Скрипт създаде акаунт на напълно защитена машина с Windows 11, спря антивирусната програма, за която Microsoft твърди, че не може да бъде спряна, и изпълни зловреден код. За целта беше необходимо само едно щракване, тъй като паметта нямаше защита срещу запис.

Машината беше с включени всички защити: Secure Boot, принудително прилагане на цифрови подписи за драйвери, PatchGuard, сигурност на базата на виртуализация (VBS) и гарантиран от хипервизора интегритет на кода (HVCI). Това са защитите, които Microsoft разработи специално, за да предотврати достъпа на атакуващ с администраторски права до ядрото на Windows. Всички те издържаха, но паметта не успя.

Петима изследователи представиха това проучване на симпозиума по сигурност USENIX в Балтимор на 13 август и спечелиха наградата „Отличена научна разработка“ (Distinguished Paper Award). Докладът е озаглавен „Download More RAM: Dismantling Windows Operating System Defences with Mischievous Memory“ с автори Сам Колинс, Том Чотия, Уилям Бърджис и Мариус Мюнх от Бирмингамския университет, съвместно с Дейвид Осуалд от Университета в Дърам.

Скриптът презаписва чип върху модула памет. Той създава нов локален акаунт, инсталира скрипт за стартиране за този акаунт, настройва го да се вписва автоматично и рестартира системата. След рестартирането стартиращият скрипт спира антивирусната програма и изпълнява зловреден код. От първото щракване нататък не се изисква никаква намеса от потребителя.

За да постигнат това, изследователите трябваше да преодолеят защита на Windows, която се счита за абсолютна. Windows поддържа списък с блокирани драйвери с известни уязвимости, тъй като зареждането на такъв драйвер е стандартен начин за проникване в ядрото. Изследователите взеха драйвер от този списък и промениха четири байта – полето за контролна сума в неговия PE заглавен блок. Това променя хеша на файла, така че списъкът за блокиране вече не го разпознава, докато цифровият подпис остава валиден. Четири байта предоставят над четири милиарда варианта за изпробване.

Всеки модул памет носи малък чип, наречен Serial Presence Detect (SPD). Когато машината се включи, фърмуерът на дънната платка чете този чип, за да разбере какъв е модулът: какъв е неговият капацитет, как изглежда оформлението му и на каква скорост работи. Компютърът се доверява на прочетеното от SPD чипа.

При няколко потребителски DDR4 и DDR5 модула този чип изобщо няма защита срещу запис. Софтуер с администраторски права може да го презапише.

Изследователите го презаписаха така, че машината да отчита два пъти повече памет от физически инсталираната. Този допълнителен капацитет не съществува. Два различни физически адреса се оказват насочени към едни и същи DRAM клетки. Памет, до която защитеното ядро вярва, че само то има достъп, става достъпна чрез втори адрес, който никой не наблюдава.

Оттам те получиха произволен достъп за четене и запис в паметта, която операционната система обещаваше да бъде изолирана. Те коригираха уязвимост в skci.dll (библиотеката, която проверява драйверите преди зареждане) и изключиха проверките за отнемане на сертификати. Стотици блокирани драйвери станаха отново зареждаеми. Анклавите на сигурността на базата на виртуализация (VBS) паднаха, както и защитата HVCI. Антивирусният софтуер и EDR решенията можеха да бъдат деактивирани, защитите срещу читове на ниво ядро бяха заобиколени, както и корпоративното управление на устройства, което не позволява на служителите да изключват сигурността.

Всичко това се случи без отваряне на кутията на компютъра и без добавяне на хардуер.

Дали вашата машина е засегната зависи от това каква памет е инсталирана в нея. Изследователите тестваха 11 потребителски модула DDR4 и DDR5. Трима производители доставят поне една продуктова линия с напълно незащитен SPD чип: Corsair Vengeance (както в DDR4, така и в DDR5 варианти), G.Skill Aegis и ADATA XPG. Моделите Crucial, Kingston, HyperX, G.Skill Trident Z Royal и G.Skill Trident Z NEO имат частична защита срещу запис, която е достатъчна за спиране на атаката.

Относно това колко разпространен е този проблем, докладът е по-предпазлив от медийните публикации. Corsair държи 17.4% от общия пазар на памети през 2025 г., като авторите цитират оценки за 55% в сегмента с висока производителност и 72% при геймърските системи. ADATA държи около 5% от общия пазар. За G.Skill не бяха намерени надеждни данни. Изследването не е изчерпателно, така че и други продуктови линии могат да съдържат същия незащитен чип.

Самото дублиране на адреси в паметта (memory aliasing) не е ново явление. Разработката стъпва върху BadRAM, представена на симпозиума на IEEE за сигурност и поверителност през 2025 г. от Джеси Де Мюлеместър, Лука Вилке, Дейвид Осуалд, Томас Айзенбарт, Ингрид Вербаухеде и Йо Ван Бълк. BadRAM проби AMD SEV-SNP, но работеше чрез физическо изваждане на DIMM модула от машината, премахване на защитата срещу запис на ръка, презаписване на SPD съдържанието и връщане на модула обратно.

Тогава екипът на BadRAM забеляза, че е попаднал на отключен модул, и написа, че е възможна софтуерна версия на атаката, но не я разработи. Авторите на „Download More RAM“ го посочват в бележка под линия: предишни проучвания предполагаха възможността за изцяло софтуерни атаки, но не ги демонстрираха в завършен вид.