Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ralph Langner: Decifrando o Stuxnet, uma arma cibernética do século XXI

Tradutor: Durval Castro Revisor: Belucio Haibara

The idea behind the Stuxnet computer worm

A idéia por trás do verme de computador Stuxnet

is actually quite simple.

é realmente bem simples.

We don't want Iran to get the bomb.

Não queremos que o Irã consiga a Bomba.

Their major asset for developing nuclear weapons

O maior recurso para desenvolver armas nucleares

is the Natanz uranium enrichment facility.

é a instalação de enriquecimento de urânio de Natanz.

The gray boxes that you see,

As caixas cinzentas que vocês vêem,

these are real-time control systems.

são sistemas de controle em tempo real.

Now if we manage to compromise these systems

Daí que, se conseguirmos atrapalhar esses sistemas

that control drive speeds and valves,

que controlam velocidades de acionadores e válvulas,

we can actually cause a lot of problems

podemos realmente causar um monte de problemas

with the centrifuge.

com a centrífuga.

The gray boxes don't run Windows software;

As caixas cinzentas não rodam software Windows,

they are a completely different technology.

são uma tecnologia completamente diferente.

But if we manage

Mas se conseguirmos

to place a good Windows virus

colocar um bom virus de Windows

on a notebook

num notebook

that is used by a maintenance engineer

que é usado por um engenheiro de máquinas

to configure this gray box,

para configurar essa caixa cinzenta,

then we are in business.

então estaremos em ação.

And this is the plot behind Stuxnet.

E essa é a trama por trás do Stuxnet.

So we start with a Windows dropper.

Então começamos com um inoculador do Windows.

The payload goes onto the gray box,

A carga entra na caixa cinzenta,

damages the centrifuge,

danifica a centrífuga,

and the Iranian nuclear program is delayed --

e o programa nuclear iraniano é retardado --

mission accomplished.

missão cumprida.

That's easy, huh?

É fácil, hem?

I want to tell you how we found that out.

Quero contar a vocês como descobrimos isso.

When we started our research on Stuxnet six months ago,

Quando começamos nossa pesquisa sobre o Stuxnet há seis meses,

it was completely unknown what the purpose of this thing was.

nâo se tinha nehum conhecimento do que poderia ser o propósito dessa coisa.

The only thing that was known

A única coisa que se sabia

is it's very, very complex on the Windows part, the dropper part,

é muito, muito complexo na parte do Windows, a parte do inoculador,

used multiple zero-day vulnerabilities.

usava vulnerabilidades de dias de zeros múltiplos.

And it seemed to want to do something

E parecia que ele queria fazer alguma coisa

with these gray boxes, these real-time control systems.

com essas caixas cinzentas, esses sistemas de controle em tempo real.

So that got our attention,

Então isso atraiu nossa atenção,

and we started a lab project

e começamos um projeto no laboratório

where we infected our environment with Stuxnet

em que infectamos nosso ambiente com Stuxnet

and checked this thing out.

e verificamos essa coisa.

And then some very funny things happened.

E então algumas coisas muito engraçadas aconteceram.

Stuxnet behaved like a lab rat

O Stuxnet se comportava como um rato de laboratório

that didn't like our cheese --

que não gostava do nosso queijo --

sniffed, but didn't want to eat.

cheirava mas não queria comer.

Didn't make sense to me.

Não fazia sentido para mim.

And after we experimented with different flavors of cheese,

E depois de experimentarmos com diferentes sabores de queijo,

I realized, well, this is a directed attack.

percebi, bem, isso é um ataque dirigido.

It's completely directed.

É completamente dirigido.

The dropper is prowling actively

O inoculador está espreitando ativamente

on the gray box

na caixa cinzenta

if a specific configuration is found,

se uma configuração específica é encontrada,

and even if the actual program code that it's trying to infect

e até se o verdadeiro programa que ele está tentando infectar

is actually running on that target.

está efetivamente rodando naquele alvo.

And if not, Stuxnet does nothing.

E se esse não é o caso, o Stuxnet não faz nada.

So that really got my attention,

Então isso realmente chamou minha atenção,

and we started to work on this

e começamos a trabalhar nisso

nearly around the clock,

quase o tempo todo,

because I thought, "Well, we don't know what the target is.

porque eu pensava, bem, nós não sabemos qual é o alvo.

It could be, let's say for example,

Poderia ser, digamos por exemplo,

a U.S. power plant,

uma usina elétrica dos EUA,

or a chemical plant in Germany.

ou uma indústria química na Alemanha.

So we better find out what the target is soon."

Então era importante descobrir depressa qual era o alvo.

So we extracted and decompiled

Portanto nós extraimos e descompilamos

the attack code,

o código de ataque,

and we discovered that it's structured in two digital bombs --

e descobrimos que ele estava estruturado em duas bombas digitais --

a smaller one and a bigger one.

uma menor e outra maior.

And we also saw that they are very professionally engineered

E vimos também que elas eram projetadas muito profissionalmente

by people who obviously had all insider information.

por pessoas que obviamente tinham toda a informação interna.

They knew all the bits and bites

Eles conheciam todos os bits e bytes

that they had to attack.

que eles pretendiam atacar.

They probably even know the shoe size of the operator.

Eles provavelmente sabiam até o número do sapato do operador.

So they know everything.

Então eles sabiam tudo.

And if you have heard that the dropper of Stuxnet

E se vocês ficaram sabendo que o inoculador do Stuxnet

is complex and high-tech,

é complexo e de alta tecnologia,

let me tell you this:

então fiquem sabendo uma coisa

the payload is rocket science.

a carga é ciência espacial.

It's way above everything

Está bem acima de tudo

that we have ever seen before.

que jamais vimos anteriormente.

Here you see a sample of this actual attack code.

Aqui vocês veem uma amostra do próprio código de ataque.

We are talking about --

Estamos falando de --

around about 15,000 lines of code.

cerca de 15.000 linhas de código.

Looks pretty much like old-style assembly language.

Tem o jeito da velha linguagem assembler.

And I want to tell you how we were able

E quero contar a vocês como conseguimos

to make sense out of this code.

entender esse código.

So what we were looking for is, first of all, system function calls,

Então, o que procuramos inicialmente foram as chamadas a funções do sistema,

because we know what they do.

porque sabemos o que elas fazem.

And then we were looking for timers and data structures

E depois procuramos temporizadores e estruturas de dados

and trying to relate them to the real world --

tentando relacioná-las ao mundo real --

to potential real world targets.

a alvos potenciais do mundo real.

So we do need target theories

Daí precisávamos teorias sobre os alvos

that we can prove or disprove.

que pudéssemos provar ou descartar.

In order to get target theories,

Para conseguirmos teorias sobre os alvos,

we remember

lembramos

that it's definitely hardcore sabotage,

que se trata definitivamente de sabotagem pesada,

it must be a high-value target

precisa ser um alvo de grande valor,

and it is most likely located in Iran,

e ele tem a maior probabilidade de localizar-se no Irã,

because that's where most of the infections had been reported.

poque é onde a maioria das infestações foram relatadas.

Now you don't find several thousand targets in that area.

Daí a gente não encontra muitos milhares de alvos nessa área.

It basically boils down

Isso basicamente se concentra

to the Bushehr nuclear power plant

na instalação nuclear de Bushehr

and to the Natanz fuel enrichment plant.

e à instalação de enriquecimento de Natanz.

So I told my assistant,

Então eu disse ao meu assistente,

"Get me a list of all centrifuge and power plant experts from our client base."

"Me arranje uma lista de todos os peritos em centrífugas e usinas elétricas de nossa base de clientes."

And I phoned them up and picked their brain

E telefonei a eles e sondei os cérebros deles

in an effort to match their expertise

numa tentativa de comparar o conhecimento deles

with what we found in code and data.

com o que encontramos no código e nos dados.

And that worked pretty well.

E isso funcionou muito bem.

So we were able to associate

Asssim conseguimos associar

the small digital warhead

o pequeno míssil digital

with the rotor control.

com o controle do rotor.

The rotor is that moving part within the centrifuge,

O rotor é aquela parte móvel da centrífuga,

that black object that you see.

aquele objeto preto que vocês estão vendo.

And if you manipulate the speed of this rotor,

E se a gente manipula a velocidade do rotor,

you are actually able to crack the rotor

a gente realmente consegue quebrar o rotor

and eventually even have the centrifuge explode.

e eventualmente fazer a centrífuga explodir.

What we also saw

O que também vimos

is that the goal of the attack

é que o objetivo do ataque

was really to do it slowly and creepy --

era realmente fazer isso lentamente e assustadoramente --

obviously in an effort

numa óbvia tentativa

to drive maintenance engineers crazy,

de enlouquecer os engenheiros de mautenção,

that they would not be able to figure this out quickly.

para que eles não fossem capazes de perceber isso rapidamente.

The big digital warhead -- we had a shot at this

A grande bomba digital -- tivemos uma visão disso

by looking very closely

observando detalhadamente

at data and data structures.

os dados e estruturas de dados.

So for example, the number 164

Assim, por exemplo, o número 164

really stands out in that code;

realmente se destaca naquele código;

you can't overlook it.

não dá pra ignorar isso.

I started to research scientific literature

Comecei a pesquisar na literatura científica

on how these centrifuges

como essas centrífugas

are actually built in Natanz

são construídas de fato em Natanz

and found they are structured

e descobri que elas são estruturadas

in what is called a cascade,

no que se chama de cascata,

and each cascade holds 164 centrifuges.

e cada cascata comporta 164 centrífugas.

So that made sense, that was a match.

Então isso fazia sentido, era uma correspondência.

And it even got better.

E ficou ainda melhor.

These centrifuges in Iran

Essas centrífugas no Irã

are subdivided into 15, what is called, stages.

são subdivididas em 15, que são chamados de estágios.

And guess what we found in the attack code?

E imaginem o que encontramos no código de ataque?

An almost identical structure.

Uma estrutura quase idêntica.

So again, that was a real good match.

Assim, novamente, essa era uma correspondência realmente boa.

And this gave us very high confidence for what we were looking at.

E isso nos deu uma confiança muito boa em relação ao que estávamos investigando.

Now don't get me wrong here, it didn't go like this.

Agora não me interpretem mal, isso não foi assim.

These results have been obtained

Esses resultados foram obtidos

over several weeks of really hard labor.

mediante várias semanas de trabalho estafante.

And we often went into just a dead end

E várias vezes nos encontramos num beco sem saída

and had to recover.

e precisamos nos recuperar.

Anyway, so we figured out

De qualquer modo, assim nos demos conta

that both digital warheads

de que ambas as bombas digitais

were actually aiming at one and the same target,

tinham como alvo um único e mesmo alvo,

but from different angles.

mas de ângulos diferentes.

The small warhead is taking one cascade,

A bomba pequena pegava uma cascata,

and spinning up the rotors and slowing them down,

e acelerava os rotores e os retardava,

and the big warhead

e a bomba grande

is talking to six cascades

se dirigia a seis cascatas

and manipulating valves.

e manipulava válvulas.

So in all, we are very confident

Assim, de modo geral, temos bastante segurança

that we have actually determined what the target is.

de que efetivamente determinamos qual é o alvo.

It is Natanz, and it is only Natanz.

É Natanz, e apenas Natanz.

So we don't have to worry

Assim não precisamos nos preocupar

that other targets

que outros alvos

might be hit by Stuxnet.

possam ser atingidos pelo Stuxnet.

Here's some very cool stuff that we saw --

Aqui estão algumas coisas muito espertas que vimos --

really knocked my socks off.

que realmente me deixaram assombrado.

Down there is the gray box,

Aqui embaixo está a caixa cinzenta,

and on the top you see the centrifuges.

e em cima vocês vêem as centrífugas.

Now what this thing does

Então, o que essa coisa faz

is it intercepts the input values from sensors --

é interceptar os valores das entradas dos sensores --

so for example, from pressure sensors

assim, por exemplo, dos sensores de pressão

and vibration sensors --

e sensores de vibração --

and it provides legitimate program code,

e ela abastece o código legítimo,

which is still running during the attack,

que ainda está rodando durante o ataque,

with fake input data.

com dados de entrada falsos.

And as a matter of fact, this fake input data

E o fato é que esses dados de entrada falsos

is actually prerecorded by Stuxnet.

estão realmente pre-gravados pelo Stuxnet.

So it's just like from the Hollywood movies

Assim é exatamente como naqueles filmes de Hollywood

where during the heist,

nos quais, durante o assalto,

the observation camera is fed with prerecorded video.

a câmera de observação é alimentada com vídeo pregravado.

That's cool, huh?

Esperto, hem?

The idea here is obviously

Aqui a idéia obviamente é

not only to fool the operators in the control room.

não apenas tapear os operadores da sala de controle.

It actually is much more dangerous and aggressive.

Isso na verdade é muito mais perigoso e agressivo.

The idea

A idéia

is to circumvent a digital safety system.

é contornar um sistema de segurança digital.

We need digital safety systems

Precisamos sistemas digitais de segurança

where a human operator could not act quick enough.

onde um operador humano não seria capaz de agir suficientemente rápido.

So for example, in a power plant,

Assim, por exemplo, numa usina elétrica,

when your big steam turbine gets too over speed,

quando nossa grande turbina a vapor pega velocidade demais,

you must open relief valves within a millisecond.

precisamos abrir válvulas de alívio em um milissegundo.

Obviously, this cannot be done by a human operator.

Obviamente, isso não pode ser feito por um operador humano.

So this is where we need digital safety systems.

Então é aí que precisamos sistemas de segurança digitais.

And when they are compromised,

E quando eles são danificados,

then real bad things can happen.

então coisas realmente ruins podem acontecer.

Your plant can blow up.

Nossa usina pode explodir.

And neither your operators nor your safety system will notice it.

E nem nossos operadores nem nosso sistema de segurança notariam isso.

That's scary.

Isso é assustador.

But it gets worse.

Mas fica ainda pior.

And this is very important, what I'm going to say.

E isso é muito importante, o que vou dizer.

Think about this:

Pensem nisto.

this attack is generic.

Este ataque é genérico.

It doesn't have anything to do, in specifics,

Ele não tem nada a ver, especificamente,

with centrifuges,

com centrífugas,

with uranium enrichment.

com enriquecimento de urânio.

So it would work as well, for example,

Portanto isso funcionaria muito bem, por exemplo,

in a power plant

numa usina elétrica

or in an automobile factory.

ou numa fábrica de automóveis.

It is generic.

Isso é genérico.

And you don't have -- as an attacker --

E você não precisa -- como um atacante --

you don't have to deliver this payload

você não preccisa entregar esse carregamento

by a USB stick,

através de um pen-drive,

as we saw it in the case of Stuxnet.

como vimos no caso do Stuxnet.

You could also use conventional worm technology for spreading.

A gente pode usar a tecnologia convencional dos vermes de computador para disseminar.

Just spread it as wide as possible.

É só espalhar o máximo possível.

And if you do that,

E se a gente faz isso,

what you end up with

o que a gente acaba conseguindo

is a cyber weapon of mass destruction.

é uma arma cibernética de destruição em massa.

That's the consequence

Essa é a consequência

that we have to face.

que precisamos enfrentar.

So unfortunately,

Assim, infelizmente,

the biggest number of targets for such attacks

o maior número de alvos para ataques assim

are not in the Middle East.

não estão no Oriente Médio.

They're in the United States and Europe and in Japan.

Eles estão nos Estados Unidos, na Europa e no Japão.

So all of the green areas,

Assim todas as áreas verdes,

these are your target-rich environments.

esses são os ambientes ricos em alvos.

We have to face the consequences,

Precisamos enfrentar as consequências,

and we better start to prepare right now.

e é bom começarmos a nos preparar agora mesmo.

Thanks.

Obrigado.

(Applause)

(Aplausos)

Chris Anderson: I've got a question.

Chris Anderson: Tenho uma pergunta.

Ralph, it's been quite widely reported

Ralph, foi muito comentado

that people assume that Mossad

que as pessoas supõem que o Mossad

is the main entity behind this.

é a principal entidade por trás disso.

Is that your opinion?

Essa é a sua opinião?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: OK, você quer mesmo ouvir isso?

Yeah. Okay.

Sim. Ok.

My opinion is that the Mossad is involved,

Minha opinião é que o Mossad está envolvido,

but that the leading force is not Israel.

mas que a força principal não é Israel.

So the leading force behind that

Então a força principal por trás disso

is the cyber superpower.

é a superpotência cibernética.

There is only one,

Existe apenas uma,

and that's the United States --

e essa é os Estados Unidos --

fortunately, fortunately.

felizmente, felizmente.

Because otherwise,

Pois de outro modo

our problems would even be bigger.

nossos problemas seriam ainda maiores.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Obrigado por nos aterrorizar. Obrigado Ralph.

(Applause)

(Aplausos)