Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Vertaald door: Rik Delaet Nagekeken door: Roel Verbunt

The idea behind the Stuxnet computer worm

Het idee achter de Stuxnet-computerworm

is actually quite simple.

is eigenlijk heel simpel.

We don't want Iran to get the bomb.

We willen niet dat Iran de bom krijgt.

Their major asset for developing nuclear weapons

Hun belangrijkste troef voor de ontwikkeling van nucleaire wapens

is the Natanz uranium enrichment facility.

is de fabriek in Natanz voor de verrijking van uranium.

The gray boxes that you see,

De grijze dozen die je ziet,

these are real-time control systems.

zijn de real-timebesturingssystemen.

Now if we manage to compromise these systems

Als we erin slagen de systemen, die de draaisnelheden

that control drive speeds and valves,

en kleppen controleren, in de war te sturen,

we can actually cause a lot of problems

dan kunnen we een boel problemen

with the centrifuge.

met de centrifuge veroorzaken.

The gray boxes don't run Windows software;

Die grijze dozen gebruiken geen Windows-software;

they are a completely different technology.

ze draaien op een compleet andere technologie.

But if we manage

Maar we kunnen proberen

to place a good Windows virus

om een goed Windows-virus

on a notebook

op een notebook te plaatsen.

that is used by a maintenance engineer

Als een ingenieur dat notebook gebruikt

to configure this gray box,

om die grijze doos te configureren,

then we are in business.

dan zijn we binnen.

And this is the plot behind Stuxnet.

Dat is de plot achter Stuxnet.

So we start with a Windows dropper.

We beginnen met een Windows-dropper (software met malware).

The payload goes onto the gray box,

De worm komt terecht in de grijze doos,

damages the centrifuge,

beschadigt de centrifuge,

and the Iranian nuclear program is delayed --

en het Iranese nucleaire programma loopt vertraging op:

mission accomplished.

missie volbracht.

That's easy, huh?

Da's makkelijk, hè?

I want to tell you how we found that out.

Ik wil jullie vertellen hoe we daarop zijn gekomen.

When we started our research on Stuxnet six months ago,

Toen we ons onderzoek op Stuxnet zes maanden geleden begonnen,

it was completely unknown what the purpose of this thing was.

was het volkomen onbekend wat dit ding moest doen.

The only thing that was known

Het enige dat bekend was

is it's very, very complex on the Windows part, the dropper part,

was dat dat zeer complexe Windows-onderdeel, het dropperdeel,

used multiple zero-day vulnerabilities.

meerdere zero-day kwetsbaarheden kon uitbuiten.

And it seemed to want to do something

Het leek iets te willen doen

with these gray boxes, these real-time control systems.

met deze grijze dozen, deze real-time besturingssystemen.

So that got our attention,

Daar richtten we onze aandacht op.

and we started a lab project

We begonnen een lab-project

where we infected our environment with Stuxnet

waar we ons systeem besmetten met Stuxnet

and checked this thing out.

en keken wat er gebeurde.

And then some very funny things happened.

Er gebeurden een aantal zeer grappige dingen.

Stuxnet behaved like a lab rat

Stuxnet gedroeg zich als een lab-rat

that didn't like our cheese --

die onze kaas niet lustte -

sniffed, but didn't want to eat.

hij snoof eraan, maar wilde er niet van eten.

Didn't make sense to me.

Ik kon er kop noch staart aan krijgen.

And after we experimented with different flavors of cheese,

Nadat we met verschillende smaken van kaas hadden geëxperimenteerd,

I realized, well, this is a directed attack.

besefte ik dat dit is een gerichte aanval was.

It's completely directed.

Volledig doelgericht.

The dropper is prowling actively

De dropper tast

on the gray box

de grijze doos actief af

if a specific configuration is found,

tot een specifieke configuratie wordt gevonden,

and even if the actual program code that it's trying to infect

terwijl het eigenlijke programma, dat het probeert te infecteren,

is actually running on that target.

nog loopt op dat doelwit.

And if not, Stuxnet does nothing.

Zo niet doet Stuxnet niets.

So that really got my attention,

Dat trok pas echt mijn aandacht

and we started to work on this

en we begonnen hier

nearly around the clock,

bijna de klok rond aan te werken.

because I thought, "Well, we don't know what the target is.

We hadden er geen idee van wat het doelwit is.

It could be, let's say for example,

Het zou bijvoorbeeld ook

a U.S. power plant,

een Amerikaanse kerncentrale

or a chemical plant in Germany.

of een chemische fabriek in Duitsland kunnen zijn.

So we better find out what the target is soon."

We konden maar beter snel te weten komen wat het doel was.

So we extracted and decompiled

We haalden de aanvalscode

the attack code,

eruit en decompileerden ze.

and we discovered that it's structured in two digital bombs --

We ontdekten dat er twee digitale bommen in te vinden waren:

a smaller one and a bigger one.

een kleine en een grote.

And we also saw that they are very professionally engineered

We zagen ook dat ze erg professioneel waren ontworpen

by people who obviously had all insider information.

door mensen die duidelijk alle voorkennis hadden.

They knew all the bits and bites

Ze kenden alle bits en bytes

that they had to attack.

die ze moesten aanvallen.

They probably even know the shoe size of the operator.

Ze kenden waarschijnlijk zelfs de schoenmaat van de bediener.

So they know everything.

Ze wisten alles.

And if you have heard that the dropper of Stuxnet

Als je zou hebben gehoord dat de dropper van Stuxnet

is complex and high-tech,

complex en high-tech is,

let me tell you this:

laat me je dan dit vertellen:

the payload is rocket science.

dat ding is van de bovenste plank.

It's way above everything

Het staat ver boven alles

that we have ever seen before.

dat we ooit eerder zagen.

Here you see a sample of this actual attack code.

Hier zie je een staaltje van deze feitelijke aanvalscode.

We are talking about --

We praten over

around about 15,000 lines of code.

ongeveer 15.000 regels code.

Looks pretty much like old-style assembly language.

Ziet er nogal uit als ouderwetse assembler.

And I want to tell you how we were able

Ik wil jullie vertellen hoe we in staat waren

to make sense out of this code.

om deze code te begrijpen.

So what we were looking for is, first of all, system function calls,

Waar we naar zochten waren ten eerste systeemfunctiecalls.

because we know what they do.

Omdat we weten waar die voor dienen.

And then we were looking for timers and data structures

Daarna zochten we naar timers en datastructuren

and trying to relate them to the real world --

en probeerden ze te relateren aan de echte wereld -

to potential real world targets.

aan potentiële doelwitten in de echte wereld.

So we do need target theories

We hadden doelwittheorieën nodig

that we can prove or disprove.

die we konden bewijzen of weerleggen.

In order to get target theories,

Om achter die doelwittheorieën te komen,

we remember

bleven we voor ogen houden

that it's definitely hardcore sabotage,

dat het hier zeker om sabotage ging.

it must be a high-value target

Het moest een doelwit van hoge waarde zijn,

and it is most likely located in Iran,

en het was zeer waarschijnlijk in Iran gelegen.

because that's where most of the infections had been reported.

Daar werd namelijk het merendeel van de infecties gemeld.

Now you don't find several thousand targets in that area.

Nu ga je in dat gebied geen duizenden doelen vinden.

It basically boils down

Eigenlijk draait het vooral

to the Bushehr nuclear power plant

om de kerncentrale van Bushehr

and to the Natanz fuel enrichment plant.

en om de fabriek voor splijtstofverrijking in Natanz.

So I told my assistant,

Ik zei tegen mijn assistent,

"Get me a list of all centrifuge and power plant experts from our client base."

"Haal uit ons klantenbestand een lijst van alle centrifuge- en kerncentraledeskundigen op."

And I phoned them up and picked their brain

Ik belde hen op en hoorde hen uit

in an effort to match their expertise

om hun expertise te vergelijken

with what we found in code and data.

met wat we gevonden hadden in de code en data.

And that worked pretty well.

Dat werkte behoorlijk goed.

So we were able to associate

Zo konden we

the small digital warhead

de kleine digitale bom linken

with the rotor control.

aan de rotorcontrole.

The rotor is that moving part within the centrifuge,

De rotor is het bewegende deel in de centrifuge.

that black object that you see.

Het zwarte ding dat je daar ziet.

And if you manipulate the speed of this rotor,

Als je de snelheid van deze rotor kan aansturen,

you are actually able to crack the rotor

ben je eigenlijk in staat om de rotor te beschadigen

and eventually even have the centrifuge explode.

en de centrifuge zelfs te laten ontploffen.

What we also saw

Wat we ook zagen

is that the goal of the attack

was dat het de bedoeling was de aanval

was really to do it slowly and creepy --

langzaam en op een sluipende manier te laten gebeuren.

obviously in an effort

Uiteraard met de bedoeling de onderhoudsmonteurs

to drive maintenance engineers crazy,

met de handen in het haar te laten zitten,

that they would not be able to figure this out quickly.

zodat ze er niet snel zouden achterkomen wat er aan de hand was.

The big digital warhead -- we had a shot at this

De grote digitale bom vonden we

by looking very closely

door de data en datastructuren

at data and data structures.

zeer nauwkeurig te analyseren.

So for example, the number 164

Zo komt het getal 164

really stands out in that code;

vaak voor in die code.

you can't overlook it.

Je kunt het niet over het hoofd zien.

I started to research scientific literature

Ik begon aan wetenschappelijk literatuuronderzoek

on how these centrifuges

over hoe dat deze centrifuges in Natanz

are actually built in Natanz

eigenlijk gebouwd zijn.

and found they are structured

Ik vond dat ze

in what is called a cascade,

in wat een cascade wordt genoemd waren opgesteld.

and each cascade holds 164 centrifuges.

Elke cascade bevat 164 centrifuges.

So that made sense, that was a match.

Dat was al één logische overeenkomst.

And it even got better.

Het werd zelfs nog beter.

These centrifuges in Iran

Deze centrifuges in Iran

are subdivided into 15, what is called, stages.

zijn onderverdeeld in 15 zogenoemde trappen.

And guess what we found in the attack code?

Raad eens wat we vonden in de aanvalscode?

An almost identical structure.

Een bijna identieke structuur.

So again, that was a real good match.

Dat stemde zeer goed overeen.

And this gave us very high confidence for what we were looking at.

Dit gaf ons heel veel vertrouwen dat we op het juiste spoor zaten.

Now don't get me wrong here, it didn't go like this.

Begrijp me niet verkeerd, zo simpel was het niet.

These results have been obtained

Deze resultaten zijn verkregen

over several weeks of really hard labor.

na een aantal weken van hard werken.

And we often went into just a dead end

Vaak volgden we een doodlopend spoor

and had to recover.

en moesten we opnieuw beginnen.

Anyway, so we figured out

Hoe dan ook visten we uit

that both digital warheads

dat beide digitale bommen

were actually aiming at one and the same target,

op één en hetzelfde doelwit gericht zijn.

but from different angles.

Maar vanuit verschillende invalshoeken.

The small warhead is taking one cascade,

De kleine bom pakt één cascade aan,

and spinning up the rotors and slowing them down,

door de rotors te versnellen of af te remmen,

and the big warhead

en de grote bom

is talking to six cascades

pakt zes cascades aan

and manipulating valves.

door het manipuleren van kleppen.

So in all, we are very confident

Al met al hebben we er alle vertrouwen in

that we have actually determined what the target is.

dat we het doel hebben gevonden.

It is Natanz, and it is only Natanz.

Het is Natanz en alleen maar Natanz.

So we don't have to worry

We hoefden ons dus geen zorgen meer te maken

that other targets

dat andere doelen

might be hit by Stuxnet.

zouden kunnen worden getroffen door Stuxnet.

Here's some very cool stuff that we saw --

Hier een aantal leuke dingen die we tegenkwamen:

really knocked my socks off.

daar viel ik pas echt van achterover.

Down there is the gray box,

Daar is de grijze doos,

and on the top you see the centrifuges.

en bovenaan zie je de centrifuges.

Now what this thing does

Dit ding onderschept

is it intercepts the input values from sensors --

de input-waarden van sensoren.

so for example, from pressure sensors

bijvoorbeeld van druksensoren

and vibration sensors --

en trillingsensoren.

and it provides legitimate program code,

Het voorziet de legitieme code,

which is still running during the attack,

die tijdens de aanval nog steeds loopt,

with fake input data.

van nep-inputdata.

And as a matter of fact, this fake input data

In feite zijn deze nep-inputdata

is actually prerecorded by Stuxnet.

vooraf opgenomen door Stuxnet.

So it's just like from the Hollywood movies

Het is net als in die Hollywoodfilms

where during the heist,

waar tijdens een inbraak

the observation camera is fed with prerecorded video.

de observatiecamera wordt gevoed met vooraf opgenomen video.

That's cool, huh?

Dat is cool, he?

The idea here is obviously

Het idee hierachter is niet alleen maar

not only to fool the operators in the control room.

de operatoren in de controlekamer te misleiden.

It actually is much more dangerous and aggressive.

Het is veel gevaarlijker en agressiever.

The idea

Het idee gaat over het omzeilen

is to circumvent a digital safety system.

van een digitaal beveiligingssysteem.

We need digital safety systems

We hebben digitale beveiligingssystemen nodig

where a human operator could not act quick enough.

als een menselijke operator niet snel genoeg kan reageren.

So for example, in a power plant,

Bijvoorbeeld in een elektriciteitscentrale moet je,

when your big steam turbine gets too over speed,

als de grote stoomturbine te snel gaat draaien,

you must open relief valves within a millisecond.

de ontlastingskleppen binnen de milliseconde kunnen openen.

Obviously, this cannot be done by a human operator.

Uiteraard kan dit niet worden gedaan door een menselijke operator.

So this is where we need digital safety systems.

Daar hebben we digitale beveiligingssystemen voor nodig.

And when they are compromised,

Wanneer die in het gedrang komen

then real bad things can happen.

kunnen vreselijke dingen gebeuren.

Your plant can blow up.

Je installatie kan ontploffen.

And neither your operators nor your safety system will notice it.

Noch je operatoren, noch je veiligheidsysteem zullen het merken.

That's scary.

Dat is pas eng.

But it gets worse.

Maar het wordt nog erger.

And this is very important, what I'm going to say.

Wat ik ga zeggen is zeer belangrijk.

Think about this:

Denk hier eens over na.

this attack is generic.

Deze aanval is niet specifiek.

It doesn't have anything to do, in specifics,

Dat wil zeggen dat hij niet specifiek gericht is

with centrifuges,

op centrifuges of

with uranium enrichment.

op de verrijking van uranium.

So it would work as well, for example,

Hij zou even goed kunnen werken bij

in a power plant

een energiecentrale

or in an automobile factory.

of een autofabriek.

It is generic.

Hij is niet specifiek.

And you don't have -- as an attacker --

Je hoefde als aanvaller

you don't have to deliver this payload

deze software niet

by a USB stick,

door middel van een USB-stick af te leveren,

as we saw it in the case of Stuxnet.

zoals we al zagen in het geval van Stuxnet.

You could also use conventional worm technology for spreading.

Dat kon evengoed via conventionele worm-technologie.

Just spread it as wide as possible.

Smeer het gewoon zo breed mogelijk uit.

And if you do that,

Wat krijg je dan?

what you end up with

Een cybermassavernietigingswapen.

is a cyber weapon of mass destruction.

Een cybermassavernietigingswapen.

That's the consequence

Dat moeten we

that we have to face.

onder ogen durven zien.

So unfortunately,

Maar helaas bevindt

the biggest number of targets for such attacks

het grootste aantal doelen voor dergelijke aanslagen

are not in the Middle East.

zich niet in het Midden-Oosten.

They're in the United States and Europe and in Japan.

Maar wel in de Verenigde Staten, Europa en Japan.

So all of the green areas,

Alle groene gebieden op de kaart

these are your target-rich environments.

zijn je doelgroeprijke omgevingen.

We have to face the consequences,

We moeten de gevolgen daarvan onder ogen durven zien.

and we better start to prepare right now.

We kunnen er ons maar beter op voorbereiden.

Thanks.

Bedankt.

(Applause)

(Applaus)

Chris Anderson: I've got a question.

Chris Anderson: Ik heb een vraag.

Ralph, it's been quite widely reported

Ralph, er wordt vaak beweerd

that people assume that Mossad

dat het vooral de Mossad is

is the main entity behind this.

die hierachter zou zitten.

Is that your opinion?

Denk je dat ook?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: Oke, wil je het echt weten?

Yeah. Okay.

Ja. Oke.

My opinion is that the Mossad is involved,

Mijn mening is dat de Mossad betrokken partij is,

but that the leading force is not Israel.

maar dat de voornaamste aanstoker niet Israël is.

So the leading force behind that

De voornaamste aanstoker hierachter

is the cyber superpower.

is 'de' cybersupermacht.

There is only one,

Dat is er slechts één:

and that's the United States --

de Verenigde Staten.

fortunately, fortunately.

Gelukkig maar.

Because otherwise,

Want anders zouden onze problemen

our problems would even be bigger.

zelfs nog groter zijn.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Bedankt dat je ons de haren ten berge hebt laten rijzen. Dank je Ralph.

(Applause)

(Applaus)