¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
SignDrop consigue privilegios SYSTEM en Windows con un truco incómodo: usa contra el propio equipo la firma de registros que Microsoft añadió para protegerlo. El código de explotación apareció en GitHub el martes 10 de noviembre, el mismo día del Patch Tuesday de noviembre, y al 15 de noviembre el fallo sigue sin parche y sin código CVE asignado.
El autor es Abdelhamid Naceri, antiguo empleado de Microsoft que publica fallos sin corregir con el alias Nightmare Eclipse desde abril. Su hallazgo vive en CLFS, siglas de Common Log File System, el componente que aplicaciones y controladores de Windows usan para guardar registros. Una cuenta estándar puede preparar un registro y lograr que un proceso con privilegios máximos lo abra. De ahí sale una consola con privilegios SYSTEM, la cuenta interna que manda más que un administrador.
La pieza clave es un archivo pequeño con extensión .cnpf. CLFS lo crea junto a cada registro para ayudar en la recuperación y le pone los mismos permisos del archivo original. Naceri preparó un registro de forma que Microsoft Defender, el antivirus que corre con privilegios máximos, fuera quien lo abriera al actualizar firmas. Defender crea entonces el archivo acompañante con su nivel de acceso, pero el control queda en manos de quien preparó el registro. TechSpot contó esa cadena el 15 de noviembre y la resumió con una ironía difícil de discutir: el ataque necesita que el antivirus de Microsoft esté activo para funcionar.
Una protección de 2025 convertida en puerta
CLFS arrastra años de fallos de corrupción de memoria. Para frenar esa racha, Microsoft estrenó en octubre de 2025 una autenticación con códigos HMAC, un mecanismo criptográfico que comprueba que cada registro no fue manipulado antes de procesarlo. La función llegó con las actualizaciones del 28 de octubre de 2025 y trabaja por etapas: 90 días en modo de aprendizaje, añadiendo códigos a los registros que aún no los tienen, y después exigencia completa.
SignDrop se apoya justo en esa etapa. El investigador afirma en GitHub que cerca del 80 % de las instalaciones de Windows estarían expuestas y que basta una instalación con más de 90 días para entrar en el grupo de riesgo. Esa cifra es una estimación suya, sin datos que la respalden. También afirma que la técnica podría apagar cualquier antivirus, una capacidad que no ha demostrado en público.
Las pruebas ajenas recortan el alcance. El analista Will Dormann contó a Ars Technica que logró reproducirla, pero solo en Windows 11 26H2 y con instalaciones de más de 90 días: de todas sus máquinas, una sola cumplía las dos condiciones. El equipo de 78researchlab también la reprodujo y la juzgó poco fiable para ataques reales. Las versiones probadas por el autor fueron Windows 11 26H2, su variante experimental y Windows Server 2025 Experimental. Windows 10 y Windows 11 24H2 o anteriores no traen la autenticación de CLFS, así que este mecanismo no les aplica.
El contexto del mes ayuda: el Patch Tuesday de noviembre de 2026 corrigió 1.235 fallos y este quedó fuera porque el código se publicó ese mismo día. TechSpot apuntó que una corrección no llegaría antes del Patch Tuesday de diciembre, fijado para el día 8, salvo una salida urgente. Tres explotaciones anteriores de Defender de Naceri, entre ellas BlueHammer, terminaron usadas en ataques reales, un historial que explica la atención que recibe cada entrega suya.
Cómo saber si un equipo entra en el grupo de riesgo
La comprobación no exige descargar nada. En Windows 11 25H2 o posterior, el Editor del Registro guarda el estado en la ruta HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\CLFS\Authentication. El valor que importa se llama Mode: un 0 indica exigencia completa de códigos y un 1, modo de aprendizaje; con cualquiera de los dos el equipo queda dentro de las configuraciones señaladas. Un 2 significa que un administrador apagó la protección y un 3, que Windows la apagó por su cuenta. La misma lectura sale desde PowerShell con Get-ItemProperty sobre esa ruta. Si la clave no existe, lo habitual es que la versión no incluya la función.
Apagar esa autenticación a mano es la salida que peor sale: quita el camino de SignDrop y devuelve la exposición a los fallos de memoria que la firma vino a cerrar. Defender tampoco se toca: Microsoft confirmó a SecurityWeek que investiga el fallo, que no ha visto ataques reales y que su antivirus detecta y bloquea la explotación. Dejarlo activo, con la inteligencia de seguridad al día y Windows Update encendido, es la postura que repiten las fuentes consultadas.
El riesgo práctico tiene un límite claro. SignDrop es una escalada local: no entra solo desde internet, porque primero hace falta ejecutar código con una cuenta normal, como el programa malicioso de una descarga engañosa. En una computadora doméstica de un solo usuario su margen es corto. En equipos compartidos, oficinas y servidores con varias cuentas locales, una cuenta menor que sube a SYSTEM puede apagar defensas y quedarse dentro. Al ejecutarse cambia el comportamiento de los avisos del Control de cuentas de usuario, un detalle visible que puede delatar el intento.
Queda un dato concreto: Microsoft no ha asignado CVE ni anunciado fecha de corrección al 15 de noviembre, así que cada equipo con Windows 11 26H2 y más de 90 días convive con un código público cuya única barrera declarada es la detección del propio Defender.
Fuente: TechSpot
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
