Được gọi là “Throwhammer”, kỹ thuật mới được phát hiện có thể cho phép kẻ tấn công khởi động tấn công Rowhammer trên các hệ thống mục tiêu bằng cách gửi các gói được chế tạo đặc biệt tới các thẻ mạng dễ bị tổn thương trên mạng cục bộ.

Cuộc tấn công Rowhammer mới có thể hijack máy tính từ xa qua mạng
Cuộc tấn công Rowhammer mới có thể hijack máy tính từ xa qua mạng

Được biết đến từ năm 2012, Rowhammer là vấn đề xảy ra với chip bộ nhớ truy cập ngẫu nhiên động (DRAM). Khi người dùng liên tục truy cập vào một row bộ nhớ có thể gây ra “bit flip” trong một row liền kề, điều đó dẫn đến việc bất cứ ai cũng có thể thay đổi giá trị của nội dung được lưu trữ trong bộ nhớ máy tính.

Vấn đề này đã được tin tặc khai thác theo rất nhiều cách để đạt được việc thực thi mã từ xa trên các máy tính và máy chủ dễ bị tấn công.

Mới tuần trước, các nhà nghiên cứu bảo mật đã đưa ra PoC của kỹ thuật tấn công Rowhammer, được gọi là Glitch. Kỹ thuật này thúc đẩy các đơn vị xử lý đồ họa nhúng (GPU) thực hiện các cuộc tấn công Rowhammer đối với các thiết bị Android.

Tuy nhiên, tất cả các kỹ thuật tấn công của Rowhammer trước đây đều yêu cầu leo ​​thang đặc quyền trên thiết bị mục tiêu, điều đó có nghĩa là kẻ tấn công phải thực thi mã trên các máy bị nhắm mục tiêu hoặc bằng cách dụ dỗ nạn nhân đến một trang web độc hại hoặc lừa họ cài đặt ứng dụng độc hại.

Nhưng hạn chế này đã được loại bỏ, ít nhất là đối với một số thiết bị.

Các nhà nghiên cứu tại Vrije Universiteit Amsterdam và Đại học của Cyprus đã phát hiện rằng việc gửi các gói độc hại qua mạng LAN có thể kích hoạt cuộc tấn công Rowhammer trên các hệ thống chạy các thẻ mạng Ethernet được trang bị Truy cập bộ nhớ trực tiếp từ xa (RDMA), mà thường được sử dụng trong các điện toán đám mây và trung tâm dữ liệu.

Vì thẻ mạng hỗ trợ RDMA cho phép các máy tính trong mạng trao đổi dữ liệu (với quyền đọc và ghi) trong bộ nhớ chính, việc lạm dụng nó để truy cập vào bộ nhớ của máy chủ có thể kích hoạt bit flip trên DRAM.

Các nhà nghiên cứu cho biết trong một bài báo [PDF]: “Chúng tôi dựa vào công nghệ RDMA thường được triển khai trong các đám mây và trung tâm dữ liệu để đọc bộ đệm DMA từ xa một cách nhanh chóng, qua đó gây ra lỗi Rowhammer bên ngoài các bộ đệm không đáng tin cậy này”.

“Những lỗi này cho phép chúng ta xâm nhập một máy chủ Memcached từ xa mà không dựa vào bất kỳ lỗi phần mềm nào.”

Vì kích hoạt một bit flip đòi hỏi hàng trăm nghìn bộ nhớ truy cập đến các vị trí DRAM cụ thể trong vòng hàng chục mili giây nên một cuộc tấn công Throwhammer thành công sẽ yêu cầu một mạng tốc độ rất cao có ít nhất 10Gbps.

Trong quá trình thiết lập thử nghiệm của mình, các nhà nghiên cứu đã đạt được bit flip trên một máy chủ mục tiêu sau khi truy cập bộ nhớ của nó 560.000 lần trong 64 mili giây bằng cách gửi các gói qua mạng LAN tới thẻ mạng hỗ trợ RDMA của nó.

Kể từ khi Rowhammer khai thác điểm yếu phần cứng máy tính, không có bản vá phần mềm nào có thể khắc phục hoàn toàn vấn đề này. Các nhà nghiên cứu tin rằng mối đe dọa của Rowhammer không chỉ là thực mà còn có khả năng gây ra các thiệt hại nghiêm trọng, thực sự.

Để biết thêm chi tiết chuyên sâu về kỹ thuật tấn công mới, bạn có thể truy cập vào bài viết này [PDF], có tiêu đề “Throwhammer: Rowhammer Attacks over the Network and Defenses”, được xuất bản bởi các nhà nghiên cứu hôm thứ Năm.