Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Traduttore: Mattia Belluco Revisore: Gianluca Finocchiaro

The idea behind the Stuxnet computer worm

L'idea dietro il worm Stuxnet

is actually quite simple.

è in realtà abbastanza semplice.

We don't want Iran to get the bomb.

Non vogliamo che l'Iran possegga la Bomba.

Their major asset for developing nuclear weapons

La loro risorsa principale per sviluppare armi nucleari

is the Natanz uranium enrichment facility.

è l'impianto di arricchimento dell'uranio di Natanz.

The gray boxes that you see,

Le scatole grigie che vedete,

these are real-time control systems.

queste sono sistemi di controllo in real-time.

Now if we manage to compromise these systems

Ora se riusciamo a compromettere questi sistemi

that control drive speeds and valves,

che controllano le velocità e le valvole

we can actually cause a lot of problems

possiamo creare un sacco di problemi

with the centrifuge.

alla centrifuga.

The gray boxes don't run Windows software;

Sulle scatole grigie non gira Windows

they are a completely different technology.

hanno una tecnologia completamente diversa.

But if we manage

Ma se riusciamo

to place a good Windows virus

a piazzare un buon virus per Windows

on a notebook

su un portatile

that is used by a maintenance engineer

che viene usato da un ingegnere della manutenzione

to configure this gray box,

per configurare questa scatola grigia

then we are in business.

allora siamo a cavallo.

And this is the plot behind Stuxnet.

E questo è lo schema dietro Stuxnet.

So we start with a Windows dropper.

Perciò cominciamo con un dropper per Windows

The payload goes onto the gray box,

Il carico viene messo dentro la scatola grigia

damages the centrifuge,

danneggia la centrifuga

and the Iranian nuclear program is delayed --

e il programma nucleare Iraniano viene rallentato --

mission accomplished.

missione compiuta.

That's easy, huh?

Facile, no?

I want to tell you how we found that out.

Vi voglio dire come abbiamo scoperto queste cose.

When we started our research on Stuxnet six months ago,

Quando abbiamo iniziato le nostre ricerche su Stuxnet sei mesi fa,

it was completely unknown what the purpose of this thing was.

non si sapeva quale fosse lo scopo di questa cosa.

The only thing that was known

La sola cosa che si sapeva

is it's very, very complex on the Windows part, the dropper part,

è che la parte di Windows, la parte del dropper, era molto molto complessa

used multiple zero-day vulnerabilities.

usava parecchie vulnerabilità zero day

And it seemed to want to do something

E sembrava voler fare qualcosa

with these gray boxes, these real-time control systems.

con queste scatole grigie, questi sistemi di controllo in real-time

So that got our attention,

Questo ha attratto la nostra attenzione

and we started a lab project

e abbiamo dato il via ad un progetto

where we infected our environment with Stuxnet

dove abbiamo infettato la nostra rete con Stuxnet

and checked this thing out.

e tenuto d'occhio questa cosa.

And then some very funny things happened.

E sono successe alcune cose molto divertenti.

Stuxnet behaved like a lab rat

Stuxnet si comportava come un topo di laboratorio

that didn't like our cheese --

a cui non piaceva il nostro formaggio --

sniffed, but didn't want to eat.

annusava ma non voleva mangiare.

Didn't make sense to me.

Per me non aveva senso.

And after we experimented with different flavors of cheese,

E dopo aver sperimentato con diversi tipi di formaggio,

I realized, well, this is a directed attack.

ho realizzato che questo è un attacco diretto.

It's completely directed.

Completamente direzionato

The dropper is prowling actively

Il dropper va attivamente a caccia

on the gray box

sulla scatola grigia

if a specific configuration is found,

di una configurazione specifica,

and even if the actual program code that it's trying to infect

e persino se il programma che stà cercando di infettare

is actually running on that target.

è in esecuzione sul bersaglio.

And if not, Stuxnet does nothing.

Altrimenti Stuxnet non fa nulla.

So that really got my attention,

Questo fatto ha attirato la mia attenzione,

and we started to work on this

e abbiamo cominciato a lavorarci su

nearly around the clock,

quasi giorno e notte,

because I thought, "Well, we don't know what the target is.

perchè pensavo che non sapevamo quale fosse il bersaglio.

It could be, let's say for example,

Avrebbe potuto essere, per esempio,

a U.S. power plant,

una centrale elettrica statunitense,

or a chemical plant in Germany.

o una fabbrica di prodotti chimici in Germania.

So we better find out what the target is soon."

Perciò avremmo fatto meglio a scoprire in fretta qual'era il bersaglio

So we extracted and decompiled

quindi abbiamo estratto e decompilato

the attack code,

il codice di attacco

and we discovered that it's structured in two digital bombs --

e abbiamo scoperto che è strutturato in due bombe digitali

a smaller one and a bigger one.

una piccola ed una grande

And we also saw that they are very professionally engineered

e abbiamo visto, inoltre, che erano disegnate in maniera professionale

by people who obviously had all insider information.

da persone che chiaramente avevano tutte le informazioni di un addetto ai lavori

They knew all the bits and bites

Conoscevano tutte le minuzie

that they had to attack.

di ciò che dovevano attaccare.

They probably even know the shoe size of the operator.

Probabilmente sapevano anche la taglia di scarpe del tecnico.

So they know everything.

Sapevano tutto

And if you have heard that the dropper of Stuxnet

E se avete sentito che il dropper di Stuxnet

is complex and high-tech,

è complesso ed avanzatissimo

let me tell you this:

lasciate che vi dica questo:

the payload is rocket science.

il carico é fantascientifico.

It's way above everything

è ben al di là di tutto

that we have ever seen before.

quello che abbiamo visto finora

Here you see a sample of this actual attack code.

Ecco, questo è un estratto di questo codice d'attacco.

We are talking about --

Stiamo parlando di --

around about 15,000 lines of code.

circa 15 mila linee di codice.

Looks pretty much like old-style assembly language.

Assomiglia molto a un linguaggio assembly vecchio stile

And I want to tell you how we were able

Voglio dirvi come abbiamo fatto

to make sense out of this code.

a comprendere questo codice.

So what we were looking for is, first of all, system function calls,

Quello che stavamo cercando erano prima di tutto delle chiamate di sistema,

because we know what they do.

perchè sappiamo cosa fanno.

And then we were looking for timers and data structures

E poi cercavamo dei timer e delle strutture di dati

and trying to relate them to the real world --

e cercavamo di relazionarle al mondo reale --

to potential real world targets.

a potenziali bersagli.

So we do need target theories

Perciò avevamo bisogno di teorie sul bersaglio

that we can prove or disprove.

che potessimo verificare o confutare.

In order to get target theories,

Per formulare delle teorie sul possibile bersaglio

we remember

ci siamo ricordati

that it's definitely hardcore sabotage,

che era un sabotaggio veramente hardcore

it must be a high-value target

doveva essere un bersaglio di gran valore,

and it is most likely located in Iran,

e doveva essere molto probabilmente situato in Iran,

because that's where most of the infections had been reported.

perché quello è il luogo dove sono state segnalate il maggior numero di infezioni.

Now you don't find several thousand targets in that area.

Ora non ci sono diverse migliaia di bersagli in quella zona.

It basically boils down

Praticamente ci si riduce

to the Bushehr nuclear power plant

alla centrale elettrica di Bushehr

and to the Natanz fuel enrichment plant.

e alla centrale di arricchimento di Natanz.

So I told my assistant,

Perciò ho detto al mio assistente.

"Get me a list of all centrifuge and power plant experts from our client base."

"Estrai una lista di tutti gli esperti di centrifughe e centrali elettriche dal nostro archivio clienti."

And I phoned them up and picked their brain

E li ho chiamati e ho sfruttato la loro conoscenza

in an effort to match their expertise

nel tentativo di combinare le loro conoscenze

with what we found in code and data.

con quello che avevamo trovato nel codice e nei dati.

And that worked pretty well.

E questo espediente ha funzionato piuttosto bene.

So we were able to associate

Quindi eravamo in grado di associare

the small digital warhead

la piccola testata digitale

with the rotor control.

al controllo del rotore.

The rotor is that moving part within the centrifuge,

Il rotore e la parte mobile all'interno della centrifuga,

that black object that you see.

quell oggetto nero che vedete.

And if you manipulate the speed of this rotor,

E se manipolate la velocità di questo rotore,

you are actually able to crack the rotor

siete in grado di romperlo

and eventually even have the centrifuge explode.

e anche eventualmente di far esplodere la centrifuga.

What we also saw

Quello che abbiamo anche scoperto

is that the goal of the attack

è che l'obiettivo dell'attacco

was really to do it slowly and creepy --

era di farlo molto lentamente e in modo subdolo --

obviously in an effort

ovviamente nel tentativo

to drive maintenance engineers crazy,

di far impazzire gli addetti alla manuntenzione,

that they would not be able to figure this out quickly.

che non sarebbero riusciti a risolvere il problema velocemente.

The big digital warhead -- we had a shot at this

La testata digitale grande -- ci siamo cimentati con questa

by looking very closely

guardando molto da vicino

at data and data structures.

i dati e le strutture di dati.

So for example, the number 164

Perciò per esempio il numero 164

really stands out in that code;

si staglia nel codice

you can't overlook it.

non lo si può ignorare

I started to research scientific literature

Ho cominciato a cercare articoli scientifici

on how these centrifuges

su come queste centrifughe

are actually built in Natanz

siano di fatto costruite a Natanz

and found they are structured

e ho scoperto che sono strutturate

in what is called a cascade,

in ciò che è chiamata una cascata,

and each cascade holds 164 centrifuges.

e ogni cascata contiene 164 centrifughe.

So that made sense, that was a match.

Aveva senso, c'era una corrispondenza.

And it even got better.

E andava anche meglio.

These centrifuges in Iran

Queste centrifughe in Iran

are subdivided into 15, what is called, stages.

sono suddivise in 15 livelli.

And guess what we found in the attack code?

E indovinate cosa abbiamo trovato nel codice d'attacco?

An almost identical structure.

Una struttura quasi identica.

So again, that was a real good match.

Perciò di nuovo, c'era una corrispondenza molto buona.

And this gave us very high confidence for what we were looking at.

E questo ci ha dato una grande sicurezza su quello che stavamo cercando.

Now don't get me wrong here, it didn't go like this.

Adesso non fraintendetemi, non è andata così.

These results have been obtained

Questi risultati sono stati ottenuti

over several weeks of really hard labor.

dopo parecchie settimane di lavoro molto duro.

And we often went into just a dead end

E spesso ci siamo trovati in un vicolo cieco

and had to recover.

e abbiamo dovuto ricominciare.

Anyway, so we figured out

Ad ogni modo abbiamo capito

that both digital warheads

che entrambe le testate digitali

were actually aiming at one and the same target,

erano dirette allo stesso bersaglio

but from different angles.

ma da angoli diversi.

The small warhead is taking one cascade,

La testata piccola prende una cascata,

and spinning up the rotors and slowing them down,

e aumenta e diminuisce la velocità dei rotori,

and the big warhead

mentre la testata grande

is talking to six cascades

interagisce con sei cascate

and manipulating valves.

e manipola le valvole.

So in all, we are very confident

Perciò alla fine siamo certi

that we have actually determined what the target is.

di aver determinato quale sia il bersaglio.

It is Natanz, and it is only Natanz.

E' Natanz e solo Natanz.

So we don't have to worry

Perciò non dobbiamo preoccuparci

that other targets

che altri bersagli

might be hit by Stuxnet.

possano essere colpiti da Stuxnet

Here's some very cool stuff that we saw --

Ecco alcune cose geniali che abbiamo visto --

really knocked my socks off.

mi hanno veramente impressionato.

Down there is the gray box,

Laggiù c'è la scatola grigia,

and on the top you see the centrifuges.

e sulla sommità ci sono le centrifughe.

Now what this thing does

Ora il compito di questo apparato

is it intercepts the input values from sensors --

è di intercettare i valori in ingresso dai sensori --

so for example, from pressure sensors

per esempio, dai sensori di pressione

and vibration sensors --

e dai sensori di vibrazione --

and it provides legitimate program code,

e di fornire al codice legittimo

which is still running during the attack,

che resta in esecuzione durante l'attacco

with fake input data.

dei dati falsi.

And as a matter of fact, this fake input data

E in pratica questi dati falsi

is actually prerecorded by Stuxnet.

sono preregistrati da Stuxnet

So it's just like from the Hollywood movies

Perciò è come in un film di Hollywood

where during the heist,

dove durante il colpo,

the observation camera is fed with prerecorded video.

viene fornito alle videocamere di sorveglianza del video preregistrato

That's cool, huh?

Che trovata, no?

The idea here is obviously

Qui l'idea è ovviamente

not only to fool the operators in the control room.

non solo di ingannare gli operatori della cabina di controllo

It actually is much more dangerous and aggressive.

ma il fine è in realtà molto più pericoloso e aggressivo.

The idea

L'idea

is to circumvent a digital safety system.

è di aggirare il sistema di sicurezza.

We need digital safety systems

Abbiamo bisogno di sistemi di sicurezza

where a human operator could not act quick enough.

quando un operatore umano potrebbe non reagire abbastanza velocemente.

So for example, in a power plant,

Per esempio, in una centrale elettrica,

when your big steam turbine gets too over speed,

quando la vostra grande turbina a vapore va troppo su di giri,

you must open relief valves within a millisecond.

dovete aprire le valvole di sfogo entro un millisecondo.

Obviously, this cannot be done by a human operator.

Ovviamente, questo non può essere fatto da un operatore umano.

So this is where we need digital safety systems.

Perciò è questo il motivo per cui abbiamo bisogno di sistemi di sicurezza

And when they are compromised,

E quando questi sistemi vengono compromessi,

then real bad things can happen.

allora possono succedere cose molto brutte.

Your plant can blow up.

La vostra centrale può esplodere.

And neither your operators nor your safety system will notice it.

E ne i vostri operatori ne il vostro sistema di sicurezza se ne accorgerebbero.

That's scary.

E' spaventoso.

But it gets worse.

Ma può essere ancora peggio.

And this is very important, what I'm going to say.

Quello che mi accingo a dire è molto importante.

Think about this:

Rifletteteci.

this attack is generic.

L'attacco è generico.

It doesn't have anything to do, in specifics,

Non ha niente a che fare, nel dettaglio,

with centrifuges,

con le centrifughe,

with uranium enrichment.

con l'arrichimento dell'uranio.

So it would work as well, for example,

Perciò funzionerebbe anche, per esempio,

in a power plant

in una centrale elettrica

or in an automobile factory.

o in una fabbrica di automobili.

It is generic.

E' generico.

And you don't have -- as an attacker --

E non è necessario -- come attaccanti --

you don't have to deliver this payload

non è necessario veicolare il carico

by a USB stick,

con una penna USB,

as we saw it in the case of Stuxnet.

come abbiamo visto nel caso di Stuxnet.

You could also use conventional worm technology for spreading.

Potete anche usare la tecnologia convezionale dei worm per computer per diffonderlo.

Just spread it as wide as possible.

Basta diffonderlo il più possibile.

And if you do that,

E se lo farete

what you end up with

quello che otterrete

is a cyber weapon of mass destruction.

è un'arma di distruzione di massa digitale.

That's the consequence

E' questo il lascito

that we have to face.

che dobbiamo affrontare.

So unfortunately,

Sfortunatamente,

the biggest number of targets for such attacks

il numero maggiore di bersagli per attacchi di questo tipo

are not in the Middle East.

non si trova in Medio Oriente

They're in the United States and Europe and in Japan.

ma negli Stati Uniti, in Europa e in Giappone.

So all of the green areas,

Dunque tutte queste aree verdi,

these are your target-rich environments.

sono le vostre zone ricche di besagli

We have to face the consequences,

Dobbiamo affrontare la questione

and we better start to prepare right now.

ed è meglio cominciare a preparasi da subito.

Thanks.

Grazie.

(Applause)

(Applausi)

Chris Anderson: I've got a question.

Chris Anderson: Ho una domanda.

Ralph, it's been quite widely reported

Ralph, è stato assai ampiamente riportato

that people assume that Mossad

che si ipotizza che il Mossad

is the main entity behind this.

sia l'autore principale dell'accaduto.

Is that your opinion?

La pensi allo stesso modo?

Ralph Langner: Okay, you really want to hear that?

Ralph Langer: Okay, vuoi veramente sentirlo?

Yeah. Okay.

Certo. Si.

My opinion is that the Mossad is involved,

La mia opinione è che il Mossad sia coinvolto,

but that the leading force is not Israel.

ma che la forza trainante non sia Israele.

So the leading force behind that

Quindi la forza trainante dietro tutto ciò

is the cyber superpower.

è una super potenza digitale.

There is only one,

Ne esiste una sola

and that's the United States --

gli Stati Uniti --

fortunately, fortunately.

per fortuna.

Because otherwise,

Perché altrimenti,

our problems would even be bigger.

i nostri problemi sarebbero anche più grandi.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Grazie per averci spaventato a morte. Grazie Ralph.

(Applause)

(Applausi)