📄 Source et contexte : Article de recherche présenté au 35e USENIX Security Symposium (12-14 août 2026, Baltimore), par des chercheurs de l’Université de Birmingham et de l’Université de Durham. Microsoft a assigné CVE-2026-23670 et publié un patch partiel en avril 2026.

🔬 Technique centrale : L’attaque Download More RAM est la première attaque d’aliasing mémoire réalisée uniquement par logiciel, sans accès physique à la machine. Elle repose sur la réécriture du contenu SPD EEPROM des barrettes RAM via le bus SMBus/I2C, en incrémentant les bits d’adressage de rangées (row address bits), ce qui amène le DIMM à déclarer deux fois sa capacité réelle. Les adresses supérieures deviennent alors des alias des adresses inférieures.

⚙️ Chaîne d’attaque en 6 étapes :

  1. Aliasing logiciel : réécriture du SPD EEPROM via SMBus pour créer l’aliasing
  2. Stabilisation : utilisation des paramètres boot Windows (removememory, truncatememory) pour éviter les BSOD
  3. Lecture de la mémoire aliasée : exploitation du driver signé WinPmem (via MmMapIoSpace) pour dumper la mémoire physique aliasée, incluant le contenu du Secure Kernel et de l’hyperviseur
  4. Écriture : utilisation d’un utilitaire RAM disk (Primo Ramdisk) sur la mémoire aliasée marquée inutilisée
  5. Patch des modules d’intégrité : modification de skci.dll (Secure Kernel Code Integrity) pour désactiver les vérifications de révocation de drivers
  6. Attaques débloquées : chargement de drivers vulnérables précédemment bloqués, accès arbitraire en lecture/écriture à toute la mémoire physique

🎯 Modèle d’attaquant : Utilisateur avec privilèges administrateur locaux sur Windows 11 avec Secure Boot, DSE, PatchGuard, VBS/HVCI activés. Aucun accès physique requis, aucune vulnérabilité logicielle exploitée.

🏭 DIMMs vulnérables : Trois fabricants identifiés avec protection SPD en écriture désactivée :

  • Corsair (Vengeance DDR4/DDR5) — part de marché estimée ~17,4% global, ~55-72% gaming
  • G.Skill (Aegis, T.Z Royal, T.Z NEO)
  • ADATA (XPG DDR4)

Estimation : plus de 55% de part de marché dans le segment haute performance affecté.

📋 Cas d’usage démontrés :

  • Désactivation de Windows Defender via l’attaque TrueSight (BYOVD avec driver RogueKiller polymorphique)
  • Désactivation de Sophos Intercept X EDR (PPL bypass)
  • Lecture/modification de VBS Enclaves (IUM/VTL1)
  • Bypass des anti-cheats EasyAnti-Cheat, BattlEye, Riot Vanguard
  • Contournement du Mobile Device Management (MDM)
  • Script one-click entièrement automatisé sans interaction utilisateur

🛡️ Mitigations : Le patch Microsoft d’avril 2026 désactive le paramètre removememory sur les systèmes avec Secure Boot et étend VBS aux systèmes sans Secure Boot. Les systèmes sans Secure Boot restent vulnérables. Corsair a confirmé l’attaque. EPIC Games et RIOT Games ont accordé des bug bounties.

📌 Type d’article : Publication de recherche académique présentant une nouvelle technique d’attaque hardware/software avec démonstration end-to-end, divulgation coordonnée et évaluation de prévalence.

🧠 TTPs et IOCs détectés

TTP

  • T1542.001 — Pre-OS Boot: System Firmware (Defense Evasion)
  • T1014 — Rootkit (Defense Evasion)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
  • T1003 — OS Credential Dumping (Credential Access)
  • T1202 — Indirect Command Execution (Defense Evasion)
  • T1543 — Create or Modify System Process (Persistence)
  • T1553.006 — Subvert Trust Controls: Code Signing Policy Modification (Defense Evasion)
  • T1601 — Modify System Image (Defense Evasion)

IOC

  • CVEs : CVE-2026-23670 — NVD · CIRCL
  • CVEs : CVE-2019-16098 — NVD · CIRCL
  • Fichiers : skci.dll
  • Fichiers : winpmem_x64.sys
  • Fichiers : ntoskrnl.exe
  • Fichiers : securekernel.exe
  • Fichiers : winload.efi
  • Fichiers : vgk.sys

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 16 août 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • WinPmem (tool)
  • Primo Ramdisk (tool)
  • TrueSight Killer (tool)
  • RWEverything (tool)
  • DDR4 XMP Editor (tool)
  • Thaiphoon Burner (tool)
  • RTCore64.sys (tool)

🟡 Indice de vérification factuelle : 55/100 (moyenne)

  • ⬜ usenix.org — source non référencée (0pts)
  • ✅ 78052 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 8 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 10 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.usenix.org/conference/usenixsecurity26/presentation/collins