Дослідники Грацького технічного університету (Австрія) виявили новий спосіб стеження. Шкідливі сайти аналізують затримки твердотільних накопичувачів (SSD), щоб дізнатися про відкриті програми.
Про це повідомляє ZMEScience.
Атака FROST використовує функцію браузера Origin Private File System (OPFS) та реакцію SSD на одночасну роботу кількох програм.
Як це працює? Сучасні браузери мають розширені інструменти для зберігання файлів на пристрої, щоб забезпечити швидку роботу вбудованих офісних пакетів, відеоредакторів та ігор. Коли накопичувач перевантажений, виконання запитів потребує більше часу. Шкідлива вебсторінка може постійно звертатися до свого приватного сховища і фіксувати ці мінімальні затримки. Це дозволяє виявляти паралельну активність на пристрої без доступу до екрана чи особистих файлів.
«Зловмисник постійно вимірює конкуренцію за SSD, виконуючи випадкові зчитування з великого файлу OPFS. Конкуренція за SSD, спричинена активністю користувача, викликає вимірні різниці в затримці для цих операцій зчитування», — написали дослідники у статті.
Під час тестів система ідентифікувала відвідування 50 популярних вебсайтів із показником точності 88,
95%. В іншому експерименті алгоритм розпізнав 10 стандартних програм macOS, зокрема Карти Музику Safari та Системні параметри із загальним результатом 95,83%.
Метод є атакою по сторонніх каналах. Шкідливий сайт за допомогою JavaScript і машинного навчання вивчає сліди нормальної діяльності через аналіз патернів часу роботи диска, щоб потім класифікувати їх для визначення інших сайтів чи застосунків. Для успіху атаки жертва повинна тримати сторінку відкритою.
Деталі дослідження планують представити на конференції DIMVA у липні 2026 року.
Найкращим захистом для користувачів наразі є своєчасне закриття незнайомих вкладок та контроль за раптовим зменшенням вільного місця на диску. Розробники браузерів можуть розв’язати проблему через обмеження розміру файлів OPFS, зменшення доступу до точних таймерів або запровадження попереджень про використання локального сховища.
