Ralph Langner: Decifrando o Stuxnet, uma arma cibernética do século XXI

A ideia por detrás do vírus informático Stuxnet é na verdade bastante simples. Não queremos que o Irão tenha a bomba. O seu maior recurso para o desenvolvimento de armas nucleares é o complexo de enriquecimento de urânio em Natanz. As caixas cinzentas que vêem são sistemas de controlo em tempo real. Agora se conseguirmos comprometer estes sistemas que controlam a velocidade de accionadores e válvulas, conseguimos causar imensos problemas com o centrifugador. As caixas cinzentas não utilizam o software Windows; são uma tecnologia completamente diferente. Mas se conseguirmos colocar um bom vírus Windows num computador portátil que é usado por um engenheiro de manutenção para configurar esta caixa cinzenta, então aí estaremos em acção. E esta é a história por detrás do Stuxnet.

Portanto começamos com um disseminador Windows. A carga entra na caixa cinzenta, danifica o centrifugador, e o programa nuclear do Irão é atrasado -- missão cumprida. É simples, não? Quero contar-vos como é que descobrimos isto. Quando começámos a investigar o Stuxnext há seis meses, era-nos completamente desconhecido qual o objectivo desta coisa. A única coisa que era conhecida era a sua extremamente complexa parte Windows, do disseminador, que usou múltiplas vulnerabilidades previamente desconhecidas. E ele parecia querer fazer algo com estas caixas cinzentas, estes controladores em tempo real. Isso despertou a nossa atenção, então começámos um projecto laboratorial onde infectámos o nosso ambiente com o Stuxnet e vimos como isto funcionava. Depois algo muito engraçado aconteceu. O Stuxnet comportou-se como um rato de laboratório que não gostava do nosso queijo -- cheirava, mas não queria comer. Isto não fazia sentido. Depois de experimentarmos diferentes sabores de queijo, apercebi-me que isto era um ataque com um alvo específico. É completamente específico. O disseminador procura activamente na caixa cinzenta, por uma configuração específica, e até mesmo se o programa que está a tentar infectar está a correr naquele alvo. Caso não esteja, o Stuxnet não faz nada.

Isso chamou-me imenso à atenção, e começámos a trabalhar nisto quase 24 horas por dia, porque eu pensava, bem, nós não sabemos qual é o alvo. Poderia ser, por exemplo, uma central de energia dos Estados Unidos, ou uma central química Alemã. Por isso é bom que saibamos qual é o alvo depressa. Por isso extraímos e descompilámos o código do ataque, e descobrimos que está estruturado em duas bombas digitais -- uma mais pequena e outra maior. E verificámos também que são muito profissionalmente desenhados por pessoas que têm, claramente, informação interna. Eles sabiam todos os bits e bites que teriam de atacar. Eles sabiam provavelmente o número do sapato do operator. Eles sabem tudo.

E se ouviram dizer que o disseminador do Stuxnet é complexo e alta-tecnologia, deixem-me que lhes diga: a carga é ainda mais complexa. É muito mais do que qualquer outra coisa que tenhamos visto antes. Aqui podem ver uma amostra do código de ataque. Estamos a falar de cerca - cerca de 15.000 linhas de código. Parecem-se bastante com linguagem assembly da velha guarda. E queria dizer-vos como fomos capazes de decifrar este código. O que nós estávamos à procura acima de tudo eram invocações de funções do sistema porque nós sabemos o que elas fazem.

Depois procurámos temporizadores e estruturas de dados e tentámos relacioná-las com o mundo real -- com potenciais alvos do mundo real. Então precisámos de teorias de alvos que depois podemos provar ou não. De modo a obter as teorias dos alvos, lembramo-nos que é definitivamente sabotagem hardcore. Deve ser um alvo de grande valor, e a sua localização mais provável é no Irão, porque é onde a maioria das infecções foram reportadas. Não encontrámos vários milhares de alvos naquela área. Resume-se apenas à central nuclear de Bushehr e à central de enriquecimento de combustíveis de Natanz.

Por isso eu disse ao meu assistente: "Traga-me uma lista de todos os peritos em centrifugadoras e centrais de energia da nossa base de clientes." Eu telefonei-lhes e tentei compreender como pensavam num esforço para combinar o seu conhecimento com a que encontrámos no código e nos dados. E funcionou muito bem. Por isso conseguimos associar a mais pequena bomba digital com o controlador do rotor. O rotor é aquela parte dentro da centrifugador que se mexe, o objecto preto que vêem. E se manipularem a velocidade deste rotor, são mesmo capazes de o partir, e eventualmente fazer com que a centrifugadora expluda. O que também vimos é que o objectivo do ataque era fazê-lo devagar e sorrateiramente -- obviamente numa tentativa de levar os engenheiros de manutenção à loucura, pois não seriam capazes de descobrir a origem do problema rapidamente.

A bomba digital maior -- decidimos atacá-la olhando muito atentamente para os dados e as estruturas de dados. Por exemplo, o número 164 destaca-se bastante no código; não se pode desprezar. Comecei a pesquisar literatura científica sobre como estes centrifugadores são realmente construídos em Natanz e descobri que eles são estruturados naquilo a que se chama uma cascata, e cada cascata contém 164 centrifugadoras. Portanto isso fazia sentido, era uma ligação.

E ficou ainda melhor. Estas centrifugadoras no Irão estão subdivididos em 15 chamados estágios. E advinhem o que é que encontrámos no código do ataque? Uma estrutura quase idêntica. O que era novamente uma boa ligação. E isto deu-nos muita confiança no que estávamos a fazer. Não me interpretem mal, não foi assim que aconteceu. Estes resultados foram obtidos durante várias semanas de árduo trabalho. E muitas vezes bloqueávamos e tínhamos que recuperar.

Continuando, nós descobrimos que ambas as bombas digitais estavam de facto a apontar ao mesmo alvo, mas de diferentes ângulos. A bomba mais pequena pega numa cascata, e interfere com os rotores e abranda-os, e a bomba maior interfere com seis cascatas manipulando válvulas. Por isso, no geral, estavamos muito confiantes que tínhamos descoberto qual era o alvo. É Natanz, e é apenas Natanz. Por isso não nos temos de preocupar que outros alvos possam ser atingidos pelo Stuxnet.

Aqui estão umas coisas muito fixes que vímos -- que me deixaram perplexo. Aqui em baixo está a caixa cinzenta, e no topo vêem os centrifugadores. O que esta coisa faz é interceptar os valores devolvidos pelos sensores -- como, por exemplo, pelos sensores de pressão e pelos sensores de vibração - e fornece ao código legítimo, que ainda está a correr durante o ataque, com dados falsos dos sensores. Aliás, estes dados falsos de entrada até já vêm pré-configurados pelo Stuxnet. Por isso é como nos filmes de Hollywood em que durante o assalto, a câmara de grande plano é alimentada com vídeo gravado previamente. É fixe, não é?

A ideia aqui obviamente não é só enganar os operadores na sala de controlo. É na verdade muito mais perigosa e agressiva. A ideia é ultrapassar um sistema de segurança digital. Precisamos de sistemas de segurança digitais para situações em que um operador humano não reage atempadamente. Por exemplo, numa central eléctrica, quando uma grande turbina a vapor acelera demais, devem ser abertas válvulas de compensação num milisegundo. Obviamente que isto não pode ser feito por um operador humano. É aqui que precisamos de sistemas de defesa digitais. E quando eles são comprometidos, coisas muito más podem acontecer. A fábrica pode explodir. E nem os operadores nem o sistema de segurança dariam conta. É assustador.

Mas ainda se torna pior. E isto é muito importante, o que eu vou dizer. Pensem nisto. O ataque é genérico. Não tem nada que ver especificamente com centrifugadores, com enriquecimento de urânio. Por isso, funcionaria bem, por exemplo, numa central eléctrica ou numa fábrica de automóveis. É genérico. E não é necessário -- como atacante -- depositar a carga via uma drive USB, como vimos no caso do Stuxnet. Poderão ser usados também métodos convencionais de disseminação viral. Simplesmente espalha-se ao máximo possível. E se isso for feito, o que se obtém é uma cyber-arma de destruição em massa. Esta é a consequência com que temos de lidar. Por isso, infelizmente, a maioria dos alvos de tais ataques não está no Médio Oriente. Está nos Estados Unidos, Europa e Japão. Todas estas áreas verdes, são os ambientes ricos em alvos. Temos de enfrentar as consequências, devemos começar a preparar-nos agora.

Obrigado.

(Aplausos)

Chris Anderson: Eu tenho uma pergunta. Ralph, tem sido bastante noticiado que as pessoas assumem que a Mossad é a principal entidade por detrás disto. Partilhas desta opinião?

Ralph Langner : Okay, queres mesmo ouvir isso? Okay. A minha opinião é que a Mossad está envolvida, mas que a principal força não é Israel. A principal força por detrás disto é a superpotência tecnológica. Há apenas uma, que são os Estados Unidos - felizmente, felizmente. Porque de outro modo os nossos problemas seriam ainda maiores.

CA: Obrigado por nos assustares de morte. Obrigado Ralph.

(Aplausos)