Une faille Windows permet de désactiver l'antivirus avec un simple script

Des chercheurs ont présenté une méthode capable de neutraliser l’antivirus et les protections noyau de Windows avec un seul script. Microsoft a corrigé la faille sous-jacente, CVE-2026-23670, dès avril, mais des millions de barrettes de mémoire vendues sans protection en écriture restent exploitables.

« Download More RAM » s’en prend aux puces de configuration des barrettes DDR4 et DDR5 , qui indiquent à la carte mère la quantité de mémoire installée. En les reprogrammant par logiciel, un attaquant fait croire à l’ordinateur qu’il dispose de deux fois plus de mémoire que la réalité. Les adresses fictives se superposent alors aux adresses réelles.

Les chercheurs appellent ce phénomène l’aliasing mémoire. Il permet de lire et de modifier des zones que Windows protège habituellement même contre un utilisateur disposant des droits administrateur, via deux remparts : la sécurité basée sur la virtualisation (VBS) et l’intégrité de code appliquée par l’hyperviseur (HVCI).

« Notre travail exploite le fait que tous les processus partagent la même mémoire pour contourner les garanties de sécurité les plus fortes de Windows », explique le professeur Tom Chothia, de l’université de Birmingham. « Les attaques précédentes de ce type nécessitaient un tournevis et un accès physique à la machine. Celle-ci n'a besoin que d'un script ». Le maître de conférences Marius Muench précise : « Windows fait une promesse forte : même un attaquant disposant des droits administrateur ne peut pas toucher au noyau sécurisé. Nous avons découvert que cette promesse repose sur l'hypothèse que la mémoire dit vrai sur sa propre taille. Sur une bonne partie de la mémoire que les gens achètent réellement, ce n'est pas le cas ».

Windows 11 Refonte graphique de l'interface réussie Snap amélioré Groupes d'ancrage efficaces 8 / 10 Télécharger Lire le test Trois fabricants très présents chez les joueurs, Corsair, G.Skill et ADATA, vendent des barrettes totalement dépourvues de cette protection en écriture : ensemble, ils représentent 55 % du marché de la mémoire haute performance et plus de 70 % du segment gaming, selon l’université de Birmingham. Crucial, Kingston, HyperX et une partie de la gamme G.Skill offrent une protection partielle, suffisante pour bloquer l'’attaque.

Une fois la protection mémoire contournée, les chercheurs ont enchaîné plusieurs scénarios dans un seul script. Le plus direct coupe l’antivirus et les outils de détection et réponse (EDR). Le même accès permet aussi de réactiver des pilotes signés mais bannis pour leurs failles connues , de contourner le verrouillage de gestion des appareils en entreprise, ou de désactiver les protections anti-triche des jeux vidéo qui s’exécutent au niveau du noyau.