Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

المترجم: Mahmoud Aghiorly المدقّق: Faisal Jeber

The idea behind the Stuxnet computer worm

ان الفكرة من وراء دودة ستوكسنت الحاسوبية

is actually quite simple.

هي بسيطةٌ جداً

We don't want Iran to get the bomb.

ان لا تحصل إيران على القنبلة النووية

Their major asset for developing nuclear weapons

ان المكان الاساسي الذي من المفترض ان يتم فيه تطوير الاسلحة النووية

is the Natanz uranium enrichment facility.

هو منشأة تخصيب اليورانيوم في منطقة " ناتنز "

The gray boxes that you see,

ان العلب الرمادية التي ترونها هنا

these are real-time control systems.

انها عبارة عن انظمة تحكم

Now if we manage to compromise these systems

وان استطعت ان تخرب هذه الانظمة

that control drive speeds and valves,

والتي تتحكم بسرعة و حركة الصمامات

we can actually cause a lot of problems

يمكن ان تسبب الكثير من المشاكل

with the centrifuge.

في اجهزة الطرد المركزي

The gray boxes don't run Windows software;

ان هذه العلب الرمادية لا تعمل حتماً على نظام ويندوز

they are a completely different technology.

انها تعمل على نظام مختلف جداً

But if we manage

ولكن ان استطعنا ..

to place a good Windows virus

ان نضع فيروس يهاجم نظام ويندوز

on a notebook

على جهاز اللابتوب

that is used by a maintenance engineer

الذي يستخدمه مهندسو ذلك الجهاز

to configure this gray box,

لضبط ذلك الجهاز

then we are in business.

فسنستطيع اختراقه

And this is the plot behind Stuxnet.

وهذه هي فكرة دودة ستوكسنت الالكترونية

So we start with a Windows dropper.

كل ما نحتاجه نظام ويندوز يحوي الدودة

The payload goes onto the gray box,

ومن ثم يتم تحميله على الاجهزة الرمادية

damages the centrifuge,

لتعطيل اجهزة الطرد المركزي

and the Iranian nuclear program is delayed --

فيتأخر برنامج إيران النووي

mission accomplished.

وتنجح المهمة

That's easy, huh?

يبدو الامر سهلاً .. أليس كذلك ؟

I want to tell you how we found that out.

سأخبركم كيف استطعنا ان نكتشف هذه الدودة الالكترونية

When we started our research on Stuxnet six months ago,

عندما بدأنا البحث فيما يخص ستوكسنت منذ 6 اشهر

it was completely unknown what the purpose of this thing was.

كان الهدف الذي تستهدفه هذه الدودة مجهول تماما بالنسبة لنا

The only thing that was known

والشيء الوحيد الذي كنا نعيه ..

is it's very, very complex on the Windows part, the dropper part,

هو ان هذه الدودة تختبىء في جزء معقد جداً من نظام ويندوز وتستخدمه كناقل

used multiple zero-day vulnerabilities.

وتستخدم عدة نقاط ضعف في النظام لاختراقه

And it seemed to want to do something

وكان جلياً بالنسبة لنا انها - الدودة الالكترونية - تحاول القيام بشيء ما

with these gray boxes, these real-time control systems.

بخصوص هذه العلب الرمادية .. علب التحكم

So that got our attention,

وهذا ما جذب اهتمامنا ..

and we started a lab project

وقد بدأنا البحث المخبري

where we infected our environment with Stuxnet

حيث اطلقنا دودة ستوكسنت في انظمتنا

and checked this thing out.

اخذنا نراقب التبعات جراء ذلك

And then some very funny things happened.

وقد لاحظنا شيئاً مضحكاً ..

Stuxnet behaved like a lab rat

ان دودة ستوكسنت كانت تتصرف كـ فأر المختبر

that didn't like our cheese --

الذي لا يحب الجبنة التي نقدمها له ..

sniffed, but didn't want to eat.

كان يشتم هذه الجبنة .. ولكنه لا يأكلها

Didn't make sense to me.

لم يكن ذلك منطقيا بالنسبة لنا

And after we experimented with different flavors of cheese,

وبعد عدة نكهات من الجبن التي قدمناها للدودة - عدة انظمة -

I realized, well, this is a directed attack.

لاحظنا .. ان هذه الدودة ليست دودة هجوم عشوائية بل موجهة

It's completely directed.

موجهة تحديداً لهدف ما ..

The dropper is prowling actively

انها موجهة تماماً

on the gray box

تجاه العلب الرمادية

if a specific configuration is found,

وحتى ان وجدت هذه الدودة الانظمة المستهدفة ..

and even if the actual program code that it's trying to infect

فإن لم يكن هذا النظام يعمل بصورة واقعية

is actually running on that target.

ويعمل على اجهزة الطرد المركزي

And if not, Stuxnet does nothing.

فإن دودة ستوكسنت لن تقوم بشيء ما

So that really got my attention,

وهذا فعلاً قد جذب اهتمامي

and we started to work on this

وقد بدأنا العمل على هذا الامر لفهم ماهيته

nearly around the clock,

على مدار الساعة

because I thought, "Well, we don't know what the target is.

لاننا لم نكن نعرف ما هو الهدف

It could be, let's say for example,

فهو يمكن ان يكون .. على سبيل المثال

a U.S. power plant,

مصنع طاقة في الولايات المتحدة

or a chemical plant in Germany.

او مصنع كيميائي في ألمانيا

So we better find out what the target is soon."

لذا كان يتوجب علينا ان نعرف ما هو الهدف باسرع وقت ممكن

So we extracted and decompiled

لذا قمنا بفكه .. فرزه .. وقراءة برمجيته

the attack code,

وتحديداً كود الهجوم

and we discovered that it's structured in two digital bombs --

ولقد وجدنا انه مبرمج على نظامي هجوم - قنبلتين رقميتين -

a smaller one and a bigger one.

واحدة صغيرة .. وأخرى كبيرة

And we also saw that they are very professionally engineered

ولقد أدركنا على الفور انها - الدودة - مبرمجة بصورة عالية الاحتراف والتقنية

by people who obviously had all insider information.

بواسطة اشخاص لديهم كل المعلومات الكافية والوافية عن الهدف

They knew all the bits and bites

فقد تعرفوا كل " البيتات " الموجودة في برمجية الهدف

that they had to attack.

والتي يجب ان تُهاجم

They probably even know the shoe size of the operator.

ربما كانوا يعرفون حتى مقاس حذاء مشغل الجهاز

So they know everything.

إذا لقد كانوا يعلمون كل شيء

And if you have heard that the dropper of Stuxnet

وان كنتم سمعتم ان دودة ستوكسنت وطريقة توجهها ودخولها الى النظام

is complex and high-tech,

هي معقدة وعالية التقنية

let me tell you this:

دعوني اخبركم

the payload is rocket science.

ان طريقة " تحميل الدودة الى الجهاز " تفوق برمجة الصواريخ

It's way above everything

انها متقدمة جداً اكثر من اي شيء

that we have ever seen before.

انها برمجية لم نرى مثيلاً لها من ذي قبل

Here you see a sample of this actual attack code.

سوف اريكم جزء من برمجية الهجوم

We are talking about --

نحن هنا نتحدث

around about 15,000 lines of code.

عن ما يقارب 1500 سطر من البرمجية الكلية

Looks pretty much like old-style assembly language.

تبدو تماما مثل لغة التجميع القديمة

And I want to tell you how we were able

واريد ان اخبركم كيف استطعنا ان نفك شيفرة

to make sense out of this code.

هذه البرمجية

So what we were looking for is, first of all, system function calls,

بداية كنا نبحث عن الدوال

because we know what they do.

لاننا كنا نعرف انها " الموجهات "

And then we were looking for timers and data structures

ومن ثم بدأنا نبحث عن العدادات .. وانظمة المعلومات

and trying to relate them to the real world --

وحاولنا ان نصل بين تلك المعلومات وبين الاهداف ..

to potential real world targets.

التي افترضناها من الواقع

So we do need target theories

لذا كنا نفترض مجموعة اهداف

that we can prove or disprove.

ونقوم بفحص الشيفرة هل موافقة ام لا

In order to get target theories,

ولكي نمايز بين فرضيات الاهداف

we remember

وضعنا نصب اعيُننا

that it's definitely hardcore sabotage,

ان الهدف من عملية التخريب هذه

it must be a high-value target

يجب ان يكون هدفاً عالي القيمة جداً

and it is most likely located in Iran,

وهو على الاغلب موجود في إيران

because that's where most of the infections had been reported.

لان معظم الاصابات بهذه الدودة بلغ عنها من تلك المنطقة

Now you don't find several thousand targets in that area.

وحتماً لا توجد في تلك المنطقة .. العديد من الاهداف

It basically boils down

وفي النهاية قلصت الاهداف المحتملة

to the Bushehr nuclear power plant

الى مجمع بوشهر النووي

and to the Natanz fuel enrichment plant.

ومركز تخصيب اليورانيوم في " نتناز "

So I told my assistant,

لذا اخبرت مساعدي ..

"Get me a list of all centrifuge and power plant experts from our client base."

أحضر لي قائمة بالخبراء باجهزة الطرد المركزي والطاقة من مركز معلوماتنا "

And I phoned them up and picked their brain

من ثم بدأنا بالاتصال بهم

in an effort to match their expertise

لكي نوفق بين ما وجدناه

with what we found in code and data.

وبين ما هو موجود في معلومات وكودات التي يعمل عليها هؤلاء الخبراء

And that worked pretty well.

وقد نجحنا بذلك

So we were able to associate

لقد وجدنا الرابط

the small digital warhead

انه رقم صغير يعمل كرأس حربي

with the rotor control.

يهاجم برمجية تتحكم بعنفة

The rotor is that moving part within the centrifuge,

تدور في نظام الطرد المركزي

that black object that you see.

العنصر الاسود الذي ترونه هنا

And if you manipulate the speed of this rotor,

وان استطعت ان تغير او تتلاعب بسرعة هذه العنفة

you are actually able to crack the rotor

يمكنك ان تدمرها

and eventually even have the centrifuge explode.

وهذا سيؤدي في النهاية الى تدمير \ انفجار اجهزة الطرد المركزي

What we also saw

وما لاحظناه أيضاً

is that the goal of the attack

ان الهدف من الهجوم

was really to do it slowly and creepy --

هو ان يتم بصورة بطيئة و مخادعة

obviously in an effort

بهدف

to drive maintenance engineers crazy,

جعل عمال الصيانة يصابون بالجنون

that they would not be able to figure this out quickly.

وان لا يستطيعوا ان يميزوا المشكلة بسرعة

The big digital warhead -- we had a shot at this

اما برمجية الهجوم الاكبر

by looking very closely

بعد النظر اليها جيداً

at data and data structures.

على برمجيتها و هيكليتها

So for example, the number 164

وجدنا رقم غريب هو 164

really stands out in that code;

كان جليٌ لنا انه مميز

you can't overlook it.

ولم نستطع ان نتجاهله

I started to research scientific literature

بدأنا نبحث في المحاضرات العلمية

on how these centrifuges

عن كيفية عمل أجهزة الطرد المركزي

are actually built in Natanz

والتي كانت مبنية في منشأة نتناز

and found they are structured

ولقد وجدنا انها مرتبة

in what is called a cascade,

بشكل متتالي

and each cascade holds 164 centrifuges.

وكل متتالية تحتوي على 164 من اجهزة الطرد المركزي

So that made sense, that was a match.

وكان هذا التوافق الاكبر الذي وجدناه

And it even got better.

ولكن الامور تغدو أكثر إثارة

These centrifuges in Iran

فأجهزة الطرد المركزي في إيران

are subdivided into 15, what is called, stages.

مقسومة الى 15 .. يمكن ان نقول 15 مرحلة

And guess what we found in the attack code?

وتوقعوا مالذي وجدناه في شيفرة الهجوم ؟

An almost identical structure.

تطابقٌ تام

So again, that was a real good match.

مرة أخرى .. كان التطابق واضحٌ جداً

And this gave us very high confidence for what we were looking at.

وقد اعطانا ثقة تامة بأن هذا هو ما نبحث عنه

Now don't get me wrong here, it didn't go like this.

الان لا تفهموني بصورة خاطئة .. ان الامر ليس بهذه السهولة

These results have been obtained

لقد حصلنا على هذه النتائج

over several weeks of really hard labor.

بعد عدة اسابيع من العمل المضني

And we often went into just a dead end

وبعد ان وصلنا الى عدة نهايات مغلقة

and had to recover.

وكان علينا البدء من جديد مرة اخرى

Anyway, so we figured out

حسناً .. لقد اكتشفنا إذا

that both digital warheads

ان شيفرتي الهجوم

were actually aiming at one and the same target,

كانتا تستهدفان نفس الهدف

but from different angles.

كل من زواية خاصة به

The small warhead is taking one cascade,

حيث تهاجم الاولى الصغيرة احد الشلالات " التي تتوزع فيها اجهزة الطرد "

and spinning up the rotors and slowing them down,

ويحاول ان يعبث بالعنفة و يقلل من سرعتها

and the big warhead

والثانية الكبيرة

is talking to six cascades

تهاجم المتتاليات الست

and manipulating valves.

وتتلاعب بالصمامات

So in all, we are very confident

لقد كنا واثقين جداً

that we have actually determined what the target is.

اننا قد عرفنا الهدف بصورة لا مجال للشك فيها

It is Natanz, and it is only Natanz.

انه في نتناز .. نتناز وحدها

So we don't have to worry

لذا لم يكن يتوجب علينا ان نقلق

that other targets

من وجود اهداف اخرى

might be hit by Stuxnet.

ربما قد تُضرب بواسطة دودة ستوكسنت

Here's some very cool stuff that we saw --

وهناك شيء رائع مبدع وجدناه ايضاً

really knocked my socks off.

أطار لنا عقولنا من شدة إبداعه

Down there is the gray box,

في الاسفل ترون العلب الرمادية

and on the top you see the centrifuges.

وهناك في الاعلى ترون اجهزة الطرد المركزي

Now what this thing does

حسناً .. ماذا يفعل هذا الشيء ..

is it intercepts the input values from sensors --

انه يقوم باعتراض المعلومات التي تصدر من مجسات الصمامات

so for example, from pressure sensors

على سبيل المثال مجسات الضغط

and vibration sensors --

او مجسات الاهتزاز

and it provides legitimate program code,

ومن ثم يقوم تبعاً لبرمجية معينة

which is still running during the attack,

والتي تعمل أثناء الهجوم

with fake input data.

بإستبدال البيانات ببيانات خاطئة

And as a matter of fact, this fake input data

و في الحقيقة، إدخال بيانات وهمية

is actually prerecorded by Stuxnet.

تقوم دودة ستوكسنت بتسجيلها مسبقاً من نفس المجسات

So it's just like from the Hollywood movies

كما في افلام هوليود

where during the heist,

حيث أثناء سرقة،

the observation camera is fed with prerecorded video.

تقوم كاميرة المراقبة بعرض فلم مسبق التسجيل للموقع حتى لا يبدو هناك شيءٌ ما

That's cool, huh?

أمرٌ رائع .. أليس كذلك ؟

The idea here is obviously

الفكرة ليست فحسب

not only to fool the operators in the control room.

مخادعة للقائمين على المنشأة

It actually is much more dangerous and aggressive.

بل اكثر من هذا عدواة وخطورة ..

The idea

الفكرة

is to circumvent a digital safety system.

هي مخادعة أنظمة الامان الإلكترونية

We need digital safety systems

نحن عادة نحتاج انظمة الآمان الإلكترونية

where a human operator could not act quick enough.

لكي تتصرف أسرع من الانسان لمواكبة للأخطار

So for example, in a power plant,

فعلى سبير المثال في محطات الطاقة

when your big steam turbine gets too over speed,

عندما يقوم توربين بخاري بالدوران بسرعة اكبر من اللازم

you must open relief valves within a millisecond.

يجب على الفور وخلال جزء من الثانية ان يتم فتح صمامات الامان

Obviously, this cannot be done by a human operator.

وحتماً هذا لا يمكن القيام به بواسطة البشر

So this is where we need digital safety systems.

لهذا نحتاج أنظمة الآمان الإلكترونية

And when they are compromised,

وعندما يتم " مخادعتها \ التحايل عليها "

then real bad things can happen.

فإن مخاطر جمة قد تحدث ..

Your plant can blow up.

مثل انفجار المعمل \ المنشأة

And neither your operators nor your safety system will notice it.

والمشكلة ان لا مراقب المعمل ولا نظام الآمان سوف يلحظ هذا ..

That's scary.

ان هذا خطرٌ جداً

But it gets worse.

والامر يزداد سوءاً

And this is very important, what I'm going to say.

وهذا أمرٌ مهم جداً .. واريدكم

Think about this:

ان تفكروا بهذا

this attack is generic.

تصورا هذا الهجوم بصورة عامة ..

It doesn't have anything to do, in specifics,

تصوروا .. ان لايكون الامر

with centrifuges,

متعلق بأجهزة الطرد المركزي

with uranium enrichment.

او بتخصيب اليورانيوم

So it would work as well, for example,

لان هذه الدودة قد تعمل بصورة ممتازة

in a power plant

على مصانع الطاقة

or in an automobile factory.

او مصانع السيارات

It is generic.

انها دودة تصيب كل شيء

And you don't have -- as an attacker --

وانت - كمهاجم -

you don't have to deliver this payload

لا يتوجب عليك ان تحمل هذه الدودة مباشرة

by a USB stick,

بواسطة " USB "

as we saw it in the case of Stuxnet.

كما رأينا في حالة دودة ستوكسنت الإلكترونية

You could also use conventional worm technology for spreading.

كل ما تريده هو ان تنشر هذه الدودة في فضاء الانترنت

Just spread it as wide as possible.

ان تنشرها بالقدر الكافي

And if you do that,

وان استطعت ان تقوم بهذا

what you end up with

سوف تحصل في النهاية

is a cyber weapon of mass destruction.

على سلاح دمار شامل " إلكتروني "

That's the consequence

ان عواقب هذا

that we have to face.

هو ما سنواجهه في المستقبل

So unfortunately,

ولسوء الحظ ..

the biggest number of targets for such attacks

ان الاهداف الاكبر لهكذا " برمجيات "

are not in the Middle East.

ليست في الشرق الاوسط

They're in the United States and Europe and in Japan.

انما هي في الولايات المتحدة .. والاتحاد الاوروبي .. وفي اليابان

So all of the green areas,

وكل تلك المناطق " الخضراء "

these are your target-rich environments.

التي هي غنية بالاهداف عالية التقنية .. !

We have to face the consequences,

علينا ان نواجه عواقب هذا في المستقبل

and we better start to prepare right now.

والافضل ان نبدأ بالاستعداد الآن

Thanks.

شُكراً لكم

(Applause)

(تصفيق)

Chris Anderson: I've got a question.

كريس أندرسون : لدي تساؤل

Ralph, it's been quite widely reported

رالف .. هناك الكثير من التقارير التي

that people assume that Mossad

تقول ان " المُوساد الإسرائيلي "

is the main entity behind this.

وراء هذه الدودة

Is that your opinion?

هل هذا هو رأيك ؟

Ralph Langner: Okay, you really want to hear that?

رالف لانجير : حسناً .. هل تريد حقاً معرفة وجهة نظري ؟

Yeah. Okay.

حسناً .. نعم

My opinion is that the Mossad is involved,

ان رأي هو ان المُساد مشارك بهذه الدودة

but that the leading force is not Israel.

ولكن .. القوى العظمى في هذا الخصوص .. ليست إسرائيل

So the leading force behind that

ان القوى المحركة لهذه الدودة ..

is the cyber superpower.

هي قوى عظمى إلكترونياً

There is only one,

وهناك قوة واحدة فحسب في هذا العالم

and that's the United States --

وهي الولايات المتحدة الامريكية

fortunately, fortunately.

وهذا لحسن .. الحظ .. نعم لحسن الحظ

Because otherwise,

لانه لو كان الامر غير هذا

our problems would even be bigger.

فإن مشاكلنا سوف تكون أكبر مما يمكن تخيله

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

كيس آندرسون : شكراً لإخافتنا رالف .. شكراً لك

(Applause)

(تصفيق)