新たに公表されたWindowsの攻撃手法「Download More RAM」は、仮想化ベースセキュリティ(Virtualization-Based Security、VBS)を無力化し、ハイパーバイザー保護コード整合性(HVCI)を回避したうえで、Microsoft Defenderをはじめとするサードパーティ製EDR製品を含むエンドポイント防御を無効化できることが判明しました。
USENIXが文書化したこの攻撃は、Windowsカーネルの従来型脆弱性を悪用するものではありません。代わりに、一部の民生用DDR4およびDDR5メモリモジュールに存在する、これまで見過ごされてきた弱点を狙います。それが、書き込み可能なSerial Presence Detect(SPD)設定データです。
SPDデータは、搭載メモリの容量と構成をシステムのファームウェアに伝える役割を持っています。SPD EEPROMの書き込み保護が不十分な場合、ローカル管理者権限を持つ攻撃者はDIMMが報告するメモリ構成を改ざんし、実際に搭載されている以上の物理メモリが存在するとシステムに誤認させることができます。
この誤った構成情報はメモリエイリアシングを引き起こします。つまり、異なる物理アドレスが同一のDRAM領域を指し示す状態になるのです。
研究者たちがこの手法を「Download More RAM」と名付けたのは、物理的な追加メモリを一切搭載していないにもかかわらず、対象のメモリスティックの実際の容量が2倍あるかのようにマシンが認識してしまうためです。
従来のBadRAM系の研究とは異なり、今回実証された攻撃は完全にソフトウェアのみで完結し、攻撃者がメモリモジュールを取り外したり、改造したり、差し替えたりする必要は一切ありません。
この攻撃の影響が深刻なのは、エイリアス化されたメモリを通じて、本来VBSによって隔離されるはずの物理メモリ空間の生データが露出してしまう点にあります。
Windows VBSは、Hyper-Vと仮想信頼レベル(Virtual Trust Level)を利用し、通常のWindowsカーネルと、Secure Kernel、Credential Guard、隔離されたユーザーモードプロセスといった機密性の高いコンポーネントを分離しています。
USENIXによる実証では、メモリエイリアシングを利用することで、特権を持つWindows管理者であってもアクセスできないはずの領域への到達が可能になりました。実際の攻撃手順は複雑ですが、そのセキュリティ上の帰結は極めて明快です。
エイリアスを作成した後、研究者たちはOSが影響を受ける上位メモリ領域を使用しないよう制御し、Windowsの動作を安定させました。
続いて、正規の署名済みツールを用いてエイリアス化された領域を調査し、RAMディスクの仕組みを利用してメモリに限定的な変更を加えました。これにより、Secure Kernel Code Integrityライブラリであるskci.dllにパッチを適用し、Microsoftの脆弱ドライバーブロックリストを強制するチェック機能を無効化することに成功しました。
これらのチェックが回避されると、それまでブロックされていた、しかし正規に署名された脆弱なドライバーを読み込めるようになります。こうしたドライバーは強力な物理メモリの読み書きプリミティブを提供し得るため、結果としてVBSやHVCIが強制する境界を事実上突破してしまいます。
USENIXの論文によれば、この手法によってシステムの物理メモリ全体へのアクセスが可能になり、Windowsカーネル、Secure Kernel、そしてHyper-Vが管理するコンポーネントを保護するために設けられている分離保証が無効化されてしまうとされています。
概念実証(PoC)のケーススタディにおいて、研究チームはこの手法を用いてWindows Defenderの保護機能を無効化したほか、Sophos Intercept Xの構成に対しても影響を及ぼせることを実証しました。
さらに、VBSによって保護されているエンクレーブコードの読み取りと改変が可能であることも示されたほか、Riot Vanguard、BattlEye、Easy Anti-Cheatといったカーネルレベルのゲーム用アンチチート機構も影響を受け得ることが確認されました。
研究者たちはさらに、管理者権限は必要とするものの、実行後は一切の追加のユーザー操作を必要としないワンクリック自動化ワークフローも開発しました。
影響を受けるハードウェアの範囲は、すべてに及ぶわけではありません。今回の調査では選定された民生用モジュールを対象に調査を行い、Corsair、G.Skill、ADATAの製品ラインにおいて保護されていないSPD構成を確認しました。
著者らは、これが網羅的な市場調査ではないことを強調しており、保護の有無は製品ラインやモデルによって異なる可能性があるとしています。Microsoftは本件にCVE-2026-23670を割り当て、2026年4月のWindowsセキュリティアップデートで緩和策を提供しました。
このアップデートにより、今回実証された攻撃経路でSecure Boot対応のremovememory起動パラメータが悪用されることを防止できます。
しかし研究者たちは、書き込み可能なSPDを持つDIMM上でエイリアスを作成できるという根本的な問題は依然として残っており、システム安定化の別の手法が見つかれば、この攻撃手法が再び有効になる可能性があると警告しています。
防御側にとって当面の優先事項は、最新のWindowsアップデートの適用、Secure Bootの状態確認、SPDへの書き込みをブロックするBIOSオプションの見直し、そしてRAMベンダーが発表するSPD書き込み保護に関するガイダンスの継続的な確認です。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを短縮しましょう
翻訳元: https://cyberpress.org/new-download-more-ram-attack-breaks-windows-vbs/