В модулях памяти Corsair, G.Skill и Adata нашли уязвимость, через которую можно обходить защиту Windows

Учёные Бирмингемского и Даремского университетов (Великобритания) продемонстрировали, что самые мощные средства защиты Windows можно обходить одними только программными методами. Корень проблемы оказался в недостаточно защищённых SPD-чипах на модулях памяти, которые используют многие крупные производители.

Схема атаки получила название «Скачать ещё памяти» (Download More RAM). При её реализации гипотетический злоумышленник злоупотребляет тем фактом, что конфигурационные чипы SPD (Serial Presence Detect) на модулях оперативной памяти, которые сообщают ПК о её характеристиках, не имеют защиты от записи. В результате программными средствами можно заставить Windows «видеть» больше памяти, чем есть на самом деле. В адресном пространстве системы появляются дополнительные адреса памяти, выступающие псевдонимами для настоящих, и открывается бэкдор, который позволяет обходить любые средства контроля доступа, устанавливаемые системой и процессором.

Исследователи показали, что, эксплуатируя уязвимость, злоумышленник может:

- запускать уязвимые драйверы, которые использовались в известных атаках вредоносного ПО;
- отключать антивирусное и защитное ПО, которое осуществляет постоянный мониторинг безопасности;
- получать доступ к изолированным областям памяти, которые Windows использует для защиты наиболее важных компонентов и данных;
- обходить ограничения групповых политик на корпоративных машинах;
- обходить игровые античиты, работающие с привилегиями на уровне ядра.

Исследователи разработали пример скрипта, который запускается в один щелчок мышью и выполняет всю цепочку атаки: создаёт псевдонимы адресов памяти, перезагружает машину и отключает антивирус. Они обнаружили, что у Corsair, G.Skill и Adata есть как минимум по одной линейке продуктов с полностью незащищёнными чипами конфигурации, что противоречит рекомендациям JEDEC. Вместе эти поставщики занимают 55 % рынка высокопроизводительной потребительской памяти и более 70 % игрового сегмента. Модули Crucial, Kingston и HyperX, а также некоторые линейки G.Skill имеют лишь частичную защиту от записи, чего недостаточно для блокировки атаки.

Исследователи показали, что при этой атаке становится возможным читать и записывать данные в любых областях системной памяти, даже если доступ к ним запрещён механизмами защиты Windows. В результате нарушается работа не только защитных средств виртуализации, но и технологий Hypervisor Enforced Code Integrity (HVCI), призванных защищать Windows от злоумышленников с правами администратора. Microsoft подтвердила, что уязвимость существует. Ей был присвоен номер CVE-2026-23670, а устранили её в апрельском обновлении безопасности Windows. Уязвимыми остались только машины с отключённой функцией Secure Boot. Corsair добавила в приложение iCue функцию, которая позволяет включить защиту от записи уже выпущенных модулей памяти. Для некоторых модулей других производителей аналогичную возможность предоставляет утилита HwInfo. В некоторых случаях заблокировать этот чип от записи можно через BIOS — как временное решение.