Download more RAM: Angriff auf Windows-Sicherheit

IT-Forscher haben einen Angriff auf Windows’ Virtualization-Based Security vorgestellt, der über das SPD-EEPROM auf RAM-Modulen läuft. Entscheidend ist: Wenn auf dem Baustein kein Schreibschutz aktiv ist, lässt sich der Inhalt manipulieren und damit Zugriff auf eigentlich geschützte Speicherbereiche gewinnen. Microsoft hat die Lücke mit April-Updates teilweise entschärft; der Eintrag lautet CVE-2026-23670 mit dem Risiko „mittel“.

Was der Angriff praktisch bedeutet

Der Angriff setzt nicht an einer einzelnen Windows-Funktion an, sondern an der Speicherbeschreibung im RAM-Modul. Das Mainboard liest beim Start die Werte aus dem Serial Presence Detect, kurz SPD, und richtet den Speicherzugriff danach aus. Genau diesen Weg missbraucht „Download more RAM“, wenn der SPD-EEPROM nicht geschützt ist. Für den Alltag heißt das: Ein Schutzmechanismus, der eigentlich auf Hardwarevirtualisierung und isolierten virtuellen Umgebungen beruht, lässt sich über eine unscheinbare Komponente am Speicherriegel beeinflussen.

Für Errichterbetriebe ist das vor allem als Beispiel für die Verknüpfung von Hardwaredetails und Systemschutz relevant. Wer Systeme plant oder wartet, muss die Grenzen der Schutzebenen kennen. Im Artikel wird auch auf The Circle of Security Professionals verwiesen, weil genau solche Fragen im Austausch mit anderen Betrieben oft schneller einzuordnen sind.

Wie der Angriff aufgebaut ist

Die Forscher knüpfen an die frühere „BadRAM“-Attacke an. Damals war physischer Zugriff nötig, um das SPD-EEPROM zu manipulieren. Jetzt zeigen die Forscher, dass das in vielen Fällen auch in Software geht. Unter Linux ist das laut Quelle über SMBus-Zugriff und „i2c-tools“ trivial, unter Windows braucht es unter anderem Zugriff über mitgebrachte verwundbare Treiber, also BYOVD.

Der Kern des Angriffs ist ein Alias zwischen oberer und unterer Speicherhälfte. Die Forscher verdoppeln die gemeldete Speichermenge, und Zugriffe auf die „neuen“ oberen Bereiche landen auf der unteren Hälfte. Dadurch lässt sich der tatsächlich genutzte Speicher manipulieren. Einige Windows-Kernel-Funktionen erlauben laut Quelle dennoch den Zugriff auf den wieder „entfernten“ Speicher.

Begriffe, die man einordnen muss

VBS steht für Virtualization-Based Security und findet sich in Windows als „Speicher-Integrität“ in der Kernisolierung der „Gerätesicherheit“. Windows nutzt dafür den Hypervisor, um isolierte virtuelle Umgebungen zu schaffen. Microsoft beschreibt den Mechanismus als Schutz für System- und Betriebssystemressourcen sowie für Anmeldeinformationen authentifizierter Nutzer. Das Ziel ist also, Missbrauch schwieriger zu machen.

SPD bedeutet Serial Presence Detect. Gemeint ist ein EEPROM auf dem RAM-Riegel, das Größe und Organisation des Moduls speichert. Wenn dieser Baustein keinen Schreibschutz hat, kann sein Inhalt überschrieben werden. Genau daraus entsteht der Angriff. Wichtig ist auch der Hinweis auf Secure Boot: Die Universität Birmingham schreibt, dass Windows-Systeme mit aktiviertem Secure Boot gegen die Attacke immun sind.

Welche Punkte in der Praxis zählen

Aus der Quelle lassen sich vier zentrale Hebel ableiten:

• Der Angriff setzt auf fehlenden Schreibschutz im SPD-EEPROM.
• Unter Windows ist der Zugriff über verwundbare Treiber möglich.
• Die manipulierte Speicherzuordnung arbeitet mit einem Alias zwischen zwei Speicherhälften.
• Der Effekt reicht bis zum Auslesen VBS-geschützter Prozesse, zum Umgehen von Anti-Cheat-Systemen, zum Aushebeln von Mobile Device Management und zum Lahmlegen von Antivirensystemen.

Der letzte Punkt zeigt auch die Reichweite: Es geht nicht nur um einen theoretischen Befund, sondern um konkrete Schutzmechanismen im Betrieb. Bei Antivirensystemen nennen die Forscher allerdings den User-Login als Voraussetzung. Für Betriebe bleibt damit die Frage, wie sich solche Speicher- und Treiberabhängigkeiten in der Systempflege besser berücksichtigen lassen.

Genannte Gegenmaßnahmen

Die Forscher nennen mehrere Ansätze. Dazu gehört zunächst das Installieren der Microsoft-Patches. Microsoft hat die Lücke mit den Sicherheitsupdates zum April-Patchday teilweise entschärft. Außerdem könnten BIOS oder Betriebssystem nach Spuren von Speicher-Aliasing suchen oder das Booten mit Speichermodulen ohne Schreibschutz verweigern.

In der Quelle werden auch herstellerspezifische Möglichkeiten erwähnt. Corsair bietet mit iCue eine Funktion an, um den Schreibschutz des SPD-EEPROMs auf eigenen Modulen nachträglich zu aktivieren. Für HWInfo wird das ebenfalls behauptet, in einer kurzen Prüfung war es aber nicht auffindbar. Für die Praxis bleibt damit vor allem relevant, verfügbare Schutzmechanismen systematisch zu prüfen, statt sich auf eine einzelne Ebene zu verlassen.

Am Ende zeigt der Angriff, wie weit ein unscheinbarer Speicherbaustein in die Windows-Sicherheitskette hineinwirken kann. Die Kombination aus fehlendem Schreibschutz, Alias-Effekt und dem Zugriff über verwundbare Treiber macht das Thema für die Systempflege anspruchsvoll. Wie sich solche Fälle im Bestand früh erkennen und im Betrieb sauber absichern lassen, bleibt eine offene Aufgabe.

Fragen wie diese lassen sich selten allein beantworten. Im Kreis von Betrieben, die vor ähnlichen technischen Entscheidungen stehen, entstehen oft die pragmatischsten Lösungen – dafür steht der The Circle of Security Professionals.

Quelle: Heise