Parlons Techs - Toute L'Actualité sur La Technologie et La Science

Apprends Moi + -Des Formations en Ligne 100% à Votre Rythme, Montez en Compétence dès Aujourd'hui...

Une faille Windows permet de désactiver l'antivirus avec un simple script

Des chercheurs ont présenté une méthode capable de neutraliser l’antivirus et les protections noyau de Windows avec un seul script. Microsoft a corrigé la faille sous-jacente, CVE-2026-23670, dès avril, mais des millions de barrettes de mémoire vendues sans protection en écriture restent exploitables.

« Download More RAM » s’en prend aux puces de configuration des barrettes DDR4 et DDR5, qui indiquent à la carte mère la quantité de mémoire installée. En les reprogrammant par logiciel, un attaquant fait croire à l’ordinateur qu’il dispose de deux fois plus de mémoire que la réalité. Les adresses fictives se superposent alors aux adresses réelles.

Les chercheurs appellent ce phénomène l’aliasing mémoire. Il permet de lire et de modifier des zones que Windows protège habituellement même contre un utilisateur disposant des droits administrateur, via deux remparts : la sécurité basée sur la virtualisation (VBS) et l’intégrité de code appliquée par l’hyperviseur (HVCI).

Le script qui coupe l’antivirus rétablit aussi des pilotes bannis

« Notre travail exploite le fait que tous les processus partagent la même mémoire pour contourner les garanties de sécurité les plus fortes de Windows », explique le professeur Tom Chothia, de l’université de Birmingham. « Les attaques précédentes de ce type nécessitaient un tournevis et un accès physique à la machine. Celle-ci n’a besoin que d’un script ». Le maître de conférences Marius Muench précise : « Windows fait une promesse forte : même un attaquant disposant des droits administrateur ne peut pas toucher au noyau sécurisé. Nous avons découvert que cette promesse repose sur l’hypothèse que la mémoire dit vrai sur sa propre taille. Sur une bonne partie de la mémoire que les gens achètent réellement, ce n’est pas le cas ».

Trois fabricants très présents chez les joueurs, Corsair, G.Skill et ADATA, vendent des barrettes totalement dépourvues de cette protection en écriture : ensemble, ils représentent 55 % du marché de la mémoire haute performance et plus de 70 % du segment gaming, selon l’université de Birmingham. Crucial, Kingston, HyperX et une partie de la gamme G.Skill offrent une protection partielle, suffisante pour bloquer l’’attaque.

Une fois la protection mémoire contournée, les chercheurs ont enchaîné plusieurs scénarios dans un seul script. Le plus direct coupe l’antivirus et les outils de détection et réponse (EDR). Le même accès permet aussi de réactiver des pilotes signés mais bannis pour leurs failles connues, de contourner le verrouillage de gestion des appareils en entreprise, ou de désactiver les protections anti-triche des jeux vidéo qui s’exécutent au niveau du noyau. C’est justement HVCI qui est censé bloquer automatiquement ces pilotes vulnérables une fois recensés : en rendant la mémoire menteuse sur sa propre taille, l’attaque prive Windows de ce filet de sécurité avant qu’il ne puisse agir.

Microsoft a intégré un correctif pour CVE-2026-23670 dans sa mise à jour de sécurité d’avril, plusieurs mois avant que les chercheurs ne présentent leurs travaux à USENIX. Le Secure Boot, activé par défaut sur la plupart des PC vendus depuis 2022, bloque également l’attaque. Sur les systèmes équipés de mémoire non protégée, deux outils permettent de verrouiller rétroactivement les puces de configuration : iCue, chez Corsair, et HWinfo, gratuit et compatible avec plusieurs marques. Certaines cartes mères proposent aussi, dans leur BIOS, une option pour bloquer l’écriture sur ces puces.

L’’étude, intitulée « Download More RAM: Dismantling Windows Operating System Defences with Mischievous Memory » et menée avec Sam Collins, William Burgess et David Oswald, a reçu le Distinguished Paper Award du symposium USENIX Security 2026.

avec clubic