// HEISE ONLINE — HARDWARE & GADGET
„Download more RAM“: Windows-Sicherheit durch RAM-EEPROM geknackt
IT-Forscher zeigen Angriff „Download more RAM“ auf Windows-Sicherheitsmechanismen, der auf Manipulation des RAM-EEPROMs basiert.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
IT-Forscher haben auf der Usenix-Sicherheitskonferenz einen Angriff auf einen wichtigen Windows-Sicherheitsmechanismus namens „Virtualization-Based Security“ (virtualisierungsbasierte Sicherheit, VBS) vorgestellt. Der Angriff erfolgt über ein unscheinbares EEPROM auf RAM-Speicherriegeln, das Informationen zu Größe und Organisation des Moduls vorhält, „Serial Presence Detect“ (SPD).
Beim Startvorgang liest das Mainboard die Werte des SPD aus und konfiguriert den Speicherzugriff entsprechend. „Download more RAM“ missbraucht das, um Speichermodule zu manipulieren, die keinen Schreibschutz auf den EEPROM-Baustein setzen. Dadurch erhalten die Angreifer Zugang zu eigentlich geschützten Speicherbereichen.
Der VBS-Mechanismus findet sich in Form der „Speicher-Integrität“ der Kernisolierung der „Gerätesicherheit“ in den Windows-Sicherheitseinstellungen. Mittels Hardwarevirtualisierung mit dem Windows-Hypervisor erstellt Windows isolierte virtuelle Umgebungen, in denen Sicherheitsmechanismen laufen, die dadurch schwieriger zu missbrauchen sein sollen. Der Mechanismus erzwingt Einschränkungen zum Schutz von System- und Betriebssystemressourcen sowie von Anmeldeinformationen von authentifizierten Nutzern, erklärt Microsoft.
Um das zu umgehen, müssten Angreifer bislang physischen Zugriff auf ihre Zielsysteme haben. „Download more RAM“ erledigt das jedoch in Software, als einfaches Skript. Das Problem liegt in den meisten DIMM-Modulen für Endverbrauchersysteme, führen die IT-Forscher der Universitäten Birmingham und Durham in ihrem Paper aus. Die Lücke hat Microsoft mit den Sicherheitsupdates zum April-Patchday teilweise entschärft, sie hat den Schwachstelleneintrag CVE-2026-23670 erhalten (CVSS 5.7, Risiko „mittel“).
Der Angriff basiert auf der „BadRAM“-Attacke. Damals war physischer Zugriff nötig, um die Informationen aus dem SPD-EEPROM zu manipulieren – Speichermodul entfernen, mit I2C-Programmer den Baustein umprogrammieren, DIMM-Riegel zurückstecken. Ein solcher Baustein ist etwa der STTS2002 von ST (Datenblatt bei Mouser), der auf dem Foto im Aufmacher zu sehen und eingekreist ist. Nun zeigen die IT-Forscher jedoch, dass das gar nicht nötig ist. In vielen Speicherriegeln ist schlicht kein Schreibschutz auf dem SPD-EEPROM aktiv, sodass sich über den SMBus-Zugriff (lediglich ein anderer Name für das I2C-Protokoll, das die Bausteine sprechen) der Inhalt überschreiben lässt – unter Linux etwa trivial mittels „i2c-tools“. Für Windows müssen die IT-Forscher jedoch etwa über mitgebrachte verwundbare Treiber (BYOVD, „Bring Your Own Vulnerable Driver“) Zugriff ergattern.
Die Forscher verdoppeln dabei die gemeldete Speichermenge. Bei Zugriffen auf die „neuen“ oberen Speicherbereiche werden die obersten Bits ignoriert, der Zugriff erfolgt auf die untere Speicherhälfte. Die IT-Forscher nennen das einen Alias zwischen der oberen und unteren Speicherhälfte. Erwartbar ist ein Windows-System damit nicht startfähig, jedoch lässt sich das durch Startparameter wie „removememory“ für Windows umgehen. Einige Windows-Kernel-Funktionen erlauben dennoch den Zugriff auf den derart wieder „entfernten“ Speicher. Dadurch ist es dann möglich, über den Alias den tatsächlich genutzten Speicher zu manipulieren und so die Sicherheitsmechanismen zu patchen und auszuhebeln. Am Ende konnten die IT-Sicherheitsforscher etwa den Speicher VBS-geschützter Prozesse lesen, Anti-Cheat-Systeme von Spielen umgehen, Mobile Device Management aushebeln oder Antivirensysteme lahmlegen – letzteres erfordert jedoch einen User-Login am System.
Die IT-Forscher nennen einige mögliche Punkte, an denen Gegenmaßnahmen ansetzen können, etwa das Installieren der Microsoft-Patches. Neue Sicherungsmechanismen könnten