Cyberpediadi Brain
ITDEENESFR

Rowhammer, l'attacco che inverte i bit nella memoria

Rowhammer modifica la memoria DRAM di un dispositivo senza toccarla direttamente. Cosa vede il dipendente, come funziona e quali gesti adottare.

In 30 secondi

Dove accade
Nella memoria DRAM di computer e dispositivi, anche quando un sito web esegue JavaScript nel browser1.
Cosa vuole l'attaccante
Cambiare bit che il suo programma non ha il diritto di modificare, per esempio per ottenere diritti di amministratore13.
Il riflesso
Tenere aggiornati sistema, browser e software, perché l'aggiornamento regolare del software è una misura di protezione citata da MITRE ATT&CK contro lo sfruttamento delle vulnerabilità34.
Se è già successo
Segnalare al team di sicurezza qualsiasi comportamento insolito del dispositivo, per esempio l'improvviso arresto di un antivirus, che MITRE ATT&CK include tra i segni di uno sfruttamento di vulnerabilità4.

Di cosa si tratta

Una regola di base della sicurezza informatica prevede che una posizione di memoria possa essere modificata solo dai programmi autorizzati a scriverci. Rowhammer aggira questa regola: leggendo molto spesso certe aree della memoria DRAM, un programma può cambiare il contenuto di celle vicine senza accedervi1.

Per un dipendente, il punto da ricordare è che basta un sito web con JavaScript per condurre questo attacco1. Colpisce l'hardware stesso e, secondo gli autori, le contromisure esistenti nel 2015 non lo bloccavano1.

Domande dirette

Che cos'è Rowhammer?

È un difetto della memoria DRAM. Gli autori di Rowhammer.js spiegano che effetti parassiti nella DRAM possono cambiare il contenuto di una cella di memoria senza accedervi, accedendo ad alta frequenza ad altre posizioni1. Precisano che questo difetto compare nella maggior parte dei moduli di memoria in uso alla data del loro articolo1.

Perché esiste questo difetto?

Secondo la seconda versione dell'articolo, la DRAM è diventata più densa e le sue celle sono quindi meno isolate le une dalle altre2. Accessi ripetuti alle righe della DRAM possono allora provocare inversioni casuali di bit in una riga adiacente2.

Un bit invertito è davvero grave?

Sì, secondo gli stessi autori. Il difetto è già servito a ottenere i diritti root e a uscire da una sandbox2. Una sandbox è uno spazio isolato in cui un programma dovrebbe restare confinato.

Serve l'accesso al computer per attaccarlo?

Non necessariamente. Rowhammer.js, secondo i suoi autori, è il primo attacco hardware innescato a distanza via software: non richiede né accesso fisico alla macchina, né esecuzione di codice nativo, né istruzioni speciali2. Un sito web con JavaScript basta a provocare errori sull'hardware remoto1.

Cosa vede la vittima?

Le fonti citate qui non descrivono alcun messaggio né segno sullo schermo. Indicano che questi attacchi condotti tramite JavaScript possono colpire milioni di utenti in modo discreto e simultaneo2.

1Nei panni dell'attaccante1 min

L'attaccante parte da un ostacolo: un programma eseguito con pochi diritti non può accedere a certe risorse del sistema. MITRE ATT&CK descrive questa fase come un'escalation dei privilegi, che può portare da un livello utente ai diritti SYSTEM o root3. Può anche consentire di uscire da un ambiente virtualizzato, come una macchina virtuale o un container, per raggiungere la macchina host3.

Rowhammer offre una strada per arrivarci, perché permette di alterare la memoria senza autorizzazione. Gli autori di Rowhammer.js citano tra le conseguenze gli attacchi di escalation dei privilegi1. Indicano inoltre che un sito web basta per ottenere un accesso senza restrizioni ai sistemi dei suoi visitatori1.

MITRE ATT&CK descrive un'altra tecnica, lo sfruttamento di una vulnerabilità per sfuggire al rilevamento, che consiste nell'agire in modo da ridurre la visibilità o da confondersi con l'attività legittima4. Questa scheda non dice che Rowhammer sia stato usato così: le fonti citate qui non lo menzionano.

2Cosa si vede sullo schermo1 min

Le fonti citate qui non descrivono ciò che l'utente percepisce. Dicono soltanto che l'attacco tramite browser può essere condotto in modo discreto2. Nello scenario descritto dagli autori di Rowhammer.js, la vittima visita un sito web che contiene JavaScript1.

In assenza di un segno visibile proprio di Rowhammer, gli indizi da osservare sono quelli di qualsiasi sfruttamento di vulnerabilità. MITRE ATT&CK cita comportamenti anomali dei processi, come un antivirus o uno strumento di rilevamento che si arresta in modo inatteso, oppure registri con dei vuoti4.

3Sotto il cofanoTeam IT1 min

La memoria DRAM conserva i dati in celle organizzate in righe. Quando la densità aumenta, le celle sono isolate meno bene tra loro2. Leggere una riga molto spesso può allora far commutare dei bit nella riga vicina2.

I primi exploit scritti per sfruttare questo difetto usavano codice nativo e istruzioni speciali per svuotare i dati dalla cache2. Tutti gli studi e gli attacchi precedenti a Rowhammer.js dipendevano dalla disponibilità di un'istruzione di svuotamento della cache, per provocare accessi alla DRAM a una frequenza sufficiente1.

Rowhammer.js ha superato questo limite. I suoi autori mostrano che si può costringere la cache a espellere rapidamente i propri dati e innescare il difetto con semplici accessi ordinari alla memoria1. L'attacco diventa così possibile in ambienti ristretti, anche di scripting1. Una strategia di espulsione trovata da un algoritmo generico porta il tasso di espulsione dal 95,2 % al 99,99 %2.

Gli autori affermano che le contromisure esistenti al momento del loro articolo non proteggevano da questo nuovo attacco1. Nella seconda versione propongono contromisure applicabili subito2.

4AutopsieCasi reali1 min

Rowhammer.js, luglio 2015

Il 24 luglio 2015 Daniel Gruss, Clémentine Maurice e Stefan Mangard depositano su arXiv l'articolo Rowhammer.js1. Vi presentano un'implementazione dell'attacco in JavaScript2. Descrivono un attacco interamente automatizzato, che non richiede altro che un sito web con JavaScript per provocare errori su hardware remoto1.

Secondo loro, l'attacco funziona su sistemi commerciali e consente un accesso senza restrizioni ai sistemi dei visitatori del sito1. Una seconda versione esce il 27 agosto 2015 e l'ultima versione risale al 5 aprile 201612. L'articolo è stato accettato alla 13a conferenza DIMVA nel 20161.

5Cosa fare1 min

Le fonti citate qui non dettagliano gesti specifici per Rowhammer, né sulla memoria ECC né sulle generazioni recenti di DDR. Permettono soltanto di ricordare la misura generale indicata da MITRE ATT&CK: aggiornare regolarmente il software, con una gestione delle patch per le postazioni e i server dell'azienda34.

Per un dipendente, questo significa accettare gli aggiornamenti proposti dal team IT e non rimandarli senza motivo. MITRE ATT&CK cita anche protezioni che rilevano i comportamenti di sfruttamento, oltre all'isolamento delle applicazioni tramite sandbox, che rende più difficile l'avanzata di un attaccante4.

Scheda

Identificativo
CP-088
Ala
1. Attacchi e tecniche
Competenza Brain
Proteggere i dispositivi (secure_devices)
Riflesso Brain
cr-055
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
4 fonti verificate il 3 novembre 2026
Fonti4 fonti
  1. arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 24 luglio 2015. https://arxiv.org/abs/1507.06955 (consultato il 3 novembre 2026)
  2. arXiv, «Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript», 27 agosto 2015. https://arxiv.org/abs/1507.06955v2 (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1068/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1211/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Rowhammer, l'attacco che inverte i bit nella memoria», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/

BibTeX 
@misc{brain_cp088_it_2026,
  author = {Brain},
  title = {Rowhammer, l'attacco che inverte i bit nella memoria},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0