Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ralph Langner: Stuxnet knacken, eine Cyber-Waffe des 21. Jahrhunderts

Übersetzung: Rouven Beeh Lektorat: Alex Boos

The idea behind the Stuxnet computer worm

Die Idee hinter dem Stuxnet Computer-Wurm

is actually quite simple.

ist an sich ziemlich simpel.

We don't want Iran to get the bomb.

Wir wollen nicht, dass der Iran die Bombe baut.

Their major asset for developing nuclear weapons

Der wichtigste Posten dort für die Entwicklung von Atomwaffen

is the Natanz uranium enrichment facility.

ist die Uran-Anreicherungs-Einrichtung in Natanz.

The gray boxes that you see,

Die grauen Boxen, die Sie hier sehen,

these are real-time control systems.

das sind Echtzeit-Kontrollsysteme.

Now if we manage to compromise these systems

Wenn es uns nun gelingt, die Systeme zu kompromittieren,

that control drive speeds and valves,

welche Drehzahlen und Ventile kontrollieren,

we can actually cause a lot of problems

dann können wir damit tatsächlich eine Menge Probleme verursachen

with the centrifuge.

mit der Zentrifuge.

The gray boxes don't run Windows software;

Diese grauen Boxen laufen nicht mit Windows-Software;

they are a completely different technology.

sie basieren auf einer komplett anderen Technologie.

But if we manage

Aber wenn wir es schaffen,

to place a good Windows virus

dass sich ein effektives Windows-Virus

on a notebook

auf einem Laptop einnistet,

that is used by a maintenance engineer

der von einem Wartungsingenieur verwendet wird,

to configure this gray box,

um diese graue Box zu konfigurieren,

then we are in business.

dann sind wir im Geschäft.

And this is the plot behind Stuxnet.

Und das ist die Planung hinter Stuxnet.

So we start with a Windows dropper.

Wir beginnen also mit einem Windows-Dropper.

The payload goes onto the gray box,

Die Nutzdaten werden in die graue Box transferiert,

damages the centrifuge,

beschädigen die Zentrifuge

and the Iranian nuclear program is delayed --

und das iranische Kernenergie-Programm verzögert sich –

mission accomplished.

Auftrag ausgeführt.

That's easy, huh?

Das ist ein Kinderspiel, oder?

I want to tell you how we found that out.

Ich möchte Ihnen erzählen, wie wir das herausgefunden haben.

When we started our research on Stuxnet six months ago,

Als wir unsere Forschung zu Stuxnet vor sechs Monaten begannen,

it was completely unknown what the purpose of this thing was.

war völlig unbekannt, was der Sinn und Zweck dieses Konstrukts war.

The only thing that was known

Das einzige, was wir wussten

is it's very, very complex on the Windows part, the dropper part,

ist sehr, sehr kompliziert, was den Windows- Teil angeht, den Dropper- Teil,

used multiple zero-day vulnerabilities.

er machte von unzähligen Zero- Day- Schwachstellen Gebrauch.

And it seemed to want to do something

Und es schien etwas vorzuhaben,

with these gray boxes, these real-time control systems.

mit diesen grauen Boxen, diesen Echtzeit- Kontrollsystemen.

So that got our attention,

Das erregte unsere Aufmerksamkeit

and we started a lab project

und wir begannen ein Labor- Projekt,

where we infected our environment with Stuxnet

in dem wir unsere Umgebung mit Stuxnet infizierten,

and checked this thing out.

und untersuchten dieses Konstrukt.

And then some very funny things happened.

Und dann passierte etwas komisches.

Stuxnet behaved like a lab rat

Stuxnet verhielt sich wie eine Laborratte,

that didn't like our cheese --

die unseren Käse nicht mochte –

sniffed, but didn't want to eat.

schnüffelte dran, aber wollte ihn nicht essen.

Didn't make sense to me.

Das machte in meinen Augen keinen Sinn.

And after we experimented with different flavors of cheese,

Und nachdem wir mit verschiedenen Arten von Käse experimentiert hatten,

I realized, well, this is a directed attack.

ging mir auf, dass dies ein gezielter Angriff ist.

It's completely directed.

Vollständig auf ein bestimmtes Ziel gerichtet.

The dropper is prowling actively

Der Dropper streift aktiv

on the gray box

auf der grauen Box umher,

if a specific configuration is found,

wenn eine spezielle Konfiguration entdeckt wurde.

and even if the actual program code that it's trying to infect

Sogar, wenn das spezielle Programm, welches es zu infizieren versucht

is actually running on that target.

auf diesem Ziel läuft.

And if not, Stuxnet does nothing.

Und wenn nicht, dann tut Stuxnet gar nichts.

So that really got my attention,

Also, das weckte wirklich mein Interesse

and we started to work on this

und wir begannen damit zu arbeiten,

nearly around the clock,

beinahe rund um die Uhr,

because I thought, "Well, we don't know what the target is.

denn ich dachte, nun, wir wissen nicht, was das Ziel ist.

It could be, let's say for example,

Es könnte, sagen wir zum Beispiel,

a U.S. power plant,

ein US- amerikanisches Kraftwerk,

or a chemical plant in Germany.

oder eine Chemieanlage in Deutschland sein.

So we better find out what the target is soon."

Also sollten wir besser bald herausfinden, was das Ziel darstellt.

So we extracted and decompiled

Also extrahierten und dekompilierten wir

the attack code,

den Angriffs- Code

and we discovered that it's structured in two digital bombs --

und fanden heraus, dass er in zwei digitale Sprengköpfe aufstrukturiert ist --

a smaller one and a bigger one.

einen kleineren und einen größeren.

And we also saw that they are very professionally engineered

Und uns fiel auch auf, dass sie sehr professionell konstruiert waren,

by people who obviously had all insider information.

von Leuten, die offensichtlich alle Insider- Informationen zur Verfügung hatten.

They knew all the bits and bites

Sie kannten jegliche Bits und Bytes,

that they had to attack.

die sie angreifen mussten.

They probably even know the shoe size of the operator.

Wahrscheinlich kannten sie sogar die Schuhgröße des Maschinenbedieners.

So they know everything.

Sie wussten also alles.

And if you have heard that the dropper of Stuxnet

Und wenn Sie schon mitbekommen haben, dass der Dropper von Stuxnet

is complex and high-tech,

komplex und high-tech ist,

let me tell you this:

lassen Sie mich Ihnen sagen:

the payload is rocket science.

die Nutzdaten sind eine Wissenschaft für sich.

It's way above everything

Es ist viel anspruchsvoller

that we have ever seen before.

als alles, was wir jemals gesehen haben.

Here you see a sample of this actual attack code.

Hier sehen Sie einen Ausschnitt aus diesem Angriffs- Code.

We are talking about --

Wir sprechen hier von –

around about 15,000 lines of code.

ungefähr 15.000 Zeilen Code.

Looks pretty much like old-style assembly language.

Sieht ziemlich so aus, wie altmodische Assemblersprache.

And I want to tell you how we were able

Und ich will Ihnen erzählen, wie wir in der Lage waren

to make sense out of this code.

aus diesem Code Schlau zu werden.

So what we were looking for is, first of all, system function calls,

Nach was wir also als erstes suchten, waren Systemfunktions- Aufrufe,

because we know what they do.

weil wir wissen, was diese bewirken.

And then we were looking for timers and data structures

Und dann suchten wir nach Timern und Datenstrukturen

and trying to relate them to the real world --

und versuchten, diese mit der echten Welt in Verbindung zu bringen --

to potential real world targets.

mit potentiellen Zielen in der echten Welt.

So we do need target theories

Also brauchten wir Theorien über diese Ziele,

that we can prove or disprove.

die wir belegen oder widerlegen konnten.

In order to get target theories,

Um diese Theorien aufzustellen,

we remember

rufen wir uns in Erinnerung,

that it's definitely hardcore sabotage,

dass es sich definitiv um hochgradige Sabotage handelt,

it must be a high-value target

es muss sich um ein hochwertiges Ziel handeln

and it is most likely located in Iran,

und sehr wahrscheinlich befindet es sich im Iran,

because that's where most of the infections had been reported.

weil dort die meisten Infektionen gemeldet wurden.

Now you don't find several thousand targets in that area.

Nun, in diesem Gebiet gibt es nicht mehrere Tausend Ziele.

It basically boils down

Im Grunde läuft es hinaus

to the Bushehr nuclear power plant

auf das Buschehr Atomkraftwerk

and to the Natanz fuel enrichment plant.

und auf die Urananreicherungsanlage in Natanz.

So I told my assistant,

Also sagte ich zu meinem Assistenten,

"Get me a list of all centrifuge and power plant experts from our client base."

"Bring mir eine Liste aller Experten für Zentrifugen und Kraftwerke aus unserem Kundenstamm."

And I phoned them up and picked their brain

Und ich rief sie an und zapfte ihr Wissen an,

in an effort to match their expertise

um ihr Fachwissen mit dem zu vergleichen,

with what we found in code and data.

was wir im Code und in den Daten herausgefunden hatten.

And that worked pretty well.

Und das funktionierte sehr gut.

So we were able to associate

Also, es war uns möglich,

the small digital warhead

den kleinen digitalen Sprengkopf

with the rotor control.

mit der Rotorsteuerung in Verbindung zu bringen.

The rotor is that moving part within the centrifuge,

Der Rotor ist dieser sich bewegende Teil innerhalb der Zentrifuge,

that black object that you see.

diese schwarze Objekt, das Sie sehen.

And if you manipulate the speed of this rotor,

Und wenn man die Geschwindigkeit dieses Rotors manipuliert,

you are actually able to crack the rotor

dann ist man tatsächlich in der Lage den Rotor zu knacken

and eventually even have the centrifuge explode.

und schließlich sogar, die Zentrifuge explodieren zu lassen.

What we also saw

Was wir auch herausgefunden haben

is that the goal of the attack

ist, dass das Ziel des Angriffs

was really to do it slowly and creepy --

tatsächlich war, es langsam und unheimlich geschehen zu lassen --

obviously in an effort

offensichtlich in dem Versuch

to drive maintenance engineers crazy,

Wartungsingenieure verzweifeln zu lassen,

that they would not be able to figure this out quickly.

sodass sie nicht in der Lage dazu sein würden schnell dahinter zu kommen.

The big digital warhead -- we had a shot at this

Der große digitale Sprengkopf -- wir erhielten einen Einblick,

by looking very closely

indem wir uns sehr genau

at data and data structures.

Daten und Datenstrukturen anschauten.

So for example, the number 164

Also zum Beispiel die Nummer 164

really stands out in that code;

sticht sehr heraus aus diesem Code;

you can't overlook it.

Man kann es nicht übersehen.

I started to research scientific literature

Ich begann damit, wissenschaftliche Literatur durchzuarbeiten,

on how these centrifuges

darüber wie diese Zentrifugen

are actually built in Natanz

in Natanz gebaut werden

and found they are structured

und fand heraus, dass sie strukturiert sind

in what is called a cascade,

in sogenannten Kaskaden,

and each cascade holds 164 centrifuges.

und jede Kaskade enthält 164 Zentrifugen.

So that made sense, that was a match.

Also das machte Sinn, es passte zusammen.

And it even got better.

Und es wurde noch besser.

These centrifuges in Iran

Diese Zentrifugen in Iran

are subdivided into 15, what is called, stages.

sind aufgeteilt in 15 sogenannte Ebenen.

And guess what we found in the attack code?

Und raten Sie was wir in dem Angriffscode gefunden haben?

An almost identical structure.

Eine fast identische Struktur.

So again, that was a real good match.

Also nochmal, das passte wirklich gut zusammen.

And this gave us very high confidence for what we were looking at.

Und dies gab uns große Zuversicht für das, das wir hier untersuchten.

Now don't get me wrong here, it didn't go like this.

Nun, verstehen Sie mich nicht falsch, das ging nicht einfach so.

These results have been obtained

Diese Ergebnisse wurden

over several weeks of really hard labor.

durch mehrere Wochen harter Arbeit erreicht.

And we often went into just a dead end

Und oft rannten wir einfach in eine Sackgasse

and had to recover.

und mussten uns neu sammeln.

Anyway, so we figured out

Jedenfalls fanden wir heraus,

that both digital warheads

dass beide digitalen Sprengköpfe

were actually aiming at one and the same target,

in Wirklichkeit auf ein und das selbe Ziel zusteuerten,

but from different angles.

aber aus verschiedenen Richtungen.

The small warhead is taking one cascade,

Der kleine Sprengkopf übernimmt eine Kaskade,

and spinning up the rotors and slowing them down,

und überdreht die Rotoren und verlangsamt sie

and the big warhead

und der große Sprengkopf

is talking to six cascades

tritt mit sechs Kaskaden in Interaktion

and manipulating valves.

und manipuliert Ventile.

So in all, we are very confident

Also, im Großen und Ganzen sind wir sehr zuversichtlich,

that we have actually determined what the target is.

dass wir tatsächlich bestimmt haben, was das Ziel ist.

It is Natanz, and it is only Natanz.

Es ist Natanz und es ist nur Natanz.

So we don't have to worry

Also müssen wir uns keine Sorgen machen,

that other targets

dass andere Ziele

might be hit by Stuxnet.

von Stuxnet getroffen werden könnten.

Here's some very cool stuff that we saw --

Hier ist etwas wirklich cooles Zeug, das wir entdeckt haben --

really knocked my socks off.

hat mich echt aus den Socken gehauen.

Down there is the gray box,

Dort unten ist die graue Box,

and on the top you see the centrifuges.

und oben drauf sehen Sie die Zentrifugen.

Now what this thing does

Nun, was dieses Ding bewirkt

is it intercepts the input values from sensors --

ist, dass es die eingehenden Werte von Sensoren abfängt --

so for example, from pressure sensors

also zum Beispiel von Drucksensoren

and vibration sensors --

und Vibrationssensoren --

and it provides legitimate program code,

und es stellt legitimen Code zur Verfügung,

which is still running during the attack,

der noch während dem Angriff,

with fake input data.

mit falschen eingehenden Daten, läuft.

And as a matter of fact, this fake input data

Und tatsächlich sind dieses falschen eingehenden Daten

is actually prerecorded by Stuxnet.

von Stuxnet vorher schon aufgenommen.

So it's just like from the Hollywood movies

Also ist es genau so wie in Hollywoodfilmen,

where during the heist,

wo während der Verfolgungsjagd

the observation camera is fed with prerecorded video.

die Überwachungskamera mit vorher aufgenommenem Videoaufnahmen gefüttert wird.

That's cool, huh?

Das ist cool, nicht wahr?

The idea here is obviously

Die Idee hierbei ist offensichtlich

not only to fool the operators in the control room.

nicht nur, die Maschinenbediener im Kontrollraum überlisten.

It actually is much more dangerous and aggressive.

Tatsächlich ist es noch viel gefährlicher und aggressiver.

The idea

Die Idee

is to circumvent a digital safety system.

ist, ein digitales Sicherheitssystem zu überlisten.

We need digital safety systems

Wir brauchen digitale Sicherheitssysteme

where a human operator could not act quick enough.

dort, wo ein menschlicher Maschinenbediener nicht schnell genug reagieren kann.

So for example, in a power plant,

Also in einem Kraftwerk zum Beispiel,

when your big steam turbine gets too over speed,

wenn die Große Dampfturbine zu schnell wird,

you must open relief valves within a millisecond.

muss man Entlastungsventile innerhalb von Millisekunden öffnen.

Obviously, this cannot be done by a human operator.

Natürlich kann dies nicht von einem menschlichen Maschinenführer erledigt werden.

So this is where we need digital safety systems.

Also an dieser Stelle brauchen wir digitale Sicherheitssysteme.

And when they are compromised,

Und wenn die gefährdet sind,

then real bad things can happen.

dann können wirklich schlimme Dinge geschehen.

Your plant can blow up.

Das Kraftwerk kann explodieren.

And neither your operators nor your safety system will notice it.

Und weder die Maschinenführer, noch das Sicherheitssystem wird es bemerken.

That's scary.

Das ist beängstigend.

But it gets worse.

Aber es wird noch schlimmer.

And this is very important, what I'm going to say.

Und das was ich jetzt sage ist sehr wichtig.

Think about this:

Denken Sie darüber nach.

this attack is generic.

Dieser Angriff ist generisch.

It doesn't have anything to do, in specifics,

Er hat nichts speziell zu tun mit

with centrifuges,

Zentrifugen,

with uranium enrichment.

mit Urananreicherung.

So it would work as well, for example,

Also würde er beispielsweise genau so gut funktionieren --

in a power plant

in einem Kraftwerk

or in an automobile factory.

oder in einer Automobilfabrik.

It is generic.

Es ist generisch.

And you don't have -- as an attacker --

Und man muss nicht -- als der Angreifer --

you don't have to deliver this payload

muss man die Nutzdaten nicht

by a USB stick,

über einen USB- Stick anbringen,

as we saw it in the case of Stuxnet.

wie wir es bei Stuxnet gesehen haben.

You could also use conventional worm technology for spreading.

Man könnte auch gewöhnliche Wurm- Technologie zum Verbreiten verwenden.

Just spread it as wide as possible.

Man muss es nur so weit wie möglich verbreiten.

And if you do that,

Und wenn man das tut,

what you end up with

erhält man schließlich

is a cyber weapon of mass destruction.

eine Cyber- Massenvernichtungswaffe.

That's the consequence

Das ist die Konsequenz,

that we have to face.

der wir uns stellen müssen.

So unfortunately,

Also unglücklicherweise

the biggest number of targets for such attacks

liegt die größte Nummer von Zielen für solche Angriffe

are not in the Middle East.

nicht im Mittleren Osten.

They're in the United States and Europe and in Japan.

Sie liegen in den Vereinigten Staaten, in Europa und Japan.

So all of the green areas,

Also all diese grünen Gebiete,

these are your target-rich environments.

dies sind die Zielreichsten Umgebungen.

We have to face the consequences,

Wir müssen uns den Konsequenzen stellen

and we better start to prepare right now.

und wir fangen besser an uns vorzubereiten.

Thanks.

Danke.

(Applause)

(Applaus)

Chris Anderson: I've got a question.

Chris Anderson: Ich habe eine Frage.

Ralph, it's been quite widely reported

Ralph, es wurde sehr viel davon berichtet,

that people assume that Mossad

dass Leute vermuten, dass der Mossad

is the main entity behind this.

die Hauptorganisation dahinter ist.

Is that your opinion?

Ist das auch deine Meinung?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: Okay, du willst das wirklich wissen?

Yeah. Okay.

Ja. Okay.

My opinion is that the Mossad is involved,

Meiner Meinung nach ist der Mossad involviert,

but that the leading force is not Israel.

aber die treibende Kraft ist nicht Israel.

So the leading force behind that

Also die treibende Kraft dahinter

is the cyber superpower.

ist die Cyber- Supermacht.

There is only one,

Es gibt nur eine

and that's the United States --

und das sind die Vereinigten Staaten --

fortunately, fortunately.

zum Glück, zum Glück.

Because otherwise,

Denn andernfalls

our problems would even be bigger.

wäre unser Problem sogar noch größer.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Danke, dass du uns eine Heidenangst eingejagt hast. Danke Ralph.

(Applause)

(Applaus)