Stuxnet

Wykrycie

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychWedług zespołu Symantec białoruska firma VirusBlokAda ogłosiła wykrycie nowej próbki, która rozprzestrzeniała się przez dyski wymienne, wykorzystując niezałataną lukę w systemie Windows. Symantec zaczął badać sprawę 13 lipca 2010 r. Najstarszą próbkę, jaką udało się znaleźć, datuje na czerwiec 2009 r.³

Amerykański zespół reagowania na incydenty w systemach przemysłowych ICS-CERT ostrzegał w 2010 r. (komunikat w serwisie CISA), że program uruchamia się już przy przeglądaniu zawartości pamięci USB w menedżerze plików, wykorzystując nieznaną wcześniej lukę w obsłudze skrótów Windows, i instaluje trojana komunikującego się z oprogramowaniem Siemens SIMATIC WinCC lub STEP 7. Pełne możliwości i cel programu nie były wtedy znane.²

Jak działał

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychRaport techniczny Symantec („W32.Stuxnet Dossier”, wersja 1.4 z lutego 2011 r.) – źródło branżowe, nie urzędowe – opisuje cztery wykorzystane luki Microsoftu, nieznane wcześniej producentowi: dwie służyły do rozprzestrzeniania się, dwie do podniesienia uprawnień. Sterowniki programu podpisano certyfikatami firm Realtek Semiconductor i JMicron Technology, przejętymi przez napastników i później unieważnionymi.⁴

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychWedług tego raportu część programu modyfikująca kod sterowników PLC celowała w przemienniki częstotliwości dwóch producentów: fińskiego Vacon i irańskiego Fararo Paya, pracujące w zakresie 807–1210 Hz. Program co pewien czas ustawiał częstotliwość na 1410 Hz, potem na 2 Hz, a następnie na 1064 Hz, zmieniając w ten sposób prędkość silników.⁴

W przesłuchaniu przed senacką komisją bezpieczeństwa wewnętrznego USA 17 listopada 2010 r. przedstawiciel Symantec Dean Turner mówił, że Stuxnet jako pierwszy znany program wykorzystywał cztery takie luki, przeprogramowywał sterowniki PLC i naruszył dwa certyfikaty cyfrowe, a większość zakażonych systemów była w Iranie.¹

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychFirma ESET wydała własną analizę („Stuxnet Under the Microscope”, autorzy Aleksandr Matrosow, Jewgienij Rodionow, David Harley i Juraj Malcho); w grudniu 2010 r. ukazała się jej wersja 1.3.⁵

Skala i rozkład zakażeń

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychDo 29 września 2010 r. Symantec naliczył ok. 100 tys. zakażonych komputerów, z czego ok. 60% w Iranie.⁴

Kto za tym stał: atrybucja sporna

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnychAutorzy raportu Symantec przestrzegają przed wyciąganiem wniosków co do sprawców i zauważają, że napastnicy mogliby chcieć wskazać fałszywy trop (zob. fałszywa flaga).⁴

Według mediów i opracowań · brak potwierdzenia w źródłach oficjalnych1 czerwca 2012 r. „New York Times” napisał, powołując się na uczestników programu, że Stuxnet był częścią operacji „Olympic Games”, rozpoczętej za prezydentury George’a W. Busha i przyspieszonej przez Baracka Obamę, wymierzonej w irańskie zakłady wzbogacania uranu. Relacja NPR z tego dnia nie odnotowuje oficjalnego potwierdzenia ani zaprzeczenia.⁶

Żadne z otwartych przez nas źródeł urzędowych nie wskazuje sprawcy. Jak państwa przypisują cyberataki, opisujemy w tekście Jak państwa przypisują cyberataki.^1,2

Znaczenie

Jon R. Lindsay w recenzowanym artykule w „Security Studies” (2013) uznaje Stuxnet za pierwszy znany atak sieciowy, który spowodował fizyczne szkody ponad granicami państw. Na tym przykładzie kwestionuje tezę o „cyberrewolucji”: jego zdaniem stworzenie takiej broni wymaga zasobów, na które stać głównie silne państwa.⁷