Investigadores de seguridad de las universidades de Birmingham y Durham, han presentado en el Simposio de Seguridad USENIX que se ha celebrado esta semana en Baltimore una nueva clase de ataque informático que rompe por completo la seguridad de Windows 11. Y sin necesidad de acceder físicamente a los equipos.
Bautizado como ‘Download More RAM‘, el ataque (creado por los investigadores y ejecutado en entornos controlados) explota una vulnerabilidad que ha pasado desapercibida en la manera en que los módulos de memoria RAM usados en los equipos de consumo informan de su configuración a la computadora. El problema reside en un chip de configuración presente en la memoria DIMM (DDR4 y DDR5) que indica al sistema la cantidad de memoria instalada. En los módulos afectados, este chip carece de protección contra escritura, lo que permite que el software modifique la información que contiene.
Esto puede provocar que Windows crea que el sistema tiene el doble de RAM de la que realmente tiene. Puede parecer algo inofensivo, pero las direcciones de memoria adicionales resultantes pueden funcionar como alias para ubicaciones de memoria reales. Por tanto, esto le brinda a un atacante una manera de leer y modificar la memoria que, de otro modo, estaría protegida.
Vulnerada la seguridad de Windows 11
Los investigadores explican que la seguridad basada en virtualización (VBS) es la piedra angular de las defensas modernas de los equipos de escritorio Windows, en la que confían tanto el sistema operativo como el software de terceros, con un núcleo seguro virtualizado que proporciona sólidas garantías de seguridad incluso contra atacantes privilegiados.
‘Download More RAM’ rompe esas garantías de seguridad usando exclusivamente software, sin necesidad de acceso físico a los equipos, lo que lo hace extremadamente peligroso. En sistemas que ejecutan los módulos DIMM de consumo más comunes, el ataque permite la lectura/escritura arbitraria de memoria, lo que permite a un usuario privilegiado comprometer el sistema operativo en todos los niveles, incluida la integridad del código aplicada por el hipervisor (HVCI) y todas las defensas que proporciona, incluyendo el núcleo seguro y ese TPM que se nos mostró como imprescindible para ejecutar Windows 11, pero del que han surgido múltiples vulnerabilidades.
Con este acceso, los investigadores han desarrollado una serie de estudios de caso de ataques dirigidos a procesos protegidos por VBS, Windows Defender, software antivirus y EDR, y también los sistemas anti trampas para juegos. El resultado está a la vista: «el ataque rompe las garantías de seguridad más sólidas que ofrece el sistema operativo Windows, poniendo en tela de juicio supuestos clave de confianza en dichos sistemas», explican.
Los investigadores utilizaron esta técnica para eludir las principales medidas de seguridad de Windows 11, incluyendo la Seguridad basada en virtualización (VBS). También demostraron ataques capaces de deshabilitar el software antivirus y el EDR, reactivar controladores vulnerables previamente bloqueados por su uso en campañas de malware, comprometer sistemas corporativos protegidos y sortear las protecciones anti trampas de juegos a nivel del kernel.
Los investigadores lograron leer y modificar cualquier parte de la memoria del sistema, incluso la que Windows garantiza que es inaccesible incluso para el propio sistema operativo. Esto compromete no solo VBS, sino también la Integridad de Código Aplicada por Hipervisor (HVCI), las tecnologías que Microsoft diseñó para proteger Windows incluso contra atacantes con derechos de administrador.
El equipo fue más allá y creó un script de un solo clic (un exploit -controlado- en toda regla) capaz de encadenar el ataque, incluyendo la creación del alias de memoria, el reinicio de la máquina y la desactivación del antivirus sin necesidad de ninguna otra interacción del usuario, lo que demuestra que el ataque es adecuado para campañas automatizadas a gran escala.
Módulos afectados y mitigación
Los investigadores analizaron módulos de memoria DDR4 y DDR5 de consumo populares y descubrieron que grandes fabricantes distribuyen líneas de productos con el chip de configuración completamente desprotegido, en contra de las directrices del Consejo Conjunto de Ingeniería de Dispositivos Electrónicos (JEDEC). No todas las memorias están afectadas y algunas utilizan protección parcial contra escritura, lo cual es suficiente para bloquear los ataques.
Destacar que los ataques por ‘Download More RAM’ fueron creados de manera controlada y no hay ninguna constancia de que hayan salido de los laboratorios de las universidades. Además, todos los proveedores afectados fueron notificados con todos los detalles técnicos con suficiente antelación antes de hacer públicos los resultados. Microsoft confirmó la vulnerabilidad, le asignó el identificador CVE-2026-23670 y desarrolló un parche que mitiga parcialmente este grupo de ataques, muy peligrosos porque no requieren acceso físico a los PCs.
Corsair ha añadido una función a su herramienta iCue que permite a los usuarios activar retroactivamente la protección contra escritura en sus módulos de memoria, solucionando así la vulnerabilidad a nivel de hardware. La herramienta gratuita HWinfo también ha incorporado esta funcionalidad, ofreciendo una solución para otras series de memorias. Algunas placas base ofrecen una configuración en la BIOS para bloquear la escritura en los chips de configuración de memoria, que los usuarios pueden activar como medida provisional.
El responsable de la investigación afirma que ‘Download More RAM’ «demuestra una vez más la importancia de comprender los sistemas, especialmente en lo que respecta a las garantías de seguridad. Si una capa inferior se ve comprometida, todo el sistema queda en riesgo».
“Windows hace una promesa contundente: que ni siquiera un atacante con derechos de administrador puede acceder al núcleo seguro. Descubrimos que esa promesa se basa en la suposición de que la memoria dice la verdad sobre sí misma; en muchas de las memorias que la gente compra, esto no tiene por qué ser así», recalcan de una investigación que pone en duda la seguridad de Windows 11 y las defensas que nos venden como totalmente seguras e infranqueables.
«Se trata de un nuevo vector de ataque que Microsoft parece haber pasado por alto por completo, lo que permite a los atacantes eludir la defensa más sólida que ofrece Windows». Afortunadamente se trata de una investigación controlada donde se han respetado las prácticas de divulgación coordinada que exigen estos casos. Si la vulnerabilidad hubiera sido descubierta por ciberdelincuentes estaríamos hablando de una situación gravísima porque los módulos de memoria RAM desprotegidos son mayoría en el sector de consumo.
Más información | Download More RAM
La entrada ‘Download More RAM’ elude la seguridad de Windows 11 sin acceso físico a los PCs se publicó primero en MuyComputer.
