Tijdens een jaarlijkse bijeenkomst van hackers in Las Vegas hebben onderzoekers van de Vrije Universiteit in Amsterdam de Pwnie Award gewonnen voor ‘meest innovatieve onderzoek’, zo meldt de Volkskrant. Volgens hen is nu zelfs de veiligste computer niet meer opgewassen tegen spionage via internet.
De Pwnie Award is vernoemd naar het woord ‘pwn’, wat hackers gebruiken als het gaat om het compromitteren en controleren van een computer. De onderscheiding werd uitgereikt tijdens de Black Hat USA-conferentie in Las Vegas. Normaal zouden de onderzoekers van de VU ook een geldbedrag krijgen van Microsoft, maar deze fabrikant laat weten dat daarvoor niet de juiste weg is gevolgd. De onderzoekers hadden hun bevindingen dan eerst met experts van Microsoft moeten delen, in plaats van deze direct wereldkundig te maken. De wetenschappelijke hackers zijn hier nogal verbaasd over, want ze hadden in mei al contact gehad met de softwarefabrikant, zodat die ruimschoots de tijd heeft gehad om maatregelen te treffen.
Behoorlijk complex
De ontdekte methode is behoorlijk complex. Twee eerder ontdekte kwetsbaarheden in zowel hardware als software zijn gecombineerd tot een aanvalswapen waarmee een computergebruiker kan worden bespioneerd. Normale beveiligingssoftware is hier niet tegen opgewassen. Op de eerste plaats wordt het werkgeheugen bestookt met specifieke informatie, waardoor de condensatoren daarin in de war worden gebracht. Dit kan met in een website verstopte JavaScript. Terwijl dat gebeurt kan kwaadaardige software worden gestart, waarmee de computer wordt overgenomen.
Ook wordt gebruik gemaakt van de Windows-eigenschap om overbodige data te verwijderen om geheugenruimte te besparen. De hacker kan volgen welke documenten door Windows worden verwijderd en zo nagaan waar de gebruiker mee bezig is. Ook wachtwoorden zouden op deze wijze te achterhalen zijn. Het Nationaal Cyber Security Center (NCSC) heeft na de publicatie van de onderzoeksgroep een waarschuwing uitgevaardigd. De methode werkt ook met de webbrowser Edge in Windows 10. Een voorwaarde is wel dat de hardware in de war is te brengen. In vaktermen wordt dat row hammering genoemd. De groep onder leiding van professor Herbert Bos zal de komende maanden op meer conferenties demonstraties geven en aantonen dat met de methode ook andere besturingssystemen, waaronder Android, te kraken zijn.