Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Translator: Anders Finn Jørgensen Reviewer: Allan Jensen

The idea behind the Stuxnet computer worm

Ideen bag Stuxnet computerormen

is actually quite simple.

er faktisk ret simpel.

We don't want Iran to get the bomb.

Vi ønsker ikke at Iran skal have bomben.

Their major asset for developing nuclear weapons

Deres vigtigste aktiv for at udvikle kernevåben

is the Natanz uranium enrichment facility.

er Natanz uranberigelsesanlægget.

The gray boxes that you see,

De grå bokse som I kan se,

these are real-time control systems.

det er realtids-kontrolsystemer.

Now if we manage to compromise these systems

Hvis det lykkedes os at kompromittere disse systemer

that control drive speeds and valves,

som kontrollere omløbshastighed og ventiler,

we can actually cause a lot of problems

vi kan faktisk skabe en masse problemer

with the centrifuge.

for centrifugerne.

The gray boxes don't run Windows software;

Disse grå bokse kører ikke på Windows software,

they are a completely different technology.

det er en helt anden teknologi.

But if we manage

Men hvis det lykkedes os

to place a good Windows virus

at placere en god Windows virus

on a notebook

på en Notebook

that is used by a maintenance engineer

som bruges af vedligeholdelsesingeniøren

to configure this gray box,

til at konfigurere den grå boks,

then we are in business.

så er vi kørende.

And this is the plot behind Stuxnet.

Og dette er plottet bag Stuxnet.

So we start with a Windows dropper.

Så vi starter med en Windows-afleveringsdel.

The payload goes onto the gray box,

Virusen bliver placeret i den grå boks,

damages the centrifuge,

ødelægger centrifugerne,

and the Iranian nuclear program is delayed --

og det iranske atomprogram er forsinket --

mission accomplished.

mission fuldført.

That's easy, huh?

Det er let, hva?

I want to tell you how we found that out.

Jeg vil fortælle jer hvordan vi fandt ud af dette.

When we started our research on Stuxnet six months ago,

Vi startede vores undersøgelse af Stuxnet for 6 måneder siden.

it was completely unknown what the purpose of this thing was.

Det var fuldstændigt ukendt hvad formålet med denne ting var.

The only thing that was known

Det eneste man viste var

is it's very, very complex on the Windows part, the dropper part,

at Windows-delen var meget, meget komplekst - afleveringsdelen,

used multiple zero-day vulnerabilities.

brugte flere zero-day sårbarheder.

And it seemed to want to do something

Og det så ud som om den ville gøre noget

with these gray boxes, these real-time control systems.

med disse grå bokse, disse realtids-kontrolsystemer.

So that got our attention,

Så det fangede vores opmærksomhed,

and we started a lab project

og vi startede et laboratorieprojekt

where we infected our environment with Stuxnet

hvor vi inficerede vores miljø med Stuxnet

and checked this thing out.

og prøvede tingene af.

And then some very funny things happened.

Og nogle meget mærkelige ting skete.

Stuxnet behaved like a lab rat

Stuxnet opførte sig som en laboratorierotte

that didn't like our cheese --

som ikke kunne lide vores ost --

sniffed, but didn't want to eat.

den snuste, men den ville ikke spise.

Didn't make sense to me.

Det gav ikke mening for mig.

And after we experimented with different flavors of cheese,

Efter at have eksperimenteret med forskellige smage af ost,

I realized, well, this is a directed attack.

gik det op for mig: Dette er et målrettet angreb.

It's completely directed.

Det er fuldstændigt målrettet.

The dropper is prowling actively

Afleveringsdelen snuser aktivt

on the gray box

på de grå bokse,

if a specific configuration is found,

og hvis en specifik opstilling er fundet,

and even if the actual program code that it's trying to infect

og hvis den specielle programkode den prøver at inficere

is actually running on that target.

faktisk er der på målet.

And if not, Stuxnet does nothing.

Hvis ikke, gør Stuxnet intet.

So that really got my attention,

Så hvad der fangede min opmærksomhed,

and we started to work on this

og hvad vi begyndte at arbejde med

nearly around the clock,

næsten i døgndrift,

because I thought, "Well, we don't know what the target is.

fordi jeg tænkte: "Well, vi ved ikke hvad målet er.

It could be, let's say for example,

men det kunne være f.eks.

a U.S. power plant,

et amerikansk kraftværk,

or a chemical plant in Germany.

eller en kemisk fabrik i Tyskland.

So we better find out what the target is soon."

Så vi må hellere finde målet hurtigt."

So we extracted and decompiled

Så vi udtrak og dekompilerede

the attack code,

angrebskoden,

and we discovered that it's structured in two digital bombs --

og vi opdagede at den var struktureret som to digitale bomber

a smaller one and a bigger one.

en lille en og en større en.

And we also saw that they are very professionally engineered

Vi så også at de var meget professionelt fremstillet

by people who obviously had all insider information.

af folk der åbenlyst havde insider information.

They knew all the bits and bites

De kendte alle biderne af

that they had to attack.

hvad de skulle angribe.

They probably even know the shoe size of the operator.

De vidste sikkert også skonummeret på operatøren.

So they know everything.

Så de vidste alt.

And if you have heard that the dropper of Stuxnet

Og hvis I har hørt om afleveringsdelen af Stuxnet

is complex and high-tech,

er kompleks og high-tech,

let me tell you this:

så lad mig fortælle jer:

the payload is rocket science.

Våbendelen er raketvidenskab.

It's way above everything

Det var hævet over alt

that we have ever seen before.

hvad vi har set før.

Here you see a sample of this actual attack code.

Her har du et udsnit af den faktiske angrebskode.

We are talking about --

Vi taler om

around about 15,000 lines of code.

ca 15.000 linjers kode.

Looks pretty much like old-style assembly language.

Det ligner til forveksling gammeldags assemblersprog.

And I want to tell you how we were able

Og jeg ønsker at fortælle jer hvordan vi var istand til

to make sense out of this code.

at få mening ud af denne kode.

So what we were looking for is, first of all, system function calls,

Så først kiggede vi efter system-funktionskald,

because we know what they do.

fordi vi ved hvad de gør.

And then we were looking for timers and data structures

Derefter ledte vi efter timere og datastrukturer

and trying to relate them to the real world --

og prøvede at forbinde dem til den virkelige verden --

to potential real world targets.

til potentielle fysiske mål.

So we do need target theories

Så vi havde behov for teorier om mål

that we can prove or disprove.

vi kunne bekræfte eller afkræfte.

In order to get target theories,

For at få nogle teorier om mål

we remember

huskede vi på at

that it's definitely hardcore sabotage,

det var definitivt hardcore sabotage,

it must be a high-value target

det må være et mål af høj værdi

and it is most likely located in Iran,

og det er højst sandsynligt placeret i Iran,

because that's where most of the infections had been reported.

fordi det var her flest infektioner var rapporteret fra.

Now you don't find several thousand targets in that area.

Man finder ikke mange tusinde mål i det område.

It basically boils down

Det kan faktisk koges ned

to the Bushehr nuclear power plant

til Bushehr atomkraftværket

and to the Natanz fuel enrichment plant.

og til brændselsberigelsesfabrikken i Natanz.

So I told my assistant,

Så jeg fortalte min assistent,

"Get me a list of all centrifuge and power plant experts from our client base."

"Giv mig en liste over alle centrifuger og kraftværkseksperter i vores kundekartotek."

And I phoned them up and picked their brain

Og jeg ringede til dem og prikkede til deres hjerner

in an effort to match their expertise

for at matche deres ekspertise

with what we found in code and data.

med hvad vi havde fundet i koden og data.

And that worked pretty well.

Og det virkede ganske godt.

So we were able to associate

Så vi kunne forbinde

the small digital warhead

den lille digitale våbendel

with the rotor control.

med rotorkontrol.

The rotor is that moving part within the centrifuge,

rotoren er den bevægelige del inde i en centrifuge,

that black object that you see.

det er det sorte objekt I ser.

And if you manipulate the speed of this rotor,

Og hvis man manipulerer hastigheden af denne rotor,

you are actually able to crack the rotor

er du faktisk i stand til at ødelægge rotoren

and eventually even have the centrifuge explode.

og eventuelt få centrifugen til at eksplodere.

What we also saw

Hvad vi også så

is that the goal of the attack

var at målet for angrebet

was really to do it slowly and creepy --

var at gøre det så langsomt og snigende

obviously in an effort

åbenlyst med et formål

to drive maintenance engineers crazy,

at drive vedligeholdelsesingeniørene til vanvid,

that they would not be able to figure this out quickly.

så de ikke ville være istand til at regne det ud for hurtigt.

The big digital warhead -- we had a shot at this

Den store digitale våbendel -- vi fik et billede af den

by looking very closely

ved at kigge meget tæt

at data and data structures.

på data og datastrukturer.

So for example, the number 164

Så for eksempel: tallet 164

really stands out in that code;

gjorde sig bemærket i programmet,

you can't overlook it.

du kan ikke overse det.

I started to research scientific literature

Jeg kiggede i den videnskabelige litteratur

on how these centrifuges

om hvordan disse centrifuger

are actually built in Natanz

er opbygget i Natanz

and found they are structured

og fandt at de var opstillet

in what is called a cascade,

i hvad vi kalder i en kaskade,

and each cascade holds 164 centrifuges.

og hver kaskade indeholder 164 centrifuger.

So that made sense, that was a match.

Så det gav mening, det var et sammenfald.

And it even got better.

Og det blev bedre.

These centrifuges in Iran

Disse centrifuger i Iran

are subdivided into 15, what is called, stages.

er underinddelt i 15, hvad vi kalder, trin.

And guess what we found in the attack code?

Og gæt hvad vi fandt i angrebskoden?

An almost identical structure.

En nærmest identisk struktur.

So again, that was a real good match.

Så igen, der var et virkeligt godt sammenfald.

And this gave us very high confidence for what we were looking at.

Og dette gav os en stærk overbevisning om at vi kiggede efter det rigtige.

Now don't get me wrong here, it didn't go like this.

Misforstå mig ikke, det gik ikke bare sådan af sig selv.

These results have been obtained

Disse resultater blev opnået

over several weeks of really hard labor.

gennem mange uger med virkeligt hårdt arbejde.

And we often went into just a dead end

Og vi kom ofte ind i en blindgyde

and had to recover.

og måtte starte forfra.

Anyway, so we figured out

Hvor om alting er, så vi fandt

that both digital warheads

at begge digitale våbendele

were actually aiming at one and the same target,

var rettet mod det ene og samme mål,

but from different angles.

men fra forskellig vinkler.

The small warhead is taking one cascade,

Den lille våbendel tog en kaskade

and spinning up the rotors and slowing them down,

og kørte op og ned for hastigheden på rotorene

and the big warhead

og den store våbendel

is talking to six cascades

talte til 6 kaskader

and manipulating valves.

og manipulerede ventilerne.

So in all, we are very confident

Så vi var faktisk overbevidste om

that we have actually determined what the target is.

at vi havde bestemt hvad målet var.

It is Natanz, and it is only Natanz.

Det er Natanz og det er kun Natanz.

So we don't have to worry

Så vi skulle ikke bekymre os om

that other targets

at andre mål

might be hit by Stuxnet.

kunne blive ramt af Stuxnet.

Here's some very cool stuff that we saw --

Her er noget virkeligt Cool som vi så --

really knocked my socks off.

det virkeligt tog sokkerne af mig.

Down there is the gray box,

Her nede i den grå boks,

and on the top you see the centrifuges.

og du kan se centrifugerne på toppen.

Now what this thing does

Hvad denne ting gør

is it intercepts the input values from sensors --

er at opsnappe data fra sensorerne --

so for example, from pressure sensors

så for eksempel, trykmålerne

and vibration sensors --

og vibrationsmålerne

and it provides legitimate program code,

og fodrer den oprindelige software,

which is still running during the attack,

som stadigvæk kører under angrebet,

with fake input data.

med falsk data.

And as a matter of fact, this fake input data

Faktisk, denne falske data

is actually prerecorded by Stuxnet.

er faktisk gemt i Stuxnet.

So it's just like from the Hollywood movies

Det er ligesom i en Hollywood film

where during the heist,

under et indbrud,

the observation camera is fed with prerecorded video.

hvor overvågningskameraet, viser en allerede optaget video.

That's cool, huh?

Det er smart, hva?

The idea here is obviously

Ideen her er åbenlyst

not only to fool the operators in the control room.

ikke kun at narre operatørerne i kontrolrummet.

It actually is much more dangerous and aggressive.

Det er faktisk meget mere farligt og aggressivt.

The idea

Ideen

is to circumvent a digital safety system.

er at omgå det digitale sikkerhedssystem.

We need digital safety systems

Vi har behov for digitale sikkerhedssystemmer

where a human operator could not act quick enough.

hvor en menneskelig operatør ikke kan nå at reagere hurtigt nok.

So for example, in a power plant,

Som for eksempel i et kraftværk,

when your big steam turbine gets too over speed,

når de store dampturbiner, roterer for hurtigt,

you must open relief valves within a millisecond.

så skal du åbne sikkerhedsventilerne indenfor millisekunder.

Obviously, this cannot be done by a human operator.

Åbenlyst, dette kan ikke udføres af en menneskelig operatør.

So this is where we need digital safety systems.

Så det er her vi har brug for digitale sikkerhedssystemmer

And when they are compromised,

Og når de er kompromiterede

then real bad things can happen.

så kan der ske rigtigt grimme ting.

Your plant can blow up.

Dit kraftværk kan eksplodere.

And neither your operators nor your safety system will notice it.

Og hverken dine operatører eller dit sikkerhedssystem vil opdage det.

That's scary.

Det er skræmmende.

But it gets worse.

Men det bliver værre.

And this is very important, what I'm going to say.

Og dette jeg siger nu er meget vigtigt.

Think about this:

Tænk over dette:

this attack is generic.

Dette angreb var generisk.

It doesn't have anything to do, in specifics,

Det havde intet at gøre, specifikt

with centrifuges,

med centrifuger,

with uranium enrichment.

med uranberigelse.

So it would work as well, for example,

Så det vil virke, som for eksempel

in a power plant

i et kraftværk

or in an automobile factory.

i en bilfabrik.

It is generic.

Det er generisk.

And you don't have -- as an attacker --

Og du har ikke behov for - som angriber -

you don't have to deliver this payload

du behøves ikke at aflevere våbendelen

by a USB stick,

med en USB-stick,

as we saw it in the case of Stuxnet.

som vi så det med Stuxnet.

You could also use conventional worm technology for spreading.

Du kan bruge almindelig ormeteknologi til spredning.

Just spread it as wide as possible.

Bare sprede det så bredt som muligt.

And if you do that,

Og hvis du gør det.

what you end up with

Hvad du ender med

is a cyber weapon of mass destruction.

er et cyber-masseødelæggelsesvåben.

That's the consequence

Dette er konsekvensen

that we have to face.

som vi må tage højde for.

So unfortunately,

Så uheldigvis

the biggest number of targets for such attacks

det største antal af mål for disse angreb

are not in the Middle East.

er ikke i Mellemøsten.

They're in the United States and Europe and in Japan.

De er i USA, i Europa og i Japan.

So all of the green areas,

Så alle de grønne felter,

these are your target-rich environments.

det er målrige områder.

We have to face the consequences,

Vi må se konsekvenserne i øjnene,

and we better start to prepare right now.

og vi må hellere starte med at forberede os nu.

Thanks.

Tak.

(Applause)

(Bifald)

Chris Anderson: I've got a question.

Chris Anderson: Jeg har et spørgsmål.

Ralph, it's been quite widely reported

Ralph, der har været skrevet

that people assume that Mossad

at folk anser Mossad

is the main entity behind this.

for at være hovedkraften bag dette.

Is that your opinion?

Er det din mening?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: Okay, vil du virkelig høre det?

Yeah. Okay.

Tja, Okay.

My opinion is that the Mossad is involved,

Efter min mening er Mossad involveret

but that the leading force is not Israel.

men den ledende kraft bag er ikke Israel.

So the leading force behind that

Så den ledende kraft bag

is the cyber superpower.

er cybersupermagten.

There is only one,

Og der er kun en,

and that's the United States --

og det er USA.

fortunately, fortunately.

heldigvis, heldigvis.

Because otherwise,

Fordi ellers

our problems would even be bigger.

ville vores problemer være endnu større.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Tak for at skræmme livet af os. Tak Ralph.

(Applause)

(Bifald)