Stuxnet

Stuxnet – działający w systemie Windows robak komputerowy, po raz pierwszy wykryty w czerwcu 2010. Jest jednym z pierwszych znanych robaków użytych do szpiegowania i przeprogramowywania instalacji przemysłowych, choć ataki tego typu zdarzały się już wcześniej. Zawierał rootkit na system Windows, pierwszy w historii PLC rootkit. Wykorzystywał 4 luki 0-day. Wirus miał zdolność aktualizacji metodą peer-to-peer.

Powstanie

Najstarsze znane kompilacje Stuxneta pochodzą z 2009 roku. W porównaniu do późniejszych wersji nie mają one zasobu 207 (zaszyfrowany DLL propagujący wirusa na dyskach USB), który jest pluginem Flamea (prawdopodobnie najbardziej skomplikowany wirus, jaki kiedykolwiek odkryto, wykrada on informacje z komputera i jego otoczenia włączając mikrofony oraz łącząc się z innymi urządzeniami elektronicznymi przez Bluetooth), co sugeruje, że z jego kodu powstał Stuxnet.

Początkowo nie było wiadomo, kto i dlaczego napisał Stuxneta, co wywołało wiele teorii spiskowych, niemniej już w styczniu 2011 r. pojawiły się informacje, że został on opracowany przez specjalistów izraelskich oraz amerykańskich w celu sabotażu irańskiego programu nuklearnego, co w czerwcu 2012 roku potwierdzili współpracownicy Obamy, ujawniając wiele bardziej szczegółowych danych.

Działanie

Podstawową formą rozpowszechniania się robaka są zainfekowane podręczne pamięci USB.

Po zainstalowaniu się w systemie operacyjnym Windows robak zaczyna przeszukiwać sieć lokalną w poszukiwaniu podłączonych sterowników PLC, które są często używane w różnego rodzaju fabrykach, rafineriach czy elektrowniach. W przypadku znalezienia ściśle określonej konfiguracji sterowników SIMATIC S7-300 oraz S7-400 firmy Siemens następuje aktywacja. Wirus wykorzystuje działające na zainfekowanym komputerze oprogramowanie Siemens SIMATIC WinCC/Step 7 (oprogramowanie łączące system SCADA oraz programistyczną stację inżynierską) w celu zmian ustawień sterowników PLC. Robi to w sposób sugerujący, że jego twórcy mieli na celu tylko wybrane kontrolery. Stuxnet atakował głównie konwertery częstotliwości zmieniając częstotliwość prądu, jaki one wysyłały, co doprowadzało do przyspieszenia pracy wirówek gazowych.

Jeżeli zarażony robakiem komputer nie jest podłączony do poszukiwanego przez niego kontrolera, to robak nie robi nic.

Dokładna liczba zarażonych komputerów i systemów nie jest znana, według danych z 29 września zarażonych było ok. 100 000 komputerów ze 155 krajów, najwięcej infekcji odkryto w Iranie – 58% z zarażonych komputerów, Indonezji – 18%, Indiach – 10% i Azerbejdżanie – 3,4% (pozostałe kraje poniżej 2%).

Według niepotwierdzonych informacji chińskiego producenta oprogramowania antywirusowego, Rising International, robak zaatakował kilka tysięcy zakładów przemysłowych w Chinach.

Nie wiadomo na pewno, czy robak jest odpowiedzialny za jakieś fizyczne straty. Podejrzewa się, że mógł być odpowiedzialny za problemy z indyjskim satelitą INSAT-4B. Wiadomo, że zainfekował komputery irańskiej elektrowni atomowej w Buszehr, choć według oficjalnych informacji rządu irańskiego zainfekowane zostały tylko osobiste komputery niektórych z pracowników, a nie systemy elektrowni. W grudniu 2010 prezydent Iranu Mahmud Ahmadineżad przyznał, że wirus spowodował „problemy w niewielkiej liczbie wirówek używanych do wzbogacania uranu”.

Według analizy wirusa przeprowadzonej w firmie Symantec wirus zainteresowany jest najbardziej dwoma typami sterowników PLC, po infekcji modyfikuje je w specyficzny sposób zmieniając parametry pracy kontrolowanych przez nich silników w taki sposób, aby je fizycznie uszkodzić.

Spuścizna

Język następcy Stuxneta, Duqu, odkrytego we wrześniu 2011 roku, był zagadką dla analityków bezpieczeństwa Kaspersky Lab przez ponad pół roku. Niewiadomy był również użyty do scalenia modułów wirusa kompilator, a także typu szkieletu, na jakim oparto całe rozwiązanie Duqu. W lutym 2012 roku poprosili oni o pomoc na forach internetowych. Miesiąc później okazało się, że Duqu jest napisany w OO C.

W lipcu 2012 roku za pomocą Metasploita zatrzymano pracę w zakładach w Natanz i Fordo, dodatkowo odtwarzając na tamtejszych głośnikach komputerowych utwór Thunderstruck zespołu AC/DC maksymalnie głośno.

Na tym samym frameworku co Flame, Stuxnet i Duqu powstał też Gauss. Pierwszy raz zaatakował we wrześniu 2011 roku, ale odkryto go 11 miesięcy później. Wirus przechwytuje cookies i hasła z przeglądarek internetowych, wykrada pliki konfiguracyjne oraz dane dostępowe do banków, portali społecznościowych, skrzynek e-mail i kont IM. Malware, podobnie jak jego poprzednicy, infekuje głównie komputery na Bliskim Wschodzie (najczęściej Iran i Izrael).

W 2014 roku został odkryty kolejny trojan, który celuje w instalacje przemysłowe. Został on odkryty przez specjalistów firmy F-Secure. Podobnie jak w przypadku poprzednika, twórcy trojana mogli nie tylko wykradać dane, ale także mogli mieć wpływ na proces produkcyjny.

Linki zewnętrzne

• Ralph Langer: Łamanie Stuxnetu – cyberbroni 21 wieku