Se ha descubierto un nuevo ataque denominado “Download More RAM” que permite evadir la Seguridad Basada en Virtualización (VBS) de Windows, debilitar la Integridad de Código Forzada por Hipervisor (HVCI) y desactivar Microsoft Defender. Este fallo, identificado como CVE-2026-23670, aprovecha datos mal protegidos del Serial Presence Detect (SPD) en ciertos módulos de memoria DDR4 y DDR5. Microsoft ya ha lanzado mitigaciones en su actualización de seguridad de abril de 2026.

Un nuevo ataque apodado “Download More RAM” puede saltarse la Seguridad Basada en Virtualización (VBS) de Windows, debilitar la Integridad de Código Forzada por Hipervisor (HVCI) y desactivar Microsoft Defender. Microsoft rastreó el problema como CVE-2026-23670 y lanzó mitigaciones en su actualización de seguridad de abril de 2026.

El ataque abusa de los datos de Detección de Presencia Serial (SPD) mal protegidos en ciertos módulos de memoria DDR4 y DDR5 de consumo. El SPD son datos de configuración almacenados en un módulo de RAM que especifican la capacidad, velocidad y parámetros operativos del sistema.

Si el chip SPD es escribible, un atacante con privilegios de administrador local puede alterar la geometría de memoria reportada, haciendo que el sistema crea que un módulo de RAM tiene más capacidad de la que contiene físicamente.

Esto crea un alias de memoria. Dos direcciones físicas diferentes son tratadas como ubicaciones separadas por Windows, pero apuntan a la misma RAM subyacente. Normalmente, tal condición desestabilizaría Windows y provocaría pantallazos azules.

El ataque de RAM salta la VBS de Windows

Los investigadores descubrieron que la configuración de arranque de Windows podría reservar la parte aliased de la memoria, permitiendo que el sistema operativo permanezca estable mientras deja que el atacante acceda a la misma RAM física a través de direcciones alternativas.

La técnica es significativa porque cruza límites de seguridad que la VBS está diseñada para imponer. La VBS se apoya en Hyper-V para aislar servicios sensibles, incluyendo el Kernel Seguro y los componentes de integridad de código, del kernel normal de Windows.

El ataque Download More RAM, en cambio, opera contra la memoria física bruta, saltándose las protecciones basadas en tablas de páginas, permisos de proceso y niveles de confianza virtual.

Los investigadores demostraron que los atacantes podrían leer la memoria aliased utilizando una herramienta de adquisición de memoria forense modificada y luego usar una utilidad de disco RAM para escribir cantidades limitadas de datos en regiones de memoria seleccionadas.

Aunque este método de escritura es inestable y puede corromper los datos, fue suficiente para parchear la biblioteca de Integridad de Código del Kernel Seguro (skci.dll). Los parches desactivaron las comprobaciones utilizadas para bloquear controladores vulnerables conocidos.

Una vez desactivada la lista de bloqueo de controladores vulnerables, el ataque pudo cargar controladores que los controles de seguridad de Windows habían bloqueado previamente.

Estos controladores pueden proporcionar un amplio acceso a la memoria física, convirtiendo la capacidad de escritura inicialmente limitada en una primitiva de lectura y escritura más fiable.

La cadena de ataque tiene seis etapas:

Etapa	Técnica de Ataque	Descripción
Etapa 1	Alias de Memoria	Altera los datos SPD para crear direcciones de memoria superpuestas.
Etapa 2	Estabilización del Sistema	Evita que Windows utilice el rango de memoria aliased.
Etapa 3	Lectura de Memoria	Utiliza un controlador firmado para acceder a la memoria oculta.
Etapa 4	Escritura de Memoria	Utiliza un disco RAM para modificar la memoria aliased.
Etapa 5	Bypass de Integridad de Código	Parchea skci.dll para saltar las listas de bloqueo de controladores.
Etapa 6	Ataques Basados en Controladores	Carga controladores bloqueados para acceder a la memoria física.

Según la investigación, esto permite la modificación de la memoria protegida, incluyendo áreas asociadas con procesos protegidos por VBS y productos de seguridad de endpoints.

En una prueba de concepto, los investigadores utilizaron la cadena para desactivar el antivirus y la protección contra amenazas de Microsoft Defender. También probaron el impacto en Sophos Intercept X, Riot Vanguard, Easy Anti-Cheat y BattlEye.

El documento recalca que la técnica requiere derechos de administrador local y un sistema que contenga DIMMs cuya configuración SPD siga siendo escribible.

Los investigadores examinaron módulos de memoria de consumo y encontraron líneas de productos afectadas de Corsair, G.Skill y ADATA. Advirtieron que sus pruebas no fueron exhaustivas y que el estado de protección puede variar entre líneas de productos y modelos individuales.

Los DIMMs con bloques de configuración SPD protegidos no son susceptibles al método de alias solo por software descrito en el documento. La mitigación de abril de Microsoft evita que la configuración de eliminación de memoria compatible con Secure Boot sea utilizada como hicieron los investigadores para estabilizar los sistemas Windows aliased.

Según la nota del documento de USENIX, esto bloquea la cadena de ataque demostrada pero no elimina el riesgo más amplio que plantean las técnicas de estabilización alternativas que puedan surgir.

Deberías aplicar las actualizaciones actuales de Windows, mantener las protecciones de Secure Boot y VBS, y revisar la configuración de tu BIOS para buscar opciones que prohíban las escrituras en el SPD.

Los fabricantes de memoria pueden reducir la exposición imponiendo la protección de escritura de SPD, especialmente para los bloques de configuración que definen la capacidad y el direccionamiento del módulo.

Fuentes:
https://cybersecuritynews.com/download-more-ram-attack/