CVE-2026-23670 : L'attaque Download More RAM contourne VBS et désactive Microsoft Defender

L’attaque Download More RAM : un nouveau paradigme dans la menace Windows

Présentée à l’USENIX Security 2026, l’attaque « Download More RAM » bouleverse les certitudes établies autour de la sécurité Windows, à l’instar de l’IA offensive d’OpenAI qui redéfinit la cybersécurité. Identifiée sous la référence CVE-2026-23670, cette technique n’exploite pas une vulnérabilité logicielle classique dans Hyper-V ou le noyau Windows. Elle cible plutôt une faiblesse matérielle présente sur certaines barrettes de mémoire DDR4 et DDR5 : le Serial Presence Detect (SPD). En manipulant cette interface de configuration, un attaquant disposant de droits administrateur local peut créer des alias mémoire capables de briser l’isolation offerte par l’hyperviseur. Les conséquences sont immédiates : contournement de l’Hypervisor-Protected Code Integrity (HVCI), modification de la bibliothèque Secure Kernel (skci.dll) et désactivation des solutions EDR comme Microsoft Defender ou Sophos Intercept X. Cet article vous explique le fonctionnement de cette attaque, ses implications pour les entreprises françaises et les actions concrètes à mener pour s’en prémunir.

Plongée technique : l’exploitation du SPD et le memory aliasing

Au cœur de l’attaque se trouve le Serial Presence Detect (SPD), une petite mémoire EEPROM située sur chaque barrette DIMM DDR4 et DDR5. Cette puce stocke les paramètres essentiels qui permettent au firmware UEFI et au système d’exploitation de configurer correctement le contrôleur mémoire : capacité totale, nombre de ranks, timings, tension. Dans un grand nombre de modules destinés au grand public, l’EEPROM n’est pas verrouillée en écriture. Un attaquant disposant d’un accès administrateur peut donc, via des protocoles standard comme SMBus ou I2C, réécrire ces données de configuration. En déclarant une capacité mémoire supérieure à la réalité physique (jusqu’à deux fois plus dans les démonstrations), le système d’exploitation est amené à créer des mappings mémoire contradictoires. On parle de memory aliasing : plusieurs adresses physiques distinctes pointent en réalité vers les mêmes cellules DRAM.

« The manipulated RAM configuration produces a condition known as memory aliasing… This breaks a fundamental assumption made by the operating system, processor, and hypervisor. » - USENIX Security 2026, présentation de Download More RAM.

Quels fabricants et quels modules sont concernés par cette faille ?

Les chercheurs de l’USENIX ont identifié des modules grand public vulnérables chez Corsair (gammes Vengeance), G.Skill (gammes Trident Z) et ADATA (gammes XPG). Selon leur étude, présentée à l’USENIX Security 2026, plus de 70% des références DDR5 grand public testées ne disposaient pas de protection en écriture SPD, tandis que ce taux tombait à moins de 10% pour les gammes professionnelles du même fabricant. Cette statistique souligne l’ampleur potentielle du problème dans le marché de l’occasion ou dans les configurations assemblées sans critères de sécurité stricts. Leur étude n’étant pas exhaustive, d’autres fabricants peuvent être concernés. Un module dont le SPD est correctement protégé en écriture n’est pas vulnérable à la voie d’attaque logicielle démontrée. Pour les postes critiques, il est vivement recommandé de se rapprocher de son assembleur ou fabricant pour obtenir une confirmation de l’état de la protection.

Comprendre le contournement de VBS et HVCI

Windows Virtualization-Based Security (VBS) utilise l’hyperviseur Hyper-V pour créer des régions de mémoire isolées appelées Virtual Trust Levels (VTL). Le VTL0 héberge le système d’exploitation classique et le kernel, tandis que le VTL1 est réservé au Secure Kernel et aux composants critiques comme Credential Guard. Les mécanismes de sécurité comme l’Hypervisor-Protected Code Integrity (HVCI) s’appuient sur cette isolation pour garantir qu’aucun code non signé ou malveillant ne s’exécute en mode noyau.

Le memory aliasing induit par Download More RAM permet à un code s’exécutant en VTL0 de lire ou écrire dans la mémoire allouée au VTL1. Les chercheurs ont utilisé cet accès pour patcher dynamiquement la bibliothèque skci.dll (Secure Kernel Code Integrity library), qui contient la liste noire des pilotes signés mais vulnérables (Vulnerable Driver Blocklist). En neutralisant ce mécanisme, l’attaquant peut charger des pilotes signés légitimes mais connus pour exposer des primitives d’accès mémoire physique de bas niveau.

De l’accès VTL1 à la désactivation des EDR

Une fois que le VTL1 est compromis et que la blocklist est contournée, l’attaquant dispose d’un accès total à la mémoire physique. Des pilotes comme ceux utilisés pour le diagnostic matériel (par exemple, des pilotes de carte mère autorisant la lecture et l’écriture de l’espace mémoire PCI) deviennent des armes redoutables. Ces pilotes, signés par Microsoft ou par les fabricants, sont considérés comme de confiance par le système d’exploitation. Leur chargement ne déclenche donc pas d’alerte de sécurité classique. L’attaquant peut alors lire n’importe quelle zone mémoire, tuer des processus critiques, ou encore modifier le comportement des agents de sécurité.

Impact concret sur les solutions de sécurité Windows

L’impact de l’attaque Download More RAM ne se limite pas à une démonstration de principe. Les chercheurs de l’USENIX ont concrètement démontré la désactivation de Microsoft Defender et l’interférence avec des solutions EDR comme Sophos Intercept X. Ces produits, qui s’appuient sur un pilote noyau pour surveiller les appels système et les accès mémoire, deviennent aveugles une fois que l’attaquant contrôle la mémoire physique.

Scénario d’attaque typique contre une entreprise

Prenons l’exemple d’un poste de direction dans une PME française protégée par Microsoft Defender for Endpoint. Un attaquant, après avoir compromis le compte d’un utilisateur via une campagne de phishing ciblé par failles CSS, obtient un accès administrateur local. Sans cette vulnérabilité, l’attaquant devrait faire face à VBS et HVCI, qui bloquent l’injection de code noyau. Grâce à Download More RAM, il peut franchir ces barrières. Après avoir identifié une barrette de RAM dont le SPD n’est pas protégé, il exécute un outil de modification du SPD, redémarre le système, le stabilise avec BCDEdit removememory, puis exploite l’alias mémoire pour patcher skci.dll. En quelques minutes, il peut charger un pilote signé vulnérable, désactiver l’agent Defender et déployer son ransomware sans déclencher la moindre alerte. Ce scénario illustre parfaitement comment une faiblesse matérielle peut annihiler les couches de sécurité logicielles les plus avancées.

Se protéger de CVE-2026-23670 : correctifs et bonnes pratiques

Microsoft a réagi rapidement en publiant une mise à jour de sécurité dans son cycle d’avril 2026. Ce correctif bloque le paramètre de démarrage removememory qui était utilisé par les chercheurs pour stabiliser le système après la modification du SPD. Toutefois, cette protection n’est efficace que si Secure Boot est activé sur la machine concernée. Les équipes doivent donc s’assurer de la conformité de leur parc.

« Updated systems with Secure Boot enabled are protected against the presently documented attack chain. We strongly recommend customers install the April 2026 security updates and verify Secure Boot is enabled. » - Microsoft Security Response Center.

Les limites du correctif et l’importance de la défense en profondeur

Il est crucial de comprendre que le correctif de Microsoft ne résout pas le problème matériel sous-jacent. Les modules mémoire dont le SPD n’est pas protégé en écriture restent vulnérables à d’autres manipulations. Si Microsoft a colmaté la voie de contournement spécifique utilisée par les chercheurs de l’USENIX, un attaquant motivé pourrait découvrir une autre méthode pour exploiter le memory aliasing. La défense en profondeur reste donc de mise. Par ailleurs, la protection en écriture du SPD doit être traitée comme un contrôle de sécurité complémentaire, au même titre que le chiffrement des disques.

Checklist de protection pour les équipes IT et SOC

1. Déployer le correctif d’avril 2026 sans délai. Utilisez Windows Update, WSUS ou votre solution de Gestion des Correctifs pour vous assurer que 100% du parc est à jour.
2. Auditer Secure Boot sur l’ensemble du parc. Exécutez la commande suivante sur vos postes et serveurs :

   Confirm-SecureBootUEFI
   

   Un résultat False doit être traité comme un incident de sécurité critique.
3. Identifier le matériel mémoire vulnérable. Réalisez un inventaire des références de RAM Corsair, G.Skill, ADATA et autres dans votre parc. Contactez les fabricants pour connaître l’état de la protection en écriture du SPD.
4. Surveiller les indicateurs de compromission. Les équipes SOC doivent porter une attention particulière aux évènements suivants :
   • Modifications de la configuration du Boot Configuration Data (BCDEdit).
   • Chargement de pilotes issus de la Vulnerable Driver Blocklist.
   • Alertes provenant de l’EDR concernant des accès mémoire physique anormaux.
   • Tentatives d’interaction avec l’interface SMBus du chipset.
5. Appliquer rigoureusement le principe du moindre privilège. L’attaque nécessite un accès administrateur local. La suppression des droits administrateur sur les postes de travail et l’utilisation de solutions comme Windows Local Administrator Password Solution (LAPS) restent les contre-mesures les plus efficaces.
6. Renforcer la sécurité des comptes privilégiés. Utilisez un coffre de mots de passe, une authentification forte et des postes de travail à accès privilégié (PAW).

Indicateurs de compromission à surveiller par les équipes SOC

Au-delà de la prévention, la détection d’une exploitation de CVE-2026-23670 est complexe mais possible en s’appuyant sur les signaux faibles suivants :

• Logs BCDEdit. La commande bcdedit /set {current} removememory est le traceur principal de la phase de stabilisation. Si elle n’est pas bloquée par le correctif (par exemple sur un système non patché), elle laisse une trace évidente dans les logs.
• Modifications de l’EEPROM SPD. L’utilisation d’outils comme RWEverything ou SPDTool pour écrire dans la mémoire SPD peut être détectée par des outils de monitoring de l’intégrité de l’UEFI.
• Chargement de pilotes vulnérables. Les solutions EDR modernes télémétrent le chargement de pilotes. Une alerte sur le chargement d’un pilote présent dans la blocklist de Microsoft doit être investigate immédiatement.
• Comportement mémoire anormal. Des outils de monitoring hardware peuvent détecter une divergence entre la capacité de RAM physique installée et la capacité déclarée au système.

Conclusion : tirer les leçons de l’attaque Download More RAM

L’attaque Download More RAM met en lumière une vérité inconfortable pour les professionnels de la sécurité : la confiance placée dans le matériel comme dans les API de raisonnement IA ne doit jamais être absolue. En ciblant le SPD des barrettes mémoire, CVE-2026-23670 démontre que les frontières entre logiciel et matériel sont poreuses. Cette attaque est un signal d’alarme pour les RSSI, les incitant à intégrer des critères de sécurité physique et de chaîne d’approvisionnement dans leur stratégie de défense. Au-delà du déploiement rapide des correctifs et de l’audit des configurations Secure Boot, c’est toute la politique de gestion des accès et des privilèges qui doit être repensée. L’arme la plus simple contre une attaque aussi sophistiquée reste une bonne hygiène de base : ne jamais faire confiance par défaut, toujours vérifier, et toujours segmenter.