El investigador que firma como Nightmare Eclipse ha publicado SignDrop, un exploit que permite a una cuenta normal de Windows conseguir privilegios de SYSTEM, el nivel más alto de acceso en un equipo. Lo liberó el 10 de noviembre de 2026, el mismo día del Patch Tuesday, sin aviso previo a Microsoft, sin CVE y sin parche. Su objetivo es llamativo: la autenticación de archivos de registro de CLFS, una protección que Microsoft añadió precisamente para acabar con una larga serie de fallos en ese componente del núcleo.
Las claves de SignDrop en 20 segundos
- Escala de usuario normal a SYSTEM abusando de la protección de CLFS.
- Afecta a Windows 11 25H2 y Windows Server 2025 con la protección activa.
- No hay CVE ni parche; Cyderes ha reproducido el ataque.
- Desactivar la protección reabre fallos peores.
SignDrop es el decimoséptimo exploit publicado desde abril por este investigador, según el recuento de HackingPassion, y el decimosexto según la empresa de seguridad Cyderes, que no incluye una herramienta menor. La serie empezó con fallos de Microsoft Defender como BlueHammer, RedSun y UnDefend, de los que informamos en abril, y ha ido ampliando su alcance hasta productos de otros fabricantes y, ahora, una protección del propio núcleo de Windows. Según HackingPassion, el autor es un antiguo miembro del centro de respuesta de seguridad de Microsoft (MSRC) que fue despedido por la compañía.
La protección que se ha convertido en la puerta
CLFS (Common Log File System) es un sistema de archivos de registro que gestiona el controlador del núcleo clfs.sys y que lleva años siendo una fuente habitual de escaladas de privilegios. Microsoft contó 24 CVE en CLFS en cinco años, 19 de ellos de la misma clase de fallo de validación de datos, y CLFS aparece 12 veces en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA, siete de ellas asociadas a ransomware, según HackingPassion.
Para cortar esa racha, Microsoft añadió en las actualizaciones de Windows 11 25H2 y Windows Server 2025 publicadas desde el 28 de octubre de 2025 una mitigación de autenticación: CLFS firma los archivos de registro con un código HMAC calculado con una clave única del equipo guardada en el registro, y se niega a abrir los que no superan la comprobación. La protección también crea un pequeño archivo con extensión .cnpf junto a cada registro, que CLFS usa para recuperarlo si no se cerró bien, y que se crea con los mismos atributos de seguridad que el archivo al que acompaña.
Ese archivo .cnpf es la puerta de SignDrop. Según el análisis de Cyderes, el exploit crea un registro CLFS desde la cuenta del usuario, usa enlaces simbólicos del gestor de objetos de Windows para redirigir rutas y provoca que Microsoft Defender, que se ejecuta como SYSTEM, abra el registro a través de su interfaz RPC de actualización de firmas. CLFS crea entonces el archivo .cnpf con privilegios de SYSTEM en una ruta elegida por el atacante: la carpeta C:\Program Files\Common Files\microsoft shared\ink, con el nombre hid.dll. El exploit sustituye su contenido por una DLL propia, lanza el teclado en pantalla y pide una elevación de UAC, de modo que consent.exe, que corre como SYSTEM, carga la DLL. El resultado es una consola de SYSTEM en el escritorio del usuario. No hay corrupción de memoria: todo son funciones legítimas de Windows encadenadas.
Cyderes ha reproducido el ataque y obtenido la consola de SYSTEM. La firma coreana 78researchlab también confirma que funciona, aunque, según HackingPassion, considera que no es lo bastante fiable para ataques reales. Hay limitaciones: necesita que Defender esté activo y que el atacante ya pueda ejecutar código en el equipo, porque es una escalada local, y la consola aparece de forma visible en el escritorio. El autor afirma que la técnica también podría desactivar productos antivirus y EDR, algo que no se ha comprobado.
Qué equipos están expuestos
El autor calcula que el 80 % de las instalaciones de Windows son vulnerables, aunque él mismo lo presenta como una suposición y Cyderes dice que ningún dato lo respalda. Las cifras no cuadran: la protección que SignDrop necesita solo existe en Windows 11 25H2, Windows Server 2025 y, según HackingPassion, Windows 11 26H1. Windows 10 no la tiene, ni tampoco Windows 11 24H2. Si el archivo .cnpf no aparece, el propio exploit se detiene e informa de que el equipo no es vulnerable. Con los datos de StatCounter de octubre de 2026, Windows 11 suma el 74,29 % de los escritorios Windows, así que el techo real está bastante por debajo del 80 %, y es menor todavía porque no todos esos equipos están en 25H2.
Por una vez, los equipos en riesgo son los más actualizados. Eso no significa que quedarse atrás sea buena idea: un Windows 10 o un Windows 11 24H2 no sufren este exploit concreto, pero tampoco tienen la protección frente a la clase de fallos de CLFS que ha acabado 12 veces en el catálogo de CISA.
Cómo comprobarlo y qué hacer
Para saber si un equipo está en el alcance de SignDrop, basta con dos comprobaciones. La primera, la versión: pulsar Win+R y escribir winver. Si indica 25H2, 26H1 o posterior, o Windows Server 2025, el equipo puede estar expuesto. La segunda, el modo de la protección, desde una consola:
reg query "HKLM\SYSTEM\CurrentControlSet\Services\CLFS\Authentication" /v ModeSegún la documentación de Microsoft, el valor 0 significa que la protección se aplica, 1 que está en modo de aprendizaje (los primeros 90 días tras recibir la actualización), 2 que un administrador la ha desactivado y 3 que el sistema la ha desactivado automáticamente. Los modos 0 y 1 están dentro del alcance de SignDrop.
La tentación es poner el valor en 2, y es justo lo que no conviene hacer. Con la protección desactivada, SignDrop no tiene archivo .cnpf con el que trabajar, pero CLFS deja de comprobar la integridad de los registros y vuelve a quedar expuesto a la clase de fallos que la mitigación cerró, la misma que ha llevado a CLFS al catálogo de CISA. Se cambia un fallo lógico público por una familia de fallos bien documentada y explotada por bandas de ransomware.
Mientras no haya parche, las recomendaciones de Cyderes y HackingPassion son:
- Mantener Defender activo y actualizado. Según HackingPassion, Microsoft asegura que Defender detecta y bloquea el ataque, aunque Cyderes advierte de que Defender es precisamente el componente que el exploit utiliza.
- Restringir la ejecución de código no confiable con control de aplicaciones, porque toda escalada local necesita un punto de apoyo previo.
- Vigilar la creación de
hid.dllen la carpetaink, que no existe ahí en una instalación normal de Windows; las llamadas a la RPC de actualización de firmas de Defender desde procesos ajenos a Defender; los enlaces simbólicos bajo\BaseNamedObjects\Restricted\, yconsent.execargando DLL desde la carpetaink. - Conservar la telemetría de creación de archivos y carga de módulos, porque el exploit borra
hid.dllal terminar y no deja rastro en disco. - Seguir la Guía de actualizaciones de seguridad de Microsoft a la espera de un CVE y un parche.
Sobre la respuesta de Microsoft hay versiones distintas según la fecha. Cyderes indicaba el 11 de noviembre que la compañía no había hecho comentarios públicos. Según HackingPassion, Microsoft ha dicho después que lo está investigando, que Defender detecta y bloquea el ataque y que no ha visto que se use en ataques reales. La relación entre ambas partes viene de lejos: en mayo, el MSRC afirmó que publicar exploits de fallos sin parchear nunca está justificado, y en agosto los premios Pwnie de DEF CON otorgaron a Microsoft el de «peor respuesta de un fabricante» por sus insinuaciones de acciones legales contra el investigador.
Preguntas frecuentes
¿Qué es SignDrop?
Un exploit publicado el 10 de noviembre de 2026 que permite a un usuario normal de Windows conseguir privilegios de SYSTEM abusando de la autenticación de archivos de registro de CLFS. No tiene CVE ni parche.
¿Qué versiones de Windows están afectadas?
Las que tienen activa la autenticación de CLFS: Windows 11 25H2, Windows Server 2025 y, según HackingPassion, Windows 11 26H1. Windows 10 y Windows 11 24H2 quedan fuera de este exploit.
¿Debo desactivar la protección de CLFS?
No. Poner Mode en 2 evita SignDrop pero reabre la clase de fallos de CLFS que se han explotado en ataques reales, incluidos ataques de ransomware.
¿Se está usando en ataques?
No se ha confirmado ningún uso real. Según HackingPassion, Microsoft dice que no lo ha visto en ataques.
Fuentes:
