Κρίσιμο zero‑day στα Windows δίνει δικαιώματα SYSTEM και απενεργοποιεί antivirus

Δημοσιεύματα και ένα δημόσιο proof‑of‑concept από τον ερευνητή με το ψευδώνυμο Nightmare Eclipse περιγράφουν ένα νέο zero‑day στα Windows που, υπό ορισμένες συνθήκες, επιτρέπει την άνοδο προνομίων σε SYSTEM και την παράκαμψη μηχανισμών αυτοπροστασίας αντιβιοτικών εργαλείων (tamper protection). Η είδηση προκάλεσε έντονη συζήτηση στην κοινότητα ασφάλειας, καθώς το σενάριο όχι μόνο παρέχει πλήρη έλεγχο συστήματος αλλά μπορεί να χρησιμοποιηθεί για να δημιουργηθεί αρχείο στο πλαίσιο της διεργασίας του ίδιου του antimalware, κάτι που μπερδεύει τα kernel drivers και επιτρέπει την παράκαμψη.

Τι ανακοινώθηκε και από ποιους

Ο ερευνητής Nightmare Eclipse δημοσίευσε τον κώδικα ενός proof‑of‑concept που, όπως ισχυρίστηκε, εκμεταλλεύεται ευπάθεια στο πλαίσιο του CLFS (Common Log File System) στα Windows 11 26H2 και σε πειραματικές εκδόσεις Windows Server 2025. Σύμφωνα με την ανάρτηση, το exploit είναι σε θέση να ξεκινήσει κέλυφος με δικαιώματα SYSTEM και, το πιο ανησυχητικό, να δημιουργήσει αρχεία με το περιβάλλον μιας διεργασίας antimalware, κάνοντας την ενέργεια να φαίνεται «νόμιμη» στα kernel drivers των προϊόντων ασφαλείας.

Το αποτέλεσμα, όπως εξηγεί ο αναλυτής, είναι πρακτικά η δυνατότητα απενεργοποίησης ή παρακάμψης κάθε αντιβιοτικού/EDR που βασίζεται σε τέτοιου είδους self‑defense μηχανισμούς: εφόσον ο driver βλέπει ότι η αίτηση δημιουργίας αρχείου προέρχεται από την ίδια τη διαδικασία προστασίας, την αποδέχεται χωρίς επιπλέον ελέγχους.

Πώς λειτουργεί τεχνικά η παράκαμψη

Η καρδιά του προβλήματος είναι η δυνατότητα για arbitrary file creation μέσα στο context της διεργασίας antimalware. Τα σύγχρονα antivirus και EDR εγκαθιστούν μηχανισμούς kernel‑level που επιβεβαιώνουν ότι κρίσιμες αλλαγές αρχείων ή ρυθμίσεων προέρχονται από αξιόπιστες διεργασίες. Αν όμως ένα exploit μπορεί να προκαλέσει τη δημιουργία αρχείου από το ίδιο το antimalware process, τότε οι kernel drivers θα θεωρήσουν την ενέργεια έγκυρη και δεν θα αποκλείσουν ή δεν θα καταγράψουν την αλλαγή.

Αυτό κάνει τη συγκεκριμένη ευπάθεια ιδιαίτερα επικίνδυνη: δεν αφορά απλώς την άνοδο προνομίων, αλλά τη μετατροπή ενός εργαλείου προστασίας σε «όχημα» για δική του κατάχρηση. Στην πράξη, ένας επιτιθέμενος που εκμεταλλεύεται την ευπάθεια μπορεί να απενεργοποιήσει προστασίες, να εγκαταστήσει backdoors και να αποκρύψει τα ίχνη του πιο αποτελεσματικά από ό,τι σε ένα κοινό privilege escalation.

Ποια συστήματα φαίνεται να επηρεάζονται

Στην ανάρτηση αναφέρεται ότι το PoC λειτούργησε σε Windows 11 26H2, σε πειραματικές εκδόσεις 26H2 και σε Windows Server 2025 Experimental. Ωστόσο, ερευνητές όπως ο Will Dormann επιβεβαίωσαν πως το exploit αναπαράγεται μεν όπως περιγράφεται, αλλά όχι σε όλες τις εγκαταστάσεις της ίδιας έκδοσης. Σημαντικός παράγοντας είναι μια ρύθμιση του CLFS που ονομάζεται AuthenticationMode.

Συγκεκριμένα, για να είναι ευάλωτο ένα μηχάνημα, η τιμή του κλειδιού HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesCLFSAuthenticationMode πρέπει να είναι 0 ή 1, δηλαδή σε «learning» ή «enforcement» λειτουργία, σύμφωνα με τις αναφορές. Επιπλέον, ο Dormann τόνισε ότι υπάρχει ένας ανεξήγητος όρος ωριμότητας: το exploit φαίνεται να δουλεύει σε συστήματα 26H2 που έχουν υπάρξει εγκατεστημένα για πάνω από περίπου 90 ημέρες, ενώ σε καινούργιες εγκαταστάσεις της ίδιας έκδοσης δεν λειτουργεί αμέσως.

Πόσο διαδεδομένο είναι το πρόβλημα

Ο ακριβής αριθμός συστημάτων που επηρεάζονται παραμένει ασαφής. Η Microsoft ακολουθεί συχνά staged rollouts για μεγάλες αναβαθμίσεις όπως η 26H2, οπότε δεν είναι γνωστό πόσοι χρήστες και οργανισμοί έχουν αυτή την έκδοση σε παραγωγή. Ο πιο απλός τρόπος να ελέγξετε την έκδοση του λειτουργικού είναι με την εντολή «winver» σε ένα παράθυρο εκτέλεσης.

Σε ανακοίνωση προς τα μέσα, η Microsoft δήλωσε ότι διερευνά την αναφορά και δεν έχει ενδείξεις εκμετάλλευσης στο wild. Η εταιρεία επίσης ανέφερε πως το Microsoft Defender μπλοκάρει πιθανές προσπάθειες εκμετάλλευσης, ένα στοιχείο που μειώνει προσωρινά τον κίνδυνο αλλά δεν αποτελεί εγγύηση πλήρους προστασίας.

Τι σημαίνει το «learning» και το «enforcement» στο CLFS

Το CLFS είναι το κοινό subsystem καταγραφής των Windows που χρησιμοποιείται από διάφορες υπηρεσίες. Η ρύθμιση AuthenticationMode φαίνεται να καθορίζει την πολιτική με την οποία γίνεται η επαλήθευση αιτήσεων εγγραφής/δημιουργίας αρχείων. Σε «learning» mode, το σύστημα μπορεί να καταγράφει και να μαθαίνει πρότυπα χωρίς να εφαρμόζει αυστηρούς αποκλεισμούς, ενώ σε «enforcement» mode εφαρμόζονται οι κανόνες που έχουν προκύψει.

Αν οι τιμές 0/1 αντιστοιχούν σε αυτές τις λειτουργίες —όπως υποστηρίζουν οι αναφορές— τότε σε αυτές τις καταστάσεις το σύστημα μπορεί να δέχεται αιτήσεις αρχείων που, λόγω του exploitation, φαίνονται ως νόμιμες. Αυτό δίνει το παράθυρο στον επιτιθέμενο για ανεμπόδιστη εναλλαγή αρχείων και ρυθμίσεων.

Πώς να ελέγξετε αν το σύστημά σας είναι πιθανόν εκτεθειμένο

Υπάρχουν δύο βασικά, ακίνδυνα βήματα που μπορεί να κάνει ένας ενημερωμένος χρήστης ή διαχειριστής: να ελέγξει την έκδοση Windows με την εντολή «winver» και να δει την τιμή του registry key του CLFS. Η πρόσβαση στο registry πρέπει να γίνεται με προσοχή, αλλά μια απλή ανάγνωση της τιμής δεν προκαλεί αλλαγές. Αν η τιμή του AuthenticationMode είναι 0 ή 1, τότε το μηχάνημα πληροί τον όρο που περιγράφουν οι αναφορές για πιθανή ευπάθεια.

Δεν θα αναπαράγουμε εδώ το PoC ή τα βήματα εκμετάλλευσης, γιατί κάτι τέτοιο θα σήμαινε άμεσο κίνδυνο για ανεξέλεγκτη διάδοση του exploit. Ο υπεύθυνος δρόμος είναι να επικοινωνήσετε με τον πάροχο endpoint security ή να ακολουθήσετε τις οδηγίες της Microsoft μόλις υπάρξει επίσημη ενημέρωση.

Ασφαλιστικές πρακτικές και άμεσες ενέργειες

Μέχρι να υπάρξει patch από τη Microsoft, οι διαχειριστές και οι χρήστες μπορούν να λάβουν σειρά από μέτρα μείωσης του ρίσκου. Πρώτον, διασφαλίστε ότι τα Windows και οι υπογραφές του antimalware είναι ενημερωμένα και ότι η αυτόματη ενημέρωση είναι ενεργοποιημένη. Δεύτερον, ενεργοποιήστε το tamper protection στο Microsoft Defender και ελέγξτε τις πολιτικές του EDR, ειδικά όπου υπάρχουν δικαιώματα τοπικού διαχειριστή που μπορούν να περιοριστούν.

Επίσης, εφαρμόστε αρχές όπως least privilege, ξεχωριστούς λογαριασμούς για διαχείριση, και network segmentation για να περιορίσετε την επίπτωση ενός ενδεχόμενου breach. Οι οργανισμοί με κρίσιμες υποδομές θα πρέπει να συντονιστούν άμεσα με τους προμηθευτές EDR για επιπλέον κανόνες παρακολούθησης και προστασίας.

Η δημόσια δημοσιοποίηση και ο κίνδυνος της ευθύνης

Η πρακτική του να δημοσιεύονται zero‑days και PoC στο κοινό έχει διπλό πρόσωπο. Από τη μία, αυξάνει την πίεση για άμεσο patching και βοηθάει στην αποκάλυψη προβλημάτων που διαφορετικά θα έμεναν κρυφά. Από την άλλη, απελευθερώνει εργαλείο εκμετάλλευσης σε ευτελείς ή κακόβουλους χρήστες που μπορούν να το χρησιμοποιήσουν μαζικά πριν το παρακολουθήσει ή διορθώσει ο κατασκευαστής. Το γεγονός ότι ο Nightmare Eclipse έχει δημοσιεύσει αρκετά Windows zero‑days πρόσφατα προσθέτει ένταση στη συζήτηση για την υπεύθυνη αποκάλυψη και την ανάγκη ταχύτερων διορθώσεων από τις μεγάλες πλατφόρμες.

Τι σημαίνει για τους χρήστες

Ο πιο σημαντικός κανόνας είναι να μην υποτιμούμε την ανάγκη για ενημερώσεις και βασικές πρακτικές ασφάλειας. Για τον καθημερινό χρήστη, αυτό σημαίνει να διατηρεί το λειτουργικό ενημερωμένο, να μην τρέχει αρχεία από αμφίβολες πηγές και να έχει ενεργοποιημένο ένα σύγχρονο antimalware. Για οργανισμούς και διαχειριστές, απαιτείται πιο ενεργητική προσέγγιση: έλεγχος πολιτικών, επικοινωνία με vendors και αυξημένη παρακολούθηση για ανώμαλη δραστηριότητα.

Ενώ η Microsoft δηλώνει ότι δεν υπάρχουν ενδείξεις εκμετάλλευσης στο wild και ότι το Defender μπλοκάρει πιθανές προσπάθειες, η πραγματικότητα είναι ότι τέτοιου τύπου ευπάθειες επιβάλλουν επαγρύπνηση. Μια κοινή πρακτική είναι να θεωρείτε κάθε δημόσιο PoC ως πιθανό εργαλείο επίθεσης μέχρι να υπάρξει επίσημο patch και να ενεργείτε αναλόγως.