「Download More RAM」攻撃、Windows VBSを突破

セキュリティ研究者らが最近、Windows 11内部の最も強固に防御されたコンポーネントの一部を回避する、極めて斬新な手法を発見しました。彼らはこのバイパスを、標準的な物理メモリ操作によって直接実行します。この手法は「Download More RAM攻撃」と適切に名付けられました。この巧妙なエクスプロイトは、ホストコンピュータに実際にインストールされている物理メモリの2倍を搭載していると本気で信じ込ませるものです。続いて攻撃者は、こうして新たに生成された「幻の」アドレスを利用し、隔離されたメモリ領域へ侵入します。これらの重要な領域は、ローカルのシステム管理者に対してすら完全にアクセス不能でなければなりません。その結果、研究者らはVirtualization-Based Security(VBS)とHypervisor-Protected Code Integrity(HVCI)の回避に成功しました。最終的には、保護されたWindowsカーネルに直接干渉し、重要なセキュリティ機構を無効化しています。

概要:SPDチップの悪用

バーミンガム大学とダラム大学の専門家らが、この巧妙な手法を開発しました。彼らは権威あるUSENIX Security 2026会議で、この画期的な調査結果を正式に発表しています。マイクロソフトは後に、この脆弱性にCVE-2026-23670という識別子を割り当てました。数多くの従来型の物理メモリ攻撃とは異なり、この手法ではコンピュータの筐体を開けたり、RAMモジュールを物理的に取り外したり、ファームウェアを書き換えるための外部ハードウェアプログラマを使用したりする必要がありません。研究者らは、攻撃チェーン全体を純粋にソフトウェアベースのツールのみで実行しました。

メモリエイリアシングの仕組み

この手法の根幹をなすのは、メモリモジュールに直接搭載されている小さなSerial Presence Detect(SPD)マイクロチップです。SPDは、DIMMの総容量、正確なメモリ構成、動作周波数といった各種パラメータを含む、モジュールの特性に関する重要な情報を常時保持しています。重要な点として、一部のコンシューマー向けメモリモジュールは、オペレーティングシステムから重要なSPD領域をソフトウェアで直接上書きすることを許してしまっています。この脆弱性が存在するのは、単にハードウェアメーカーが包括的な書き込み保護プロトコルの実装を怠っていたためです。

ローカル管理者権限を取得した後、研究者らは意図的にSPDの設定を改ざんしました。物理容量8GBのモジュールがホストコンピュータに対して実際の2倍、つまり16GBを誤って報告するように改変したのです。当然ながら、この新たなメモリが自然に生まれるわけではありません。代わりに、新たに拡張されたアドレス空間の上半分が、下半分とまったく同じ物理DRAMセルを指すようになります。コンピュータ科学者はこの特有の現象を、専門的に「メモリエイリアシング」と呼んでいます。

Virtualization-Based Securityの境界を打ち破る

Windowsオペレーティングシステムから見ると、この2つの異なるアドレス群はまったく別のRAM領域のように見えます。しかし実際には、両者は物理的に同一のメモリセルにアクセスしています。この意図的に引き起こされた混乱を巧みに悪用することで、攻撃者は代替となるエイリアスアドレス経由で保護されたメモリの内容にアクセスできます。これにより、オペレーティングシステム、プロセッサ、ハイパーバイザーが課す厳格な制限を巧妙に回避できてしまうのです。研究者らはこの仕組みを、物理メモリへの任意の読み書きアクセスを可能にする、完全に機能する攻撃チェーンへと発展させることに成功しました。

カーネル保護の無効化

Download More RAM攻撃がVBSの境界を激しく突破できてしまう点が、この問題を極めて深刻なものにしています。VBSはHyper-V技術を利用し、Windowsの極めて重要なコンポーネントを、標準のオペレーティングシステムカーネルからは厳格にアクセス不能な、隔離された高度に安全な環境内に分離しています。理論上は、たとえ完全な管理者権限を持つ悪意あるプログラムであっても、セキュアカーネルのメモリを自由に変更することはできません。しかし、この攻撃はその前提を根本から打ち砕き、物理メモリ操作を通じて隔離領域への直接アクセスを可能にしてしまいます。

実演の中で、研究者らはskci.dllコンポーネントを悪意を持って改ざんしました。この特定のコンポーネントは、セキュアカーネル内でコードの整合性を検証する役割を担っています。さらに彼らは、マイクロソフトの脆弱なドライバーに関するブロックリストの厳格な検証を無効化することにも成功しました。この深刻な干渉の後、Windowsは暗号署名済みではあるものの悪名高く脆弱なドライバーの読み込みを再び許可するようになりました。攻撃者はこれらの侵害されたドライバーを通じて、物理メモリへの安定した任意アクセスを獲得し、VBSとHVCIが確立していた保護境界を事実上破壊してしまいます。

現実世界への影響と緩和策

著者らは、いくつかの実践的な攻撃シナリオを実際に示しました。Download More RAM攻撃を利用することで、彼らは厳格なProtected Process Light(PPL)機構によって保護されたプロセスに干渉しました。また、Microsoft Defenderの無効化、Sophos Intercept Xの侵害、そしてセキュアなVBS環境の奥深くで実行されているコードの改ざんにも成功しています。さらに研究者らは、堅牢なビデオゲーム向けアンチチート・システムに対する破壊的な攻撃も実演しました。彼らはこの一連のチェーンを完全に自動化されたスクリプトへとまとめ上げています。このスクリプトは、必要な初期権限さえ取得すれば、それ以降ほぼユーザーの操作を必要とせずに実行されます。

ハードウェアの脆弱性と部分的な修正

包括的な検証プロセスの中で、専門家らはCorsair、G.Skill、ADATA製の特定モジュールにおいて、完全に書き込み可能なSPD領域を発見しました。ただし、この研究はすべてのメーカーの製品ラインを網羅的に調査したわけではありません。したがって、あるブランドの特定モデルに脆弱性が見つかったからといって、その企業のメモリ製品全体に問題が及んでいると自動的に断定することはできません。G.Skill、Crucial、HyperX、Kingston製のテスト対象モジュールの一部には、少なくとも部分的なSPD保護が施されていました。この部分的な保護は、本研究で説明されている特定の攻撃バリエーションを阻止するのに十分なものでした。

重要な点として、この攻撃を任意のWindowsコンピュータを遠隔からハッキングできる万能な手法とみなすことはできません。攻撃シーケンスを開始するには、悪意ある行為者はあらかじめローカル管理者権限を保有している必要があります。さらに、搭載されているメモリハードウェアが特定のSPD領域の変更を明示的に許可している必要もあります。このシナリオが何よりも如実に示しているのは、現代のWindowsマシンにおける管理者権限が、セキュアなコンポーネントに対する絶対的な制御を保証するものではないという、ぞっとするような現実です。しかし、RAMに存在する特有のハードウェアの癖により、攻撃者は最後のセキュリティ境界を突破できてしまうのです。

マイクロソフトは攻撃手法について事前に通知を受けており、2026年4月14日に防御的な修正をリリースしました。Secure Bootを利用しているコンピュータでは、同社はremovememoryブートメカニズムを積極的にブロックしました。研究者らは以前、メモリエイリアスの作成後にWindowsを安定させるためにこのメカニズムを利用していました。公開された攻撃バリエーションにおいては、この防御的な対策によってエクスプロイトチェーンが確実に破壊されます。しかし、ユーザーがSecure Bootを無効化している場合、この手法は依然として完全に機能してしまいます。著者ら自身は、書き込み可能なSPDという根本的な問題がハードウェア自体に深く組み込まれたまま残っているため、このソフトウェア修正はあくまで部分的なものにすぎないとしています。