Stuxnet

Stuxnet je počítačový červ objevený v červnu 2010 běloruskou firmou VirusBlokAda. Je zajímavý tím, že to je první známý červ, který se soustředí na kontrolu průmyslových systémů. Byl naprogramován, aby útočil na systémy SCADA. Umí přeprogramovat programovatelné logické automaty (PLC) a své změny skrýt.

Fungování a cíle

V době, kdy byl objeven, byl už několik měsíců v oběhu a využíval několik (asi 4) zneužití nultého dne operačních systémů Microsoft Windows. Tedy takových zneužití, která jsou známa útočníkovi dřív, než na ně přišel výrobce software, nebo než je nějaký dobrák nahlásil výrobci softwaru. Ta jsou mezi počítačovými zločinci ceněna a že je autor použil do jednoho červa, místo aby si je šetřil pro různá použití, je neobvyklé. Zajímavou chybou, kterou červ použil pro své šíření, je chyba MS Windows při čtení souborů *.lnk. Jakmile se uživatel chtěl podívat na svou přenosnou USB paměť, na které se nacházel poškozený soubor *.lnk, došlo ke spuštění jiného programu nacházejícího se ve stejném adresáři a instalaci červa do systému.

Stuxnet je také neobvyklý svou značnou velikostí půl megabajtu a tím, že je programován v několika různých programovacích jazycích (včetně C a C++).

Simatic S7-300

Červ testoval, zda se nachází na počítači, na kterém je nainstalován řídicí software Siemens (WinCC, Step7), ze kterého jsou sledovány specifické automaty (S7-300) s připojenými moduly (CP-342-5) pro řízení frekvenčních měničů. V takových případech červ upravil software PLC, tak aby docházelo k opakované změně výstupní frekvence měničů. Aby zamaskoval svoji činnost, podstrčil do Step7 své DLL knihovny tak, aby uživatel infikovaného počítače měl pocit, že v PLC se nachází původní nepoškozený software.

Součástí Stuxnetu byla i funkce pro připojení ke vzdálenému internetovému serveru, aby od něj červ přijal další příkazy a mohl jej informovat o své činnosti.

Cílem útoku byla pravděpodobně jaderná elektrárna Búšehr, či ještě spíše závod na obohacování uranu v Natanzu, obojí v Íránu. Útoku na Írán odpovídá i to, že z 45 000 (jak uvedl Microsoft v srpnu 2010) napadených počítačů leží 60 % v Íránu, 18 % v Indonésii a 8 % v Indii (podle firmy Symantec). Snížení počtu funkčních centrifug v Natanzu na počátku roku 2009 by mohl být projev Stuxnetu.

Celková sofistikovanost viru vede experty k domněnce, že se jedná o profesionální práci s největší pravděpodobností armádního původu. Izrael, pravděpodobně prostřednictvím Jednotky 8200, je podle mnoha mediálních zpráv spekulovaným výrobcem viru, tento názor zastává také expert Richard A. Falkenrath, bývalý pracovník Ministerstva vnitřní bezpečnosti Spojených států amerických. V říjnu 2011 společnosti Symantec a McAfee informovaly, že objevily novou verzi viru podobnou Stuxnetu, označovanou jako DuQu nebo také Stuxnet 2.0. Ta používá ovladače a šifrované knihovny DLL s podobnou funkcionalitou jako Stuxnet, obdobné jsou rovněž použité šifrovací klíče. Hlavní rozdíl je v cílech útočníků. Ve srovnání se Stuxnetem není DuQu navržen za účelem sabotáže systémů řídících průmyslové procesy, ale především pro útoky na weby certifikačních autorit. Další cílem malwaru DuQu je špionáž – zejména krádeže duševního vlastnictví z informačních systémů průmyslových podniků.

Externí odkazy

• Obrázky, zvuky či videa k tématu Stuxnet na Wikimedia Commons