Se ha descubierto una nueva técnica de ataque, detallada en el proyecto de código abierto skitter-creek-bath-salts en GitHub por el investigador Christopher Domas, que manipula el controlador de memoria de un ordenador. Este método permite evadir algunas de las barreras de seguridad de hardware más robustas de los procesadores modernos, afectando a zonas críticas como el System Management Mode, el Platform Security Processor y el microcódigo de la CPU.

Una nueva técnica de ataque manipula el controlador de memoria de un ordenador para saltarse algunos de los límites de seguridad de hardware más fuertes integrados en los procesadores modernos, incluyendo las protecciones del Modo de Gestión del Sistema (System Management Mode), el Procesador de Seguridad de la Plataforma y el microcódigo de la CPU.

La investigación, publicada como un proyecto de código abierto llamado skitter-creek-bath-salts en GitHub por el investigador de seguridad Christopher Domas, ha revelado un ataque impactante dirigido a una capa del sistema que se encuentra por debajo de casi todos los mecanismos de defensa existentes: la lógica de traducción de direcciones del controlador de DRAM.

Cada dirección física que genera una CPU pasa eventualmente por este controlador, que la remapea en coordenadas de memoria bruta: un banco, rango, fila y columna específicos dentro del DIMM.

Las funciones de seguridad como SEV, SGX, TDX, TrustZone y las reservas de memoria basadas en firmware dependen de que las direcciones físicas permanezcan fijas y predecibles una vez que salen del núcleo de la CPU. La técnica de Domas demuestra que esa suposición puede romperse con una sola instrucción.

Ataque de Mezclado de DRAM (DRAM Scrambling)

Al cambiar bits de configuración específicos en el controlador de memoria, un atacante puede reescribir cómo las direcciones físicas se mapean en las celdas reales de la DRAM, un proceso que la investigación describe como "espaguetizar" la memoria. Una vez que este remapeo se altera, se puede hacer que una dirección completamente diferente apunte exactamente a la misma celda de memoria física que anteriormente estaba vallada e inaccesible.

Debido a que cada mecanismo de control de acceso por encima del controlador de memoria verifica las direcciones físicas en lugar de las coordenadas subyacentes de la DRAM, ninguna de esas protecciones nota cuando el mapa subyacente cambia.

Crucialmente, esta clase de vulnerabilidad no está ligada a un único fallo que pueda parchearse simplemente. Según la investigación, el ataque funciona porque la transformación de direcciones realizada por el controlador de memoria es una operación lineal sobre GF(2), lo que significa que puede reconstruirse matemáticamente utilizando álgebra lineal básica, ayudada por un resolvedor SMT como Z3, incluso cuando el remapeo exacto no está documentado por el fabricante.

Domas demostró la técnica en procesadores AMD Family 16h, extrayendo la rutina de firma RSA del fTPM directamente de la memoria del Procesador de Seguridad de la Plataforma que se supone que está completamente aislada del sistema operativo.

El mismo método extrajo el manejador de interrupciones del Modo de Gestión del Sistema de la SMRAM, una región de memoria comercializada como "bloqueada" por el chipset, y recuperó el estado bruto de los registros de la CPU, incluyendo las raíces de la tabla de páginas y la configuración APIC, almacenados en la DRAM mientras los núcleos se encuentran en el estado de inactividad de bajo consumo C6.

Quizás lo más significativo es que la investigación muestra que el parche de microcódigo activo de una CPU, normalmente volátil e inaccesible, se escribe temporalmente en la DRAM durante las transiciones de inactividad y puede ser tanto leído como sobrescrito utilizando el mismo truco de alias.

Aunque la prueba de concepto publicada en GitHub se dirige a una plataforma AMD antigua cuyas hojas de datos documentaban suficientes registros del controlador para aplicar ingeniería inversa a la transformación, Domas señala que el mismo patrón arquitectónico —entrelazado de canales y rangos, intercambio de bancos y mapeo de selección de chip— existe en prácticamente todos los controladores de memoria modernos, abarcando diseños de AMD, Intel, ARM y RISC-V.

Los hallazgos se presentarán detalladamente en Black Hat 2026, y se espera que los investigadores vigilen de cerca cómo los fabricantes de chips abordan una clase de vulnerabilidad que está fuera del alcance de los modelos de seguridad tradicionales de la CPU.

Fuentes:
https://cybersecuritynews.com/dram-scrambling-attack/