Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Translator: Donatas Bakanas Reviewer: Andrius Burnickas

The idea behind the Stuxnet computer worm

Stuxnet kirmino idėja

is actually quite simple.

iš tiesų yra gana paprasta.

We don't want Iran to get the bomb.

Mes nenorime, kad Iranas sukurtų bombą.

Their major asset for developing nuclear weapons

Jų pagrindinis centras kuriant branduolinius ginklus

is the Natanz uranium enrichment facility.

yra Natanz urano sodrinimo gamykla.

The gray boxes that you see,

Pilkos dėžės, kurias jūs matote,

these are real-time control systems.

yra realaus laiko valdymo sistemos.

Now if we manage to compromise these systems

Jei mes sugebėtume sutrikdyti šias sistemas,

that control drive speeds and valves,

kurios kontroliuoja motorų greitį ir vožtuvus,

we can actually cause a lot of problems

tai mes, iš tikro, sukeltume daug problemų

with the centrifuge.

centrifugai.

The gray boxes don't run Windows software;

Pilkosiose dėžėse veikia ne Windows programinė įranga;

they are a completely different technology.

tai visiškai kita technologija.

But if we manage

Bet jei sugebėtume

to place a good Windows virus

įdiegti gerą Windows virusą

on a notebook

į nešiojamą kompiuterį,

that is used by a maintenance engineer

kurį naudoja įrengimų inžinierius

to configure this gray box,

šių pilkųjų dėžių konfigūravimui,

then we are in business.

tai galėtume kažką nuveikti.

And this is the plot behind Stuxnet.

Kaip tik toks ir yra Stuxnet veikimo būdas.

So we start with a Windows dropper.

Taigi, pradedame su Windows užkratu.

The payload goes onto the gray box,

Kovinis užtaisas nukeliauja į pilkąją dėžę,

damages the centrifuge,

pažeidžia cetrifugą,

and the Iranian nuclear program is delayed --

Irano branduolinė programa pristabdyta -

mission accomplished.

misija baigta.

That's easy, huh?

Lengva, tiesa?

I want to tell you how we found that out.

Aš noriu papasakoti, kaip mes tai išsiaiškinome.

When we started our research on Stuxnet six months ago,

Kai pradėjome Stuxnet tyrimą prieš šešis mėnesius,

it was completely unknown what the purpose of this thing was.

visiškai nenutuokėme, koks šio daikto tikslas.

The only thing that was known

Vienintelis dalykas, kurį žinojome, buvo

is it's very, very complex on the Windows part, the dropper part,

tai, kad jis labai labai sudėtingas iš Windows - užkrato - pusės,

used multiple zero-day vulnerabilities.

išnaudojantis daugybę "nulinės dienos" spragų.

And it seemed to want to do something

Ir atrodė, kad jis norėjo kažką padaryti,

with these gray boxes, these real-time control systems.

su tomis pilkosiomis dėžėmis, tomis realaus laiko kontrolės sistemomis.

So that got our attention,

Tai atkreipė mūsų dėmesį

and we started a lab project

ir mes pradėjome laboratorinį tyrimą,

where we infected our environment with Stuxnet

kuriame užkrėtėme mūsų įrenginius Stuxnet'u

and checked this thing out.

ir stebėjome, kas bus.

And then some very funny things happened.

Nutiko labai smagių dalykų.

Stuxnet behaved like a lab rat

Stuxnet elgėsi kaip laboratorinė žiurkė,

that didn't like our cheese --

kuriai nepatiko mūsų sūris -

sniffed, but didn't want to eat.

pauostė, bet ėsti nenorėjo.

Didn't make sense to me.

Man tai neatrodė logiška.

And after we experimented with different flavors of cheese,

Po to, kai mes išbandėme skirtingus sūrio skonius,

I realized, well, this is a directed attack.

aš supratau - tai tikslinga ataka.

It's completely directed.

Visiškai tikslinga.

The dropper is prowling actively

Užkratas aktyviai seka,

on the gray box

ar pilkojoje dėžėje

if a specific configuration is found,

yra specifinė konfigūracija

and even if the actual program code that it's trying to infect

ir net ar tikroji programa, kurią norima užkrėsti

is actually running on that target.

iš tikro veikia tame taikinyje.

And if not, Stuxnet does nothing.

Jei ne, Stuxnet nieko nedaro.

So that really got my attention,

Tai stipriai patraukė mano dėmesį

and we started to work on this

ir mes pradėjome darbą

nearly around the clock,

vos ne kiaurą parą,

because I thought, "Well, we don't know what the target is.

nes aš pagalvojau, kad mes nežinome, kas yra taikinys.

It could be, let's say for example,

Tai gali būti, pavyzdžiui,

a U.S. power plant,

JAV elektrinė

or a chemical plant in Germany.

ar chemijos gamykla Vokietijoje.

So we better find out what the target is soon."

Todėl geriau būtų kuo greičiau išsiaiškinti, kas yra taikinys.

So we extracted and decompiled

Taigi, mes ištraukėme ir išskaidėme

the attack code,

atakos kodą

and we discovered that it's structured in two digital bombs --

ir aptikome, kad jis susideda iš dviejų skaitmeninių bombų -

a smaller one and a bigger one.

mažesnės ir didesnės.

And we also saw that they are very professionally engineered

Taip pat pamatėme, kad jos sukurtos labai profesionaliai

by people who obviously had all insider information.

žmonių, kurie akivaizdžiai turėjo visą vidinę informaciją.

They knew all the bits and bites

Jie žinojo kiekvieną smulkmeną apie įrangą,

that they had to attack.

kurią turėjo atakuoti.

They probably even know the shoe size of the operator.

Jie tikriausiai žinojo net operatoriaus batų dydį.

So they know everything.

Taigi, jie žinojo viską.

And if you have heard that the dropper of Stuxnet

Jei jūs girdėjote, jog Stuxnet užkratas

is complex and high-tech,

yra sudėtingas ir aukščiausios technologijos,

let me tell you this:

tai leiskite pasakyti štai ką:

the payload is rocket science.

tas užtaisas - "raketų mokslas".

It's way above everything

Tai daug sudėtingiau už viską,

that we have ever seen before.

ką mes esame matę iki šiol.

Here you see a sample of this actual attack code.

Čia jūs matote pavyzdį iš tikrojo atakos kodo.

We are talking about --

Mes kalbame apie

around about 15,000 lines of code.

maždaug 15 000 kodo eilučių.

Looks pretty much like old-style assembly language.

Atrodo panašiai į senąją asemblerio kalbą.

And I want to tell you how we were able

Aš noriu papasakoti, kaip mums pavyko

to make sense out of this code.

iššifruoti šį kodą.

So what we were looking for is, first of all, system function calls,

Taigi, pirmiausia pradėjome ieškoti kreipinių į sistemos veiksmus,

because we know what they do.

nes žinojome, ką jie daro.

And then we were looking for timers and data structures

Po to ieškojome laikmačių ir duomenų struktūrų,

and trying to relate them to the real world --

bandėme susieti juos su realiu pasauliu -

to potential real world targets.

su tikrais realaus pasaulio taikiniais.

So we do need target theories

Taigi, mums reikėjo ieškoti teorinių taikinių,

that we can prove or disprove.

kuriuos galėtume patvirtinti arba atmesti.

In order to get target theories,

Kurdami tokias teorijas

we remember

mes turėjome galvoje,

that it's definitely hardcore sabotage,

kad tai labai aukšto lygio sabotažas,

it must be a high-value target

taigi taikinys turi būti labai svarbus,

and it is most likely located in Iran,

ir labiausiai tikėtina, kad jis yra Irane,

because that's where most of the infections had been reported.

nes iš ten atėjo daugiausiai pranešimų apie užkrėtimus.

Now you don't find several thousand targets in that area.

Toje teritorijoje nerasite tūkstančių tokių taikinių.

It basically boils down

Iš esmės visi keliai veda

to the Bushehr nuclear power plant

į Bushehr atominę elektrinę

and to the Natanz fuel enrichment plant.

ir į Natanz atominio kuro sodrinimo gamyklą.

So I told my assistant,

Taigi, aš pasakiau savo asistentui,

"Get me a list of all centrifuge and power plant experts from our client base."

"Suraskite mūsų duomenų bazėje visus centrifugų ir elektrinių ekspertus".

And I phoned them up and picked their brain

Tada aš jiems paskambinau ir apklausiau

in an effort to match their expertise

tam, kad susieti jų ekspertines žinias

with what we found in code and data.

su tuo, ką mes radome kode ir duomenyse.

And that worked pretty well.

Tai visai neblogai pavyko.

So we were able to associate

Taigi, mes susiejome

the small digital warhead

mažąją skaitmeninę bombą

with the rotor control.

su rotoriaus kontrole.

The rotor is that moving part within the centrifuge,

Rotorius - tai judanti centrifugos dalis,

that black object that you see.

juodas objektas, kurį matote.

And if you manipulate the speed of this rotor,

Manipuliuojant šio rotoriaus greičiu

you are actually able to crack the rotor

galima suskaldyti rotorių

and eventually even have the centrifuge explode.

ir taip sukelti centrifugos sprogimą.

What we also saw

Mes taip pat pamatėme,

is that the goal of the attack

kad atakos tikslas

was really to do it slowly and creepy --

buvo tai padaryti lėtai ir bauginančiai -

obviously in an effort

akivaizdžiai stengiantis

to drive maintenance engineers crazy,

inžinierius išvesti iš proto,

that they would not be able to figure this out quickly.

kad jie greitai nesuprastų, kas vyksta.

The big digital warhead -- we had a shot at this

Didžioji skaitmeninė bomba - apie ją spėjome

by looking very closely

akylai žiūrėdami į

at data and data structures.

duomenis ir jų struktūrą.

So for example, the number 164

Pavyzdžiui, skaičius 164

really stands out in that code;

išsiskiria visame kode;

you can't overlook it.

jo nepastebėti negalima.

I started to research scientific literature

Aš pradėjau studijuoti mokslinę literatūrą,

on how these centrifuges

kaip centrifugos

are actually built in Natanz

yra sukonstruotos Natanz'e

and found they are structured

ir pastebėjau, jog jos sugrupuotos

in what is called a cascade,

taip vadinamomis kaskadomis,

and each cascade holds 164 centrifuges.

o kiekvienoje kaskadoje yra 164 centrifugos.

So that made sense, that was a match.

Taigi, tai buvo sąsaja.

And it even got better.

Toliau buvo dar geriau.

These centrifuges in Iran

Šios centrifugos Irane

are subdivided into 15, what is called, stages.

yra dar suskirstytos į 15 lygių.

And guess what we found in the attack code?

Ir spėkite, ką mes radome atakos kode?

An almost identical structure.

Beveik tokią pat struktūrą.

So again, that was a real good match.

Taigi, pakartosiu - tai buvo tikrai aiškus ryšys.

And this gave us very high confidence for what we were looking at.

Tai mus suteikė pasitikėjimo tuo, ką mes tyrėme.

Now don't get me wrong here, it didn't go like this.

Tačiau nesupraskite manęs klaidingai, tai nevyko taip sklandžiai.

These results have been obtained

Šie rezultatai gauti

over several weeks of really hard labor.

po kelių savaičių sunkaus darbo.

And we often went into just a dead end

Dažnai atsidurdavome aklavietėje,

and had to recover.

tačiau turėjome atsitiesti.

Anyway, so we figured out

Bet kuriuo atveju, mes išsiaiškinome,

that both digital warheads

kad abi skaitmeninės bombos

were actually aiming at one and the same target,

taikėsi į tą patį taikinį,

but from different angles.

tačiau iš skirtingų pusių.

The small warhead is taking one cascade,

Mažoji bomba taikėsi į vieną kaskadą

and spinning up the rotors and slowing them down,

ir kaitaliojo rotorių sukimosi greitį,

and the big warhead

o didžioji bomba

is talking to six cascades

valdė šešias kaskadas

and manipulating valves.

bei manipuliavo vožtuvais.

So in all, we are very confident

Taigi, mes buvome pakankamai tikri,

that we have actually determined what the target is.

kad nustatėme taikinį.

It is Natanz, and it is only Natanz.

Tai Natanz ir tik Natanz.

So we don't have to worry

Taigi, neturėjome baimintis,

that other targets

kad kiti taikiniai

might be hit by Stuxnet.

gali būti paveikti Stuxnet.

Here's some very cool stuff that we saw --

Čia labai šaunūs dalykai, kuriuos išvydome

really knocked my socks off.

ir tai mane išvertė iš klumpių.

Down there is the gray box,

Apačioje yra pilkoji dėžė,

and on the top you see the centrifuges.

o virš jos matote centrifugas.

Now what this thing does

Šitas virusas

is it intercepts the input values from sensors --

perima duomenis iš daviklių -

so for example, from pressure sensors

pavyzdžiui, iš spaudimo

and vibration sensors --

ar vibracijos daviklių -

and it provides legitimate program code,

ir siunčia įrangos sistemoms,

which is still running during the attack,

kurios atakos metu vis dar veikia,

with fake input data.

netikrus duomenis.

And as a matter of fact, this fake input data

Beje, netikri duomenys

is actually prerecorded by Stuxnet.

yra įrašyti Stuxnet iš anksto.

So it's just like from the Hollywood movies

Taigi, tai kaip Holivudo filmuose,

where during the heist,

kai vykdant vagystes

the observation camera is fed with prerecorded video.

stebėjimo kamerose matosi iš anksto paruoštas vaizdas.

That's cool, huh?

Šaunu, ar ne?

The idea here is obviously

Ši idėja akivaizdžiai skirta

not only to fool the operators in the control room.

ne tik apkvailinti operatorius prie valdymo pulto.

It actually is much more dangerous and aggressive.

Ji daug pavojingesnė ir agresyvesnė.

The idea

Idėja yra

is to circumvent a digital safety system.

pergudrauti skaitmeninę saugumo sistemą.

We need digital safety systems

Mums reikia skaitmeninių saugumo sistemų,

where a human operator could not act quick enough.

nes žmogus operatorius negali pakankamai greitai sureaguoti.

So for example, in a power plant,

Pavyzdžiui, elektrinėje,

when your big steam turbine gets too over speed,

kai didelė garo turbina pradeda per greitai suktis,

you must open relief valves within a millisecond.

reikia tam tikrus vožtuvus atidaryti per milisekundę.

Obviously, this cannot be done by a human operator.

Akivaizdu, kad žmogus to padaryti negalėtų.

So this is where we need digital safety systems.

Štai čia reikalingos skaitmeninės saugumo sistemos.

And when they are compromised,

O kai jos yra sugadinamos,

then real bad things can happen.

gali nutikti tikrai blogų dalykų.

Your plant can blow up.

Elektrinė gali sprogti.

And neither your operators nor your safety system will notice it.

Ir nei operatoriai, nei saugumo sistemos to net nepastebės.

That's scary.

Baisoka.

But it gets worse.

Bet yra dar blogiau.

And this is very important, what I'm going to say.

Ir tai labai svarbu, ką dabar pasakysiu.

Think about this:

Pagalvokite apie tai.

this attack is generic.

Ši ataka yra bendrinė.

It doesn't have anything to do, in specifics,

Iš esmės ji nesusijusi konkrečiai

with centrifuges,

su centrifugomis

with uranium enrichment.

ar urano sodrinimu.

So it would work as well, for example,

Taigi, ji taip pat sėkmingai veiktų, pavyzdžiui,

in a power plant

elektrinėje

or in an automobile factory.

ar automobilių gamykloje.

It is generic.

Ji yra bendrinė.

And you don't have -- as an attacker --

Ir jūs, kaip puolantysis,

you don't have to deliver this payload

viruso neprivalote paleisti

by a USB stick,

iš USB atmintinės,

as we saw it in the case of Stuxnet.

kaip matėme Stuxnet atveju.

You could also use conventional worm technology for spreading.

Jūs galite naudoti įprastą kirmino technologiją paskleidimui.

Just spread it as wide as possible.

Tik paskleiskite kiek galima plačiau.

And if you do that,

Jei tai padarysite,

what you end up with

tai gausite

is a cyber weapon of mass destruction.

skaitmeninį masinio naikinimo ginklą.

That's the consequence

Tai pasekmės,

that we have to face.

su kuriomis teks susidurti.

So unfortunately,

Nelaimei,

the biggest number of targets for such attacks

daugiausiai taikinių tokioms atakoms

are not in the Middle East.

yra ne Artimuosiuose Rytuose.

They're in the United States and Europe and in Japan.

Jie yra JAV, Europoje ir Japonijoje.

So all of the green areas,

Visos žalios zonos,

these are your target-rich environments.

tai daugiausiai taikinių turinčios vietos.

We have to face the consequences,

Mes turėsime susidurti su pasekmėmis

and we better start to prepare right now.

ir geriau joms ruoštis jau dabar.

Thanks.

Ačiū.

(Applause)

(Plojimai)

Chris Anderson: I've got a question.

Chris Anderson: Aš turiu klausimą.

Ralph, it's been quite widely reported

Ralfai, buvo plačiai nušviesta,

that people assume that Mossad

kad daugelio manymu Mossad

is the main entity behind this.

yra pagrindinis šios atakos organizatorius.

Is that your opinion?

Kokia tavo nuomonė?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: Gerai, jūs tikrai norite tai išgirsti?

Yeah. Okay.

Gerai.

My opinion is that the Mossad is involved,

Mano nuomone Mossad yra įsivėlęs,

but that the leading force is not Israel.

bet pagrindinis veikėjas nėra Izraelis.

So the leading force behind that

Pagrindinis iniciatorius

is the cyber superpower.

yra kompiuterinė supervalstybė.

There is only one,

Tokia yra tik viena,

and that's the United States --

ir tai Jungtinės Amerikos Valstijos -

fortunately, fortunately.

laimei, laimei.

Because otherwise,

Nes kitaip

our problems would even be bigger.

mūsų problemos būtų netgi didesnės.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Ačiū, kad mirtinai mus išgąsdinai. Ačiū, Ralfai.

(Applause)

(Plojimai)