Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Kääntäjä: Valtteri Tamminen Oikolukija: Sami Niskanen

Stuxnet-madon idea

on oikestaan yksinkertainen.

The idea behind the Stuxnet computer worm

Emme halua että Iran saa ydinaseita.

is actually quite simple.

Tärkein laitos niitten kehittämiseen Iranissa

We don't want Iran to get the bomb.

on Natanzin väkevöintilaitos

Their major asset for developing nuclear weapons

is the Natanz uranium enrichment facility.

Nämä harmaat laatikot

ovat reaaliaikaisia ohjausjärjestelmiä.

The gray boxes that you see,

Jos sisälle näihin järjestelmiin,

these are real-time control systems.

jotka kontroloivat koneen nopeutta ja venttiilejä,

Now if we manage to compromise these systems

voimme aiheuttaa paljon ongelmia

that control drive speeds and valves,

lingolle.

we can actually cause a lot of problems

Nämä laatikot eivät käytä Windowsia

with the centrifuge.

vaan ihan eri teknologiaa.

The gray boxes don't run Windows software;

Mutta jos pystymme

they are a completely different technology.

laittamaan hyvän Windows-viruksen

But if we manage

läppärille,

to place a good Windows virus

jota huoltoinsinööri käyttää

on a notebook

laatikon konfiguroimiseen,

that is used by a maintenance engineer

sitten meillä on homma hanskassa.

to configure this gray box,

Tämä on Stuxnetin juoni

then we are in business.

Aloitamme Windows-tiputtimella.

And this is the plot behind Stuxnet.

So we start with a Windows dropper.

Hyötökuorma menee siihen laatikkoon,

tuhoaa lingon,

The payload goes onto the gray box,

ja Iranin ydinohjelma viivästyy -

damages the centrifuge,

and the Iranian nuclear program is delayed --

tehtävä suoritettu.

mission accomplished.

Helppoa, eikö?

Haluan kertoa miten saimme tämän selville.

That's easy, huh?

Kun aloitimme Stuxnetin tutkimisen 6 kuukautta sitten,

I want to tell you how we found that out.

sen tehtävä oli meille täysin epäselvä.

When we started our research on Stuxnet six months ago,

Ainoa tieto, mikä meillä oli,

it was completely unknown what the purpose of this thing was.

oli että se on erittäin monimutkainen Windowsin kohdalla, tiputtimella

The only thing that was known

käytti monta nollapäivän aukkoa

is it's very, very complex on the Windows part, the dropper part,

ja vaikutti siltä että se halusi tehdä jotain

used multiple zero-day vulnerabilities.

näille harmaille laatikoille, reaaliaikaisille ohjaukselle.

And it seemed to want to do something

Se sai meidän huomion,

with these gray boxes, these real-time control systems.

ja aloitimme projektin,

So that got our attention,

jossa laitoimme omiin koneisiimme Stuxnetin

and we started a lab project

where we infected our environment with Stuxnet

ja katsoimme mitä tapahtuu.

Ja sitten jotain hauskaa tapahtui.

and checked this thing out.

Stuxnet oli kuin rotta,

And then some very funny things happened.

joka ei tykännyt meidän juustosta,

Stuxnet behaved like a lab rat

se nuuski, mutta ei haukannut palaakaan.

that didn't like our cheese --

Se ei ollut minun mielestä järkevää.

sniffed, but didn't want to eat.

sen jälkeen kun kokeilimme monta eri juustoa

Didn't make sense to me.

huomasin että tämä on suunnattu hyökkäys.

And after we experimented with different flavors of cheese,

I realized, well, this is a directed attack.

Täysin suunnattu.

Tiputin etsii jatkuvasti

It's completely directed.

harmaassa laatikossa,

The dropper is prowling actively

kunnes löytää tietyn kokoonpanon

on the gray box

vaikka alkuperäinen ohjelmakoodi

if a specific configuration is found,

and even if the actual program code that it's trying to infect

on kohteessa.

ja jos ei, Stuxnet ei tee mitään

is actually running on that target.

Se sai huomioni

And if not, Stuxnet does nothing.

ja aloimme tutkia tätä

So that really got my attention,

lähes ympäri vuorokauden

and we started to work on this

koska ajattelin, "Emme tiedä mikä tämän kohde on.

nearly around the clock,

Se voisi esimerkiksi olla

because I thought, "Well, we don't know what the target is.

voimalaitos USAssa,

It could be, let's say for example,

tai kemikaalitehdas Saksassa."

a U.S. power plant,

Joten meidän on paras keksiä tämän kohteen ja äkkiä.

or a chemical plant in Germany.

Kopioimme ja purimme

So we better find out what the target is soon."

hyökkäyskoodin,

So we extracted and decompiled

ja löysimme kaksi digitaalsita pommia -

the attack code,

pienemmän ja suuremman.

and we discovered that it's structured in two digital bombs --

Näimme että ammattitaitoinen ryhmä oli tehnyt tämän viruksen

a smaller one and a bigger one.

And we also saw that they are very professionally engineered

ja että heillä oli paljon sisäpiiritietoa.

by people who obviously had all insider information.

He tunsivat kaikki bitit ja tavut,

joihin heidän piti hyökätä

They knew all the bits and bites

He tunsivat varmaan käyttäjän kengänkoonkin.

that they had to attack.

Eli he tiesivät kaiken.

They probably even know the shoe size of the operator.

Ja jos olet kuullut että Stuxnet:n tiputin

So they know everything.

on monimutkainen,

And if you have heard that the dropper of Stuxnet

sanokaa minun sanoneen,

is complex and high-tech,

hyötykuorma on kuin rakettitiedettä.

let me tell you this:

Se on yli kaiken

the payload is rocket science.

mitä olemme koskaan nähneet.

It's way above everything

Tässä on näyte sen hyökkäyskoodista.

that we have ever seen before.

Puhutaan nyt

Here you see a sample of this actual attack code.

noin 15 000 rivistä koodia

We are talking about --

Se näyttää vanhanaikaiselta kookoonpanokoodilta

around about 15,000 lines of code.

Ja haluan kertoa nyt

Looks pretty much like old-style assembly language.

miten saimme tästä selvää.

And I want to tell you how we were able

Etsimme ensinnäkin järjestelmän funktiokutsua,

to make sense out of this code.

koska tiedämme mitä ne tekevät.

So what we were looking for is, first of all, system function calls,

Ja sitten etsimme tietorakenteita

because we know what they do.

And then we were looking for timers and data structures

ja yritimme yhdistää ne tosielämään

ja mahdollisiin kohteisiin.

and trying to relate them to the real world --

Tarvitsemme kohdeteorioita,

to potential real world targets.

joita voimme todistaa tai kumota.

So we do need target theories

Saadaksemme mahdollisia kohteita

that we can prove or disprove.

muistamme

In order to get target theories,

se on varmasti sabotaasia,

we remember

sen on pakko olla suuri arvokohde

that it's definitely hardcore sabotage,

ja se on todennäköisesti Iranissa,

it must be a high-value target

koska suurin osa viruksista oli siellä.

and it is most likely located in Iran,

because that's where most of the infections had been reported.

Siellä ei ole monta tuhatta kohdetta.

Siellä on periaatteessa vain

Now you don't find several thousand targets in that area.

Bushehrin ydinvoimala

It basically boils down

ja Natanzin väkevöintilaitos.

to the Bushehr nuclear power plant

Joten kerroin avustajalleni

and to the Natanz fuel enrichment plant.

"Hanki lista meidän kiihdytin- ja voimala-asiantuntioista"

So I told my assistant,

Joten soitin heille ja esitin kysymyksiä

"Get me a list of all centrifuge and power plant experts from our client base."

sovittaakseni heidän tietonsa

And I phoned them up and picked their brain

siihen, mitä löysimme koodista j datasta.

in an effort to match their expertise

ja se toimi hyvin,

with what we found in code and data.

joten pystyimme liittämään

And that worked pretty well.

pienemmän pommin

So we were able to associate

roottorinohjaukseen.

the small digital warhead

Roottori on lingon liikkuva osa,

with the rotor control.

musta osa, jonka näette.

The rotor is that moving part within the centrifuge,

Ja jos sen nopeutta manipuloidaan

that black object that you see.

voit särkeä roottorin

And if you manipulate the speed of this rotor,

ja linko voi räjähtää.

you are actually able to crack the rotor

and eventually even have the centrifuge explode.

Näimme myös,

että hyökkäyksen tavoite

What we also saw

oli tehdä tämä kaikki hitaasti ja kummallisella tavalla

is that the goal of the attack

selvästi siksi, että se

was really to do it slowly and creepy --

ajaisi kunnosapitoinsinöörit hulluksi,

obviously in an effort

jotta he eivät keksisi syytä heti.

to drive maintenance engineers crazy,

Keksimme ison pommin tarkoituksen

that they would not be able to figure this out quickly.

katsomalla tarkaan

The big digital warhead -- we had a shot at this

sen dataa ja rakennetta.

by looking very closely

Esimerkiksi numero 164

at data and data structures.

erottuu tästä koodista,

So for example, the number 164

sitä ei voi olla huomaamatta.

really stands out in that code;

Aloitin tutkia tieteellistä kirjallisuutta

you can't overlook it.

näitten linkojen

I started to research scientific literature

rakentamisesta Natanzissa,

on how these centrifuges

ja sain tietää, että ne ovat organisoitu

are actually built in Natanz

niin kutsutuiksi ryöpyiksi,

and found they are structured

ja jokaisessa on 164 linkoa.

in what is called a cascade,

and each cascade holds 164 centrifuges.

Joten se selvästi sopi kuvaan.

ja se parani vielä tästä.

So that made sense, that was a match.

Nämä lingot Iranissa

And it even got better.

on jaettu 15 eri "lavaan"

These centrifuges in Iran

are subdivided into 15, what is called, stages.

Ja arvatkaa mitä löysin hyökkäyskoodista?

Lähes identtisen rakenteen.

And guess what we found in the attack code?

Sekin sopi hyvin kuvaan.

An almost identical structure.

Tästä syystä olimme varmoja sen tehtävästä.

So again, that was a real good match.

Se ei kyllä mennyt ihan näin nopeasti.

And this gave us very high confidence for what we were looking at.

Sillä nämä tulokset saatiin

Now don't get me wrong here, it didn't go like this.

monen viikon kovan urakan jälkeen

These results have been obtained

ja monesti jouduimme umpikujaan

over several weeks of really hard labor.

ja jouduimme palaamaan.

And we often went into just a dead end

Mutta keksimme,

and had to recover.

että molemmat digitaaliset pommit

Anyway, so we figured out

tähtäsivät samaan kohteeseen

that both digital warheads

mutta eri suunnista.

were actually aiming at one and the same target,

Pieni pommi valitsee yhden kaskadin

but from different angles.

ja nopeuttaa sekä hidastaa roottoreitta

The small warhead is taking one cascade,

kunnes taas iso pommi

and spinning up the rotors and slowing them down,

manipuloi jokaista

and the big warhead

kuutta venttiiliä.

is talking to six cascades

Kaiken kaikkiaan olemme tyytyväisiä,

and manipulating valves.

että olemme löytäneet viruksen kohteen.

So in all, we are very confident

Se on Natanzissa ja vain Natanzissa.

that we have actually determined what the target is.

Joten ei tarvitse huolehtia

It is Natanz, and it is only Natanz.

muista kohteista

So we don't have to worry

johon Stuxnet voisi kohdistua.

that other targets

Ja tässä on jotain jännää mitä löysimme,

might be hit by Stuxnet.

joka löi minut ällikällä.

Here's some very cool stuff that we saw --

Tässä näkyy harmaa laatikko,

really knocked my socks off.

jonka päällä näkyy lingot.

Down there is the gray box,

Tämä laatikko oikeastaan

and on the top you see the centrifuges.

sieppaa sensorien lähettämän datan

Now what this thing does

esimerkiksi painesensoreilta

is it intercepts the input values from sensors --

ja värinäsensoreilta -

so for example, from pressure sensors

ja näyttää oikealle ohjelmakoodille,

and vibration sensors --

joka toimii vielä hyökkäyksen aikana,

and it provides legitimate program code,

väärää dataa.

which is still running during the attack,

Ja tämä väärä data,

with fake input data.

on oikeastaan Stuxnetin nauhoittamaa.

And as a matter of fact, this fake input data

Eli se on kuin Hollywood-leffoissa,

is actually prerecorded by Stuxnet.

jossa ryöstön aikana

So it's just like from the Hollywood movies

turvakameroille näytetään nauhoitettua videota.

where during the heist,

Aika jännää, eikö?

the observation camera is fed with prerecorded video.

Idea tässä on selvästi

That's cool, huh?

ei ainoastaan hämätä ohjaushuoneen insinöörejä.

The idea here is obviously

Se on oikeastaan paljon vaarallisempi ja agressiivisempi.

not only to fool the operators in the control room.

It actually is much more dangerous and aggressive.

Ideana on

kiertää digitaalinen puolustusjärjestelmä.

The idea

is to circumvent a digital safety system.

Nämä puolustusjärjestelmät ovat tärkeitä

koska ihminen ei pysty reagoimaan tarpeeksi nopeasti

We need digital safety systems

Esimerkiksi voimalassa,

where a human operator could not act quick enough.

kun höyryturbiini pyörii liian nopeasti,

So for example, in a power plant,

venttiilien pitäisi aueta millisekunnissa.

when your big steam turbine gets too over speed,

Tähän ei voi siis käyttää ihmistä ohjaukseen.

you must open relief valves within a millisecond.

Tähän siis tarvitaan näitä järjestelmiä,

Obviously, this cannot be done by a human operator.

ja kun ne eivät toimi,

So this is where we need digital safety systems.

todellakin huonoja tuloksia saatta syntyä.

And when they are compromised,

Voimala voi räjähtää.

then real bad things can happen.

Ja ohjaajat eivätkä puolustusjärjestelmät huomaa.

Your plant can blow up.

Aika pelottavaa.

And neither your operators nor your safety system will notice it.

Mutta tarina muuttuu pahemmaksi.

That's scary.

Ja mitä sanon nyt, on erittäin tärkeää.

But it gets worse.

Miettikää tätä:

And this is very important, what I'm going to say.

Tämä on yleinen hyökkäys.

Think about this:

Sillä ei ole mitään tekemistä

this attack is generic.

It doesn't have anything to do, in specifics,

linkojen tai

uraanin jalostamisen kanssa.

with centrifuges,

Se toimisi yhtä hyvin esimerkiksi

with uranium enrichment.

voimalassa

So it would work as well, for example,

tai autotehtaassa.

in a power plant

Se on erittäin yleinen.

or in an automobile factory.

Ja hyökkääjänä ei tarvi

It is generic.

toimittaa virusta

And you don't have -- as an attacker --

USB-tikkua käyttäen,

you don't have to deliver this payload

kuten Stuxnetissä.

by a USB stick,

Voi myös käyttää perinteistä tietokonevirusteknologiaa

as we saw it in the case of Stuxnet.

Ja levittää se niin laajalti kuin mahdollista.

You could also use conventional worm technology for spreading.

Ja jos teet sen,

Just spread it as wide as possible.

sinulla on hallussasi

And if you do that,

kyberjoukkotuhoase.

what you end up with

is a cyber weapon of mass destruction.

Ja se on seuraus,

joka meidän täytyy kohdata.

That's the consequence

Joten valitettavasti

that we have to face.

suurin osa tällaisista kohteista

So unfortunately,

eivät ole Lähi-Idässä.

the biggest number of targets for such attacks

Vaan Yhdysvalloissa, Euroopassa ja Japanissa.

are not in the Middle East.

Eli kaikilla vihreillä alueilla

They're in the United States and Europe and in Japan.

on eniten kohteita.

So all of the green areas,

Meidän täytyy kohdata seurakset

these are your target-rich environments.

ja ruveta valmistautumaan niitä varten.

We have to face the consequences,

Kiitos.

and we better start to prepare right now.

(Aplodeja)

Thanks.

(Applause)

Chris Anderson: Minulla on kysymys.

Chris Anderson: I've got a question.

Ralph, on uutisoitu että,

Mossad on todennäköisesti

Ralph, it's been quite widely reported

tämän pääarkkitehti.

that people assume that Mossad

Onko se sinunkin mielipide?

is the main entity behind this.

Ralph Langner: Okei, haluatteko oieasti tietää?

Is that your opinion?

Joo. Okei.

Ralph Langner: Okay, you really want to hear that?

Minun mielipiteeni, on että Mossad on ollut osana tätä

Yeah. Okay.

mutta pääarkkitehti ei ollut Israel.

My opinion is that the Mossad is involved,

Vaan se on

but that the leading force is not Israel.

on kybersupervalta.

So the leading force behind that

Niitä on vain yksi,

is the cyber superpower.

Yhdysvallat -

There is only one,

Onneksi, onneksi.

and that's the United States --

Koska muuten

fortunately, fortunately.

meillä olisi suurempia ongelmia

Because otherwise,

CA: Kiitos kun säikäytit meidät kaikki kunnolla. Kiitos, Ralph.

our problems would even be bigger.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

(Applause)