Физическая атака на память открывает root-доступ к Android

Быстрый и частый доступ к ячейке памяти, называемый hammering по аналогии с ударами молотком, может вызывать спонтанное изменение двоичного состояния соседних ячеек. В марте 2015 г. исследователи из Project Zero компании Google представили два способа, использующих этот эффект (Rowhammer) для взлома архитектуры x86-64. В одном случае происходила утечка кода из «песочницы» Chrome, в другом приобретались привилегии уровня ядра на машине под управлением Linux.

В дальнейшем демонстрировалось использование Rowhammer с веб-сайтов, посредством Javascript, и для атак на виртуальные серверы в облачной среде. Однако до сих пор оставались сомнения, сможет ли этот метод «работать» на существенно отличной архитектуре ARM, применяемой в смартфонах и прочих мобильных устройствах.

Ясность в этот вопрос внесли сотрудники группы VUSec голландского университета Vrije. В сотрудничестве с Технологическим университетом города Грац (Австрия) и Калифорнийским университетом в Санта-Барбара они доказали что атаки Rowhammer на ARM возможны, причем их даже проще осуществить, чем на x86. В отличие от прежних, вероятностных атак, новый метод является надёжным и детерминистичным, то есть не поагается на удачу и особенности конфигурации отдельных разновидностей платформы.

Свой новый метод авторы окрестили Drammer (deterministic Rowhammer) и планируют показать его завтра в Вене (Австрия) на 23-й Конференции ACM по безопасности компьютеров и коммуникаций.

Демонстрационное приложение для Android, созданное VUSec, не требует никаких разрешений и получает root-привилегии, используя необнаружимые изменения битов памяти.

Эта программа была испытана на 27 устройствах Android разных производителей. Из них в 21 использовалась 32-разрядная архитектура ARMv7 и ещё в шести — 64-разрядная ARMv8. Исследователям удалось добиться изменения битов в 17 устройствах ARMv7 и в одном ARMv8, доказав их уязвимость для атак методом Drammer.

В комбинации с другими уязвимостями Android, такими как Stagefright или Bandroid, Drammer можно использовать для организации дистанционных атак, не требующих от пользователя вручную загружать вредоносное приложение.

Компания Google выработала временное решение, усложняющее атаки. Оно будет включено в её ноябрьский бюллетень безопасности, однако подлинные причины проблемы — аппаратные и могут быть устранены только с выходом будущих чипов памяти.

Drammer атакует буферы DMA (direct memory access), используемые многими аппаратными подсистемами, включая графику, сети и звук. API и методы выделения буферов DMA имеются во всех ОС, и авторы статьи предупреждают об уязвимости не только Android, но и Linux, а возможно и других платформ.

Своё концептуальное приложение исследователи выложили для загрузки на сайте VUSec Drammer, также предлагается симулятор Rowhammer с открытым кодом для помощи в дальнейшем изучении проблемы.

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365