Windows 11, l'attacco Download More RAM aggira le difese più avanzate

Microsoft lavora da circa un decennio per spostare parti cruciali della sicurezza di Windows al di fuori del kernel tradizionale. Con Windows 10 prima e Windows 11 poi, tecnologie come Virtualization-Based Security (VBS), Hypervisor Enforced Code Integrity, Credential Guard e i livelli di trust virtuali hanno progressivamente creato barriere che dovrebbero resistere anche a un processo già dotato di privilegi elevati. Download More RAM, una tecnica presentata dai ricercatori delle Università di Birmingham e Durham al 35esimo USENIX Security Symposium del 12-14 agosto 2026, mette tuttavia in discussione un presupposto su cui poggiano alcune delle difese più avanzate di Windows.

Un attaccante dotato di privilegi amministrativi può arrivare a leggere e modificare aree di memoria che Windows 11 considera isolate persino dal kernel, senza aprire il computer e senza intervenire fisicamente sui moduli RAM (da qui il nome Download More RAM). Il comportamento anomalo può avvenire quando la memoria fisica fornisce una falsa rappresentazione della propria capacità.

Come SPD descrive la memoria RAM e dove nasce la vulnerabilità

Ogni modulo DIMM conserva una serie di informazioni che permettono alla piattaforma di capire con quale memoria ha a che fare. Si tratta del Serial Presence Detect (SPD): dati memorizzati in una EEPROM che descrivono tipo di memoria, capacità, organizzazione interna, frequenze, tensioni e altri parametri necessari per inizializzare correttamente il modulo.

La configurazione SPD contribuisce a indicare come indirizzare fisicamente la memoria: se un aggressore riuscisse a modificare queste informazioni, può alterare il modo in cui il sistema gestisce la RAM.

I ricercatori hanno verificato 11 moduli UDIMM DDR4 e DDR5 destinati al mercato consumer. Su alcuni prodotti Corsair, G.Skill e ADATA hanno trovato completamente disabilitata la protezione in scrittura delle informazioni SPD; altri moduli di Crucial, Kingston, HyperX e alcune linee G.Skill applicavano invece una protezione parziale sufficiente a fermare l’attacco. Non significa che ogni modulo dei tre produttori citati sia vulnerabile: il campione è limitato e gli stessi autori invitano a non estendere automaticamente il risultato a intere gamme commerciali.

Memory alias: un modulo da 8 GB diventa da 16 GB

Sui moduli privi della protezione SPD, gli accademici hanno provveduto ad alterare il contenuto della EEPROM via software attraverso lo SMBus e il sottosistema I2C. I ricercatori incrementano il numero dichiarato di bit utilizzati per l’indirizzamento delle righe DRAM: un modulo fisico da 8 GB può presentarsi come se ne possedesse 16.

Quando il controller tenta di raggiungere il blocco di memoria inesistente, il bit di indirizzo si trova a non avere una corrispondenza fisica reale. Le due regioni finiscono così per puntare alle stesse celle: nasce un memory alias. Un indirizzo che Windows considera appartenente a una certa zona della memoria può avere un secondo indirizzo equivalente, collocato altrove. Le protezioni applicate al primo indirizzo non necessariamente si trasferiscono al suo alias perché il sistema operativo non sa che entrambi conducono alla stessa DRAM!

Da BadRAM a un attacco realizzabile interamente via software

Ricerche precedenti, tra cui BadRAM, avevano già dimostrato che falsificare la geometria di un modulo DIMM poteva creare alias e compromettere il Trusted Execution Environment. Il limite pratico era importante: per alterare i parametri della RAM occorreva estrarre fisicamente i moduli, modificarne la configurazione e reinstallarli. Altri lavori utilizzavano addirittura un dispositivo interposto elettricamente tra memoria e scheda madre.

Download More RAM elimina proprio quel passaggio: gli autori mostrano un attacco nel quale la manipolazione del valore SPD avviene dal sistema operativo: basta poter eseguire codice con privilegi amministrativi locali su una macchina che utilizza RAM con SPD scrivibile.

La vulnerabilità, tuttavia, non permette a chiunque su Internet di compromettere direttamente un PC Windows: l’attaccante deve già avere ottenuto privilegi amministrativi, per esempio attraverso malware, una precedente vulnerabilità, credenziali sottratte oppure un amministratore malevolo. Il salto qualitativo consiste nel fatto che tali privilegi, normalmente insufficienti per superare VBS e Secure Kernel, diventano un trampolino di lancio verso possibilità che Windows dovrebbe mantenere fuori portata.

La patch Microsoft (parziale) di aprile 2026 e il ruolo di Secure Boot

Microsoft ha ricevuto la segnalazione circa l’esistenza del problema con SPD e alcuni moduli RAM già alcuni mesi fa. Ha assegnato alla problematica l’identificativo CVE-2026-23670, distribuendo un aggiornamento correttivo il 14 aprile 2026.

Gli autori dello studio su Download More RAM non dispongono dei dettagli interni dell’intervento Microsoft, ma hanno osservato un cambiamento molto preciso: sui sistemi con Secure Boot attivo, il parametro removememory usato dal proof-of-concept non produce più l’effetto necessario. Windows lo ignora, impedendo alla tecnica presentata di stabilizzare la macchina dopo la creazione degli alias.

Di conseguenza, la catena di attacco mostrata dai ricercatori non funziona nella forma pubblicata sui sistemi aggiornati con Secure Boot attivo. Le macchine prive di Secure Boot restano invece esposte al metodo descritto.

Non si tratta tuttavia di una soluzione che elimina alla radice il problema hardware. Gli stessi ricercatori precisano che removememory serve soltanto a rendere stabile Windows dopo la manipolazione della RAM; le successive primitive dell’attacco non dipendono direttamente dal parametro. Se emergesse un metodo alternativo per avviare in modo stabile Windows con la configurazione memory alias attiva, la catena di attacco potrebbe tornare sfruttabile anche sui sistemi con Secure Boot.

La difesa più solida parte dalla protezione SPD

La correzione più vicina all’origine del problema consiste nell’impedire modifiche software ai blocchi SPD sensibili. Le indicazioni JEDEC prevedono forme di write protection proprio per porzioni SPD fondamentali.

Corsair ha aggiunto al software iCUE una funzione che consente di attivare retroattivamente la protezione in scrittura sui moduli compatibili. L’Università di Birmingham segnala inoltre che HWiNFO ha introdotto una funzione analoga utilizzabile con altri modelli; alcune schede madri dispongono poi di un’opzione UEFI/BIOS che vieta le scritture SPD attraverso SMBus.

Non tutte le piattaforme offrono però gli stessi strumenti e non ogni DIMM consente di modificare retroattivamente lo stato di protezione. Per un normale utente Windows, la misura immediata più importante resta quindi installare gli aggiornamenti di sicurezza e verificare che Secure Boot sia realmente operativo, non soltanto selezionato in modo apparentemente corretto nel firmware.

Lo stato può essere controllato da Windows premendo Windows+R quindi digitando msinfo32, verificando la voce relativa a Secure Boot (Stato avvio protetto deve essere su Abilitato), oppure attraverso la cmdlet PowerShell Confirm-SecureBootUEFI.

In questo secondo caso, basta premere Windows+X, scegliere Terminale Admin o Windows PowerShell amministratore e poi incollare Confirm-SecureBootUEFI. La risposta True conferma che Secure Boot risulta correttamente abilitato.

In ambito aziendale ha senso includere anche tale verifica nell’inventario delle configurazioni, soprattutto sui desktop assemblati con RAM aftermarket.