Ралф Лангнер: разкодирането на Stuxnet, кибернетичното оръжие на 21-ви век

Идеята зад компютърния червей Stuxnet е всъщност доста проста. Ние не искаме Иран да направи бомбата. Тяхното основно предимство за развитието на ядрени оръжия е съоръжението за обогатяване на уран в Натанц. Сивите кутии, които виждате, това са системи за контрол в реално време. Сега, ако успеем да компрометираме тези системи, които контролират скоростa на движение и клапаните, ние действително може да причиним много проблеми с центрофугите. Сивите кутии не оперират с Windows софтуер; те са напълно различна технология. Но ако успеем да поставим добър Windows вирус в преносим компютър, който се използва от машинен инженер за конфигуриране на тази сива кутия, тогава ние сме в бизнеса. И това е историята зад Stuxnet.

Така че започваме със злонамерен софтуер под Windows -- дропър. "Полезният товар" отива в сивата кутия, уврежда центрофугата, и иранската ядрена програма е забавена -- мисията е изпълнена. Лесно, нали? Искам да ви кажа как го открихме. Когато започнахме проучването на Stuxnet преди шест месеца, беше напълно неизвестно каква е целта на това нещо. Единственото нещо, което бе известно е много, много сложна част на Windows, че частта на дропъра, използва множество уязвимости, без ефективна защита. И като че ли искаше да направи нещо с тези сиви кутии, тези системи за управление в реално време. Така че това привлече нашето внимание, и започнахме лабораторен проект, където заразихме нашата среда със Stuxnet и проверихме що за нещо е. И тогава някои много смешни неща се случиха. Stuxnet се държеше като лабораторен плъх, на който не му харесва нашето сирене -- миришеше, но не искаше да яде. Не го сващах. И след като експериментирах с различни вкусове на сиренето, разбрах, добре, това е насочена атака. Тя е изцяло насочена. Дропърът дебне активно сивата кутия, ако специфична конфигурация се установи, и дори ако действителната програма, която се опитва да зарази всъщност работи по тази цел. И ако не, Stuxnet не прави нищо.

Така че това наистина привлече вниманието ми, и започнахме да работим по това почти денонощно, защото си мислех, добре, ние не знаем каква е целта. Тя може да бъде, например, енергийна централа на САЩ, или химически завод в Германия. Така че по-добре да разберем каква е целта по-скоро. Така че извлякохме и декомпилирахме кода на атаката, и открихме, че той е структуриран в две дигитални бомби -- една по-малка и една по-голяма. И ние също видяхме, че те са много професионално проектирани от хора, които очевидно са имали цялата вътрешна информация. Те са знаели всички битове и байтове, които трябва да се атакуват. Те може би дори знаят номера на обувките на оператора. Така че те знаят всичко.

И ако сте чули, че дропъра на Stuxnet е сложен и високо технологичен, нека да ви кажа следното: "полезния товар" е като ядрена физика. Той е далеч над всичко, което сме виждали досега. Тук можете да видите една проба от действителният код на атаката. Става дума за -- около 15 000 реда код. Изглежда почти като старовременния компютърния език асемблер. И аз искам да ви кажа как ние бяхме в състояние да разгадаем този код. Това, което търсихме на първо място бяха системните извиквания на функциите, защото ние знаем какво правят те.

И след това търсихме регулатори и структури от данни и се опитвахме да ги свържем с реалния свят -- с потенциални реални цели. Така че ни трябваха теории относно целта, които можехме да докажем или опровергаем. За да получим целеви теории, ние помнихме, че това определено е хардкор саботаж, целта трябваше да бъде с висока стойност, и най-вероятно се намираше в Иран, защото повечето инфекции бяха докладвани там. Сега, не можете да откриете няколко хиляди цели в тази област. По същество това се свежда до атомната електроцентрала Бушер и до завода в Натанц за горивно обогатяване.

Така че аз казах на моя помощник, "Направи списък на всички експерти по центрофуги и централи от нашите клиенти." Обадих им се и ги разпитах в опит да съчетая техния опит с това, което открихме като код и данни. И това се получи доста добре. Така че бяхме в състояние да свържем малката дигитална бойна глава с управлението на ротора. Роторът е движещата се част в рамките на центрофугата, този черен обект, който виждате. И ако се манипулира скоростта на този ротор, вие всъщност сте в състояние да контролирате ротора и в крайна сметка дори да взривите центрофугата. Това, което видяхме също е, че целта на атаката беше наистина да се направи бавно и страховито -- очевидно с намерение да се подлудят инженерите по поддържането, така че те да не са в състояние да разберат това бързо.

Голямата дигитална бойна глава -- направихме това предположение, като разгледахме отблизо данните и структурите от данни. Така например, числото 164 наистина се откроява в този код; не можете да го пренебрегнете. Започнах да изследвам научната литература, за това как тези центрофуги всъщност са построени в Натанц и установих, че са структурирани по начин нарeчен каскада, и всяка каскада съдържа 164 центрофуги. Така че имаше смисъл, беше съответствие.

И дори стана по-добре. Тези центрофуги в Иран са разделени на 15, така наречени, степени. И познайте какво открихме в кода на атаката? Почти идентична структура. Така че отново, това бе много добро съответствие. И това ни даде много висока степен на увереност за това, което търсихме. Сега, не ме разбирайте погрешно, не стана по този начин. Тези резултати бяха получени в продължение на няколко седмици наистина тежък труд. И ние често се оказвахме в задънена улица и трябваше да се връщаме.

Във всеки случай, така разбрахме, че и двете дигитални бойни глави действително са били насочени към една и съща цел, но от различни ъгли. Малката бойна глава приема една каскада, и върти роторите и ги забавя, а голямата бойна глава е свързана с шест каскади и манипулиране на клапаните. Така че като цяло, сме много уверени, че установихме каква всъщност е целта. Тя е в Натанц, и само в Натанц. Така че не трябва да се притесняваме, че други цели могат да бъдат засегнати от Stuxnet.

Ето някои много интересни неща, които видяхме -- наистина ми падна шапката. Там е сивата кутия и на върха виждате центрофугите. Сега какво прави това нещо, е че то прихваща въведените стойности от датчиците -- така например от сензорите за налягане и вибрациионите датчици -- и осигурява легитимен код, който все още работи по време на нападението, с фалшиво въведени данни. И в интерес на истината, тези фалшиво въведени данни, всъщност са записани предварително от Stuxnet. Така че това е точно като от холивудските филми, когато по време на обир, на камерата за наблюдение се подава предварително записан видеоклип. Това е готино, нали?

Идеята тук е очевидно, не само да се заблудят операторите в командната зала. Всъщност това е много по-опасно и агресивно. Идеята е да се заобиколи дигиталната система за безопасност. Трябват ни дигитални системи за безопасност, когато човека оператор не може да действа достатъчно бързо. Така например, в една електроцентрала, когато голямата парна турбина стане твърде бърза, трябва да отворите предпазните клапи в рамките на една милисекунда. Очевидно е, че това не може да бъде направено от човек оператор. Така че там е, където ни трябват дигитални системи за безопасност. И когато те са изложени на риск, тогава много лоши неща могат да се случат. Централата ви може да гръмне. И нито операторите ви, нито системата ви за безопасност ще го забележат. Това е страшно.

Но може да бъде и по-лошо. И това, което ще кажа е много важно. Помислете за това. Тази атака е с широко приложение. Тя няма нищо общо, в особеностите си, с центрофуги, с обогатяване на уран. Така че тя може да работи, например, в електроцентрала, или в автомобилен завод. Тя е обща. И не е нужно -- като нападател -- не е нужно да се достави този "полезен товар" с USB флаш памет, както видяхме в случая със Stuxnet. Вие също може да използвате конвенционални технологии за разпространение на червея. Просто го разпространете колкото е възможно по-широко. И ако направите това, това, което в крайна сметка получавате е кибернетично оръжие за масово унищожение. Това е следствието, пред което трябва да се изправим. Така че, за съжаление, най-големия брой цели за такива атаки не са в Близкия Изток. Те са в САЩ, и Европа, и в Япония. Така че всички тези зелени площи, те са средите, изобилстващи на цели. Ние трябва да се справим с последствията, и по-добре да започнем да се подготвяме сега.

Благодаря.

(Аплодисменти)

Крис Андерсън: Имам един въпрос. Ралф, доста широко бе докладвано, че хората приемат, че "Мосад" е основната организация зад това. Това ли е твоето мнение?

Ралф Лангнер: Добре, наистина ли искате да чуете това? Да. Добре. Моето мнение е, че Мосад е въвлечен, но че водещата сила не е Израел. Така че водещата сила зад това е кибернетичната суперсила. Има само една, и това е САЩ -- за щастие, за щастие. Защото в противен случай, нашите проблеми ще бъдат дори по-големи.

КА: Благодарим ви, че ни изкарахте ангелите. Благодаря ви Ралф.

(Аплодисменти)