Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Fordító: Laszlo Kereszturi Lektor: Anna Patai

The idea behind the Stuxnet computer worm

A Stuxnet számítógépes féregvírus ötlete

is actually quite simple.

tulajdonképpen nagyon egyszerű.

We don't want Iran to get the bomb.

Nem akarjuk, hogy Iránnak atombombája legyen.

Their major asset for developing nuclear weapons

Az ő legfontossabb eszközük a nukleáris fegyverek fejlesztéséhez

is the Natanz uranium enrichment facility.

a natanzi urándúsító létesítmény.

The gray boxes that you see,

Az itt látható szürke dobozok,

these are real-time control systems.

valós idejű ipari vezérlő rendszerek.

Now if we manage to compromise these systems

Ha sikerül kompromittálni ezeket a rendszereket,

that control drive speeds and valves,

amelyek a motorok sebességét és a szelepeket vezérlik,

we can actually cause a lot of problems

tényleg sok problémát okozhatunk

with the centrifuge.

a centrifugákkal.

The gray boxes don't run Windows software;

A szürke dobozokon nem Windows szoftver fut,

they are a completely different technology.

ezek teljesen más technológia.

But if we manage

De ha sikerül elhelyezni

to place a good Windows virus

egy jó Windows-os vírust

on a notebook

egy notebookon,

that is used by a maintenance engineer

amelyiket egy gépész mérnök használ

to configure this gray box,

a szürke dobozok beállításához,

then we are in business.

akkor kész a siker.

And this is the plot behind Stuxnet.

És ez a Stuxnet forgatókönyve.

So we start with a Windows dropper.

Tehát egy Windows dropperel - potyogtatóval - indítunk.

The payload goes onto the gray box,

A hasznos teher, maga a vírus, átmegy a szürke dobozba,

damages the centrifuge,

károsítja a centrifugát,

and the Iranian nuclear program is delayed --

és az iráni nukleáris program késleltetve van --

mission accomplished.

feladat teljesítve.

That's easy, huh?

Ez könnyű, nemde?

I want to tell you how we found that out.

El akarom mondani, hogy jöttünk erre rá.

When we started our research on Stuxnet six months ago,

Amikor hat hónappal ezelőtt elkezdtük a Stuxnet kutatását,

it was completely unknown what the purpose of this thing was.

a féregvírus célja teljesen ismeretlen volt.

The only thing that was known

Az egyetlen ismert tény az volt,

is it's very, very complex on the Windows part, the dropper part,

hogy nagyon komplex a Windows része, a dropper része,

used multiple zero-day vulnerabilities.

több javítatlan sérülékenységet használt ki.

And it seemed to want to do something

És úgy tűnt akar valamit tenni ezekkel

with these gray boxes, these real-time control systems.

a szürke dobozokkal, a valós idejű vezérlő rendszerekkel.

So that got our attention,

Tehát ez felkeltette az érdeklődésünket,

and we started a lab project

és elindítottunk egy labor projektet,

where we infected our environment with Stuxnet

ahol megfertőztük a környezetünket Stuxnet-el

and checked this thing out.

és ellenőriztük ezt a dolgot.

And then some very funny things happened.

És akkor néhány furcsa dolog történt.

Stuxnet behaved like a lab rat

Stuxnet úgy viselkedett mint egy laborpatkány

that didn't like our cheese --

amelyiknek nem ízlik a mi sajtunk --

sniffed, but didn't want to eat.

szimatolt, de nem akarta megenni.

Didn't make sense to me.

Ennek semmi értelme nem volt.

And after we experimented with different flavors of cheese,

És miután kipróbáltunk különböző ízű sajtokat,

I realized, well, this is a directed attack.

rájöttem, hogy ez egy célzott támadás.

It's completely directed.

Teljesen célzott.

The dropper is prowling actively

A dropper csak akkor aktiválódik

on the gray box

a szürke dobozon

if a specific configuration is found,

ha megtalál egy sajátos konfigurációt,

and even if the actual program code that it's trying to infect

és csak akkor ha a megfertőzendő program

is actually running on that target.

valóban fut azon a célponton.

And if not, Stuxnet does nothing.

És ha nem, akkor a Stuxnet passzív marad.

So that really got my attention,

Ez aztán csakugyan felkeltette az érdeklődésemet,

and we started to work on this

és elkezdtünk ezen dolgozni

nearly around the clock,

majdnem megállás nélkül,

because I thought, "Well, we don't know what the target is.

mert azt gondoltam: nem tudjuk mi a célpont.

It could be, let's say for example,

Lehetne, például

a U.S. power plant,

egy amerikai erőmű,

or a chemical plant in Germany.

vagy egy németországi kémiai üzem.

So we better find out what the target is soon."

Tehát jobb, ha minél előbb megtaláljuk a célpontot.

So we extracted and decompiled

Ezért elkülönítettük és visszafejtettük

the attack code,

a támadó programot,

and we discovered that it's structured in two digital bombs --

és felfedeztük, hogy két digitális bombából áll --

a smaller one and a bigger one.

egy kissebből és egy nagyobból.

And we also saw that they are very professionally engineered

És azt is láttuk, hogy nagyon profin vannak megtervezve,

by people who obviously had all insider information.

olyan emberek által, akiknek voltak belső információik.

They knew all the bits and bites

Ők ismerték az összes bitet és bájtot,

that they had to attack.

amit meg kellett támadniuk.

They probably even know the shoe size of the operator.

Valószínűleg még a kezelő cipőméretét is tudták.

So they know everything.

Tehát mindent tudtak a célpontról.

And if you have heard that the dropper of Stuxnet

És hogyha a Stuxnet droppert

is complex and high-tech,

komplexnek és csúcstechnológiának mondják,

let me tell you this:

hadd mondjam ezt nektek:

the payload is rocket science.

a hasznos teher - maga a vírus - pedig űrtechnológia.

It's way above everything

Sokkal fejlettebb bárminél,

that we have ever seen before.

amit eddig valaha is láttunk.

Here you see a sample of this actual attack code.

Itt látják a valódi támadó program egy részét.

We are talking about --

Mi most körülbelül

around about 15,000 lines of code.

15.000 programsorról beszélünk.

Looks pretty much like old-style assembly language.

Úgy néz ki, mint a régi assembler nyelv.

And I want to tell you how we were able

És el akarom mondani, hogyan

to make sense out of this code.

értettük meg ezt a programot.

So what we were looking for is, first of all, system function calls,

Amit legelőször kerestünk azok a rendszerfüggvény hívások voltak,

because we know what they do.

mert ezekról tudjuk, mit csinálnak.

And then we were looking for timers and data structures

Azután pedig időzítéseket és adat struktúrákat kerestünk

and trying to relate them to the real world --

és próbáltuk őket a valós világhoz kötni --

to potential real world targets.

potenciális valós világbeli célpontokhoz.

So we do need target theories

Tehát célpont elméletekre volt szükségünk,

that we can prove or disprove.

amiket tudtunk bizonyítani vagy cáfolni.

In order to get target theories,

Hogy célpont elméleteket kapjunk,

we remember

emlékezzünk,

that it's definitely hardcore sabotage,

hogy ez minden bizonnyal komoly szabotázs,

it must be a high-value target

magas értékű célpont ellen,

and it is most likely located in Iran,

és a célpont nagy valószínűséggel Iránban van,

because that's where most of the infections had been reported.

mert onnan jelentették a legtöbb fertőzést.

Now you don't find several thousand targets in that area.

Nos, ebben a zónában nem találsz több ezer célpontot.

It basically boils down

Tulajdonképpen csak

to the Bushehr nuclear power plant

a bushehri atomerőműről

and to the Natanz fuel enrichment plant.

és a natanzi üzemanyagdúsítóról lehet szó.

So I told my assistant,

Tehát szóltam az asszisztensemnek:

"Get me a list of all centrifuge and power plant experts from our client base."

"Írj egy listát az összes centrifuga és erőmű szakértőről az adatbázisunkban."

And I phoned them up and picked their brain

Majd felhívtam őket és faggattam őket

in an effort to match their expertise

azért, hogy összeillesszem az ő szakértelmüket

with what we found in code and data.

azzal, amit találtunk a programban és az adatokban.

And that worked pretty well.

És ez elég jól ment.

So we were able to associate

Képesek voltunk összekapcsolni

the small digital warhead

a kissebb digitális robbanófejet

with the rotor control.

a centrifuga forgórész vezérlésével.

The rotor is that moving part within the centrifuge,

A forgórész a centrifuga mozgó része,

that black object that you see.

a fekete tárgy amit látnak.

And if you manipulate the speed of this rotor,

És hogyha mesterkedsz a forgórész sebességével,

you are actually able to crack the rotor

valóban képes vagy tönkretenni a forgórészt

and eventually even have the centrifuge explode.

és végül esetleg a centrifugát is felrobbanthatod.

What we also saw

Szintén láttuk még,

is that the goal of the attack

hogy a támadás célja igazából az volt,

was really to do it slowly and creepy --

hogy lassan és settenkedve történjen,

obviously in an effort

nyilvánvalóan azért, hogy

to drive maintenance engineers crazy,

megbolondítsa a karbantartó mérnököket,

that they would not be able to figure this out quickly.

és ne tudjanak gyorsan rájönni erre.

The big digital warhead -- we had a shot at this

A nagyobbik digitális robbanófej -- ennek is megnéztük

by looking very closely

nagyon aprólékosan

at data and data structures.

az adatait és az adat struktúráit.

So for example, the number 164

Például a 164-es szám

really stands out in that code;

kiugrik abban a programban,

you can't overlook it.

nem tudsz elsiklani fölötte.

I started to research scientific literature

Elkezdtem kutatni a tudományos irodalomban

on how these centrifuges

hogyan vannak felépítve ezek

are actually built in Natanz

a centrifugák Natanzban,

and found they are structured

és azt találtam, hogy

in what is called a cascade,

fürtökbe vannak szervezve,

and each cascade holds 164 centrifuges.

mindegyik fürtben 164 centrifuga van.

So that made sense, that was a match.

Ennek volt értelme, egy megfelelés volt.

And it even got better.

És még ennél is jobb lett.

These centrifuges in Iran

Azok a centrifugák Iránban

are subdivided into 15, what is called, stages.

fel voltak osztva 15 fázisra.

And guess what we found in the attack code?

És mit találtunk a támadó programban?

An almost identical structure.

Egy majdnem azonos strúktúrát.

So again, that was a real good match.

Ez egy nagyon jó megfelelés volt.

And this gave us very high confidence for what we were looking at.

És ez nagy bizonyosságot adott a célpont felől.

Now don't get me wrong here, it didn't go like this.

Ne értsenek félre, nem volt ilyen egyszerű.

These results have been obtained

Ezeket az eredményeket

over several weeks of really hard labor.

több heti kemény labormunka hozta meg.

And we often went into just a dead end

És néha zsákutcába jutottunk

and had to recover.

és újra kellett kezdeni.

Anyway, so we figured out

Végülis, rájöttünk, hogy

that both digital warheads

mindkét digitális robbanófej

were actually aiming at one and the same target,

valójában ugyanazt a célpontot támadta,

but from different angles.

de különböző szögből.

The small warhead is taking one cascade,

A kissebbik egy fürtöt támadott,

and spinning up the rotors and slowing them down,

és felgyorsította illetve lelassította a forgórészt,

and the big warhead

míg a nagyobbik robbanófej

is talking to six cascades

egyszerre hat fürtnek

and manipulating valves.

a szelepeit manipulálta.

So in all, we are very confident

Tehát, nagyon biztosak voltunk benne,

that we have actually determined what the target is.

hogy csakugyan meghatároztuk a célpontot.

It is Natanz, and it is only Natanz.

Ez Natanz és csakis Natanz.

So we don't have to worry

Tehát nem kell aggódni,

that other targets

hogy a Stuxnet megtámad

might be hit by Stuxnet.

más célpontokat.

Here's some very cool stuff that we saw --

Íme néhány nagyon klassz dolog amit láttunk --

really knocked my socks off.

igazán mellbe vágott.

Down there is the gray box,

Itt lenn van a szürke doboz,

and on the top you see the centrifuges.

és felül látják a centrifugákat.

Now what this thing does

Ez a dolog tulajdonképpen

is it intercepts the input values from sensors --

elfogja az érzékelők bemeneti értékeit --

so for example, from pressure sensors

például a nyomásérzékelőktől

and vibration sensors --

és a rezgésérzékelőktől --

and it provides legitimate program code,

és hamis adatokat ad

which is still running during the attack,

az eredeti programnak, amelyik

with fake input data.

szintén fut a támadás alatt.

And as a matter of fact, this fake input data

És valójában ez a hamis adat

is actually prerecorded by Stuxnet.

előre rögzítve van a Stuxnet által.

So it's just like from the Hollywood movies

Pont olyan, mint a hollywoodi filmekben,

where during the heist,

amikor a rablás alatt

the observation camera is fed with prerecorded video.

a megfigyelő kamerát előre rögzített videóval látják el.

That's cool, huh?

Ez klassz, nemde?

The idea here is obviously

Nyilvánvalóan itt nem csak

not only to fool the operators in the control room.

a vezérlőterembeli kezelőket akarták átverni.

It actually is much more dangerous and aggressive.

Ez ennél sokkal veszélyesebb és agresszívebb.

The idea

A cél az, hogy

is to circumvent a digital safety system.

kijátsza a digitális biztonsági rendszert.

We need digital safety systems

Szükségünk van digitális biztonsági rendszerekre

where a human operator could not act quick enough.

ahol a humán kezelő nem tud elég gyorsan cselekedni.

So for example, in a power plant,

Például, egy erőműben, amikor

when your big steam turbine gets too over speed,

a nagy gőzturbina túlgyorsul, a biztonsági szelepet

you must open relief valves within a millisecond.

egy ezred másodperc alatt ki kell nyitni.

Obviously, this cannot be done by a human operator.

Nyilvánvaló, hogy ezt egy humán kezelő nem tudja megtenni.

So this is where we need digital safety systems.

Tehát ilyenkor szükségünk van a digitális biztonsági rendszerekre.

And when they are compromised,

És amikor ezek csődöt mondanak,

then real bad things can happen.

akkor igazán rossz dolgok történhetnek.

Your plant can blow up.

Felrobbanhat az üzemed.

And neither your operators nor your safety system will notice it.

És sem a kezelők, sem a biztonsági rendszer nem veszi észre.

That's scary.

Ez ijesztő.

But it gets worse.

De lesz ez rosszabb is.

And this is very important, what I'm going to say.

És amit mondani fogok, nagyon fontos.

Think about this:

Gondolják el.

this attack is generic.

Ez a támadás általános.

It doesn't have anything to do, in specifics,

A részleteiben semmi dolga

with centrifuges,

a centrifugákkal,

with uranium enrichment.

az uránium dúsítással.

So it would work as well, for example,

Tehát működött volna például

in a power plant

egy erőműben

or in an automobile factory.

vagy egy személygépkocsi gyárban.

It is generic.

Általános.

And you don't have -- as an attacker --

És mint támadó,

you don't have to deliver this payload

nem kell USB memóriakártyán

by a USB stick,

szállítani a hasznos terhet,

as we saw it in the case of Stuxnet.

mint a Stuxnet esetében láttuk.

You could also use conventional worm technology for spreading.

Használhatsz hagyományos féreg technológiát a terjesztésre.

Just spread it as wide as possible.

Csak terjeszd el a legszélesebb körben.

And if you do that,

És ha ezt megteszed,

what you end up with

végül kapsz

is a cyber weapon of mass destruction.

egy tömegpusztító kibernetikus fegyvert.

That's the consequence

Ez a következmény,

that we have to face.

amivel szembe kell nézzünk.

So unfortunately,

Sajnos az ilyen támadások

the biggest number of targets for such attacks

célpontjainak többsége

are not in the Middle East.

nem a Közel-Keleten van.

They're in the United States and Europe and in Japan.

Hanem az Egyesült Államokban, Európában és Japánban.

So all of the green areas,

Ezek a zöld területek mind

these are your target-rich environments.

célpont gazdag környezetek.

We have to face the consequences,

Szembe kell néznünk a következményekkel,

and we better start to prepare right now.

és jobb ha azonnal elkezdünk felkészülni.

Thanks.

Köszönöm.

(Applause)

(Taps)

Chris Anderson: I've got a question.

Chris Anderson: Van egy kérdésem.

Ralph, it's been quite widely reported

Ralph, széles körben megírták, hogy

that people assume that Mossad

feltételezik, hogy a Mossad a fő

is the main entity behind this.

szereplő emögött a támadás mögött.

Is that your opinion?

Ez a te véleményed is?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: Rendben, szóval igazán akarod hallani?

Yeah. Okay.

Jó, legyen.

My opinion is that the Mossad is involved,

Szerintem a Mossad benne van,

but that the leading force is not Israel.

de a vezető erő nem Izrael.

So the leading force behind that

A vezető erő emögött

is the cyber superpower.

a kibernetikai szuperhatalom.

There is only one,

Csak egy ilyen van,

and that's the United States --

és ez az Egyesült Államok --

fortunately, fortunately.

szerencsére, szerencsére.

Because otherwise,

Mert máskülönben,

our problems would even be bigger.

még nagyobbak lennének a problémáink.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Köszönöm, hogy halálra rémisztettél minket. Köszönöm Ralph.

(Applause)

(Taps)