Pesquisadores revelaram um novo ataque de hardware, chamado DDRop, que quebra a proteção de memória no confidential computing da Intel e da AMD ao descartar, de forma silenciosa, gravações na memória de um servidor. Com isso, o processador continua lendo dados criptografados antigos como se fossem atuais.
O ataque exige um invasor que já controle o software do servidor e consiga acessar a máquina por alguns instantes para inserir uma pequena placa, chamada interposer, entre o processador e um módulo de memória.
O custo para montar o interposer fica abaixo de US$ 200. O DDRop funciona contra Intel TDX, Intel Scalable SGX e AMD SEV-SNP, o hardware usado por serviços de cloud para manter os dados dos clientes em sigilo enquanto estão em uso, inclusive diante do próprio provedor de cloud.
O confidential computing mantém a memória do servidor criptografada, de modo que até alguém com acesso físico à máquina enxergue apenas dados embaralhados. Para cobrir a grande quantidade de memória usada por um servidor de cloud, porém, esses projetos abrem mão de uma garantia chamada frescor. O processador consegue confirmar que a memória está criptografada, mas não que ela contém o último valor gravado, e assim dados criptografados antigos ainda são descriptografados corretamente.
O DDRop transforma essa lacuna em ataque. Quando o interposer descarta uma gravação, o valor anterior permanece na memória, e o processador o lê como se a atualização tivesse acontecido. O mecanismo de criptografia não detecta a anomalia.
Segundo os pesquisadores, o DDRop é o primeiro ataque ativo com interposer a funcionar sobre a memória DDR5 dos servidores de cloud atuais e o primeiro a quebrar a integridade de um sistema Intel TDX atualizado, em vez de apenas ler dados dele.
Ataques anteriores com interposer em DDR5, como o TEE.fail, eram passivos. Eles escutavam o barramento de memória e precisavam reduzi-lo de velocidade para funcionar com equipamentos de laboratório de segunda mão. Ataques ativos que alteravam o que a memória recebia, como o Battering RAM, funcionavam apenas em DDR4 mais antigo, e o novo formato de comandos da DDR5 bloqueia a técnica de troca de endereços usada por eles. O DDRop contorna isso ao descartar gravações.
O interposer é uma pequena placa de chaves que fica no barramento de memória e opera na velocidade total da DDR5. Para descartar uma gravação, ele força um erro no barramento de comandos e então corta o fio usado pelo módulo de memória para reportar esse erro. Assim, o módulo descarta o comando em silêncio e o processador nunca é avisado.
O DDRop foi desenvolvido por pesquisadores da KU Leuven, ETH Zurich, Durham University e Google, e deve ser apresentado na conferência ACM CCS 2026, em novembro. A equipe afirma que vai liberar no GitHub os projetos da placa, o firmware do controlador e o código do ataque, junto com o artigo científico.
Quebra do Intel TDX
No Intel TDX, os pesquisadores transformaram o descarte de gravações em controle total de uma máquina virtual protegida. O TDX mantém as tabelas de páginas de cada máquina virtual criptografadas e sob controle de firmware confiável.
Quando esse firmware grava entradas vazias para montar uma nova tabela de páginas, o DDRop descarta essas gravações, fazendo a tabela preservar, em vez disso, dados deixados ali anteriormente pelo invasor. Isso permite que a máquina virtual do atacante mapeie sua memória para qualquer endereço físico e leia ou altere memória protegida.
Com esse acesso, os pesquisadores leram a memória privada de uma máquina virtual vítima e ativaram o modo de depuração em uma máquina vítima, o que permitiu copiar sua memória em texto puro e depois restaurar os dados originais, sem sinais de adulteração para a vítima.
Eles também sobrescreveram a medição de lançamento que uma máquina virtual usa para provar a um cliente remoto que foi iniciada em um estado conhecido e confiável. Com essa alteração, uma máquina virtual controlada pelo atacante poderia passar nessa verificação como se fosse legítima.
Dois desses resultados, a leitura da memória da vítima e a ativação do modo de depuração, foram demonstrados apenas no modo padrão do TDX, chamado integridade lógica. O modo opcional e mais forte, chamado integridade criptográfica, bloquearia esses ataques, segundo os pesquisadores, porque ambos envolvem alterar dados de outra máquina virtual.
Forjar a própria atestação da máquina, argumentam eles, ainda funcionaria no modo mais forte, porque essa gravação ocorre dentro da própria máquina virtual do atacante e sob sua própria chave, fazendo com que o hardware continue marcando os dados como válidos. A integridade criptográfica também não adiciona checagem de frescor, portanto não consegue perceber que conteúdos antigos foram reutilizados. O sistema de testes deles não suportava esse modo, então a equipe não conseguiu confirmar esse comportamento.
No AMD SEV-SNP, o resultado é mais limitado. Ao descartar gravações durante o recurso de realocação de páginas da AMD, os pesquisadores conseguiram copiar o conteúdo de uma página da vítima para outra, mas os ataques de modo de depuração e de falsificação de atestação são específicos do Intel TDX.
As três tecnologias criptografam a memória sem a checagem de frescor explorada pelo DDRop, então todas são afetadas. O antigo Intel Client SGX, usado em alguns chips de desktop e notebook, não é afetado, porque usa uma árvore de integridade em hardware que detecta dados obsoletos, embora a Intel já tenha descontinuado esse recurso.
As GPUs confidenciais da NVIDIA estão fora do alcance, porque a memória delas fica dentro do encapsulamento do chip, onde não é possível encaixar um interposer. Os pesquisadores não testaram a CCA da Arm e dizem que ela também pode ser afetada.
O ataque mira servidores de cloud, não computadores domésticos nem celulares. Intel TDX, Scalable SGX e AMD SEV-SNP são oferecidos por grandes plataformas de cloud, incluindo AWS, Microsoft Azure e Google Cloud, para proteger cargas de trabalho de clientes. O DDRop não mostra que qualquer um desses serviços tenha sido invadido.
Ele mostra que um invasor com o acesso certo e uma peça barata de hardware poderia enfraquecer a proteção da qual esses serviços dependem.
Os pesquisadores disseram aos entrevistadores que não têm evidências de que o DDRop, ou um interposer ativo semelhante, tenha sido usado fora de laboratório.
Sem patch simples
Não existe um patch simples. A fraqueza está no design do hardware, dizem os pesquisadores. A criptografia de memória escalável atual abre mão da checagem de frescor em troca de proteger grandes volumes de memória, e fechar essa lacuna de forma definitiva exigiria um novo hardware de criptografia de memória que combine integridade e frescor.
Mudanças de software podem elevar a barreira sem eliminar a causa raiz. Entre elas estão limitar os recursos de gerenciamento de memória explorados pelo DDRop, verificar se gravações importantes realmente chegaram ao destino e procurar um interposer durante a inicialização.
Intel e AMD foram informadas antecipadamente sobre o DDRop por meio de divulgação coordenada, e ambas reconheceram os achados e disseram que publicariam boletins de segurança na data da divulgação. Segundo os pesquisadores, nenhuma das empresas ofereceu orientações de mitigação nem cronograma.
A AMD informou aos entrevistadores que, como o ataque exige acesso físico ao sistema, ele fica fora do escopo do modelo de ameaça publicado para SEV/SNP. A Intel adota a mesma posição em relação a ataques físicos contra a memória do servidor.
A Intel também afirmou separadamente que ataques físicos com interposer desse tipo ficam fora da proteção oferecida por sua criptografia de memória e que não pretende atribuir um CVE a esse tipo de ataque.
A empresa já descreveu essa área de pesquisa como “fora do escopo, mas não fora da mente”. O modo opcional de integridade criptográfica da Intel, disponível em alguns processadores Xeon atuais, já bloqueia parte do DDRop, e a empresa diz que trabalha em projetos mais fortes de criptografia de memória para chips futuros.
Uma dessas propostas, chamada versionamento de linha de cache, adicionaria uma checagem de frescor ao barramento de memória. Os pesquisadores dizem que ainda não está claro se isso impediria o DDRop e que a Intel não informou se isso aconteceria.
A AMD disse que seu boletim sobre o DDRop deve ser publicado na página de segurança de produtos ainda em 14 de setembro. A Intel não respondeu ao pedido de comentário antes da publicação.
Montar o interposer é barato. Os pesquisadores estimam os componentes de uma unidade em cerca de US$ 159, sem contar desenvolvimento ou mão de obra, e dizem que ele pode ser instalado em minutos e depois operado inteiramente por software.
Como exige apenas uma visita breve à máquina, os pesquisadores afirmam que o acesso necessário poderia vir de um funcionário desonesto de data center, de adulteração em alguma etapa da supply chain ou de hardware apreendido por força legal.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...