Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

מתרגם: Roi Shpaner מבקר: Sigal Tifferet

The idea behind the Stuxnet computer worm

הרעיון מאחורי תולעת המחשב סטאקסנט

is actually quite simple.

הוא בעצם די פשוט.

We don't want Iran to get the bomb.

אנחנו לא רוצים שאירן יגיעו לפצצה.

Their major asset for developing nuclear weapons

הנכס העיקרי שלהם בפיתוח נשק גרעיני

is the Natanz uranium enrichment facility.

הוא מפעל העשרת האורניום בנתנז.

The gray boxes that you see,

הקופסאות האפורות שאתם רואים,

these are real-time control systems.

הן מערכות בקרת זמן-אמת.

Now if we manage to compromise these systems

אם אנחנו מצליחים לפרוץ למערכות האלה

that control drive speeds and valves,

ששולטות על מהירות רכיבים ועל שסתומים,

we can actually cause a lot of problems

אנחנו יכולים לגרום להרבה בעיות

with the centrifuge.

עם הצנטריפוגה.

The gray boxes don't run Windows software;

הקופסאות האפורות לא מריצות תוכנת Windows;

they are a completely different technology.

הן עובדות על טכנולוגיה אחרת לגמרי.

But if we manage

אבל אם אנחנו מצליחים

to place a good Windows virus

להכניס וירוס Windows טוב

on a notebook

למחשב נייד

that is used by a maintenance engineer

שמהנדס מכונות משתמש בו

to configure this gray box,

כדי לשנות את תצורת הקופסה האפורה הזאת,

then we are in business.

אז אנחנו בעניינים.

And this is the plot behind Stuxnet.

וזאת המזימה מאחורי סטאקסנט.

So we start with a Windows dropper.

אז אנחנו מתחילים עם דרופר(מתקין וירוסים) ב-Windows.

The payload goes onto the gray box,

הוירוס נכנס לקופסה האפורה,

damages the centrifuge,

פוגע בצנטריפוגות,

and the Iranian nuclear program is delayed --

והתוכנית הגרעינית האירנית נדחית --

mission accomplished.

המשימה הושלמה.

That's easy, huh?

זה קל, הא?

I want to tell you how we found that out.

אני רוצה לספר לכם איך גילינו את זה.

When we started our research on Stuxnet six months ago,

כשהתחלנו את המחקר שלנו על סטאקסנט לפני שישה חודשים,

it was completely unknown what the purpose of this thing was.

המטרה של הדבר הזה היתה לגמרי לא ידועה.

The only thing that was known

הדבר היחיד שהיה ידוע

is it's very, very complex on the Windows part, the dropper part,

הוא מאוד מורכב בחלקו במערכת Windows, הדרופר(מתקין הוירוסים)

used multiple zero-day vulnerabilities.

השתמש במספר פירצות יום-אפס(פירצות שלא היו ידועות לפני כן).

And it seemed to want to do something

והיה נדמה שהוא רוצה לעשות משהו

with these gray boxes, these real-time control systems.

עם הקופסאות האפורות האלה, מערכות בקרת זמן-אמת.

So that got our attention,

אז זה תפס את תשומת הלב שלנו,

and we started a lab project

והתחלנו פרויקט במעבדה

where we infected our environment with Stuxnet

שבו הדבקנו את סביבת העבודה שלנו בסטאקסנט

and checked this thing out.

ובדקנו את הדבר הזה.

And then some very funny things happened.

ואז דברים מאוד מוזרים קרו.

Stuxnet behaved like a lab rat

סטאקסנט התנהג כמו עכבר מעבדה

that didn't like our cheese --

שלא אהב את הגבינה שלנו --

sniffed, but didn't want to eat.

הריח, אבל לא רצה לאכול.

Didn't make sense to me.

זה לא היה לי הגיוני.

And after we experimented with different flavors of cheese,

ואחרי שערכנו כמה ניסויים עם טעמים שונים של גבינות,

I realized, well, this is a directed attack.

הבנתי, טוב, זאת התקפה מכוונת למטרה ספציפית.

It's completely directed.

היא לגמרי מכוונת.

The dropper is prowling actively

הדרופר משוטט באופן פעיל

on the gray box

בקופסה האפורה

if a specific configuration is found,

אם הוא מוצא תצורה ספציפית,

and even if the actual program code that it's trying to infect

ואפילו אם התוכנה שהוא מנסה להדביק

is actually running on that target.

כבר רצה על המטרה הזאת. (אז הוירוס יותקן)

And if not, Stuxnet does nothing.

ואם לא, סטאקסנט לא עושה כלום.

So that really got my attention,

אז זה ממש עניין אותי,

and we started to work on this

והתחלנו לעבוד על זה

nearly around the clock,

כמעט סביב השעון,

because I thought, "Well, we don't know what the target is.

כי חשבתי, טוב, אנחנו לא יודעים מה היא המטרה של הוירוס.

It could be, let's say for example,

היא יכולה להיות, נניח לדוגמא,

a U.S. power plant,

תחנת חשמל אמריקאית,

or a chemical plant in Germany.

או מפעל כימי בגרמניה.

So we better find out what the target is soon."

אז כדאי שנגלה מה המטרה בקרוב.

So we extracted and decompiled

אז פרסנו וביצענו הידור הפוך

the attack code,

לקוד התקיפה,

and we discovered that it's structured in two digital bombs --

וגילינו שהוא מובנה משתי פצצות דיגיטליות --

a smaller one and a bigger one.

אחת קטנה ואחת גדולה.

And we also saw that they are very professionally engineered

וראינו גם שהן מתוכננות באופן מאוד מקצועי

by people who obviously had all insider information.

על ידי אנשים שהיה להם באופן ברור את כל המידע הפנימי.

They knew all the bits and bites

הם הכירו את כל הביטים והבייטים

that they had to attack.

שהם היו צריכים לתקוף.

They probably even know the shoe size of the operator.

הם כנראה אפילו יודעים את מידת הנעליים של המפעיל.

So they know everything.

אז הם יודעים הכל.

And if you have heard that the dropper of Stuxnet

ואם שמעתם שהדרופר של סטאקסנט

is complex and high-tech,

הוא מורכב ומשוכלל,

let me tell you this:

אני אגיד לכם יותר מזה:

the payload is rocket science.

הוירוס עצמו הוא מדע טילים.

It's way above everything

זה הרבה מעבר לכל דבר

that we have ever seen before.

שנתקלנו בו בעבר.

Here you see a sample of this actual attack code.

כאן אתם רואים דוגמה של קוד התקיפה המקורי.

We are talking about --

אנחנו מדברים על --

around about 15,000 lines of code.

סביבות 15,000 שורות קוד.

Looks pretty much like old-style assembly language.

נראה כמעט כמו שפת אסמבלי של פעם.

And I want to tell you how we were able

ואני רוצה לספר לכם איך הצלחנו

to make sense out of this code.

להבין את הקוד הזה.

So what we were looking for is, first of all, system function calls,

אז מה שחיפשנו קודם כל הן פונקציות קריאות מערכת,

because we know what they do.

כי אנחנו יודעים מה הן עושות.

And then we were looking for timers and data structures

ואז חיפשנו טיימרים ומבני נתונים

and trying to relate them to the real world --

וניסינו לשייך אותם לעולם האמיתי --

to potential real world targets.

למטרות אפשריות בעולם האמיתי.

So we do need target theories

אז אנחנו צריכים תאוריות על מטרות

that we can prove or disprove.

שנוכל להוכיח או להפריך.

In order to get target theories,

כדי להגיע לתאוריות על מטרות,

we remember

אנחנו זוכרים

that it's definitely hardcore sabotage,

שזאת בוודאות פעולת חבלה קשה מאוד,

it must be a high-value target

זאת חייבת להיות מערכת חשובה ביותר,

and it is most likely located in Iran,

ורוב הסיכויים שהיא נמצאת באירן,

because that's where most of the infections had been reported.

מאחר ושם דווחו רוב מקרי המחשבים שהודבקו.

Now you don't find several thousand targets in that area.

אתה לא מוצא כמה אלפי מטרות באזור הזה.

It basically boils down

זה בעיקרון מצטמצם

to the Bushehr nuclear power plant

לכור הגרעיני בבושהר

and to the Natanz fuel enrichment plant.

ולמפעל העשרת הדלק הגרעיני בנתנז.

So I told my assistant,

אז אמרתי לעוזר שלי,

"Get me a list of all centrifuge and power plant experts from our client base."

"תשיג לי רשימה של כל מומחי הצנטריפוגות ותחנות הכח מתוך הלקוחות שלנו"

And I phoned them up and picked their brain

והתקשרתי אליהם ותשאלתי אותם

in an effort to match their expertise

כדי לנסות להתאים את הידע והמומחיות שלהם

with what we found in code and data.

למה שמצאנו בקוד ובנתונים.

And that worked pretty well.

וזה עבד די טוב.

So we were able to associate

אז הצלחנו לקשר

the small digital warhead

את ראש הטיל הדיגיטלי הקטן

with the rotor control.

עם שליטה על הרוטור.

The rotor is that moving part within the centrifuge,

הרוטור הוא החלק הנע בתוך הצנטריפוגה,

that black object that you see.

החפץ השחור שאתם רואים.

And if you manipulate the speed of this rotor,

ואם משנים את המהירות של הרוטור הזה,

you are actually able to crack the rotor

אפשר באמת לסדוק את הרוטור

and eventually even have the centrifuge explode.

ובסופו של דבר אפילו לגרום לצנטריפוגה להתפוצץ.

What we also saw

מה שעוד ראינו

is that the goal of the attack

הוא שהמטרה של ההתקפה

was really to do it slowly and creepy --

היתה לעשות את זה באיטיות ובחשאיות --

obviously in an effort

במאמץ ברור

to drive maintenance engineers crazy,

לשגע את מהנדסי התחזוקה,

that they would not be able to figure this out quickly.

כך שהם לא יוכלו לפענח את זה במהירות.

The big digital warhead -- we had a shot at this

ראש הטיל הדיגיטלי הגדול -- ניסינו לפענח אותו

by looking very closely

על ידי התבוננות קרובה

at data and data structures.

בנתונים ומבני נתונים.

So for example, the number 164

אז לדוגמה, המספר 164

really stands out in that code;

ממש בולט בקוד הזה;

you can't overlook it.

אי אפשר לפספס אותו.

I started to research scientific literature

התחלתי לחקור ספרות מדעית

on how these centrifuges

על איך הצנטריפוגות האלה

are actually built in Natanz

בנויות בנתנז

and found they are structured

ומצאתי שהן מובנות

in what is called a cascade,

במה שנקרה סדרה,

and each cascade holds 164 centrifuges.

וכל סדרה מכילה 164 צנטריפוגות.

So that made sense, that was a match.

אז זה היה הגיוני, זה התאים.

And it even got better.

וזה אפילו השתפר.

These centrifuges in Iran

הצנטריפוגות האלה באירן

are subdivided into 15, what is called, stages.

מחולקות ל-15 מה שנקרא, שלבים.

And guess what we found in the attack code?

ונחשו מה מצאנו בקוד התקיפה?

An almost identical structure.

מבנה כמעט זהה.

So again, that was a real good match.

אז שוב, זאת היתה התאמה מאוד טובה.

And this gave us very high confidence for what we were looking at.

וזה נתן לנו הרבה ביטחון על מה שאנחנו בודקים.

Now don't get me wrong here, it didn't go like this.

אל תבינו אותי לא נכון, זה לא הלך בקלות.

These results have been obtained

התוצאות האלה הושגו

over several weeks of really hard labor.

אחרי מספר שבועות של עבודה קשה מאוד.

And we often went into just a dead end

והרבה פעמים פשוט נתקענו במבוא ללא מוצא

and had to recover.

והיינו צריכים לנסות שוב.

Anyway, so we figured out

בכל מקרה, אז גילינו

that both digital warheads

ששני ראשי הטיל הדיגיטליים

were actually aiming at one and the same target,

בעצם כוונו אל אותה מטרה,

but from different angles.

אבל מזוויות שונות.

The small warhead is taking one cascade,

ראש הטיל הקטן לוקח סדרה אחת,

and spinning up the rotors and slowing them down,

ומסובב את הרוטורים ומאט אותם,

and the big warhead

וראש הטיל הגדול

is talking to six cascades

מדבר עם שש סדרות

and manipulating valves.

ומשנה תפקודי שסתומים.

So in all, we are very confident

אז בסך הכל, אנחנו מאוד בטוחים

that we have actually determined what the target is.

שמצאנו את המטרה האמיתית.

It is Natanz, and it is only Natanz.

זאת נתנז, וזאת רק נתנז.

So we don't have to worry

אז אנחנו לא צריכים לדאוג

that other targets

שמא מטרות אחרות

might be hit by Stuxnet.

ייפגעו על ידי סטאקסנט.

Here's some very cool stuff that we saw --

הנה כמה דברים מאוד מגניבים שראינו --

really knocked my socks off.

שממש הפתיעו אותי.

Down there is the gray box,

שם למטה נמצאת הקופסה האפורה,

and on the top you see the centrifuges.

ולמעלה אתם רואים את הצנטריפוגות.

Now what this thing does

עכשיו מה שהדבר הזה עושה

is it intercepts the input values from sensors --

הוא שהוא מיירט את הערכים שמתקבלים בחיישנים --

so for example, from pressure sensors

אז לדוגמא, מחיישני לחץ

and vibration sensors --

וחיישני רטט --

and it provides legitimate program code,

ובונה קוד לגיטימי,

which is still running during the attack,

שעדיין רץ בזמן ההתקפה,

with fake input data.

עם מידע קלט מזוייף.

And as a matter of fact, this fake input data

ולמעשה, מידע הקלט המזוייף הזה

is actually prerecorded by Stuxnet.

מוקלט מראש על ידי סטאקסנט.

So it's just like from the Hollywood movies

אז זה כמו בסרטים ההוליוודיים

where during the heist,

שבזמן העוקץ,

the observation camera is fed with prerecorded video.

מצלמות האבטחה מוזנות בסרטונים מוקלטים מראש.

That's cool, huh?

זה מגניב, אה?

The idea here is obviously

הרעיון כאן הוא כמובן

not only to fool the operators in the control room.

לא רק לשטות במפעילים בחדר הבקרה.

It actually is much more dangerous and aggressive.

האמת שזה הרבה יותר מסוכן ואגרסיבי.

The idea

הרעיון

is to circumvent a digital safety system.

הוא לעקוף מערכת בטיחות דיגיטלית.

We need digital safety systems

אנחנו צריכים מערכות בטיחות דיגיטליות

where a human operator could not act quick enough.

במקומות שמפעיל אנושי לא יכול לפעול מהר מספיק.

So for example, in a power plant,

אז לדוגמה, בתחנת כח,

when your big steam turbine gets too over speed,

כשטורבינת הקיטור הגדולה שלך צוברת יותר מדי מהירות,

you must open relief valves within a millisecond.

אתה חייב לפתוח את שסתומי השחרור בתוך אלפית השניה.

Obviously, this cannot be done by a human operator.

ברור מאליו שזה לא יכול להתבצע על ידי מפעיל אנושי.

So this is where we need digital safety systems.

אז במקומות כאלה אנחנו צריכים מערכות בטיחות דיגיטליות.

And when they are compromised,

וכשהן נפרצות,

then real bad things can happen.

אז דברים מאוד רעים יכולים לקרות.

Your plant can blow up.

המפעל שלך יכול להתפוצץ.

And neither your operators nor your safety system will notice it.

ולא המפעילים שלך ולא מערכת הבטיחות שלך ישימו לב לכך.

That's scary.

זה מפחיד.

But it gets worse.

אבל זה נהיה יותר גרוע.

And this is very important, what I'm going to say.

וזה מאוד חשוב, מה שאני הולך להגיד.

Think about this:

תחשבו על זה.

this attack is generic.

ההתקפה הזאת היא כללית.

It doesn't have anything to do, in specifics,

היא לא עוסקת ספציפית,

with centrifuges,

בצנטריפוגות,

with uranium enrichment.

בהעשרת אורניום.

So it would work as well, for example,

אז היא יכולה לעבוד גם לדוגמה,

in a power plant

בתחנת כח

or in an automobile factory.

או במפעל לייצור כלי רכב.

It is generic.

היא כללית.

And you don't have -- as an attacker --

ואתה לא חייב -- בתור תוקף --

you don't have to deliver this payload

אתה לא חייב להפיץ את הוירוס הזה

by a USB stick,

בעזרת כונן USB,

as we saw it in the case of Stuxnet.

כמו שראינו במקרה של סטאקסנט.

You could also use conventional worm technology for spreading.

אתה יכול גם להשתמש בשיטות רגילות להפצת תולעת מחשב.

Just spread it as wide as possible.

פשוט תפיץ את זה כמה שרק אפשר.

And if you do that,

ואם אתה עושה את זה,

what you end up with

מה שאתה מקבל

is a cyber weapon of mass destruction.

הוא נשק קיברנטי להשמדה המונית.

That's the consequence

זאת התוצאה

that we have to face.

שאיתה אנו צריכים להתמודד.

So unfortunately,

אז לרוע המזל,

the biggest number of targets for such attacks

המספר הגדול ביותר של מטרות להתקפות כאלה

are not in the Middle East.

הוא לא במזרח התיכון.

They're in the United States and Europe and in Japan.

הן נמצאות בארה"ב ואירופה וביפן.

So all of the green areas,

אז כל האיזורים הירוקים,

these are your target-rich environments.

אלה הסביבות עם הכי הרבה מטרות.

We have to face the consequences,

אנחנו צריכים להתמודד עם התוצאות,

and we better start to prepare right now.

וכדאי שנתחיל להתכונן עכשיו.

Thanks.

תודה.

(Applause)

(מחיאות כפיים)

Chris Anderson: I've got a question.

כריס אנדרסון: יש לי שאלה.

Ralph, it's been quite widely reported

ראלף, זה דווח בהרחבה

that people assume that Mossad

שאנשים מניחים שהמוסד

is the main entity behind this.

הוא הישות המרכזית מאחורי זה.

Is that your opinion?

האם זאת דעתך?

Ralph Langner: Okay, you really want to hear that?

ראלף לאנגנר: אוקיי, אתה באמת רוצה לשמוע את זה?

Yeah. Okay.

כן. אוקיי.

My opinion is that the Mossad is involved,

דעתי היא שהמוסד מעורב,

but that the leading force is not Israel.

אבל שהכח המוביל אינו ישראל.

So the leading force behind that

הכח המוביל מאחורי זה

is the cyber superpower.

הוא מעצמת העל הקיברנטית.

There is only one,

ויש רק אחת,

and that's the United States --

וזאת ארה"ב --

fortunately, fortunately.

למרבה המזל, למרבה המזל.

Because otherwise,

כי אחרת,

our problems would even be bigger.

הבעיות שלנו היו אפילו יותר גדולות.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

כריס: תודה לך שהפחדת אותנו עד עמקי נשמתנו. תודה לך ראלף.

(Applause)

(מחיאות כפיים)