Rowhammer, de aanval die bits in het geheugen omklapt
Rowhammer wijzigt het DRAM-geheugen van een apparaat zonder het direct aan te raken. Wat een medewerker ziet, hoe het werkt en wat u kunt doen.
In 30 seconden
- Waar het gebeurt
- In het DRAM-geheugen van computers en apparaten, ook wanneer een website JavaScript uitvoert in de browser1.
- Wat de aanvaller wil
- Bits veranderen die zijn programma niet mag wijzigen, bijvoorbeeld om beheerdersrechten te krijgen13.
- De reflex
- Houd het systeem, de browser en de software up-to-date, want regelmatig software bijwerken is een beschermende maatregel die MITRE ATT&CK noemt tegen het uitbuiten van kwetsbaarheden34.
- Als het al gebeurd is
- Meld ongebruikelijk gedrag van het apparaat aan het beveiligingsteam, bijvoorbeeld een virusscanner die plotseling uitvalt, wat MITRE ATT&CK noemt als teken dat een kwetsbaarheid wordt uitgebuit4.
Waar gaat het over
Een basisregel van computerbeveiliging is dat een plek in het geheugen alleen mag worden gewijzigd door programma's die daar mogen schrijven. Rowhammer omzeilt die regel: door bepaalde delen van het DRAM-geheugen heel vaak te lezen, kan een programma de inhoud van naburige cellen veranderen zonder die cellen te benaderen1.
Voor een medewerker is het belangrijkste dat een website met JavaScript volstaat om deze aanval uit te voeren1. De aanval richt zich op de hardware zelf, en volgens de auteurs hielden de tegenmaatregelen die in 2015 bestonden haar niet tegen1.
Directe vragen
Wat is Rowhammer?
Het is een gebrek in het DRAM-geheugen. De auteurs van Rowhammer.js leggen uit dat storende effecten in DRAM de inhoud van een geheugencel kunnen veranderen zonder die cel te benaderen, door met hoge frequentie andere locaties te benaderen1. Ze stellen dat dit gebrek voorkomt in de meeste geheugenmodules die ten tijde van hun artikel in gebruik waren1.
Waarom bestaat dit gebrek?
Volgens de tweede versie van het artikel is DRAM dichter geworden, waardoor de cellen minder van elkaar zijn geïsoleerd2. Herhaalde toegang tot rijen van het DRAM kan dan willekeurige bitflips veroorzaken in een aangrenzende rij2.
Is één omgeklapte bit echt ernstig?
Ja, volgens dezelfde auteurs. Het gebrek is al gebruikt om rootrechten te krijgen en om uit een sandbox te ontsnappen2. Een sandbox is een afgeschermde ruimte waarin een programma verondersteld wordt opgesloten te blijven.
Moet de aanvaller toegang hebben tot de computer?
Niet per se. Rowhammer.js is volgens de auteurs de eerste hardwareaanval op afstand die door software wordt veroorzaakt: er is geen fysieke toegang tot de machine voor nodig, geen uitvoering van native code en geen speciale instructies2. Een website met JavaScript volstaat om fouten te veroorzaken in hardware op afstand1.
Wat ziet het slachtoffer?
De hier aangehaalde bronnen beschrijven geen melding en geen teken op het scherm. Ze geven aan dat deze aanvallen via JavaScript onopvallend en tegelijk miljoenen gebruikers kunnen treffen2.
1In de huid van de aanvaller1 min
De aanvaller start bij een obstakel: een programma dat met weinig rechten draait, kan niet bij bepaalde systeemmiddelen. MITRE ATT&CK beschrijft deze stap als rechtenverhoging, waarmee een aanvaller van gebruikersniveau naar SYSTEM- of rootrechten kan komen3. Ook kan het mogelijk maken om uit een gevirtualiseerde omgeving, zoals een virtuele machine of een container, te ontsnappen en de hostmachine te bereiken3.
Rowhammer biedt een route daarheen, omdat het geheugen kan worden gewijzigd zonder toestemming. De auteurs van Rowhammer.js noemen aanvallen met rechtenverhoging onder de gevolgen1. Ze geven ook aan dat een website volstaat om onbeperkte toegang te krijgen tot de systemen van haar bezoekers1.
MITRE ATT&CK beschrijft nog een andere techniek, het uitbuiten van een kwetsbaarheid om detectie te ontwijken, waarbij de aanvaller zo handelt dat hij minder zichtbaar is of opgaat in legitieme activiteit4. Deze fiche zegt niet dat Rowhammer zo is gebruikt: de hier aangehaalde bronnen vermelden dat niet.
2Wat u op het scherm ziet1 min
De hier aangehaalde bronnen geven geen beschrijving van wat de gebruiker waarneemt. Ze zeggen alleen dat de aanval via de browser onopvallend kan worden uitgevoerd2. In het scenario van de auteurs van Rowhammer.js bezoekt het slachtoffer een website die JavaScript bevat1.
Omdat Rowhammer geen eigen zichtbaar teken heeft, zijn de signalen om op te letten die van elke uitbuiting van een kwetsbaarheid. MITRE ATT&CK noemt afwijkend procesgedrag, zoals een virusscanner of detectietool die onverwacht stopt, of logboeken met gaten4.
3Onder de motorkapIT-teams1 min
DRAM-geheugen slaat gegevens op in cellen die in rijen zijn geordend. Wanneer de dichtheid toeneemt, zijn de cellen minder goed van elkaar geïsoleerd2. Een rij heel vaak lezen kan dan bits in de naburige rij laten omklappen2.
De eerste exploits die van dit gebrek gebruikmaakten, gebruikten native code en speciale instructies om gegevens uit de cache te wissen2. Alle studies en aanvallen van vóór Rowhammer.js hingen af van de beschikbaarheid van een instructie om de cache te legen, om DRAM met voldoende frequentie te benaderen1.
Rowhammer.js nam die beperking weg. De auteurs laten zien dat de cache kan worden gedwongen zijn gegevens snel te verwijderen en dat het gebrek met gewone geheugentoegang kan worden opgewekt1. De aanval wordt daarmee mogelijk in beperkte omgevingen, ook in scriptomgevingen1. Een verwijderingsstrategie die door een generiek algoritme is gevonden, verhoogt het verwijderingspercentage van 95,2 % naar 99,99 %2.
De auteurs stellen dat de tegenmaatregelen die ten tijde van hun artikel bestonden, geen bescherming boden tegen deze nieuwe aanval1. In de tweede versie stellen ze tegenmaatregelen voor die direct toepasbaar zijn2.
4IncidentanalysesEchte gevallen1 min
Rowhammer.js, juli 2015
Op 24 juli 2015 plaatsen Daniel Gruss, Clémentine Maurice en Stefan Mangard het artikel Rowhammer.js op arXiv1. Ze presenteren daarin een implementatie van de aanval in JavaScript2. Ze beschrijven een volledig geautomatiseerde aanval waarvoor niets meer nodig is dan een website met JavaScript om fouten te veroorzaken in hardware op afstand1.
Volgens hen werkt de aanval op systemen uit de handel en geeft ze onbeperkte toegang tot de systemen van de bezoekers van de site1. Een tweede versie verschijnt op 27 augustus 2015 en de laatste versie dateert van 5 april 201612. Het artikel is in 2016 geaccepteerd op de 13e DIMVA-conferentie1.
5Wat u doet1 min
De hier aangehaalde bronnen beschrijven geen handeling die specifiek is voor Rowhammer, noch voor ECC-geheugen, noch voor recente DDR-generaties. Ze laten alleen de algemene maatregel van MITRE ATT&CK toe: software regelmatig bijwerken, met patchbeheer voor de werkstations en servers van het bedrijf34.
Voor een medewerker betekent dit dat u de updates accepteert die het IT-team aanbiedt en ze niet zonder reden uitstelt. MITRE ATT&CK noemt ook beveiligingen die gedrag van uitbuiting detecteren, en het isoleren van toepassingen in een sandbox, wat het voor een aanvaller moeilijker maakt om verder te komen4.
Fiche
- Identificatie
- CP-088
- Vleugel
- 1. Aanvallen en technieken
- Brain-competentie
- Apparaten beveiligen (secure_devices)
- Brain-reflex
- cr-055
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 4 bronnen gecontroleerd op 3 november 2026
Bronnen4 bronnen
- arXiv, “Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 24 juli 2015. https://arxiv.org/abs/1507.06955 (geraadpleegd op 3 november 2026)
- arXiv, “Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript”, 27 augustus 2015. https://arxiv.org/abs/1507.06955v2 (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Exploitation for Privilege Escalation, Technique T1068 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1068/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Exploitation for Stealth, Technique T1211 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1211/ (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Rowhammer, de aanval die bits in het geheugen omklapt”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp088_nl_2026,
author = {Brain},
title = {Rowhammer, de aanval die bits in het geheugen omklapt},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/rowhammer-bitflips-dram-geheugen/},
note = {CC BY 4.0}
}