Um novo ataque de Rowhammer pode tomar o controlo de computadores através da rede. A exploração deste tipo de ataques torna-se cada vez mais fácil para os atacantes.

Apelidado por “Throwhammer“, a técnica recém-descoberta pode permitir que os atacantes iniciem o ataque Rowhammer nos sistemas alvo e para tal, apenas precisam de enviar pacotes através da rede local e especialmente criados para as placas de rede vulneráveis.

Conhecido desde 2012, o Rowhammer é um problema sério com chips DRAM de geração recente nos quais acessar repetidamente uma linha de memória pode causar “bit flipping” numa linha adjacente, permitindo a qualquer pessoa alterar o conteúdo da memória do computador.

Desde então, o problema foi explorado de várias maneiras de forma a poder ser explorado remotamente nos computadores e servidores vulneráveis.

Na semana passada, investigadores de segurança detalharam uma técnica de ataque à prova de conceito Rowhammer, apelidada de GLitch, que utiliza unidades de processamento gráfico (GPUs) incorporadas para realizar ataques Rowhammer contra dispositivos Android.

No entanto, todas as técnicas de ataque do Rowhammer anteriormente conhecidas exigiam escalonamento de privilégios, o que significa que os atacantes precisavam executar códigos em máquinas direcionadas, atraindo vítimas para um site mal-intencionado ou induzindo-as a instalar uma app maliciosa.

Infelizmente, estalimitação foi eliminada, pelo menos em alguns dispositivos.

dram-rowHammer-vulnerability

 

Investigadores da Vrije Universiteit Amsterdam e da Universidade de Chipre descobriram que o envio de pacotes maliciosos pela LAN pode disparar o ataque Rowhammer em sistemas que executam placas de rede Ethernet equipadas com RDMA (Remote Direct Memory Access). Estas placas são usadas em Clouds e data centers.

Como as placas de rede habilitadas para RDMA permitem que os computadores da rede troquem dados (com privilégios de leitura e gravação) na memória principal, abusar dela para aceder à memória do host em rápida sucessão pode acionar bit flips na DRAM.

“We rely on the commonly-deployed RDMA technology in clouds and data centers for reading from remote DMA buffers quickly to cause Rowhammer corruptions outside these untrusted buffers,” researchers said in a paper [PDF] published Thursday.

“These corruptions allow us to compromise a remote Memcached server without relying on any software bug.”

 

Para mais detalhes sobre esta vulnerabilidade é aconselhada a seguinte leitura: https://www.cs.vu.nl/~herbertb/download/papers/throwhammer_atc18.pdf.

 

Pedro Tavares is a professional in the field of information security, currently working as IT Security Engineer. He is also a founding member and Pentester at CSIRT.UBI and founder of the security computer blog seguranca-informatica.pt.

In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, hacking, cybersecurity, IoT and security in computer networks.  He is also Freelance Writer.

Read more here.