Un cercetător sub pseudonimul Nightmare Eclipse a zguduit recent lumea securității cibernetice, dezvăluind o vulnerabilitate gravă în Windows care poate oferi unui utilizator obișnuit privilegii de administrator absolut – așa-numitele drepturi de „System”. Exploatarea, botezată „SignDrop”, afectează anumite versiuni de Windows și arată cât de complexă, dar și fragilă, poate fi uneori arhitectura de securitate a unui sistem de operare modern.
Vulnerabilitatea apare în Common Log File System (CLFS), un serviciu folosit de Windows pentru a ține evidența diferitelor activități, atât la nivel de utilizator, cât și la nivel de sistem. În mod normal, CLFS ar trebui să fie o fortăreață împotriva atacatorilor, dar, ironia face ca o măsură de securitate introdusă de Microsoft în 2025 să fi deschis, fără intenție, o ușă laterală.
Cum funcționează atacul? Pe scurt, un utilizator obișnuit poate crea un fișier special, iar apoi forțează un proces cu privilegii ridicate, cum ar fi Windows Defender (programul antivirus implicit al Windows), să îl deschidă. Printr-o serie de pași ingenioși, atacatorul manipulează modul în care Windows gestionează permisiunile la fișiere, astfel încât sistemul creează un nou fișier „autentificat” folosind drepturile Defenderului. Fișierul respectiv, deși generat cu privilegii de System, rămâne accesibil atacatorului care l-a declanșat, ceea ce înseamnă că acesta poate prelua controlul complet asupra computerului.
Ceea ce face acest atac cu adevărat neobișnuit este că folosește chiar măsurile de protecție ale Windows împotriva sa. Practic, procesul de apărare devine poarta de intrare pentru atac. Și nu doar Windows Defender este vulnerabil, ci orice motor antivirus care folosește același mecanism, ceea ce înseamnă că un atacator ar putea chiar să dezactiveze protecția antivirus fără să fie detectat.
Vulnerabilitatea afectează Windows 11 (versiunile 26H2 și experimentală) și Windows Server 2025 Experimental. Pentru a verifica dacă un sistem este expus, utilizatorii pot analiza modul de autentificare al CLFS – dacă acesta este setat pe „learning” sau „enforcement”, riscul este prezent. Nightmare Eclipse a publicat deja o demonstrație care arată cât de ușor poate fi exploatat acest punct slab.
Este important de menționat că astfel de „zero-day”-uri – adică vulnerabilități pentru care nu există încă un remediu oficial – pot fi extrem de periculoase. Odată făcute publice, ele devin rapid ținta hackerilor din întreaga lume. De aceea, este esențial ca utilizatorii și administratorii de sisteme să fie vigilenți, să monitorizeze actualizările de securitate și să aplice rapid patch-urile oferite de Microsoft.
Descoperirea lui Nightmare Eclipse ne reamintește că, în lumea digitală, securitatea nu este niciodată absolută și că fiecare nouă barieră poate ascunde, uneori, o breșă neașteptată. Rămâne de văzut cât de repede va reacționa Microsoft și ce învățăminte va trage industria din această lecție despre fragilitatea protecției informatice.
Sursa: Ars Tehnica Technology
Revista “Ştiinţă şi Tehnică“, cea mai cunoscută şi longevivă publicaţie de popularizare a ştiintelor din România
Leave a Reply