Lo de “descargar más RAM” lleva siendo un meme de Internet desde hace años, pero un grupo de investigadores de las universidades de Birmingham y Durham ha conseguido convertir la broma en algo bastante menos gracioso. Su ataque, bautizado precisamente como Download More RAM, permite modificar por software determinados módulos DDR4 y DDR5 para que un módulo de 8 GB pase a declarar 16 GB, no porque aparezca mágicamente memoria nueva, sino para crear direcciones duplicadas que terminan permitiendo acceder a zonas de memoria que Windows 11 cree protegidas.
La clave está en el famoso SPD (Serial Presence Detect), la pequeña memoria donde cada módulo almacena información como su capacidad, frecuencias, voltajes o geometría o perfiles EXPO o XMP. El problema es que muchos no están bloqueados, y con esta vulnerabilidad, ahora demostrada, deja a Windows y Linux en la estacada.
Download More RAM, la vulnerabilidad que deja en evidencia la falta de protección de SPD por parte de algunos fabricantes
En determinados DIMM de consumo estos datos pueden escribirse desde software porque el SPD no tiene activada la correspondiente protección de escritura. Los investigadores modificaron el número de bits utilizados para direccionar las filas de la memoria, consiguiendo que un módulo informe al sistema de que dispone del doble de capacidad física. Así, 8 GB pueden aparecer como 16 GB, 16 GB como 32 GB o 32 GB como 64 GB, pero la mitad superior simplemente apunta de nuevo a la memoria real existente.
Aquí es donde la cosa se pone seria, de hecho, crítica por el impacto que tiene en cualquier PC o portátil. El ataque parte de un usuario o malware que ya dispone de privilegios de administrador, pero el objetivo precisamente es superar las barreras que Windows mantiene incluso frente a un administrador comprometido.
Aprovechando esa memoria aliasada (aliased memory), los investigadores desarrollaron una cadena de seis fases que acaba permitiendo leer y modificar memoria física arbitrariamente, incluyendo regiones protegidas por el Secure Kernel y Hyper-V. Es decir, se puede atacar dos direcciones distintas que terminan apuntando a la misma zona física de RAM
Tras estabilizar Windows para evitar pantallazos azules, utilizan herramientas legítimas para leer la memoria aliasada y un RAM disk para conseguir inicialmente capacidad de escritura. Con ello parchean skci.dll, responsable de buena parte de las comprobaciones de integridad del Secure Kernel, desactivan la lista de drivers vulnerables y vuelven a cargar controladores que Microsoft había bloqueado precisamente por permitir ataques de tipo BYOVD.
Permite saltarse VBS, HVCI y Windows Defender
El resultado es que VBS y HVCI dejan de servir como frontera de seguridad, pudiendo llegar a desactivar Windows Defender, comprometer soluciones EDR como Sophos Intercept X y manipular sistemas anti-cheat como Riot Vanguard, Easy Anti-Cheat o BattlEye. Los investigadores incluso automatizaron el proceso mediante un script de un solo clic que únicamente necesita ejecutarse inicialmente con privilegios de administrador.
Y no hablamos de una prueba realizada sobre una memoria especialmente rara. Encontraron SPD completamente desprotegidos en módulos de CORSAIR, G.Skill y ADATA, mientras que los modelos probados de Crucial, Kingston, HyperX y algunas memorias G.Skill sí tenían protección suficiente.
Microsoft asignó al problema CVE-2026-23670 y desde la actualización de seguridad del 14 de abril de 2026 bloquea la variante demostrada cuando Secure Boot está activo, aunque los propios investigadores advierten de que esta mitigación corta actualmente la cadena de ataque, pero no elimina el problema de fondo de los módulos con SPD reescribible.
La entrada Download More RAM hace realidad el meme: convierte 8 GB en 16 GB para romper las principales defensas de Windows 11 manipulando el SPD de memorias DDR4 y DDR5 aparece primero en El Chapuzas Informático.
