Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Translator: Darina Stoyanova Reviewer: Anton Hikov

The idea behind the Stuxnet computer worm

Идеята зад компютърния червей Stuxnet

is actually quite simple.

е всъщност доста проста.

We don't want Iran to get the bomb.

Ние не искаме Иран да направи бомбата.

Their major asset for developing nuclear weapons

Тяхното основно предимство за развитието на ядрени оръжия

is the Natanz uranium enrichment facility.

е съоръжението за обогатяване на уран в Натанц.

The gray boxes that you see,

Сивите кутии, които виждате,

these are real-time control systems.

това са системи за контрол в реално време.

Now if we manage to compromise these systems

Сега, ако успеем да компрометираме тези системи,

that control drive speeds and valves,

които контролират скоростa на движение и клапаните,

we can actually cause a lot of problems

ние действително може да причиним много проблеми

with the centrifuge.

с центрофугите.

The gray boxes don't run Windows software;

Сивите кутии не оперират с Windows софтуер;

they are a completely different technology.

те са напълно различна технология.

But if we manage

Но ако успеем

to place a good Windows virus

да поставим добър Windows вирус

on a notebook

в преносим компютър,

that is used by a maintenance engineer

който се използва от машинен инженер

to configure this gray box,

за конфигуриране на тази сива кутия,

then we are in business.

тогава ние сме в бизнеса.

And this is the plot behind Stuxnet.

И това е историята зад Stuxnet.

So we start with a Windows dropper.

Така че започваме със злонамерен софтуер под Windows -- дропър.

The payload goes onto the gray box,

"Полезният товар" отива в сивата кутия,

damages the centrifuge,

уврежда центрофугата,

and the Iranian nuclear program is delayed --

и иранската ядрена програма е забавена --

mission accomplished.

мисията е изпълнена.

That's easy, huh?

Лесно, нали?

I want to tell you how we found that out.

Искам да ви кажа как го открихме.

When we started our research on Stuxnet six months ago,

Когато започнахме проучването на Stuxnet преди шест месеца,

it was completely unknown what the purpose of this thing was.

беше напълно неизвестно каква е целта на това нещо.

The only thing that was known

Единственото нещо, което бе известно

is it's very, very complex on the Windows part, the dropper part,

е много, много сложна част на Windows, че частта на дропъра,

used multiple zero-day vulnerabilities.

използва множество уязвимости, без ефективна защита.

And it seemed to want to do something

И като че ли искаше да направи нещо

with these gray boxes, these real-time control systems.

с тези сиви кутии, тези системи за управление в реално време.

So that got our attention,

Така че това привлече нашето внимание,

and we started a lab project

и започнахме лабораторен проект,

where we infected our environment with Stuxnet

където заразихме нашата среда със Stuxnet

and checked this thing out.

и проверихме що за нещо е.

And then some very funny things happened.

И тогава някои много смешни неща се случиха.

Stuxnet behaved like a lab rat

Stuxnet се държеше като лабораторен плъх,

that didn't like our cheese --

на който не му харесва нашето сирене --

sniffed, but didn't want to eat.

миришеше, но не искаше да яде.

Didn't make sense to me.

Не го сващах.

And after we experimented with different flavors of cheese,

И след като експериментирах с различни вкусове на сиренето,

I realized, well, this is a directed attack.

разбрах, добре, това е насочена атака.

It's completely directed.

Тя е изцяло насочена.

The dropper is prowling actively

Дропърът дебне активно

on the gray box

сивата кутия,

if a specific configuration is found,

ако специфична конфигурация се установи,

and even if the actual program code that it's trying to infect

и дори ако действителната програма, която се опитва да зарази

is actually running on that target.

всъщност работи по тази цел.

And if not, Stuxnet does nothing.

И ако не, Stuxnet не прави нищо.

So that really got my attention,

Така че това наистина привлече вниманието ми,

and we started to work on this

и започнахме да работим по това

nearly around the clock,

почти денонощно,

because I thought, "Well, we don't know what the target is.

защото си мислех, добре, ние не знаем каква е целта.

It could be, let's say for example,

Тя може да бъде, например,

a U.S. power plant,

енергийна централа на САЩ,

or a chemical plant in Germany.

или химически завод в Германия.

So we better find out what the target is soon."

Така че по-добре да разберем каква е целта по-скоро.

So we extracted and decompiled

Така че извлякохме и декомпилирахме

the attack code,

кода на атаката,

and we discovered that it's structured in two digital bombs --

и открихме, че той е структуриран в две дигитални бомби --

a smaller one and a bigger one.

една по-малка и една по-голяма.

And we also saw that they are very professionally engineered

И ние също видяхме, че те са много професионално проектирани

by people who obviously had all insider information.

от хора, които очевидно са имали цялата вътрешна информация.

They knew all the bits and bites

Те са знаели всички битове и байтове,

that they had to attack.

които трябва да се атакуват.

They probably even know the shoe size of the operator.

Те може би дори знаят номера на обувките на оператора.

So they know everything.

Така че те знаят всичко.

And if you have heard that the dropper of Stuxnet

И ако сте чули, че дропъра на Stuxnet

is complex and high-tech,

е сложен и високо технологичен,

let me tell you this:

нека да ви кажа следното:

the payload is rocket science.

"полезния товар" е като ядрена физика.

It's way above everything

Той е далеч над всичко,

that we have ever seen before.

което сме виждали досега.

Here you see a sample of this actual attack code.

Тук можете да видите една проба от действителният код на атаката.

We are talking about --

Става дума за --

around about 15,000 lines of code.

около 15 000 реда код.

Looks pretty much like old-style assembly language.

Изглежда почти като старовременния компютърния език асемблер.

And I want to tell you how we were able

И аз искам да ви кажа как ние бяхме в състояние

to make sense out of this code.

да разгадаем този код.

So what we were looking for is, first of all, system function calls,

Това, което търсихме на първо място бяха системните извиквания на функциите,

because we know what they do.

защото ние знаем какво правят те.

And then we were looking for timers and data structures

И след това търсихме регулатори и структури от данни

and trying to relate them to the real world --

и се опитвахме да ги свържем с реалния свят --

to potential real world targets.

с потенциални реални цели.

So we do need target theories

Така че ни трябваха теории относно целта,

that we can prove or disprove.

които можехме да докажем или опровергаем.

In order to get target theories,

За да получим целеви теории,

we remember

ние помнихме,

that it's definitely hardcore sabotage,

че това определено е хардкор саботаж,

it must be a high-value target

целта трябваше да бъде с висока стойност,

and it is most likely located in Iran,

и най-вероятно се намираше в Иран,

because that's where most of the infections had been reported.

защото повечето инфекции бяха докладвани там.

Now you don't find several thousand targets in that area.

Сега, не можете да откриете няколко хиляди цели в тази област.

It basically boils down

По същество това се свежда

to the Bushehr nuclear power plant

до атомната електроцентрала Бушер

and to the Natanz fuel enrichment plant.

и до завода в Натанц за горивно обогатяване.

So I told my assistant,

Така че аз казах на моя помощник,

"Get me a list of all centrifuge and power plant experts from our client base."

"Направи списък на всички експерти по центрофуги и централи от нашите клиенти."

And I phoned them up and picked their brain

Обадих им се и ги разпитах

in an effort to match their expertise

в опит да съчетая техния опит

with what we found in code and data.

с това, което открихме като код и данни.

And that worked pretty well.

И това се получи доста добре.

So we were able to associate

Така че бяхме в състояние да свържем

the small digital warhead

малката дигитална бойна глава

with the rotor control.

с управлението на ротора.

The rotor is that moving part within the centrifuge,

Роторът е движещата се част в рамките на центрофугата,

that black object that you see.

този черен обект, който виждате.

And if you manipulate the speed of this rotor,

И ако се манипулира скоростта на този ротор,

you are actually able to crack the rotor

вие всъщност сте в състояние да контролирате ротора

and eventually even have the centrifuge explode.

и в крайна сметка дори да взривите центрофугата.

What we also saw

Това, което видяхме също

is that the goal of the attack

е, че целта на атаката

was really to do it slowly and creepy --

беше наистина да се направи бавно и страховито --

obviously in an effort

очевидно с намерение

to drive maintenance engineers crazy,

да се подлудят инженерите по поддържането,

that they would not be able to figure this out quickly.

така че те да не са в състояние да разберат това бързо.

The big digital warhead -- we had a shot at this

Голямата дигитална бойна глава -- направихме това предположение,

by looking very closely

като разгледахме отблизо

at data and data structures.

данните и структурите от данни.

So for example, the number 164

Така например, числото 164

really stands out in that code;

наистина се откроява в този код;

you can't overlook it.

не можете да го пренебрегнете.

I started to research scientific literature

Започнах да изследвам научната литература,

on how these centrifuges

за това как тези центрофуги

are actually built in Natanz

всъщност са построени в Натанц

and found they are structured

и установих, че са структурирани

in what is called a cascade,

по начин нарeчен каскада,

and each cascade holds 164 centrifuges.

и всяка каскада съдържа 164 центрофуги.

So that made sense, that was a match.

Така че имаше смисъл, беше съответствие.

And it even got better.

И дори стана по-добре.

These centrifuges in Iran

Тези центрофуги в Иран

are subdivided into 15, what is called, stages.

са разделени на 15, така наречени, степени.

And guess what we found in the attack code?

И познайте какво открихме в кода на атаката?

An almost identical structure.

Почти идентична структура.

So again, that was a real good match.

Така че отново, това бе много добро съответствие.

And this gave us very high confidence for what we were looking at.

И това ни даде много висока степен на увереност за това, което търсихме.

Now don't get me wrong here, it didn't go like this.

Сега, не ме разбирайте погрешно, не стана по този начин.

These results have been obtained

Тези резултати бяха получени

over several weeks of really hard labor.

в продължение на няколко седмици наистина тежък труд.

And we often went into just a dead end

И ние често се оказвахме в задънена улица

and had to recover.

и трябваше да се връщаме.

Anyway, so we figured out

Във всеки случай, така разбрахме,

that both digital warheads

че и двете дигитални бойни глави

were actually aiming at one and the same target,

действително са били насочени към една и съща цел,

but from different angles.

но от различни ъгли.

The small warhead is taking one cascade,

Малката бойна глава приема една каскада,

and spinning up the rotors and slowing them down,

и върти роторите и ги забавя,

and the big warhead

а голямата бойна глава

is talking to six cascades

е свързана с шест каскади

and manipulating valves.

и манипулиране на клапаните.

So in all, we are very confident

Така че като цяло, сме много уверени,

that we have actually determined what the target is.

че установихме каква всъщност е целта.

It is Natanz, and it is only Natanz.

Тя е в Натанц, и само в Натанц.

So we don't have to worry

Така че не трябва да се притесняваме,

that other targets

че други цели

might be hit by Stuxnet.

могат да бъдат засегнати от Stuxnet.

Here's some very cool stuff that we saw --

Ето някои много интересни неща, които видяхме --

really knocked my socks off.

наистина ми падна шапката.

Down there is the gray box,

Там е сивата кутия

and on the top you see the centrifuges.

и на върха виждате центрофугите.

Now what this thing does

Сега какво прави това нещо,

is it intercepts the input values from sensors --

е че то прихваща въведените стойности от датчиците --

so for example, from pressure sensors

така например от сензорите за налягане

and vibration sensors --

и вибрациионите датчици --

and it provides legitimate program code,

и осигурява легитимен код,

which is still running during the attack,

който все още работи по време на нападението,

with fake input data.

с фалшиво въведени данни.

And as a matter of fact, this fake input data

И в интерес на истината, тези фалшиво въведени данни,

is actually prerecorded by Stuxnet.

всъщност са записани предварително от Stuxnet.

So it's just like from the Hollywood movies

Така че това е точно като от холивудските филми,

where during the heist,

когато по време на обир,

the observation camera is fed with prerecorded video.

на камерата за наблюдение се подава предварително записан видеоклип.

That's cool, huh?

Това е готино, нали?

The idea here is obviously

Идеята тук е очевидно,

not only to fool the operators in the control room.

не само да се заблудят операторите в командната зала.

It actually is much more dangerous and aggressive.

Всъщност това е много по-опасно и агресивно.

The idea

Идеята

is to circumvent a digital safety system.

е да се заобиколи дигиталната система за безопасност.

We need digital safety systems

Трябват ни дигитални системи за безопасност,

where a human operator could not act quick enough.

когато човека оператор не може да действа достатъчно бързо.

So for example, in a power plant,

Така например, в една електроцентрала,

when your big steam turbine gets too over speed,

когато голямата парна турбина стане твърде бърза,

you must open relief valves within a millisecond.

трябва да отворите предпазните клапи в рамките на една милисекунда.

Obviously, this cannot be done by a human operator.

Очевидно е, че това не може да бъде направено от човек оператор.

So this is where we need digital safety systems.

Така че там е, където ни трябват дигитални системи за безопасност.

And when they are compromised,

И когато те са изложени на риск,

then real bad things can happen.

тогава много лоши неща могат да се случат.

Your plant can blow up.

Централата ви може да гръмне.

And neither your operators nor your safety system will notice it.

И нито операторите ви, нито системата ви за безопасност ще го забележат.

That's scary.

Това е страшно.

But it gets worse.

Но може да бъде и по-лошо.

And this is very important, what I'm going to say.

И това, което ще кажа е много важно.

Think about this:

Помислете за това.

this attack is generic.

Тази атака е с широко приложение.

It doesn't have anything to do, in specifics,

Тя няма нищо общо, в особеностите си,

with centrifuges,

с центрофуги,

with uranium enrichment.

с обогатяване на уран.

So it would work as well, for example,

Така че тя може да работи, например,

in a power plant

в електроцентрала,

or in an automobile factory.

или в автомобилен завод.

It is generic.

Тя е обща.

And you don't have -- as an attacker --

И не е нужно -- като нападател --

you don't have to deliver this payload

не е нужно да се достави този "полезен товар"

by a USB stick,

с USB флаш памет,

as we saw it in the case of Stuxnet.

както видяхме в случая със Stuxnet.

You could also use conventional worm technology for spreading.

Вие също може да използвате конвенционални технологии за разпространение на червея.

Just spread it as wide as possible.

Просто го разпространете колкото е възможно по-широко.

And if you do that,

И ако направите това,

what you end up with

това, което в крайна сметка получавате

is a cyber weapon of mass destruction.

е кибернетично оръжие за масово унищожение.

That's the consequence

Това е следствието,

that we have to face.

пред което трябва да се изправим.

So unfortunately,

Така че, за съжаление,

the biggest number of targets for such attacks

най-големия брой цели за такива атаки

are not in the Middle East.

не са в Близкия Изток.

They're in the United States and Europe and in Japan.

Те са в САЩ, и Европа, и в Япония.

So all of the green areas,

Така че всички тези зелени площи,

these are your target-rich environments.

те са средите, изобилстващи на цели.

We have to face the consequences,

Ние трябва да се справим с последствията,

and we better start to prepare right now.

и по-добре да започнем да се подготвяме сега.

Thanks.

Благодаря.

(Applause)

(Аплодисменти)

Chris Anderson: I've got a question.

Крис Андерсън: Имам един въпрос.

Ralph, it's been quite widely reported

Ралф, доста широко бе докладвано,

that people assume that Mossad

че хората приемат, че "Мосад"

is the main entity behind this.

е основната организация зад това.

Is that your opinion?

Това ли е твоето мнение?

Ralph Langner: Okay, you really want to hear that?

Ралф Лангнер: Добре, наистина ли искате да чуете това?

Yeah. Okay.

Да. Добре.

My opinion is that the Mossad is involved,

Моето мнение е, че Мосад е въвлечен,

but that the leading force is not Israel.

но че водещата сила не е Израел.

So the leading force behind that

Така че водещата сила зад това

is the cyber superpower.

е кибернетичната суперсила.

There is only one,

Има само една,

and that's the United States --

и това е САЩ --

fortunately, fortunately.

за щастие, за щастие.

Because otherwise,

Защото в противен случай,

our problems would even be bigger.

нашите проблеми ще бъдат дори по-големи.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

КА: Благодарим ви, че ни изкарахте ангелите. Благодаря ви Ралф.

(Applause)

(Аплодисменти)