнул Владислав Шелепов.

Для версий Windows, затронутых уязвимостями, исправления от Microsoft пока нет. Эксперт GSOC рекомендовал проверить настройки CLFS и следить за событиями повышения привилегий на рабочих станциях и серверах. Отключать механизм защиты CLFS как временную меру не стоит: он закрывает ранее найденные уязвимости, и его отключение вернёт возможность их эксплуатации.