--- id: CP-088 slug: rowhammer-inversione-bit-memoria-dram lang: it title: Rowhammer, l'attacco che inverte i bit nella memoria description: Rowhammer modifica la memoria DRAM di un dispositivo senza toccarla direttamente. Cosa vede il dipendente, come funziona e quali gesti adottare. canonical_url: https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/ markdown_url: https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Rowhammer, l'attacco che inverte i bit nella memoria», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-055 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/ fr: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ en: https://startbrain.io/cyberpedia/en/articles/rowhammer-dram-bit-flips/ de: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ es: https://startbrain.io/cyberpedia/es/articles/rowhammer-inversion-bits-memoria-dram/ nl: https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/ sources: - "n": 1 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955 published: "2015-07-24" accessed: "2026-11-03" - "n": 2 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955v2 published: "2015-08-27" accessed: "2026-11-03" - "n": 3 title: Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1068/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1211/ accessed: "2026-11-03" --- # Rowhammer, l'attacco che inverte i bit nella memoria Una regola di base della sicurezza informatica prevede che una posizione di memoria possa essere modificata solo dai programmi autorizzati a scriverci. Rowhammer aggira questa regola: leggendo molto spesso certe aree della memoria DRAM, un programma può cambiare il contenuto di celle vicine senza accedervi [1]. Per un dipendente, il punto da ricordare è che basta un sito web con JavaScript per condurre questo attacco [1]. Colpisce l'hardware stesso e, secondo gli autori, le contromisure esistenti nel 2015 non lo bloccavano [1]. ## In 30 secondi - Dove accade: nella memoria DRAM di computer e dispositivi, anche quando un sito web esegue JavaScript nel browser [1]. - Cosa vuole l'attaccante: cambiare bit che il suo programma non ha il diritto di modificare, per esempio per ottenere diritti di amministratore [1][3]. - Il riflesso: tenere aggiornati sistema, browser e software, perché l'aggiornamento regolare del software è una misura di protezione citata da MITRE ATT&CK contro lo sfruttamento delle vulnerabilità [3][4]. - Se è già successo: segnalare al team di sicurezza qualsiasi comportamento insolito del dispositivo, per esempio l'improvviso arresto di un antivirus, che MITRE ATT&CK include tra i segni di uno sfruttamento di vulnerabilità [4]. ## Domande dirette ### Che cos'è Rowhammer? È un difetto della memoria DRAM. Gli autori di Rowhammer.js spiegano che effetti parassiti nella DRAM possono cambiare il contenuto di una cella di memoria senza accedervi, accedendo ad alta frequenza ad altre posizioni [1]. Precisano che questo difetto compare nella maggior parte dei moduli di memoria in uso alla data del loro articolo [1]. ### Perché esiste questo difetto? Secondo la seconda versione dell'articolo, la DRAM è diventata più densa e le sue celle sono quindi meno isolate le une dalle altre [2]. Accessi ripetuti alle righe della DRAM possono allora provocare inversioni casuali di bit in una riga adiacente [2]. ### Un bit invertito è davvero grave? Sì, secondo gli stessi autori. Il difetto è già servito a ottenere i diritti root e a uscire da una sandbox [2]. Una sandbox è uno spazio isolato in cui un programma dovrebbe restare confinato. ### Serve l'accesso al computer per attaccarlo? Non necessariamente. Rowhammer.js, secondo i suoi autori, è il primo attacco hardware innescato a distanza via software: non richiede né accesso fisico alla macchina, né esecuzione di codice nativo, né istruzioni speciali [2]. Un sito web con JavaScript basta a provocare errori sull'hardware remoto [1]. ### Cosa vede la vittima? Le fonti citate qui non descrivono alcun messaggio né segno sullo schermo. Indicano che questi attacchi condotti tramite JavaScript possono colpire milioni di utenti in modo discreto e simultaneo [2]. ## Nei panni dell'attaccante L'attaccante parte da un ostacolo: un programma eseguito con pochi diritti non può accedere a certe risorse del sistema. MITRE ATT&CK descrive questa fase come un'escalation dei privilegi, che può portare da un livello utente ai diritti SYSTEM o root [3]. Può anche consentire di uscire da un ambiente virtualizzato, come una macchina virtuale o un container, per raggiungere la macchina host [3]. Rowhammer offre una strada per arrivarci, perché permette di alterare la memoria senza autorizzazione. Gli autori di Rowhammer.js citano tra le conseguenze gli attacchi di escalation dei privilegi [1]. Indicano inoltre che un sito web basta per ottenere un accesso senza restrizioni ai sistemi dei suoi visitatori [1]. MITRE ATT&CK descrive un'altra tecnica, lo sfruttamento di una vulnerabilità per sfuggire al rilevamento, che consiste nell'agire in modo da ridurre la visibilità o da confondersi con l'attività legittima [4]. Questa scheda non dice che Rowhammer sia stato usato così: le fonti citate qui non lo menzionano. ## Cosa si vede sullo schermo Le fonti citate qui non descrivono ciò che l'utente percepisce. Dicono soltanto che l'attacco tramite browser può essere condotto in modo discreto [2]. Nello scenario descritto dagli autori di Rowhammer.js, la vittima visita un sito web che contiene JavaScript [1]. In assenza di un segno visibile proprio di Rowhammer, gli indizi da osservare sono quelli di qualsiasi sfruttamento di vulnerabilità. MITRE ATT&CK cita comportamenti anomali dei processi, come un antivirus o uno strumento di rilevamento che si arresta in modo inatteso, oppure registri con dei vuoti [4]. ## Sotto il cofano La memoria DRAM conserva i dati in celle organizzate in righe. Quando la densità aumenta, le celle sono isolate meno bene tra loro [2]. Leggere una riga molto spesso può allora far commutare dei bit nella riga vicina [2]. I primi exploit scritti per sfruttare questo difetto usavano codice nativo e istruzioni speciali per svuotare i dati dalla cache [2]. Tutti gli studi e gli attacchi precedenti a Rowhammer.js dipendevano dalla disponibilità di un'istruzione di svuotamento della cache, per provocare accessi alla DRAM a una frequenza sufficiente [1]. Rowhammer.js ha superato questo limite. I suoi autori mostrano che si può costringere la cache a espellere rapidamente i propri dati e innescare il difetto con semplici accessi ordinari alla memoria [1]. L'attacco diventa così possibile in ambienti ristretti, anche di scripting [1]. Una strategia di espulsione trovata da un algoritmo generico porta il tasso di espulsione dal 95,2 % al 99,99 % [2]. Gli autori affermano che le contromisure esistenti al momento del loro articolo non proteggevano da questo nuovo attacco [1]. Nella seconda versione propongono contromisure applicabili subito [2]. ## Autopsie ### Rowhammer.js, luglio 2015 Il 24 luglio 2015 Daniel Gruss, Clémentine Maurice e Stefan Mangard depositano su arXiv l'articolo Rowhammer.js [1]. Vi presentano un'implementazione dell'attacco in JavaScript [2]. Descrivono un attacco interamente automatizzato, che non richiede altro che un sito web con JavaScript per provocare errori su hardware remoto [1]. Secondo loro, l'attacco funziona su sistemi commerciali e consente un accesso senza restrizioni ai sistemi dei visitatori del sito [1]. Una seconda versione esce il 27 agosto 2015 e l'ultima versione risale al 5 aprile 2016 [1][2]. L'articolo è stato accettato alla 13a conferenza DIMVA nel 2016 [1]. ## Cosa fare Le fonti citate qui non dettagliano gesti specifici per Rowhammer, né sulla memoria ECC né sulle generazioni recenti di DDR. Permettono soltanto di ricordare la misura generale indicata da MITRE ATT&CK: aggiornare regolarmente il software, con una gestione delle patch per le postazioni e i server dell'azienda [3][4]. Per un dipendente, questo significa accettare gli aggiornamenti proposti dal team IT e non rimandarli senza motivo. MITRE ATT&CK cita anche protezioni che rilevano i comportamenti di sfruttamento, oltre all'isolamento delle applicazioni tramite sandbox, che rende più difficile l'avanzata di un attaccante [4]. ## Fonti 1. arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 24 luglio 2015. https://arxiv.org/abs/1507.06955 (consultato il 3 novembre 2026) 2. arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 27 agosto 2015. https://arxiv.org/abs/1507.06955v2 (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1068/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1211/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.