--- id: CP-088 slug: rowhammer-bitflips-dram-geheugen lang: nl title: Rowhammer, de aanval die bits in het geheugen omklapt description: Rowhammer wijzigt het DRAM-geheugen van een apparaat zonder het direct aan te raken. Wat een medewerker ziet, hoe het werkt en wat u kunt doen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “Rowhammer, de aanval die bits in het geheugen omklapt”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-055 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/ fr: https://startbrain.io/cyberpedia/fr/articles/rowhammer-inversion-bits-memoire-dram/ en: https://startbrain.io/cyberpedia/en/articles/rowhammer-dram-bit-flips/ de: https://startbrain.io/cyberpedia/de/articles/rowhammer-bitflips-dram-speicher/ es: https://startbrain.io/cyberpedia/es/articles/rowhammer-inversion-bits-memoria-dram/ it: https://startbrain.io/cyberpedia/it/articles/rowhammer-inversione-bit-memoria-dram/ sources: - "n": 1 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955 published: "2015-07-24" accessed: "2026-11-03" - "n": 2 title: "Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript" publisher: arXiv url: https://arxiv.org/abs/1507.06955v2 published: "2015-08-27" accessed: "2026-11-03" - "n": 3 title: Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1068/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1211/ accessed: "2026-11-03" --- # Rowhammer, de aanval die bits in het geheugen omklapt Een basisregel van computerbeveiliging is dat een plek in het geheugen alleen mag worden gewijzigd door programma's die daar mogen schrijven. Rowhammer omzeilt die regel: door bepaalde delen van het DRAM-geheugen heel vaak te lezen, kan een programma de inhoud van naburige cellen veranderen zonder die cellen te benaderen [1]. Voor een medewerker is het belangrijkste dat een website met JavaScript volstaat om deze aanval uit te voeren [1]. De aanval richt zich op de hardware zelf, en volgens de auteurs hielden de tegenmaatregelen die in 2015 bestonden haar niet tegen [1]. ## In 30 seconden - Waar het gebeurt: in het DRAM-geheugen van computers en apparaten, ook wanneer een website JavaScript uitvoert in de browser [1]. - Wat de aanvaller wil: bits veranderen die zijn programma niet mag wijzigen, bijvoorbeeld om beheerdersrechten te krijgen [1][3]. - De reflex: houd het systeem, de browser en de software up-to-date, want regelmatig software bijwerken is een beschermende maatregel die MITRE ATT&CK noemt tegen het uitbuiten van kwetsbaarheden [3][4]. - Als het al gebeurd is: meld ongebruikelijk gedrag van het apparaat aan het beveiligingsteam, bijvoorbeeld een virusscanner die plotseling uitvalt, wat MITRE ATT&CK noemt als teken dat een kwetsbaarheid wordt uitgebuit [4]. ## Directe vragen ### Wat is Rowhammer? Het is een gebrek in het DRAM-geheugen. De auteurs van Rowhammer.js leggen uit dat storende effecten in DRAM de inhoud van een geheugencel kunnen veranderen zonder die cel te benaderen, door met hoge frequentie andere locaties te benaderen [1]. Ze stellen dat dit gebrek voorkomt in de meeste geheugenmodules die ten tijde van hun artikel in gebruik waren [1]. ### Waarom bestaat dit gebrek? Volgens de tweede versie van het artikel is DRAM dichter geworden, waardoor de cellen minder van elkaar zijn geïsoleerd [2]. Herhaalde toegang tot rijen van het DRAM kan dan willekeurige bitflips veroorzaken in een aangrenzende rij [2]. ### Is één omgeklapte bit echt ernstig? Ja, volgens dezelfde auteurs. Het gebrek is al gebruikt om rootrechten te krijgen en om uit een sandbox te ontsnappen [2]. Een sandbox is een afgeschermde ruimte waarin een programma verondersteld wordt opgesloten te blijven. ### Moet de aanvaller toegang hebben tot de computer? Niet per se. Rowhammer.js is volgens de auteurs de eerste hardwareaanval op afstand die door software wordt veroorzaakt: er is geen fysieke toegang tot de machine voor nodig, geen uitvoering van native code en geen speciale instructies [2]. Een website met JavaScript volstaat om fouten te veroorzaken in hardware op afstand [1]. ### Wat ziet het slachtoffer? De hier aangehaalde bronnen beschrijven geen melding en geen teken op het scherm. Ze geven aan dat deze aanvallen via JavaScript onopvallend en tegelijk miljoenen gebruikers kunnen treffen [2]. ## In de huid van de aanvaller De aanvaller start bij een obstakel: een programma dat met weinig rechten draait, kan niet bij bepaalde systeemmiddelen. MITRE ATT&CK beschrijft deze stap als rechtenverhoging, waarmee een aanvaller van gebruikersniveau naar SYSTEM- of rootrechten kan komen [3]. Ook kan het mogelijk maken om uit een gevirtualiseerde omgeving, zoals een virtuele machine of een container, te ontsnappen en de hostmachine te bereiken [3]. Rowhammer biedt een route daarheen, omdat het geheugen kan worden gewijzigd zonder toestemming. De auteurs van Rowhammer.js noemen aanvallen met rechtenverhoging onder de gevolgen [1]. Ze geven ook aan dat een website volstaat om onbeperkte toegang te krijgen tot de systemen van haar bezoekers [1]. MITRE ATT&CK beschrijft nog een andere techniek, het uitbuiten van een kwetsbaarheid om detectie te ontwijken, waarbij de aanvaller zo handelt dat hij minder zichtbaar is of opgaat in legitieme activiteit [4]. Deze fiche zegt niet dat Rowhammer zo is gebruikt: de hier aangehaalde bronnen vermelden dat niet. ## Wat u op het scherm ziet De hier aangehaalde bronnen geven geen beschrijving van wat de gebruiker waarneemt. Ze zeggen alleen dat de aanval via de browser onopvallend kan worden uitgevoerd [2]. In het scenario van de auteurs van Rowhammer.js bezoekt het slachtoffer een website die JavaScript bevat [1]. Omdat Rowhammer geen eigen zichtbaar teken heeft, zijn de signalen om op te letten die van elke uitbuiting van een kwetsbaarheid. MITRE ATT&CK noemt afwijkend procesgedrag, zoals een virusscanner of detectietool die onverwacht stopt, of logboeken met gaten [4]. ## Onder de motorkap DRAM-geheugen slaat gegevens op in cellen die in rijen zijn geordend. Wanneer de dichtheid toeneemt, zijn de cellen minder goed van elkaar geïsoleerd [2]. Een rij heel vaak lezen kan dan bits in de naburige rij laten omklappen [2]. De eerste exploits die van dit gebrek gebruikmaakten, gebruikten native code en speciale instructies om gegevens uit de cache te wissen [2]. Alle studies en aanvallen van vóór Rowhammer.js hingen af van de beschikbaarheid van een instructie om de cache te legen, om DRAM met voldoende frequentie te benaderen [1]. Rowhammer.js nam die beperking weg. De auteurs laten zien dat de cache kan worden gedwongen zijn gegevens snel te verwijderen en dat het gebrek met gewone geheugentoegang kan worden opgewekt [1]. De aanval wordt daarmee mogelijk in beperkte omgevingen, ook in scriptomgevingen [1]. Een verwijderingsstrategie die door een generiek algoritme is gevonden, verhoogt het verwijderingspercentage van 95,2 % naar 99,99 % [2]. De auteurs stellen dat de tegenmaatregelen die ten tijde van hun artikel bestonden, geen bescherming boden tegen deze nieuwe aanval [1]. In de tweede versie stellen ze tegenmaatregelen voor die direct toepasbaar zijn [2]. ## Incidentanalyses ### Rowhammer.js, juli 2015 Op 24 juli 2015 plaatsen Daniel Gruss, Clémentine Maurice en Stefan Mangard het artikel Rowhammer.js op arXiv [1]. Ze presenteren daarin een implementatie van de aanval in JavaScript [2]. Ze beschrijven een volledig geautomatiseerde aanval waarvoor niets meer nodig is dan een website met JavaScript om fouten te veroorzaken in hardware op afstand [1]. Volgens hen werkt de aanval op systemen uit de handel en geeft ze onbeperkte toegang tot de systemen van de bezoekers van de site [1]. Een tweede versie verschijnt op 27 augustus 2015 en de laatste versie dateert van 5 april 2016 [1][2]. Het artikel is in 2016 geaccepteerd op de 13e DIMVA-conferentie [1]. ## Wat u doet De hier aangehaalde bronnen beschrijven geen handeling die specifiek is voor Rowhammer, noch voor ECC-geheugen, noch voor recente DDR-generaties. Ze laten alleen de algemene maatregel van MITRE ATT&CK toe: software regelmatig bijwerken, met patchbeheer voor de werkstations en servers van het bedrijf [3][4]. Voor een medewerker betekent dit dat u de updates accepteert die het IT-team aanbiedt en ze niet zonder reden uitstelt. MITRE ATT&CK noemt ook beveiligingen die gedrag van uitbuiting detecteren, en het isoleren van toepassingen in een sandbox, wat het voor een aanvaller moeilijker maakt om verder te komen [4]. ## Bronnen 1. arXiv, “Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 24 juli 2015. https://arxiv.org/abs/1507.06955 (geraadpleegd op 3 november 2026) 2. arXiv, “Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 27 augustus 2015. https://arxiv.org/abs/1507.06955v2 (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1068/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1211/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.