Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Tłumaczenie: Oskar Kocoł Korekta: Wojciech Borucki

The idea behind the Stuxnet computer worm

Idea kryjąca się za robakiem komputerowym Stuxnet

is actually quite simple.

jest w zasadzie bardzo prosta.

We don't want Iran to get the bomb.

Nie chcemy, aby Iran wyprodukował bombę atomową.

Their major asset for developing nuclear weapons

Ich centralnym ośrodkiem prowadzącym badania

is the Natanz uranium enrichment facility.

jest Natanz, gdzie wzbogaca się uran.

The gray boxes that you see,

Te szare skrzynki, które widzicie,

these are real-time control systems.

to systemy kontrolujące w czasie rzeczywistym.

Now if we manage to compromise these systems

Kiedy przejmiemy kontrolę nad systemami,

that control drive speeds and valves,

które monitorują szybkości i zawory,

we can actually cause a lot of problems

możemy spowodować wiele problemów

with the centrifuge.

z wirówkami.

The gray boxes don't run Windows software;

Szare skrzynki, nie działają w środowisku Windows;

they are a completely different technology.

używają całkowicie innej technologii.

But if we manage

Ale jeśli zdołamy,

to place a good Windows virus

umieścić dobrego Windowsowskiego wirusa

on a notebook

na laptopie

that is used by a maintenance engineer

którego używa inżynier obsługujący te maszyny

to configure this gray box,

aby skonfigurować tą szarą skrzynkę

then we are in business.

wtedy, jesteśmy w domu.

And this is the plot behind Stuxnet.

I taki spisek kryje się za Stuxnet'em.

So we start with a Windows dropper.

Zaczynamy z "zarażaczem" na Windowsie.

The payload goes onto the gray box,

Blok danych idzie do szarego pudła,

damages the centrifuge,

uszkadzaja wirówki,

and the Iranian nuclear program is delayed --

irański program atomowy jest opóźniony --

mission accomplished.

misja wykonana.

That's easy, huh?

Proste, nie?

I want to tell you how we found that out.

I chciałbym wam opowiedzieć, jak do tego doszliśmy.

When we started our research on Stuxnet six months ago,

Kiedy rozpoczęliśmy nasze badania nad Stuxnet sześć miesięcy temu,

it was completely unknown what the purpose of this thing was.

nie mieliśmy zielonego pojęcia jaki był cel tego wirusa.

The only thing that was known

Jedyna rzecz, o która była wiadoma,

is it's very, very complex on the Windows part, the dropper part,

to bardzo, bardzo złożona część Windows'owska, część zarażająca,

used multiple zero-day vulnerabilities.

która używała wielokrotnych zero-day'owych słabości . [ataki na luki w systemie już po ich ujawnieniu]

And it seemed to want to do something

Wyglądało na to, że robak, chce coś zrobić

with these gray boxes, these real-time control systems.

ze tymi szarymi skrzynkami, tymi systemami kontroli czasu rzeczywistego.

So that got our attention,

To przyciągnęło naszą uwagę,

and we started a lab project

i zaczęliśmy projekt w laboratorium,

where we infected our environment with Stuxnet

gdzie zainfekowaliśmy nasze środowisko Stuxnet'em,

and checked this thing out.

i sprawdzaliśmy, co się dzieje.

And then some very funny things happened.

Wydarzyła się bardzo zabawna rzecz.

Stuxnet behaved like a lab rat

Stuxnet zachowywał się jak mysz laboratoryjna,

that didn't like our cheese --

która nie lubiła naszego sera --

sniffed, but didn't want to eat.

obwąchiwała go, ale nie chciała go zjeść.

Didn't make sense to me.

To nie miało dla mnie sensu.

And after we experimented with different flavors of cheese,

Kiedy już wypróbowaliśmy, różne rodzaje sera,

I realized, well, this is a directed attack.

zrozumiałem, że atak jest dokładnie sprecyzowany.

It's completely directed.

Jest on zupełnie przemyślany.

The dropper is prowling actively

Roznosiciel staje się aktywny

on the gray box

w szarej skrzynce,

if a specific configuration is found,

jeśli znajdzie specyficzną konfigurację,

and even if the actual program code that it's trying to infect

nawet jeśli rzeczywiście program, który ma być zainfekowany,

is actually running on that target.

w danym momencie pracuje nad tym celem.

And if not, Stuxnet does nothing.

Jeśli jej nie ma, Stuxnet nic nie robi.

So that really got my attention,

To naprawdę przyciągnęło moją uwagę,

and we started to work on this

i zaczęliśmy pracować nad tym,

nearly around the clock,

niemal 24 godziny na dobę,

because I thought, "Well, we don't know what the target is.

ponieważ nie wiedzieliśmy, jaki jest cel.

It could be, let's say for example,

Mogłyby to być, powiedzmy,

a U.S. power plant,

elektrownia w Stanach Zjednoczonych,

or a chemical plant in Germany.

lub fabryka chemiczna w Niemczech.

So we better find out what the target is soon."

Więc lepiej byłoby, gdybyśmy szybko dowiedzieli się jaki jest cel.

So we extracted and decompiled

Wyodrębniliśmy i zdekompilowaliśmy,

the attack code,

kod źródłowy odpowiedzialny za atak,

and we discovered that it's structured in two digital bombs --

i odkryliśmy, że jego budowa składa się z dwóch cyfrowych bomb --

a smaller one and a bigger one.

mniejszej i większej.

And we also saw that they are very professionally engineered

Widzieliśmy też, że są niezwykle profesjonalnie zaprojektowane

by people who obviously had all insider information.

z pewnością przez ludzi, którzy mieli wszystkie poufne informacje.

They knew all the bits and bites

Znali precyzyjnie wszystkie słabe punkty,

that they had to attack.

w które musieli zaatakować.

They probably even know the shoe size of the operator.

Prawdopodobnie znali nawet numer buta operatora.

So they know everything.

Wiedzieli dosłownie wszystko.

And if you have heard that the dropper of Stuxnet

Jeśli słyszeliście, że program instalujący Stuxnet

is complex and high-tech,

jest skomplikowany i zaawansowany;

let me tell you this:

powiem to w ten sposób:

the payload is rocket science.

jego blok danych to technologia rakietowa.

It's way above everything

To było ponad wszystkim,

that we have ever seen before.

co do tej pory widzieliśmy.

Here you see a sample of this actual attack code.

Widzicie tutaj przykład tego kodu.

We are talking about --

Mówimy tu o --

around about 15,000 lines of code.

około 15 000 wersów kodu.

Looks pretty much like old-style assembly language.

Wygląda jak starodawny język symboliczny.

And I want to tell you how we were able

Chcę opowiedzieć wam, w jaki sposób byliśmy w stanie

to make sense out of this code.

wyciągnąć sens z tego kodu.

So what we were looking for is, first of all, system function calls,

Więc przede wszystkim czego szukaliśmy to wywołania funkcji systemu,

because we know what they do.

ponieważ wiemy, co one robią.

And then we were looking for timers and data structures

Następnie skupiamy się na strukturach czasu i danych

and trying to relate them to the real world --

i próbujemy odnieść je do rzeczywistego świata --

to potential real world targets.

do potencjalnych celów na ziemi.

So we do need target theories

Potrzebujemy teorii na temat celów,

that we can prove or disprove.

które możemy potwierdzić, lub odrzucić.

In order to get target theories,

Aby otrzymać teorie na temat celów,

we remember

pamiętaliśmy,

that it's definitely hardcore sabotage,

że jest to niewątpliwie poważny sabotaż

it must be a high-value target

i musi być bardzo wartościowym celem,

and it is most likely located in Iran,

najprawdopodobniej położony w Iranie,

because that's where most of the infections had been reported.

ponieważ tam została zgłoszona większość infekcji.

Now you don't find several thousand targets in that area.

Teraz, nie znajdziesz w tamtej okolicy kilku tysięcy takich miejsc.

It basically boils down

Praktycznie wszystko ogranicza się

to the Bushehr nuclear power plant

do elektrowni atomowej w Buszehr

and to the Natanz fuel enrichment plant.

i ośrodka wzbogacania paliwa w Natanz.

So I told my assistant,

Powiedziałem mojemu asystentowi:

"Get me a list of all centrifuge and power plant experts from our client base."

"Znajdź dla mnie listę wszystkich specjalistów ds. wirówek i elektrowni z bazy naszego klienta."

And I phoned them up and picked their brain

Zadzwoniłem do nich i skorzystałem z ich wiedzy

in an effort to match their expertise

w celu połączenia ich ekspertyzy

with what we found in code and data.

z tym, co znaleźliśmy w kodzie źródłowym i danych.

And that worked pretty well.

I to zadziałało całkiem nieźle.

So we were able to associate

Byliśmy w stanie połączyć

the small digital warhead

tę małą cyfrową głowicę

with the rotor control.

z kontrolerem wirników.

The rotor is that moving part within the centrifuge,

Wirnik jest poruszającą się częścią wewnątrz wirówki,

that black object that you see.

jest to ten czarny przedmiot.

And if you manipulate the speed of this rotor,

Jeżeli pogrzebie się prędkością tego wirnika

you are actually able to crack the rotor

w zasadzie można go zniszczyć

and eventually even have the centrifuge explode.

i w końcu nawet sprawić, że wirówka wybuchnie.

What we also saw

Co również dostrzegliśmy

is that the goal of the attack

to, że celem ataku,

was really to do it slowly and creepy --

jest przeprowadzenie go powoli i przerażająco --

obviously in an effort

oczywiście w celu,

to drive maintenance engineers crazy,

doprowadzenia do szaleństwa serwisantów,

that they would not be able to figure this out quickly.

aby nie mogli szybko tego rozgryźć.

The big digital warhead -- we had a shot at this

Duża cyfrowa bomba-- próbowaliśmy

by looking very closely

patrzyć bardzo starannie

at data and data structures.

na dane i struktury danych.

So for example, the number 164

I na przykład, numer 164

really stands out in that code;

bardzo wyróżnia się od reszty kodu;

you can't overlook it.

nie możesz go przegapić.

I started to research scientific literature

Zacząłem przeszukiwać literaturę naukową

on how these centrifuges

w jaki sposób wirówki,

are actually built in Natanz

zostały wybudowane w Natanz,

and found they are structured

i znalazłem, że są ułożone

in what is called a cascade,

w tak zwaną kaskadę

and each cascade holds 164 centrifuges.

i każda kaskada zawiera 164 wirówki.

So that made sense, that was a match.

To miało sens, to był trop.

And it even got better.

Ale szło nam jeszcze lepiej.

These centrifuges in Iran

Wirówki w Iranie

are subdivided into 15, what is called, stages.

są podzielone na 15 tzw. etapów.

And guess what we found in the attack code?

I zgadnijcie, co znaleźliśmy w kodzie?

An almost identical structure.

Prawie identyczną strukturę.

So again, that was a real good match.

Jeszcze raz, wpadliśmy na znakomity trop.

And this gave us very high confidence for what we were looking at.

Dało nam to bardzo dobry obraz tego, nad czym pracowaliśmy.

Now don't get me wrong here, it didn't go like this.

Nie zrozumcie mnie źle, to nie działo się tak łatwo.

These results have been obtained

Wszystkie nasze wyniki otrzymaliśmy

over several weeks of really hard labor.

dzięki kilku tygodniowej, naprawdę ciężkiej pracy.

And we often went into just a dead end

Często dochodziliśmy do ślepego zaułku

and had to recover.

u musieliśmy wracać.

Anyway, so we figured out

W każdym razie, odkryliśmy,

that both digital warheads

że obydwie cyfrowe bomby/głowice

were actually aiming at one and the same target,

są skierowane na jeden i ten sam cel,

but from different angles.

ale pod różnymi kątami.

The small warhead is taking one cascade,

Mała głowica uderzała w kaskadę,

and spinning up the rotors and slowing them down,

przyspieszała i zwalniała wirniki,

and the big warhead

zaś duża

is talking to six cascades

brała na cel sześć kaskad

and manipulating valves.

i manipulowała ich zaworami.

So in all, we are very confident

Więc generalnie byliśmy bardzo pewni,

that we have actually determined what the target is.

że znaleźliśmy jaki był cel.

It is Natanz, and it is only Natanz.

To był Natanz, i tylko Natanz.

So we don't have to worry

Nie musieliśmy się już martwić

that other targets

innymi prawdopodobnymi celami,

might be hit by Stuxnet.

w które mógłby uderzyć Stuxnet.

Here's some very cool stuff that we saw --

Tutaj natrafiliśmy na naprawdę niesamowite rzeczy --

really knocked my socks off.

dosłownie wyrwało mnie to z butów.

Down there is the gray box,

Tam na dole jest szara skrzynka,

and on the top you see the centrifuges.

na górze widzicie wirówki.

Now what this thing does

Zadanie robaka opiera się na

is it intercepts the input values from sensors --

przejęciu wartości z czujników --

so for example, from pressure sensors

na przykład z czujników ciśnienia,

and vibration sensors --

czy czujników drgań --

and it provides legitimate program code,

i dostarczeniu prawdziwemu systemowi,

which is still running during the attack,

który nadal działa podczas ataku,

with fake input data.

oszukane dane z czujników.

And as a matter of fact, this fake input data

Najlepsze jest to, że te lipne dane,

is actually prerecorded by Stuxnet.

były wcześniej nagrane przez Stuxnet.

So it's just like from the Hollywood movies

Dokładnie jak z hollywoodzkich filmów,

where during the heist,

gdzie podczas wybuchu,

the observation camera is fed with prerecorded video.

ujęcie kamery jest zastąpione nagranym wcześniej wideo.

That's cool, huh?

Niezłe, nie?

The idea here is obviously

Idea jest jasna,

not only to fool the operators in the control room.

nie tylko nabrać operatorów w dyspozytorni.

It actually is much more dangerous and aggressive.

W rzeczywistości jest o wiele bardziej agresywna i niebezpieczna.

The idea

Ideą jest

is to circumvent a digital safety system.

ominięcie wewnętrznego systemu bezpieczeństwa.

We need digital safety systems

Potrzebujemy cyfrowych systemów bezpieczeństwa,

where a human operator could not act quick enough.

kiedy reakcja operatora mogłaby być zbyt wolna.

So for example, in a power plant,

Na przykład w elektrowniach,

when your big steam turbine gets too over speed,

kiedy wielka turbina parowa zaczyna się kręcić za szybko,

you must open relief valves within a millisecond.

musisz otworzyć zawory w przeciągu milisekundy.

Obviously, this cannot be done by a human operator.

Oczywiście, człowiek nie jest w stanie tego zrobić.

So this is where we need digital safety systems.

Właśnie dlatego potrzebujemy komputerowych systemów bezpieczeństwa.

And when they are compromised,

Kiedy przestają działać,

then real bad things can happen.

mogą się wydarzyć naprawdę złe rzeczy.

Your plant can blow up.

Twoja elektrownia może wylecieć w powietrze.

And neither your operators nor your safety system will notice it.

Co więcej, ani twoi operatorzy, ani system bezpieczeństwa, nie zauważy tego.

That's scary.

To jest straszne.

But it gets worse.

Ale sprawy mogą mieć się o wiele gorzej.

And this is very important, what I'm going to say.

To co powiem jest bardzo ważne.

Think about this:

Pomyślcie o tym.

this attack is generic.

Ten atak jest ogólny.

It doesn't have anything to do, in specifics,

Nie musi być skierowany konkretnie

with centrifuges,

w wirówki,

with uranium enrichment.

we wzbogacanie uranu.

So it would work as well, for example,

Równie dobrze może działać np.

in a power plant

w elektrowni,

or in an automobile factory.

czy fabryce samochodów.

It is generic.

Bo jest ogólny.

And you don't have -- as an attacker --

Nie musisz -- jako atakujący --

you don't have to deliver this payload

nie musisz dostarczyć tych danych

by a USB stick,

na pamięci USB.

as we saw it in the case of Stuxnet.

tak jak to było w przypadku Stuxnet'u.

You could also use conventional worm technology for spreading.

Możesz użyć konwencjonalnych technologii do rozpowszechnienia robaka.

Just spread it as wide as possible.

I rozpowszechnić go tak szeroko, jak to możliwe.

And if you do that,

Jeśli to zrobisz,

what you end up with

to będziesz miał w rękach

is a cyber weapon of mass destruction.

cyberbroń masowego rażenia.

That's the consequence

To są konsekwencje,

that we have to face.

z którymi musimy się zmierzyć.

So unfortunately,

Niestety,

the biggest number of targets for such attacks

największa część celów ataków tego typu

are not in the Middle East.

nie znajduje się na Bliskim Wschodzie.

They're in the United States and Europe and in Japan.

One są w Stanach Zjednoczonych, Europie czy Japonii.

So all of the green areas,

Wszystkie te zielone obszary,

these are your target-rich environments.

są miejscami podatnymi na takie ataki.

We have to face the consequences,

Musimy zmierzyć się skutkami,

and we better start to prepare right now.

i najlepiej przygotować się na to już teraz:

Thanks.

Dziękuję.

(Applause)

(Brawa)

Chris Anderson: I've got a question.

Chris Anderson: Mam pytanie.

Ralph, it's been quite widely reported

Ralph, dosyć szeroko donoszono,

that people assume that Mossad

kiedy ludzie przypuszczali, że Mossad

is the main entity behind this.

był główną jednostką stojącą za tym.

Is that your opinion?

Jakie jest twoje zdanie?

Ralph Langner: Okay, you really want to hear that?

Ralph Langer: Okej, na prawdę chcesz to usłyszeć?

Yeah. Okay.

Dobra.

My opinion is that the Mossad is involved,

Moim zdaniem Mossad maczał w tym palce,

but that the leading force is not Israel.

ale głównodowodzącym nie jest Izrael.

So the leading force behind that

Dowodzącym jest tutaj

is the cyber superpower.

prawdziwy gigant komputerowy.

There is only one,

Taki istnieje tylko jeden --

and that's the United States --

są to Stany Zjednoczone --

fortunately, fortunately.

na szczęście, na szczęście.

Because otherwise,

Bo w innym przypadku,

our problems would even be bigger.

nasze kłopoty byłby o wiele większe.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Dziękuję za wyciągnięcie tej przerażającej sprawy na światło dzienne. Dziękuję Ralph.

(Applause)

(Brawa)