Учени от университетите в Бирмингам и Дарем (Великобритания) доказаха, че най-мощните средства за защита на Windows могат да бъдат заобиколени само с програмни методи. Коренът на проблема се оказа в недостатъчно защитените SPD (Serial Presence Detect) чипове на RAM модулите, които се използват от много големи производители.
Схемата на атаката получи името „Изтегли още RAM“ (Download More RAM). При нейното изпълнение хипотетичен злоумишленик се възползва от факта, че конфигурационните SPD чипове на модулите оперативна памет, които информират компютъра за характеристиките ѝ не разполагат със защита срещу запис.В резултат на това чрез софтуерни средства Windows може да бъде накаран да „вижда“ повече RAM памет, отколкото има в действителност. В адресното пространство на системата се появяват допълнителни адреси на паметта, които служат като псевдоними на истинските и се отваря „заден вход“, който позволява заобикалянето на всички средства за контрол на достъпа, установени от системата и процесора. Изследователите показаха, че като експлоатира уязвимостта, злонамерен потребител може:
да стартира уязвими драйвери, които са били използвани при известни атаки със злонамерен софтуер; да деактивира антивирусния и защитния софтуер, който осъществява постоянен мониторинг на сигурността; да получи достъп до изолирани области на паметта, които Windows използва за защита на най-важните компоненти и данни; да заобикаля ограниченията на груповите политики на корпоративните компютри; да заобикаля античийт системите в игрите, работещи с привилегии на ниво ядро.Изследователите разработиха пример за скрипт, който се стартира с едно кликване на мишката и изпълнява цялата верига от атаки: създава псевдоними на адреси в паметта, рестартира компютъра и деактивира антивирусната програма. Те установиха, че Corsair, G.Skill и Adata имат поне по една продуктова линия с напълно незащитени чипове за конфигурация, което противоречи на препоръките на JEDEC. Заедно тези доставчици заемат 55% от пазара на високопроизводителна потребителска RAM памет и над 70% от геймърския сегмент. Модулите на Crucial, Kingston и HyperX, както и някои серии на G.Skill разполагат само с частична защита срещу запис, което не е достатъчно за блокиране на атаката.
Изследователите показаха, че при тази атака става възможно четенето и записването на данни във всякакви области на системната памет, дори ако достъпът до тях е забранен от защитните механизми на Windows.В резултат на това се нарушава работата не само на защитните средства за виртуализация, но и на технологиите Hypervisor Enforced Code Integrity (HVCI), предназначени да предпазват Windows от злонамерени лица с администраторски права. Microsoft потвърди, че уязвимостта съществува – беше ѝ присвоен номер CVE-2026-23670. Тя беше отстранена в априлското обновление за сигурност на Windows. Уязвими остават само компютрите с деактивирана функция Secure Boot. Corsair добави в приложението си iCue функция, която позволява да се активира защита срещу записване на вече пуснати на пазара модули памет. За някои модули на други производители подобна възможност предоставя инструментът HwInfo. В някои случаи този чип може да бъде блокиран за записване чрез BIOS – като временно решение.