L'attacco remoto alla GPU comporta il rischio che i browser concedano ai siti Web l'accesso alle schede grafiche per potenziali exploit di mining di criptovalute
I ricercatori dell'Università di Tecnologia di Graz in Austria e dell'Università di Rennes in Francia hanno rivelato una preoccupante vulnerabilità riguardante le unità di elaborazione grafica (GPU), che potrebbero essere potenzialmente sfruttate per il mining di criptovaluta e altre attività dannose. Questa minaccia appena scoperta prende di mira i browser e le schede grafiche più diffusi.
La vulnerabilità è incentrata su WebGPU, un'API che consente agli sviluppatori web di accedere alla GPU di un computer per attività ad alte prestazioni direttamente all'interno di un browser web. Attraverso una manipolazione intelligente di questa API utilizzando JavaScript, i ricercatori hanno dimostrato un vettore di attacco remoto che opera interamente all’interno del browser, eliminando la necessità di accesso diretto alle API GPU native.
Questo metodo di attacco rappresenta uno dei primi casi di attacco del canale laterale della cache GPU proveniente da un browser Web. Invitando gli utenti a visitare un sito Web dannoso che ospita il codice dell'exploit, gli aggressori possono eseguire l'exploit in remoto, senza alcuna interazione da parte dell'utente oltre alla semplice permanenza sul sito per alcuni minuti.
Le implicazioni di questa vulnerabilità sono significative. L'attacco può essere sfruttato per attacchi temporali tra sequenze di tasti, rivelando potenzialmente informazioni sensibili come le password in base alla tempistica di battitura dei tasti. Inoltre, consente l’estrazione di chiavi di crittografia AES basate su GPU e stabilisce canali nascosti di esfiltrazione di dati con velocità di trasmissione moderate.
I ricercatori sottolineano la necessità che i fornitori di browser trattino l'accesso alla GPU con la stessa cautela riservata ad altre risorse sensibili alla sicurezza. Lukas Giner, uno dei ricercatori, evidenzia i rischi posti dai browser che concedono ai siti web un accesso illimitato alla GPU del sistema host, citando il rischio di attacchi furtivi o addirittura di operazioni segrete di mining di criptovalute all'insaputa dell'utente.
La ricerca ha preso di mira una gamma di schede grafiche desktop sia di AMD che di NVIDIA, interessando i browser che supportano WebGPU, tra cui Chrome, Chromium, Edge e Firefox Nightly. Nonostante le notifiche agli sviluppatori Mozilla, AMD, NVIDIA e Chromium, solo AMD ha rilasciato una risposta, affermando di non credere che i ricercatori abbiano dimostrato un exploit contro i loro prodotti.
I ricercatori hanno suggerito di implementare un pop-up di autorizzazione simile a quelli per l’accesso al microfono o alla telecamera per mitigare il rischio. Tuttavia, il team di Chromium ha espresso riserve, citando il potenziale di ulteriore attrito tra gli utenti senza commisurati vantaggi in termini di sicurezza.
Questa rivelazione sottolinea la necessità fondamentale di misure proattive per proteggere l’accesso alla GPU all’interno dei browser, poiché la mancata risoluzione di questa vulnerabilità potrebbe esporre gli utenti a una serie di attività dannose, dal furto di dati al mining segreto di criptovaluta.