Attaque Download More RAM : comment elle contourne la VBS de Windows et désactive Microsoft Defender

Saviez-vous qu’une simple manipulation des informations de configuration de votre mémoire RAM peut permettre de contourner les mécanismes de sécurité les plus avancés de Windows ? C’est ce qu’ont démontré des chercheurs en sécurité lors de l’USENIX Security 2026 avec une technique nommée « Download More RAM » (CVE-2026-23670). Cette attaque innovante cible une faiblesse matérielle dans certains modules de mémoire DDR4 et DDR5 grand public pour désactiver la Virtualization-Based Security (VBS), le Hypervisor-Protected Code Integrity (HVCI) et même Microsoft Defender. Découvrons ensemble comment cette menace fonctionne et comment vous en protéger.

Qu’est-ce que la Virtualization-Based Security (VBS) et l’HVCI ?

La Virtualization-Based Security (VBS) est une technologie Microsoft qui utilise Hyper-V pour isoler des composants critiques du noyau Windows. Elle définit deux niveaux de confiance virtuels (VTL). Le VTL 0 exécute le noyau standard, tandis que le VTL 1 héberge le Secure Kernel, Credential Guard et d’autres processus sensibles. Cette isolation garantit qu’une compromission du noyau ne permet pas d’accéder aux données protégées par le VTL 1. L’Hypervisor-Protected Code Integrity (HVCI), aussi appelé Intégrité du code, vérifie la signature de tous les pilotes et exécutables en mode noyau. Les vérifications sont effectuées dans l’environnement isolé du VTL 1. Ensemble, VBS et HVCI constituent le socle de la sécurité moderne de Windows. Selon Microsoft, environ 70 % des exploits de type « bring your own vulnerable driver » (BYOVD) sont bloqués par l’HVCI. Cependant, l’attaque Download More RAM démontre que cette protection peut être contournée si l’attaquant parvient à altérer la configuration mémoire.

Comprendre l’attaque Download More RAM

Le rôle du SPD (Serial Presence Detect)

Chaque barrette de mémoire DDR4/DDR5 intègre une puce EEPROM contenant les données SPD : capacité, vitesse, timings, fabricant. Ces données sont lues par le BIOS au démarrage pour configurer le contrôleur mémoire. Sur de nombreux modules grand public, cette EEPROM est accessible en écriture via le bus SMBus, sans protection matérielle. Les fabricants laissent souvent cette porte ouverte pour des raisons de compatibilité et d’overclocking.

L’exploitation détaillée

L’attaque Download More RAM se déroule en plusieurs phases :

1. L’attaquant, disposant de privilèges administrateur locaux, modifie les données SPD d’un module à l’aide d’outils légitimes (par exemple, des utilitaires fournis par le fabricant de la carte mère ou des scripts PowerShell).
2. La capacité mémoire déclarée est augmentée (par exemple, de 8 Go à 16 Go).
3. Le système redémarre. Le BIOS lit le SPD modifié et configure la mémoire en conséquence. Windows détecte une quantité de mémoire incohérente avec la géométrie physique.
4. Pour stabiliser le système, Windows utilise le mécanisme de démarrage removememory (compatible Secure Boot) pour exclure les adresses en conflit.
5. Ce faisant, le système crée des aliases mémoire : plusieurs adresses logiques pointent vers les mêmes cellules DRAM physiques.
6. L’attaquant peut alors utiliser des outils signés pour lire et écrire dans l’espace mémoire aliasé, y compris les régions réservées au Secure Kernel (VTL 1).

La démonstration de l’USENIX

Les chercheurs de l’USENIX Security 2026 ont présenté une preuve de concept complète. Ils ont utilisé un RAM-disk pour appliquer des modifications ciblées à la mémoire aliasée. En patchant la bibliothèque skci.dll du Secure Kernel, ils ont désactivé les vérifications de la liste noire des pilotes vulnérables. Une fois cette protection affaiblie, ils ont chargé un pilote signé mais vulnérable, offrant un accès complet à la mémoire physique.

« L’étude démontre que l’hypothèse d’isolation mémoire de la VBS peut être brisée par une manipulation du SPD, rendant caduques les protections logicielles. », résume le papier de recherche.

Impacts concrets : contournement de VBS, HVCI et désactivation des EDR

L’impact de cette attaque est considérable. Voici les principaux scénarios démontrés :

• Désactivation de Microsoft Defender : les processus de Defender peuvent être arrêtés ou modifiés, rendant le système vulnérable à d’autres malwares. La protection Tamper Protection est également contournée.
• Bypass d’HVCI : les vérifications d’intégrité du code sont neutralisées, permettant le chargement de pilotes non signés ou malveillants.
• Contournement des EDR : des solutions comme Sophos Intercept X ont vu leurs protections compromises lors des tests.
• Altération d’enclaves VBS : le code exécuté dans des enclaves sécurisées (ex. : applications confidentielles) peut être modifié, exposant des secrets.
• Neutralisation de solutions anti-cheat : les jeux et applications utilisant des protections noyau peuvent être trafiqués.

Ce tableau montre l’étendue des dégâts potentiels. L’attaque ne se contente pas de contourner une seule protection : elle s’attaque à l’ensemble de la pile de sécurité de Windows.

Comment se protéger contre l’attaque Download More RAM ?

La défense contre Download More RAM nécessite une approche multicouche.

Appliquer le correctif Microsoft

Microsoft a publié un correctif pour CVE-2026-23670 dans ses mises à jour de sécurité d’avril 2026. Ce correctif empêche l’utilisation du mécanisme removememory en mode Secure Boot, ce qui bloque la chaîne d’exploitation connue. Il est impératif d’appliquer ce correctif sans délai sur tous les systèmes Windows, en particulier ceux qui exécutent VBS.

Activer et vérifier Secure Boot

Secure Boot garantit que seuls des firmwares et bootloaders signés sont chargés au démarrage. Vérifiez qu’il est activé dans les paramètres UEFI. Pour confirmer, exécutez cette commande PowerShell :

Confirm-SecureBootUEFI

Si le résultat est True, Secure Boot est actif. S’il est False, activez-le immédiatement. Vous pouvez également vérifier la configuration de démarrage avec :

bcdedit /enum {current}

Recherchez la présence d’options liées à removememory ; une configuration saine n’en contient pas.

Protéger le SPD au niveau BIOS

Certaines cartes mères offrent une option de verrouillage de l’écriture SPD dans le BIOS/UEFI. Activez-la si disponible. Pour les nouvelles acquisitions, choisissez des modules mémoire destinés aux serveurs ou aux stations de travail professionnelles, qui intègrent souvent une protection SPD en écriture.

Surveiller les indicateurs de compromission

Les équipes de sécurité doivent être attentives aux signes suivants :

• Modification inexpliquée de la capacité mémoire rapportée dans le BIOS ou dans les propriétés système.
• Tentatives de chargement de pilotes vulnérables (consultez les logs Windows pour les événements 7031, 7034).
• Changements dans la configuration de démarrage via bcdedit.
• Accès anormal au bus SMBus ou à l’EEPROM SPD (peut être détecté avec des outils de monitoring matériel).
• Présence d’outils de manipulation SPD dans les logs d’installation de logiciels.

« Attaquer le matériel pour contourner les sécurités logicielles est une tendance de fond. Les entreprises doivent repenser leur posture en incluant la chaîne d’approvisionnement matérielle », souligne un consultant en cybersécurité.

Recommandations pour les entreprises françaises

L’ANSSI recommande une approche de défense en profondeur. Voici des mesures concrètes adaptées au contexte français :

1. Déployer les correctifs : prioriser l’installation des mises à jour de sécurité Microsoft, en particulier pour les postes critiques. Utilisez WSUS ou Microsoft Intune pour un déploiement centralisé.
2. Auditer Secure Boot : vérifier l’activation sur l’ensemble du parc via des scripts ou des outils de gestion centralisée.
3. Sélectionner du matériel de confiance : lors des appels d’offres, exigez des modules mémoire avec SPD protégé en écriture et conformes aux standards de sécurité (FIPS 140-3 si possible).
4. Segmenter et durcir : limitez les connexions administrateur et utilisez Windows Defender Application Control (WDAC) pour bloquer les pilotes non autorisés.
5. Surveiller activement : intégrez les logs de modification du SPD et de configuration mémoire dans votre SIEM. Corrélez ces événements avec les alertes EDR.
6. Former les équipes : sensibilisez les administrateurs à cette nouvelle menace et aux bonnes pratiques de vérification matérielle.

Conclusion : une leçon pour l’avenir

L’attaque Download More RAM (CVE-2026-23670) marque une étape importante dans l’histoire de la sécurité informatique. Elle prouve que la sécurité basée sur la virtualisation, bien que robuste, n’est pas invulnérable face à des attaques exploitant le matériel. Les organisations doivent désormais intégrer la sécurité de la mémoire physique dans leur modèle de menace.

Chez les entreprises françaises, la réaction doit être rapide : appliquer le correctif Microsoft, vérifier Secure Boot, et engager une réflexion sur la sécurité de la chaîne d’approvisionnement matérielle. La cybersécurité est un combat sans fin, et cette attaque nous rappelle qu’elle doit être menée à tous les niveaux. Restez vigilants, et n’oubliez pas qu’une simple barrette de mémoire peut devenir le maillon faible de votre sécurité.