Rowhammer, el ataque que invierte bits en la memoria
Rowhammer altera la memoria DRAM de un dispositivo sin tocarla directamente. Qué ve el empleado, cómo funciona y qué gestos conviene adoptar.
En 30 segundos
- Dónde ocurre
- En la memoria DRAM de ordenadores y dispositivos, también cuando un sitio web ejecuta JavaScript en el navegador1.
- Qué quiere el atacante
- Cambiar bits que su programa no tiene derecho a modificar, por ejemplo para obtener derechos de administrador13.
- El reflejo
- Mantener actualizados el sistema, el navegador y los programas, porque la actualización periódica del software es una medida de protección que MITRE ATT&CK cita contra la explotación de fallos34.
- Si ya ha ocurrido
- Comunicar al equipo de seguridad cualquier comportamiento inusual del dispositivo, por ejemplo la caída repentina de un antivirus, que MITRE ATT&CK incluye entre las señales de una explotación de fallos4.
De qué se trata
Una regla básica de la seguridad informática establece que una posición de la memoria solo puede ser modificada por los programas autorizados a escribir en ella. Rowhammer elude esta regla: si un programa lee con mucha frecuencia ciertas zonas de la memoria DRAM, puede cambiar el contenido de celdas vecinas sin acceder a ellas1.
Para un empleado, lo importante es que basta un sitio web con JavaScript para llevar a cabo este ataque1. Afecta al propio hardware y, según los autores, las contramedidas existentes en 2015 no lo bloqueaban1.
Preguntas directas
¿Qué es Rowhammer?
Es un defecto de la memoria DRAM. Los autores de Rowhammer.js explican que unos efectos parásitos en la DRAM pueden cambiar el contenido de una celda de memoria sin acceder a ella, accediendo a alta frecuencia a otras posiciones1. Precisan que este defecto aparece en la mayoría de los módulos de memoria vigentes en la fecha de su artículo1.
¿Por qué existe este defecto?
Según la segunda versión del artículo, la DRAM ha ganado densidad y, por tanto, sus celdas están menos aisladas entre sí2. Los accesos repetidos a filas de la DRAM pueden entonces provocar inversiones aleatorias de bits en una fila adyacente2.
¿Es realmente grave un bit invertido?
Sí, según los mismos autores. El defecto ya se ha utilizado para obtener derechos de root y para salir de un entorno aislado (sandbox)2. Un entorno aislado es un espacio cerrado en el que se supone que un programa debe permanecer confinado.
¿Hace falta tener acceso al ordenador para atacarlo?
No necesariamente. Según sus autores, Rowhammer.js es el primer ataque de hardware desencadenado a distancia por software: no exige acceso físico a la máquina, ni ejecución de código nativo, ni instrucciones especiales2. Un sitio web que contenga JavaScript basta para provocar fallos en el hardware remoto1.
¿Qué ve la víctima?
Las fuentes citadas aquí no describen ningún mensaje ni señal en pantalla. Indican que estos ataques realizados mediante JavaScript pueden dirigirse contra millones de usuarios de forma discreta y simultánea2.
1En la piel del atacante1 min
El atacante parte de un obstáculo: un programa que se ejecuta con pocos derechos no puede acceder a ciertos recursos del sistema. MITRE ATT&CK describe esta etapa como una elevación de privilegios, que puede pasar de un nivel de usuario a los derechos SYSTEM o root3. También puede permitir salir de un entorno virtualizado, como una máquina virtual o un contenedor, para llegar a la máquina anfitriona3.
Rowhammer ofrece un camino para lograrlo, ya que permite alterar la memoria sin autorización. Los autores de Rowhammer.js mencionan los ataques de elevación de privilegios entre las consecuencias1. Indican también que un sitio web basta para obtener acceso sin restricciones a los sistemas de sus visitantes1.
MITRE ATT&CK describe otra técnica, la explotación de un fallo para eludir la detección, que consiste en actuar de manera que se reduzca la visibilidad o se confunda con la actividad legítima4. Esta ficha no dice que Rowhammer se haya utilizado así: las fuentes citadas aquí no lo mencionan.
2Lo que ve en la pantalla1 min
Las fuentes citadas aquí no ofrecen ninguna descripción de lo que percibe el usuario. Solo dicen que el ataque a través del navegador puede realizarse de forma discreta2. En el escenario que describen los autores de Rowhammer.js, la víctima visita un sitio web que contiene JavaScript1.
Al no existir una señal visible propia de Rowhammer, los indicios que conviene vigilar son los de cualquier explotación de fallos. MITRE ATT&CK cita comportamientos anómalos de procesos, como un antivirus o una herramienta de detección que se detiene de forma inesperada, o registros con huecos4.
3Bajo el capóEquipos de TI1 min
La memoria DRAM almacena los datos en celdas organizadas en filas. Cuando aumenta la densidad, las celdas están peor aisladas entre sí2. Leer una fila con mucha frecuencia puede entonces hacer que cambien bits de la fila vecina2.
Los primeros exploits escritos para aprovechar este defecto utilizaban código nativo e instrucciones especiales para vaciar datos de la caché2. Todos los estudios y ataques anteriores a Rowhammer.js dependían de que hubiera una instrucción de vaciado de caché, para provocar accesos a la DRAM con una frecuencia suficiente1.
Rowhammer.js eliminó esta limitación. Sus autores demuestran que se puede forzar a la caché a expulsar rápidamente sus datos y desencadenar el defecto con simples accesos ordinarios a la memoria1. El ataque pasa así a ser posible en entornos restringidos, incluidos los de scripts1. Una estrategia de expulsión hallada mediante un algoritmo genérico eleva la tasa de expulsión del 95,2 % al 99,99 %2.
Los autores afirman que las contramedidas existentes en el momento de su artículo no protegían contra este nuevo ataque1. En la segunda versión, proponen contramedidas aplicables de inmediato2.
4AutopsiasCasos reales1 min
Rowhammer.js, julio de 2015
El 24 de julio de 2015, Daniel Gruss, Clémentine Maurice y Stefan Mangard depositan en arXiv el artículo Rowhammer.js1. En él presentan una implementación del ataque en JavaScript2. Describen un ataque totalmente automatizado, que no requiere nada más que un sitio web con JavaScript para provocar fallos en hardware remoto1.
Según ellos, el ataque funciona en sistemas comerciales y permite un acceso sin restricciones a los sistemas de los visitantes del sitio1. Una segunda versión aparece el 27 de agosto de 2015, y la última versión es del 5 de abril de 201612. El artículo fue aceptado en la 13.ª conferencia DIMVA en 20161.
5Lo que usted hace1 min
Las fuentes citadas aquí no detallan ningún gesto propio de Rowhammer, ni sobre la memoria ECC ni sobre las generaciones recientes de DDR. Solo permiten retener la medida general que da MITRE ATT&CK: actualizar periódicamente el software, con una gestión de parches para los puestos y servidores de la empresa34.
Para un empleado, esto significa aceptar las actualizaciones que propone el equipo informático y no posponerlas sin motivo. MITRE ATT&CK cita también protecciones que detectan comportamientos de explotación, así como el aislamiento de aplicaciones mediante sandbox, que dificulta el avance de un atacante4.
Ficha
- Identificador
- CP-088
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Proteger los dispositivos (secure_devices)
- Reflejo Brain
- cr-055
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 4 fuentes verificadas el 3 de noviembre de 2026
Fuentes4 fuentes
- arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 24 de julio de 2015. https://arxiv.org/abs/1507.06955 (consultado el 3 de noviembre de 2026)
- arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 27 de agosto de 2015. https://arxiv.org/abs/1507.06955v2 (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1068/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1211/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Rowhammer, el ataque que invierte bits en la memoria», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp088_es_2026,
author = {Brain},
title = {Rowhammer, el ataque que invierte bits en la memoria},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/rowhammer-inversion-bits-memoria-dram/},
note = {CC BY 4.0}
}