Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Tradutor: João Gil Revisora: Wanderley Jesus

The idea behind the Stuxnet computer worm

A ideia por detrás do vírus informático Stuxnet

is actually quite simple.

é na verdade bastante simples.

We don't want Iran to get the bomb.

Não queremos que o Irão tenha a bomba.

Their major asset for developing nuclear weapons

O seu maior recurso para o desenvolvimento de armas nucleares

is the Natanz uranium enrichment facility.

é o complexo de enriquecimento de urânio em Natanz.

The gray boxes that you see,

As caixas cinzentas que vêem

these are real-time control systems.

são sistemas de controlo em tempo real.

Now if we manage to compromise these systems

Agora se conseguirmos comprometer estes sistemas

that control drive speeds and valves,

que controlam a velocidade de accionadores e válvulas,

we can actually cause a lot of problems

conseguimos causar imensos problemas

with the centrifuge.

com o centrifugador.

The gray boxes don't run Windows software;

As caixas cinzentas não utilizam o software Windows;

they are a completely different technology.

são uma tecnologia completamente diferente.

But if we manage

Mas se conseguirmos

to place a good Windows virus

colocar um bom vírus Windows

on a notebook

num computador portátil

that is used by a maintenance engineer

que é usado por um engenheiro de manutenção

to configure this gray box,

para configurar esta caixa cinzenta,

then we are in business.

então aí estaremos em acção.

And this is the plot behind Stuxnet.

E esta é a história por detrás do Stuxnet.

So we start with a Windows dropper.

Portanto começamos com um disseminador Windows.

The payload goes onto the gray box,

A carga entra na caixa cinzenta,

damages the centrifuge,

danifica o centrifugador,

and the Iranian nuclear program is delayed --

e o programa nuclear do Irão é atrasado --

mission accomplished.

missão cumprida.

That's easy, huh?

É simples, não?

I want to tell you how we found that out.

Quero contar-vos como é que descobrimos isto.

When we started our research on Stuxnet six months ago,

Quando começámos a investigar o Stuxnext há seis meses,

it was completely unknown what the purpose of this thing was.

era-nos completamente desconhecido qual o objectivo desta coisa.

The only thing that was known

A única coisa que era conhecida

is it's very, very complex on the Windows part, the dropper part,

era a sua extremamente complexa parte Windows, do disseminador,

used multiple zero-day vulnerabilities.

que usou múltiplas vulnerabilidades previamente desconhecidas.

And it seemed to want to do something

E ele parecia querer fazer algo

with these gray boxes, these real-time control systems.

com estas caixas cinzentas, estes controladores em tempo real.

So that got our attention,

Isso despertou a nossa atenção,

and we started a lab project

então começámos um projecto laboratorial

where we infected our environment with Stuxnet

onde infectámos o nosso ambiente com o Stuxnet

and checked this thing out.

e vimos como isto funcionava.

And then some very funny things happened.

Depois algo muito engraçado aconteceu.

Stuxnet behaved like a lab rat

O Stuxnet comportou-se como um rato de laboratório

that didn't like our cheese --

que não gostava do nosso queijo --

sniffed, but didn't want to eat.

cheirava, mas não queria comer.

Didn't make sense to me.

Isto não fazia sentido.

And after we experimented with different flavors of cheese,

Depois de experimentarmos diferentes sabores de queijo,

I realized, well, this is a directed attack.

apercebi-me que isto era um ataque com um alvo específico.

It's completely directed.

É completamente específico.

The dropper is prowling actively

O disseminador procura activamente

on the gray box

na caixa cinzenta,

if a specific configuration is found,

por uma configuração específica,

and even if the actual program code that it's trying to infect

e até mesmo se o programa que está a tentar infectar

is actually running on that target.

está a correr naquele alvo.

And if not, Stuxnet does nothing.

Caso não esteja, o Stuxnet não faz nada.

So that really got my attention,

Isso chamou-me imenso à atenção,

and we started to work on this

e começámos a trabalhar nisto

nearly around the clock,

quase 24 horas por dia,

because I thought, "Well, we don't know what the target is.

porque eu pensava, bem, nós não sabemos qual é o alvo.

It could be, let's say for example,

Poderia ser, por exemplo,

a U.S. power plant,

uma central de energia dos Estados Unidos,

or a chemical plant in Germany.

ou uma central química Alemã.

So we better find out what the target is soon."

Por isso é bom que saibamos qual é o alvo depressa.

So we extracted and decompiled

Por isso extraímos e descompilámos

the attack code,

o código do ataque,

and we discovered that it's structured in two digital bombs --

e descobrimos que está estruturado em duas bombas digitais --

a smaller one and a bigger one.

uma mais pequena e outra maior.

And we also saw that they are very professionally engineered

E verificámos também que são muito profissionalmente desenhados

by people who obviously had all insider information.

por pessoas que têm, claramente, informação interna.

They knew all the bits and bites

Eles sabiam todos os bits e bites

that they had to attack.

que teriam de atacar.

They probably even know the shoe size of the operator.

Eles sabiam provavelmente o número do sapato do operator.

So they know everything.

Eles sabem tudo.

And if you have heard that the dropper of Stuxnet

E se ouviram dizer que o disseminador do Stuxnet

is complex and high-tech,

é complexo e alta-tecnologia,

let me tell you this:

deixem-me que lhes diga:

the payload is rocket science.

a carga é ainda mais complexa.

It's way above everything

É muito mais do que qualquer

that we have ever seen before.

outra coisa que tenhamos visto antes.

Here you see a sample of this actual attack code.

Aqui podem ver uma amostra do código de ataque.

We are talking about --

Estamos a falar de cerca -

around about 15,000 lines of code.

cerca de 15.000 linhas de código.

Looks pretty much like old-style assembly language.

Parecem-se bastante com linguagem assembly da velha guarda.

And I want to tell you how we were able

E queria dizer-vos como fomos capazes

to make sense out of this code.

de decifrar este código.

So what we were looking for is, first of all, system function calls,

O que nós estávamos à procura acima de tudo eram invocações de funções do sistema

because we know what they do.

porque nós sabemos o que elas fazem.

And then we were looking for timers and data structures

Depois procurámos temporizadores e estruturas de dados

and trying to relate them to the real world --

e tentámos relacioná-las com o mundo real --

to potential real world targets.

com potenciais alvos do mundo real.

So we do need target theories

Então precisámos de teorias de alvos

that we can prove or disprove.

que depois podemos provar ou não.

In order to get target theories,

De modo a obter as teorias dos alvos,

we remember

lembramo-nos

that it's definitely hardcore sabotage,

que é definitivamente sabotagem hardcore.

it must be a high-value target

Deve ser um alvo de grande valor,

and it is most likely located in Iran,

e a sua localização mais provável é no Irão,

because that's where most of the infections had been reported.

porque é onde a maioria das infecções foram reportadas.

Now you don't find several thousand targets in that area.

Não encontrámos vários milhares de alvos naquela área.

It basically boils down

Resume-se apenas

to the Bushehr nuclear power plant

à central nuclear de Bushehr

and to the Natanz fuel enrichment plant.

e à central de enriquecimento de combustíveis de Natanz.

So I told my assistant,

Por isso eu disse ao meu assistente:

"Get me a list of all centrifuge and power plant experts from our client base."

"Traga-me uma lista de todos os peritos em centrifugadoras e centrais de energia da nossa base de clientes."

And I phoned them up and picked their brain

Eu telefonei-lhes e tentei compreender como pensavam

in an effort to match their expertise

num esforço para combinar o seu conhecimento

with what we found in code and data.

com a que encontrámos no código e nos dados.

And that worked pretty well.

E funcionou muito bem.

So we were able to associate

Por isso conseguimos associar

the small digital warhead

a mais pequena bomba digital

with the rotor control.

com o controlador do rotor.

The rotor is that moving part within the centrifuge,

O rotor é aquela parte dentro da centrifugador que se mexe,

that black object that you see.

o objecto preto que vêem.

And if you manipulate the speed of this rotor,

E se manipularem a velocidade deste rotor,

you are actually able to crack the rotor

são mesmo capazes de o partir,

and eventually even have the centrifuge explode.

e eventualmente fazer com que a centrifugadora expluda.

What we also saw

O que também vimos

is that the goal of the attack

é que o objectivo do ataque

was really to do it slowly and creepy --

era fazê-lo devagar e sorrateiramente --

obviously in an effort

obviamente numa tentativa

to drive maintenance engineers crazy,

de levar os engenheiros de manutenção à loucura,

that they would not be able to figure this out quickly.

pois não seriam capazes de descobrir a origem do problema rapidamente.

The big digital warhead -- we had a shot at this

A bomba digital maior -- decidimos atacá-la

by looking very closely

olhando muito atentamente

at data and data structures.

para os dados e as estruturas de dados.

So for example, the number 164

Por exemplo, o número 164

really stands out in that code;

destaca-se bastante no código;

you can't overlook it.

não se pode desprezar.

I started to research scientific literature

Comecei a pesquisar literatura científica

on how these centrifuges

sobre como estes centrifugadores

are actually built in Natanz

são realmente construídos em Natanz

and found they are structured

e descobri que eles são estruturados

in what is called a cascade,

naquilo a que se chama uma cascata,

and each cascade holds 164 centrifuges.

e cada cascata contém 164 centrifugadoras.

So that made sense, that was a match.

Portanto isso fazia sentido, era uma ligação.

And it even got better.

E ficou ainda melhor.

These centrifuges in Iran

Estas centrifugadoras no Irão

are subdivided into 15, what is called, stages.

estão subdivididos em 15 chamados estágios.

And guess what we found in the attack code?

E advinhem o que é que encontrámos no código do ataque?

An almost identical structure.

Uma estrutura quase idêntica.

So again, that was a real good match.

O que era novamente uma boa ligação.

And this gave us very high confidence for what we were looking at.

E isto deu-nos muita confiança no que estávamos a fazer.

Now don't get me wrong here, it didn't go like this.

Não me interpretem mal, não foi assim que aconteceu.

These results have been obtained

Estes resultados foram obtidos

over several weeks of really hard labor.

durante várias semanas de árduo trabalho.

And we often went into just a dead end

E muitas vezes bloqueávamos

and had to recover.

e tínhamos que recuperar.

Anyway, so we figured out

Continuando, nós descobrimos

that both digital warheads

que ambas as bombas digitais

were actually aiming at one and the same target,

estavam de facto a apontar ao mesmo alvo,

but from different angles.

mas de diferentes ângulos.

The small warhead is taking one cascade,

A bomba mais pequena pega numa cascata,

and spinning up the rotors and slowing them down,

e interfere com os rotores e abranda-os,

and the big warhead

e a bomba maior

is talking to six cascades

interfere com seis cascatas

and manipulating valves.

manipulando válvulas.

So in all, we are very confident

Por isso, no geral, estavamos muito confiantes

that we have actually determined what the target is.

que tínhamos descoberto qual era o alvo.

It is Natanz, and it is only Natanz.

É Natanz, e é apenas Natanz.

So we don't have to worry

Por isso não nos temos de preocupar

that other targets

que outros alvos

might be hit by Stuxnet.

possam ser atingidos pelo Stuxnet.

Here's some very cool stuff that we saw --

Aqui estão umas coisas muito fixes que vímos --

really knocked my socks off.

que me deixaram perplexo.

Down there is the gray box,

Aqui em baixo está a caixa cinzenta,

and on the top you see the centrifuges.

e no topo vêem os centrifugadores.

Now what this thing does

O que esta coisa faz

is it intercepts the input values from sensors --

é interceptar os valores devolvidos pelos sensores --

so for example, from pressure sensors

como, por exemplo, pelos sensores de pressão

and vibration sensors --

e pelos sensores de vibração -

and it provides legitimate program code,

e fornece ao código legítimo,

which is still running during the attack,

que ainda está a correr durante o ataque,

with fake input data.

com dados falsos dos sensores.

And as a matter of fact, this fake input data

Aliás, estes dados falsos de entrada

is actually prerecorded by Stuxnet.

até já vêm pré-configurados pelo Stuxnet.

So it's just like from the Hollywood movies

Por isso é como nos filmes de Hollywood

where during the heist,

em que durante o assalto,

the observation camera is fed with prerecorded video.

a câmara de grande plano é alimentada com vídeo gravado previamente.

That's cool, huh?

É fixe, não é?

The idea here is obviously

A ideia aqui obviamente

not only to fool the operators in the control room.

não é só enganar os operadores na sala de controlo.

It actually is much more dangerous and aggressive.

É na verdade muito mais perigosa e agressiva.

The idea

A ideia

is to circumvent a digital safety system.

é ultrapassar um sistema de segurança digital.

We need digital safety systems

Precisamos de sistemas de segurança digitais

where a human operator could not act quick enough.

para situações em que um operador humano não reage atempadamente.

So for example, in a power plant,

Por exemplo, numa central eléctrica,

when your big steam turbine gets too over speed,

quando uma grande turbina a vapor acelera demais,

you must open relief valves within a millisecond.

devem ser abertas válvulas de compensação num milisegundo.

Obviously, this cannot be done by a human operator.

Obviamente que isto não pode ser feito por um operador humano.

So this is where we need digital safety systems.

É aqui que precisamos de sistemas de defesa digitais.

And when they are compromised,

E quando eles são comprometidos,

then real bad things can happen.

coisas muito más podem acontecer.

Your plant can blow up.

A fábrica pode explodir.

And neither your operators nor your safety system will notice it.

E nem os operadores nem o sistema de segurança dariam conta.

That's scary.

É assustador.

But it gets worse.

Mas ainda se torna pior.

And this is very important, what I'm going to say.

E isto é muito importante, o que eu vou dizer.

Think about this:

Pensem nisto.

this attack is generic.

O ataque é genérico.

It doesn't have anything to do, in specifics,

Não tem nada que ver especificamente

with centrifuges,

com centrifugadores,

with uranium enrichment.

com enriquecimento de urânio.

So it would work as well, for example,

Por isso, funcionaria bem, por exemplo,

in a power plant

numa central eléctrica

or in an automobile factory.

ou numa fábrica de automóveis.

It is generic.

É genérico.

And you don't have -- as an attacker --

E não é necessário -- como atacante --

you don't have to deliver this payload

depositar a carga

by a USB stick,

via uma drive USB,

as we saw it in the case of Stuxnet.

como vimos no caso do Stuxnet.

You could also use conventional worm technology for spreading.

Poderão ser usados também métodos convencionais de disseminação viral.

Just spread it as wide as possible.

Simplesmente espalha-se ao máximo possível.

And if you do that,

E se isso for feito,

what you end up with

o que se obtém

is a cyber weapon of mass destruction.

é uma cyber-arma de destruição em massa.

That's the consequence

Esta é a consequência

that we have to face.

com que temos de lidar.

So unfortunately,

Por isso, infelizmente,

the biggest number of targets for such attacks

a maioria dos alvos de tais ataques

are not in the Middle East.

não está no Médio Oriente.

They're in the United States and Europe and in Japan.

Está nos Estados Unidos, Europa e Japão.

So all of the green areas,

Todas estas áreas verdes,

these are your target-rich environments.

são os ambientes ricos em alvos.

We have to face the consequences,

Temos de enfrentar as consequências,

and we better start to prepare right now.

devemos começar a preparar-nos agora.

Thanks.

Obrigado.

(Applause)

(Aplausos)

Chris Anderson: I've got a question.

Chris Anderson: Eu tenho uma pergunta.

Ralph, it's been quite widely reported

Ralph, tem sido bastante noticiado

that people assume that Mossad

que as pessoas assumem que a Mossad

is the main entity behind this.

é a principal entidade por detrás disto.

Is that your opinion?

Partilhas desta opinião?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner : Okay, queres mesmo ouvir isso?

Yeah. Okay.

Okay.

My opinion is that the Mossad is involved,

A minha opinião é que a Mossad está envolvida,

but that the leading force is not Israel.

mas que a principal força não é Israel.

So the leading force behind that

A principal força por detrás disto

is the cyber superpower.

é a superpotência tecnológica.

There is only one,

Há apenas uma,

and that's the United States --

que são os Estados Unidos -

fortunately, fortunately.

felizmente, felizmente.

Because otherwise,

Porque de outro modo

our problems would even be bigger.

os nossos problemas seriam ainda maiores.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Obrigado por nos assustares de morte. Obrigado Ralph.

(Applause)

(Aplausos)