Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Translator: Leila Ataei

The idea behind the Stuxnet computer worm

ایده اصلی کرم کامپیوتری استاکس نت

is actually quite simple.

در واقع بسیار ساده است.

We don't want Iran to get the bomb.

ما نمی‌خواهیم ایران به بمب دست پیدا کند.

Their major asset for developing nuclear weapons

دارایی اصلیشان برای توسعه سلاح‌های هسته‌ای

is the Natanz uranium enrichment facility.

در سایت غنی‌سازی اورانیوم نطنز واقع شده.

The gray boxes that you see,

مستطیل‌های خاکستری رنگی که می‌بینید،

these are real-time control systems.

سیستم‌های کنترلی بلادرنگی هستند.

Now if we manage to compromise these systems

حال اگر بتوانیم مدیریت این سیستم‌ها که سرعت چرخش

that control drive speeds and valves,

و دریچه‌ها را کنترل می‌کنند، در دست بگیریم

we can actually cause a lot of problems

می‌اتونیم کلی دردسر برای

with the centrifuge.

سانتریفیوژها ایجاد کنیم.

The gray boxes don't run Windows software;

مستطیلهای خاکستری تحت فرمان ویندوز نیستند؛

they are a completely different technology.

فناوری کاملا متفاوتی دارند.

But if we manage

اما اگر بتوانیم

to place a good Windows virus

یک ویروس خوب ویندوز را روی

on a notebook

لپ تاپی قرار بدهیم

that is used by a maintenance engineer

از سوی یک مهندس سرویس و نگهداری جهت تنظیم

to configure this gray box,

این مستطبل خاکستری استفاده می‌شود،

then we are in business.

به هدف رسیدیم.

And this is the plot behind Stuxnet.

و این پشت پرده استاکس نت هست.

So we start with a Windows dropper.

خب از یک دراپر ویندوزی (نصب کننده بد افزار) شروع می‌کنیم.

The payload goes onto the gray box,

پیلود (قسمت مخرب بد افزار) که به آن مستطیل خاکستری می‌رسد

damages the centrifuge,

به سانترفیوژها آسیب می زند،

and the Iranian nuclear program is delayed --

و برنامه هسته‌ای ایران دچار خلل می‌شود--

mission accomplished.

هدف محقق شد.

That's easy, huh?

به همین آسانی. نه؟

I want to tell you how we found that out.

برایتان ماجرایش را تعریف می کنم.

When we started our research on Stuxnet six months ago,

۶ ماه پیش که تحقیق بر روی استاکس نت را شروع کردیم،

it was completely unknown what the purpose of this thing was.

هدف این بدافزار کاملا ناشناخته بود.

The only thing that was known

تنها چیز مشخص این بود که

is it's very, very complex on the Windows part, the dropper part,

در سمت ویندوزی (قسمت دراپر) خیلی خیلی پیچیده است،

used multiple zero-day vulnerabilities.

از چندین آسیب‌پذیری ناشناخته استفاده می‌کرد.

And it seemed to want to do something

و به نظر می‌رسید که می‌خواهد کاری با

with these gray boxes, these real-time control systems.

جعبه‌های خاکستری، این سیستمهای کنترل بلادرنگ کند.

So that got our attention,

خب توجه ما را به خودش جلب کرد،

and we started a lab project

و پروژه آزمایشگاهی را شروع کردیم

where we infected our environment with Stuxnet

که در آن محیط را به استاکس نت آلوده کردیم

and checked this thing out.

و عملکردش را بررسی کردیم.

And then some very funny things happened.

و چیزهای جالبی اتفاق افتاد.

Stuxnet behaved like a lab rat

استاکس نت مثل موش آزمایشگاهی رفتار می‌کرد

that didn't like our cheese --

که پنیرهای ما را دوست نداشت--

sniffed, but didn't want to eat.

بو می‌کشید اما نمی‌خواست بخورد.

Didn't make sense to me.

برایم غیرقابل درک بود.

And after we experimented with different flavors of cheese,

و بعد از اینکه با طعم‌های مختلف پنیر تست کردیم،

I realized, well, this is a directed attack.

به این نتیجه رسیدم که این یک حمله مستقیم است.

It's completely directed.

کاملا جهت دار.

The dropper is prowling actively

دراپر فعالانه بر روی

on the gray box

مستطیل خاکستری پرسه می زند.

if a specific configuration is found,

اگر تنظبمات خاصی پیدا شد

and even if the actual program code that it's trying to infect

و حتی اگر که کد برنامه اصلی که قصد آلوده کردنش را دارد

is actually running on that target.

در حال اجرا بر روی هدف هست.

And if not, Stuxnet does nothing.

و در غیر آن، استاکس نت هیچ کاری نمی‌کند.

So that really got my attention,

و آن واقعا توجه من را به خودش جلب کرد،

and we started to work on this

و روی آن شروع به کار کردیم

nearly around the clock,

تقریبا شبانه روزی،

because I thought, "Well, we don't know what the target is.

چون فکر کردم که «خب ما نمی‌دانیم هدف چیست.

It could be, let's say for example,

هدف چیزی می‌تواند باشد مثل

a U.S. power plant,

یک نیروگاه انرژی آمریکایی،

or a chemical plant in Germany.

یا کارخانه شیمیایی در آلمان.

So we better find out what the target is soon."

پس بهتر بود زودتر سر دربیاریم که هدف چیست.»

So we extracted and decompiled

ما کد حمله گر را پیدا کردیم

the attack code,

و کد اصلی را باز تولید کردیم.

and we discovered that it's structured in two digital bombs --

فهمیدیم که از ۲ بمب دیجیتال تشکیل شده--

a smaller one and a bigger one.

یک بمب کوچکتر و یک بزرگتر.

And we also saw that they are very professionally engineered

و متوجه شدیم که بسیار حرفه‌ای طراحی شدند توسط افرادی

by people who obviously had all insider information.

که به طور مشخص اطلاعات کافی از داخل هدف داشتند.

They knew all the bits and bites

از کوچکترین اطلاعات مورد نیاز برای حمله

that they had to attack.

خبر داشتند.

They probably even know the shoe size of the operator.

احتمالا سایز پای اپراتور را هم می‌دانستند.

So they know everything.

همه چیز را می دانستند

And if you have heard that the dropper of Stuxnet

و اگر شنیده‌اید که دارپر استاکس نت

is complex and high-tech,

خیلی پیچیده و مدرن است،

let me tell you this:

اجازه دهید که این را بگویم:

the payload is rocket science.

پیچیدگی پیلود مثل علم موشک است.

It's way above everything

به مراتب پیجیده‌تر از هر چیزی هست

that we have ever seen before.

که تا به الان دیده بودیم.

Here you see a sample of this actual attack code.

اینجا قسمتی از کد حمله را می‌بینید.

We are talking about --

ما در مورد چیزی حدود--

around about 15,000 lines of code.

۱۵۰۰۰ خط کد صحبت می‌کنیم.

Looks pretty much like old-style assembly language.

با ظاهری خیلی شبیه به زبان قدیمی اسمبلی.

And I want to tell you how we were able

و میخواهم برایتان بگویم چطور توانستیم

to make sense out of this code.

از این کد سر در بیاوریم.

So what we were looking for is, first of all, system function calls,

قبل از هرچیز، دنبال فراخوانی توابع سیستمی بودیم،

because we know what they do.

چونکه می‌دانستیم چه کار می‌کنند.

And then we were looking for timers and data structures

و بعد دنبال تایمرها و ساختارهای داده بودیم و سعی کردیم

and trying to relate them to the real world --

ارتباطی بین آنها و دنیای واقعی پیذا کنیم--

to potential real world targets.

به اهداف محتمل دنیای واقعی.

So we do need target theories

خب به نظریه‌هایی نیاز داشتیم

that we can prove or disprove.

که بتوانیم اثبات یا رد کنیم.

In order to get target theories,

برای پیدا کردن نظریه های هدف،

we remember

ما به یاد داشتیم

that it's definitely hardcore sabotage,

که قطعا نوعی خرابکاری مرکزی در کار است،

it must be a high-value target

و باید هدف ارزشمندی باشد

and it is most likely located in Iran,

و به احتمال زیاد در ایران واقع شده است،

because that's where most of the infections had been reported.

زیرا جایی هست که بیشترین آلوده شدن‌ها گزارش شده است.

Now you don't find several thousand targets in that area.

دیگر اهداف زیادی در این منطقه باقی نمیماند.

It basically boils down

و محدود می‌شد

to the Bushehr nuclear power plant

به نیروگاه بوشهر

and to the Natanz fuel enrichment plant.

و تاسیسات غنی‌سازی نطنز.

So I told my assistant,

خب به دستیارم گفتم

"Get me a list of all centrifuge and power plant experts from our client base."

«فهرست کل متخصصان سانتریفیوژ و نیروگاه‌ها را از مشتریانمان می‌خواهم.»

And I phoned them up and picked their brain

با آنها تماس گرفتم و مشاوره گرفتم

in an effort to match their expertise

در تلاشی برای به کار گرفتن تخصص آنها

with what we found in code and data.

با چیزی که ما در کد و اطلاعات پیدا کردیم.

And that worked pretty well.

و به خوبی جواب داد.

So we were able to associate

و ما به خوبی تونستیم ارتباط بین

the small digital warhead

کلاهک دیجیتال کوچک

with the rotor control.

با کنترل روتور برقرار کنیم.

The rotor is that moving part within the centrifuge,

روتور قسمت چرخنده در داخل سانتریفیوژ است،

that black object that you see.

آن شئ مشکی رنگی که می‌بینید.

And if you manipulate the speed of this rotor,

و اگر شما سرعت روتور را دستکاری کنید

you are actually able to crack the rotor

در واقع میتونید باعث شکستش بشید

and eventually even have the centrifuge explode.

و در نهایت انفجار سانتریفیوژ.

What we also saw

همچنین دیدیم

is that the goal of the attack

که هدف حمله این بوده که

was really to do it slowly and creepy --

خیلی آرام و مرموز انجام شود--

obviously in an effort

مشخصا تلاشی برای

to drive maintenance engineers crazy,

عصبی کردن مهندسان نگهداری بود

that they would not be able to figure this out quickly.

که نتوانند به راحتی از موضوع سر دربیارند.

The big digital warhead -- we had a shot at this

کلاهک دیجیتال بزرگ-- که تلاش زیادی روی‌ آن انجام دادیم

by looking very closely

با بررسی خیلی موشکفانه

at data and data structures.

بر داده و ساختار داده‌ها.

So for example, the number 164

برای مثال عدد ۱۶۴

really stands out in that code;

خیلی برجسته و مشخص

you can't overlook it.

که به راحتی نمی‌شود از آن چشم پوشی کرد.

I started to research scientific literature

من درمنابع علمی شروع به تحقیق

on how these centrifuges

در مورد چگونگی ساخت این سانتریفیوژها

are actually built in Natanz

در نطنز کردم

and found they are structured

و فهمیدم که آنها دارای ساختاری هستند

in what is called a cascade,

که به آن آبشار می‌‌گویند

and each cascade holds 164 centrifuges.

و هر آبشار شامل ۱۶۴ سانتریفیوژ است.

So that made sense, that was a match.

خب منطقی به نظر میامد و مطابقت داشت.

And it even got better.

و حتی بهتر هم شد.

These centrifuges in Iran

در ایران این سانتریفیوژها

are subdivided into 15, what is called, stages.

به دسته‌های ۱۵تایی تقسیم می‌شوند که مراحل نام دارند.

And guess what we found in the attack code?

و حدس بزنید چی توی کد حمله پیدا کردیم؟

An almost identical structure.

یک ساختار تقریبا یکسان.

So again, that was a real good match.

که باز مطابقت خیلی خوب دیگری بود.

And this gave us very high confidence for what we were looking at.

و این اطمینان را می داد که دنبال چه بودیم.

Now don't get me wrong here, it didn't go like this.

اشتباه نکنید همه چیز‌ به همین راحتی پیش نرفت.

These results have been obtained

این نتایج طی هفته‌ها کار پرفشار

over several weeks of really hard labor.

بدست آمد.

And we often went into just a dead end

و چند باری به ته خط رسیدیم

and had to recover.

و مجبور بودیم از نو شروع کنیم.

Anyway, so we figured out

در هر صورت فهمیدیم که

that both digital warheads

هر دو کلاهک دیجیتالی

were actually aiming at one and the same target,

هدفی یکسان را نشانه گرفتند،

but from different angles.

اما از زاویه‌های متفاوت.

The small warhead is taking one cascade,

کلاهک کوچک هدفش یک آبشار است،

and spinning up the rotors and slowing them down,

چرخاندن بیشتر روترها و کاهش سرعتشان،

and the big warhead

و کلاهک بزرگتر

is talking to six cascades

با شش آبشار در ارتباط است

and manipulating valves.

و دریچه‌ها را دستکاری می‌کند.

So in all, we are very confident

در کل، یقین کامل داریم

that we have actually determined what the target is.

که ما درواقع تعیین کردیم که هدف کجاست،

It is Natanz, and it is only Natanz.

هدف نطنزاست و تنها نطنز است.

So we don't have to worry

پس نیازی نیست نگران باشیم

that other targets

که اهداف دیگری

might be hit by Stuxnet.

شاید مورد حمله استاکس نت قرار بگیرند.

Here's some very cool stuff that we saw --

چیزهای خیلی جالبی دیدیم--

really knocked my socks off.

که من را واقعا حیرت زده کرد.

Down there is the gray box,

در قسمت پایین مستطیل خاکستری رنگ

and on the top you see the centrifuges.

و در بالا سانتریفیوژها را می بینید.

Now what this thing does

خب حالا این چه کار می‌کند--

is it intercepts the input values from sensors --

جلوی مقادیر ارسالی از حسگرها را سد می‌کند--

so for example, from pressure sensors

برای مثال، از حسگرهای فشار

and vibration sensors --

و حسگرهای ارتعاش--

and it provides legitimate program code,

و کد قانونی فراهم می‌کند

which is still running during the attack,

که در طول حمله به اجرای خود با اطلاعات

with fake input data.

ورودی ساختگی ادمه می دهد.

And as a matter of fact, this fake input data

و در حقیقت این داده ورودی ساختگی درواقع

is actually prerecorded by Stuxnet.

از قبل توسط استاکس نت ذخیره شده است.

So it's just like from the Hollywood movies

همانند فیلم‌های هالیوودی

where during the heist,

که در حین سرقت

the observation camera is fed with prerecorded video.

ویدیوهای از قبل ضبط شده به دوربین‌های محافظتی ارسال می‌شود.

That's cool, huh?

با حال است، نه؟

The idea here is obviously

ایده به طور مشخص این نیست

not only to fool the operators in the control room.

که تنها اپراتور اتاق کنترل را دست به سر کند.

It actually is much more dangerous and aggressive.

در واقع بسیار خطرناک‌تر و مهاجم‌تر است.

The idea

ایده این است

is to circumvent a digital safety system.

که سیستم ایمنی دیجیتال را از کار بیاندازد.

We need digital safety systems

سیستم‌های ایمنی دیجیتال در جاهایی نیازند

where a human operator could not act quick enough.

که اپراتور انسانی بحد کافی سریع نیست.

So for example, in a power plant,

مثلا در نیروگاه‌های انرژی،

when your big steam turbine gets too over speed,

زمانی که توربین بخار بزرگ سرعتش بیش از حد زیاد می‌شود.

you must open relief valves within a millisecond.

باید دریچه‌های آسودگی را در یک میلی ثانیه باز کنید.

Obviously, this cannot be done by a human operator.

مشخصا کار اپراتور انسان نیست.

So this is where we need digital safety systems.

خب اینجاست که سیستم ایمنی دیجیتال لازم داریم.

And when they are compromised,

و زمانی که آنها در اختیار گرفته شده باشند،

then real bad things can happen.

اتفاقات بدی ممکن است رخ دهد.

Your plant can blow up.

نیروگاه ممکن منفجر شود.

And neither your operators nor your safety system will notice it.

و نه اپراتور و نه سیستم ایمنی دیجیتال متوجه آن نمی‌شود.

That's scary.

وحشتناک است.

But it gets worse.

اما بدتر هم می‌شود.

And this is very important, what I'm going to say.

و چیزی که قرار است بگویم خیلی مهم است.

Think about this:

در موردش فکر کنید:

this attack is generic.

این یک حمله عمومی است.

It doesn't have anything to do, in specifics,

به طور خاص ارتباطی

with centrifuges,

با سانتریفیوژها،

with uranium enrichment.

با تجهیزات غنی سازی اورانیوم ندارد.

So it would work as well, for example,

و ممکن است به خوبی در جاهای دیگر کار کند.

in a power plant

مثل نیروگاه انرژی

or in an automobile factory.

یا کارخانه اتومبیل سازی.

It is generic.

عمومی است.

And you don't have -- as an attacker --

و به عنوان حمله گر اجباری نیست--

you don't have to deliver this payload

که پیلود را از طریق

by a USB stick,

حافظه یو اس بی (USB) انتقال دهید،

as we saw it in the case of Stuxnet.

به روشی که ما در استاکس نت دیدم.

You could also use conventional worm technology for spreading.

می‌شود از فناوری معمول ورم‌ها (کرم‌ها) برای انتشار استفاده گردد.

Just spread it as wide as possible.

تا جای ممکن آن را منتشر کنید.

And if you do that,

و با انجام این کار

what you end up with

چیزی که حاصل می‌شود

is a cyber weapon of mass destruction.

سلاحی سایبری برای تخریب در حجم بالا است.

That's the consequence

و پیامدی است

that we have to face.

که باید با آن روبرو شویم.

So unfortunately,

متاسفانه،

the biggest number of targets for such attacks

اهداف بیشترچنین حملاتی

are not in the Middle East.

در خاورمیانه نیست.

They're in the United States and Europe and in Japan.

بلکه آمریکا، اروپا و ژاپن هستند.

So all of the green areas,

تمامی قسمتهای سبز،

these are your target-rich environments.

محیط‌هایی با اهداف زیاد هستند.

We have to face the consequences,

ما باید با نتیجه کار رو به رو شویم،

and we better start to prepare right now.

و بهتر است خود را همین حالا آماده کنیم.

Thanks.

متشکرم.

(Applause)

(تشویق)

Chris Anderson: I've got a question.

کریس اندرسون: سوالی دارم.

Ralph, it's been quite widely reported

رالف؛ به طور گسترده گزارش شده

that people assume that Mossad

که مردم تصور می‌کنند که موساد

is the main entity behind this.

ماهیت اصلی پشت این اتفاق هست.

Is that your opinion?

آیا تو هم اینطوری فکر می‌کنی؟

Ralph Langner: Okay, you really want to hear that?

رالف لنگنر، باشد، واقعا می‌خواهید بدانید؟

Yeah. Okay.

بله.

My opinion is that the Mossad is involved,

به عقیده من موساد دخیل است،

but that the leading force is not Israel.

اما قدرت اصلی و پیشگام اسرائیل نیست.

So the leading force behind that

قدرت اصلی پیشرو

is the cyber superpower.

ابرقدرت سایبری است.

There is only one,

تنها یکی هست،

and that's the United States --

و آن هم آمریکاست--

fortunately, fortunately.

خوشبختانه، خوشبختانه.

Because otherwise,

چون در غیر این صورت

our problems would even be bigger.

مشکلاتمان از این هم بزرگ‌تر می‌شد.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

ک ا: تشکر از این که ما را ترسوندی. ممنون رالف.

(Applause)

(تشویق )