Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ralph Langnet: Quebrando Stuxnet, un arma cibernética del siglo XXI

Traductor: Gisela Giardino Revisor: MICHELLE NUGENT

The idea behind the Stuxnet computer worm

La idea detrás del gusano informático Stuxnet

is actually quite simple.

es en realidad muy simple.

We don't want Iran to get the bomb.

No queremos que Irán obtenga la bomba nuclear.

Their major asset for developing nuclear weapons

Su mayor activo para desarrollar armas nucleares

is the Natanz uranium enrichment facility.

es la planta de enriquecimiento de Uranio en Natanz.

The gray boxes that you see,

Las cajas grises que ven

these are real-time control systems.

son sistemas de control en tiempo real.

Now if we manage to compromise these systems

Si logramos comprometer estos sistemas

that control drive speeds and valves,

que controlan velocidades y válvulas,

we can actually cause a lot of problems

podemos causar un montón de problemas

with the centrifuge.

con la centrífuga.

The gray boxes don't run Windows software;

Las cajas grises no usan software de Windows;

they are a completely different technology.

son de una tecnología completamente diferente.

But if we manage

Pero si logramos

to place a good Windows virus

poner un virus efectivo de Windows

on a notebook

en un ordenador portátil

that is used by a maintenance engineer

usado por un ingeniero

to configure this gray box,

para configurar esta caja gris,

then we are in business.

entonces estamos listos.

And this is the plot behind Stuxnet.

Este es el plan detrás de Stuxnet.

So we start with a Windows dropper.

Comenzamos con un instalador Windows.

The payload goes onto the gray box,

La ojiva ingresa a la caja gris,

damages the centrifuge,

daña la centrífuga,

and the Iranian nuclear program is delayed --

y el programa nuclear iraní es demorado;

mission accomplished.

misión cumplida.

That's easy, huh?

Es fácil, ¿eh?

I want to tell you how we found that out.

Quiero contarles cómo descubrimos esto.

When we started our research on Stuxnet six months ago,

Cuando comenzamos a investigar sobre Stuxnet hace 6 meses,

it was completely unknown what the purpose of this thing was.

el propósito era completamente desconocido.

The only thing that was known

Lo único que se sabía es que

is it's very, very complex on the Windows part, the dropper part,

es muy, muy complejo en la parte de Windows: el instalador

used multiple zero-day vulnerabilities.

usaba múltiples vulnerabilidades día-cero.

And it seemed to want to do something

Parecía querer hacer algo

with these gray boxes, these real-time control systems.

con estas cajas grises, estos sistemas de control.

So that got our attention,

Eso nos llamó la atención,

and we started a lab project

y comenzamos un experimento

where we infected our environment with Stuxnet

en el que infectamos nuestro entorno con Stuxnet

and checked this thing out.

y vimos qué pasaba con esto.

And then some very funny things happened.

Entonces pasaron cosas muy extrañas.

Stuxnet behaved like a lab rat

Stuxnet se comportaba como una rata de laboratorio

that didn't like our cheese --

a la que no le gustaba nuestro queso:

sniffed, but didn't want to eat.

lo olía, pero no quería comer.

Didn't make sense to me.

No tenía sentido para mí.

And after we experimented with different flavors of cheese,

Y luego de experimentar con diferentes sabores de queso,

I realized, well, this is a directed attack.

me di cuenta, y pensé: “Esto es un ataque dirigido.

It's completely directed.

Es completamente dirigido."

The dropper is prowling actively

El instalador está buscando activamente

on the gray box

en la caja gris

if a specific configuration is found,

si encuentra una configuración específica,

and even if the actual program code that it's trying to infect

e incluso si el programa que está tratando de infectar

is actually running on that target.

está efectivamente funcionando en ese lugar:

And if not, Stuxnet does nothing.

si no, Stuxnet no hace nada.

So that really got my attention,

Así que eso llamó mi atención,

and we started to work on this

y comenzamos a trabajar en esto

nearly around the clock,

casi 24 horas al día,

because I thought, "Well, we don't know what the target is.

porque pensé; "No sabemos cuál es el objetivo."

It could be, let's say for example,

Podría ser, digamos por ejemplo,

a U.S. power plant,

una planta de energía de EEUU,

or a chemical plant in Germany.

o una planta química en Alemania.

So we better find out what the target is soon."

Mejor que descubriéramos el objetivo pronto.

So we extracted and decompiled

Entonces extrajimos y descompilamos

the attack code,

el código de ataque,

and we discovered that it's structured in two digital bombs --

y descubrimos que estaba estructurado en 2 bombas digitales:

a smaller one and a bigger one.

una pequeña y una grande.

And we also saw that they are very professionally engineered

También vimos que estaban armados muy profesionalmente

by people who obviously had all insider information.

por gente que obviamente tenía toda la información interna.

They knew all the bits and bites

Conocían todos los puntos

that they had to attack.

por los que atacar.

They probably even know the shoe size of the operator.

Probablemente incluso sepan cuánto calza el operador.

So they know everything.

Así que saben todo.

And if you have heard that the dropper of Stuxnet

Y si han escuchado que el instalador de Stuxnet

is complex and high-tech,

es complejo y de alta tecnología,

let me tell you this:

déjenme decirles:

the payload is rocket science.

la carga es muy compleja.

It's way above everything

Está muy por encima de todo

that we have ever seen before.

lo que hayamos visto antes.

Here you see a sample of this actual attack code.

Aquí ven una muestra de este código de ataque.

We are talking about --

Estamos hablando de

around about 15,000 lines of code.

alrededor de 15 mil líneas de código.

Looks pretty much like old-style assembly language.

Se parece bastante al viejo lenguaje ensamblador.

And I want to tell you how we were able

Quiero contarles cómo pudimos

to make sense out of this code.

encontrarle sentido a este código.

So what we were looking for is, first of all, system function calls,

Lo que buscábamos al principio eran llamadas a funciones del sistema,

because we know what they do.

porque sabemos lo que hacen.

And then we were looking for timers and data structures

Luego buscábamos temporizadores y estructuras de datos

and trying to relate them to the real world --

y tratábamos de relacionarlos con el mundo real,

to potential real world targets.

con potenciales objetivos del mundo real.

So we do need target theories

Necesitamos teorías sobre destinatarios

that we can prove or disprove.

que podamos aprobar o desaprobar.

In order to get target theories,

Para llegar a teorías sobre objetivos,

we remember

recordamos

that it's definitely hardcore sabotage,

que es definitivamente un sabotaje violento,

it must be a high-value target

debe ser un blanco valioso,

and it is most likely located in Iran,

y está seguramente ubicado en Irán,

because that's where most of the infections had been reported.

porque es donde la mayoría de las infecciones ha sido reportada.

Now you don't find several thousand targets in that area.

No se encuentran varios miles de objetivos en ese área.

It basically boils down

Básicamente se reduce

to the Bushehr nuclear power plant

a la planta de energía nuclear de Bushehr

and to the Natanz fuel enrichment plant.

y a la planta de enriquecimiento de Natanz.

So I told my assistant,

Entonces le dije a mi asistente,

"Get me a list of all centrifuge and power plant experts from our client base."

"Tráeme una lista de todos los expertos en centrífugas y plantas de energía entre nuestros clientes."

And I phoned them up and picked their brain

Los llamé y les consulté

in an effort to match their expertise

en un esfuerzo por conjugar su experiencia

with what we found in code and data.

con lo que encontramos en código y datos.

And that worked pretty well.

Y funcionó bastante bien.

So we were able to associate

Así que pudimos asociar

the small digital warhead

la pequeña ojiva digital

with the rotor control.

con el control del rotor.

The rotor is that moving part within the centrifuge,

El rotor es esa parte móvil dentro de la centrífuga,

that black object that you see.

ese objeto negro que ven.

And if you manipulate the speed of this rotor,

Si manejan la velocidad de este rotor,

you are actually able to crack the rotor

ciertamente pueden quebrarlo

and eventually even have the centrifuge explode.

e incluso hacer que la centrífuga explote.

What we also saw

Lo que también vimos

is that the goal of the attack

es que la meta del ataque

was really to do it slowly and creepy --

era hacerlo lento y desconcertar

obviously in an effort

en un obvio esfuerzo

to drive maintenance engineers crazy,

por volver locos a los ingenieros de mantenimiento,

that they would not be able to figure this out quickly.

para que no pudieran resolver esto rápidamente.

The big digital warhead -- we had a shot at this

Intentamos descifrar la ojiva digital grande

by looking very closely

observando muy de cerca

at data and data structures.

a los datos y sus estructuras.

So for example, the number 164

Así, por ejemplo, el número 164

really stands out in that code;

sobresale en ese código,

you can't overlook it.

no se puede obviar.

I started to research scientific literature

Empecé a investigar literatura científica

on how these centrifuges

sobre cómo estas centrífugas

are actually built in Natanz

son construidas en Natanz

and found they are structured

y encontré que son estructuradas

in what is called a cascade,

en lo que se llama una cascada,

and each cascade holds 164 centrifuges.

y cada cascada contiene 164 centrífugas.

So that made sense, that was a match.

Eso tenía sentido, había una coincidencia.

And it even got better.

Y se puso mejor aún.

These centrifuges in Iran

Estas centrífugas en Irán

are subdivided into 15, what is called, stages.

están divididas en 15 partes llamadas etapas.

And guess what we found in the attack code?

Y ¿adivinen qué encontramos en el código de ataque?

An almost identical structure.

Una estructura casi idéntica.

So again, that was a real good match.

Así que de nuevo, eso era una buena coincidencia.

And this gave us very high confidence for what we were looking at.

Esto nos dio mucha confianza en entender lo que teníamos entre manos.

Now don't get me wrong here, it didn't go like this.

Para que no haya malentendidos: no fue así:

These results have been obtained

los resultados han sido obtenidos

over several weeks of really hard labor.

tras varias semanas de trabajo duro.

And we often went into just a dead end

Habitualmente terminábamos en callejones sin salida

and had to recover.

y teníamos que volver a empezar.

Anyway, so we figured out

Aún así, descubrimos

that both digital warheads

que ambas ojivas digitales

were actually aiming at one and the same target,

apuntaban a un solo y mismo objetivo,

but from different angles.

pero desde diferentes ángulos.

The small warhead is taking one cascade,

La ojiva pequeña está tomando una cascada,

and spinning up the rotors and slowing them down,

y haciendo girar los rotores y ralentizándolos,

and the big warhead

y la ojiva grande

is talking to six cascades

se comunica con seis cascadas

and manipulating valves.

y manipulando válvulas.

So in all, we are very confident

En suma, estamos muy confiados

that we have actually determined what the target is.

en que hemos determinado cuál es el destinatario.

It is Natanz, and it is only Natanz.

Es Natanz, y es sólo Natanz.

So we don't have to worry

No debemos preocuparnos

that other targets

de que otros objetivos

might be hit by Stuxnet.

sean alcanzados por Stuxnet.

Here's some very cool stuff that we saw --

Aquí les muestro unas cosas muy interesantes que vimos,

really knocked my socks off.

realmente me impresionaron.

Down there is the gray box,

Ahí está la caja gris,

and on the top you see the centrifuges.

y arriba se ven las centrífugas.

Now what this thing does

Lo que esta cosa hace

is it intercepts the input values from sensors --

es interceptar los valores de entrada de los sensores

so for example, from pressure sensors

por ejemplo, de los sensores de presión

and vibration sensors --

y los sensores de vibración

and it provides legitimate program code,

y provee código legítimo,

which is still running during the attack,

el cual todavía ejecuta durante el ataque,

with fake input data.

con falsos datos de entrada.

And as a matter of fact, this fake input data

Y, créase o no, estos datos de entrada falsos

is actually prerecorded by Stuxnet.

son pregrabados por Stuxnet.

So it's just like from the Hollywood movies

Es como en las películas de Hollywood

where during the heist,

donde, durante el robo,

the observation camera is fed with prerecorded video.

la cámara de seguridad se alimenta de video pregrabado.

That's cool, huh?

Es genial ¿eh?

The idea here is obviously

La idea aquí es obviamente

not only to fool the operators in the control room.

no sólo burlar a los operadores en el cuarto de control.

It actually is much more dangerous and aggressive.

Es realmente mucho más peligrosa y agresiva.

The idea

La idea

is to circumvent a digital safety system.

es burlar un sistema de seguridad digital.

We need digital safety systems

Necesitamos sistemas de seguridad digital

where a human operator could not act quick enough.

donde un operador humano no podría actuar rápido.

So for example, in a power plant,

Por ejemplo, en una planta de energía,

when your big steam turbine gets too over speed,

cuando la gran turbina de vapor se pasa de velocidad,

you must open relief valves within a millisecond.

se deben abrir válvulas de escape en un milisegundo.

Obviously, this cannot be done by a human operator.

Obviamente, esto no puede hacerlo un operador humano.

So this is where we need digital safety systems.

Allí es donde necesitamos sistemas de seguridad digital.

And when they are compromised,

Y cuando están comprometidos,

then real bad things can happen.

entonces pueden pasar cosas malas.

Your plant can blow up.

La planta puede explotar.

And neither your operators nor your safety system will notice it.

Y ni los operarios ni el sistema de seguridad lo notarán.

That's scary.

Eso asusta.

But it gets worse.

Pero puede ser peor.

And this is very important, what I'm going to say.

Lo que voy a decir es muy importante.

Think about this:

Piensen en esto.

this attack is generic.

Este ataque es genérico.

It doesn't have anything to do, in specifics,

No tiene nada que ver, específicamente,

with centrifuges,

con centrífugas,

with uranium enrichment.

con enriquecimiento de uranio.

So it would work as well, for example,

Podría funcionar también, por ejemplo,

in a power plant

en una planta de energía,

or in an automobile factory.

o en una fábrica automotriz.

It is generic.

Es genérico.

And you don't have -- as an attacker --

Y no tienes (como atacante)

you don't have to deliver this payload

que diseminar esta carga

by a USB stick,

con una llave USB,

as we saw it in the case of Stuxnet.

como vimos en el caso de Stuxnet.

You could also use conventional worm technology for spreading.

También podrías usar tecnología convencional de gusanos para diseminarlo.

Just spread it as wide as possible.

Diseminarlo lo más posible.

And if you do that,

Y si hicieras eso,

what you end up with

con lo que terminarías

is a cyber weapon of mass destruction.

es con una ciber-arma de destrucción masiva.

That's the consequence

Esa es la consecuencia

that we have to face.

que debemos enfrentar.

So unfortunately,

Desafortunadamente,

the biggest number of targets for such attacks

el mayor número de objetivos para tales ataques

are not in the Middle East.

no está en Medio Oriente.

They're in the United States and Europe and in Japan.

Está en los Estados Unidos y en Japón.

So all of the green areas,

Todas las áreas verdes

these are your target-rich environments.

son espacios con gran número de objetivos.

We have to face the consequences,

Debemos enfrentar las consecuencias,

and we better start to prepare right now.

y mejor que nos empecemos a preparar ahora.

Thanks.

Gracias.

(Applause)

(Aplausos)

Chris Anderson: I've got a question.

Chris Anderson: Tengo una pregunta.

Ralph, it's been quite widely reported

Ralph, se ha hecho público en muchos lados

that people assume that Mossad

que la gente asume que el Mossad

is the main entity behind this.

es la principal entidad detrás de esto.

Is that your opinion?

¿Cuál es tu opinión?

Ralph Langner: Okay, you really want to hear that?

Ralph Langnet: Okey, ¿realmente quieren escuchar esto?

Yeah. Okay.

Sí. Okey.

My opinion is that the Mossad is involved,

Mi opinión es que el Mossad está involucrado,

but that the leading force is not Israel.

pero el motor no es Israel:

So the leading force behind that

el motor detrás de esto

is the cyber superpower.

es la superpotencia cibernética.

There is only one,

Existe una sola,

and that's the United States --

y ésa es los Estados Unidos,

fortunately, fortunately.

afortunadamente, afortunadamente.

Because otherwise,

Porque, de otro modo,

our problems would even be bigger.

nuestros problemas serían aún mayores.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Gracias por atemorizarnos. Gracias, Ralph.

(Applause)

(Aplausos)