Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Traducător: Laszlo Kereszturi Corector: Magda Marcu

The idea behind the Stuxnet computer worm

Idea din spatele viermelui de calculatoare Stuxnet

is actually quite simple.

e de fapt destul de simplă.

We don't want Iran to get the bomb.

Nu vrem ca Iranul să aibă Bomba.

Their major asset for developing nuclear weapons

Resursa lor principală pentru dezvoltarea armelor nucleare

is the Natanz uranium enrichment facility.

e instalația de îmbogățire a uraniului din Natanz.

The gray boxes that you see,

Cutiile gri pe care le vedeți

these are real-time control systems.

sunt sisteme de control în timp real.

Now if we manage to compromise these systems

Dacă reușim să compromitem aceste sisteme

that control drive speeds and valves,

care controlează vitezele și supapele,

we can actually cause a lot of problems

putem de fapt produce o mulțime de probleme

with the centrifuge.

cu centrifuga.

The gray boxes don't run Windows software;

Cutiile gri nu rulează software Windows;

they are a completely different technology.

ele sunt o tehnologie complet diferită.

But if we manage

Dar dacă reușim

to place a good Windows virus

să plasăm un virus Windows capabil

on a notebook

pe un notebook

that is used by a maintenance engineer

care e utilizat de un inginer specialist

to configure this gray box,

ca să configureze această cutie gri,

then we are in business.

atunci suntem pe calea bună.

And this is the plot behind Stuxnet.

Și acesta e scenariul din spatele lui Stuxnet.

So we start with a Windows dropper.

Deci pornim cu un virus Windows care injectează altele.

The payload goes onto the gray box,

Sarcina utilă trece în cutia gri,

damages the centrifuge,

strică centrifuga,

and the Iranian nuclear program is delayed --

iar programul nuclear iranian e întârziat --

mission accomplished.

misiune îndeplinită.

That's easy, huh?

E ușor, nu?

I want to tell you how we found that out.

Vreau să vă spun cum am aflat asta.

When we started our research on Stuxnet six months ago,

În urmă cu șase luni când am început cercetarea Stuxnet,

it was completely unknown what the purpose of this thing was.

scopul lui era complet necunoscut.

The only thing that was known

Singurul lucru cunoscut

is it's very, very complex on the Windows part, the dropper part,

era partea Windows, foarte complexă, cea care injectează sarcina utilă,

used multiple zero-day vulnerabilities.

folosind multiple vulnerabilități nerezolvate.

And it seemed to want to do something

Și părea că vrea să facă ceva

with these gray boxes, these real-time control systems.

cu aceste cutii gri, aceste sisteme de control în timp real.

So that got our attention,

Asta ne-a atras atenția,

and we started a lab project

și am început un proiect de laborator

where we infected our environment with Stuxnet

unde am infectat mediul nostru cu Stuxnet

and checked this thing out.

și am verificat acest lucru.

And then some very funny things happened.

Și atunci s-a întâmplat ceva amuzant.

Stuxnet behaved like a lab rat

Stuxnet s-a comportat ca un șoarece de laborator

that didn't like our cheese --

căruia nu-i place brânza noastră --

sniffed, but didn't want to eat.

a mirosit-o, dar n-a vrut s-o mănânce.

Didn't make sense to me.

Nu avea sens pentru mine.

And after we experimented with different flavors of cheese,

Și după ce am experimentat cu diferite arome de brânză,

I realized, well, this is a directed attack.

am înțeles: păi, asta-i un atac țintit.

It's completely directed.

Este complet țintit.

The dropper is prowling actively

Virusul umblă activ după pradă

on the gray box

pe cutia gri

if a specific configuration is found,

dacă o anumită configurație e găsită,

and even if the actual program code that it's trying to infect

și numai dacă programul pe care încearcă să-l infecteze

is actually running on that target.

chiar rulează pe acea țintă.

And if not, Stuxnet does nothing.

Iar dacă nu, atunci Stuxnet e pasiv.

So that really got my attention,

Asta chiar mi-a atras atenția,

and we started to work on this

și am început să lucrăm la asta

nearly around the clock,

aproape continuu,

because I thought, "Well, we don't know what the target is.

fiindcă m-am gândit că nu știm care e ținta.

It could be, let's say for example,

Ar putea fi de exemplu

a U.S. power plant,

o centrală energetică din SUA,

or a chemical plant in Germany.

sau o uzină chimică din Germania.

So we better find out what the target is soon."

Așa că mai bine găsim repede care e ținta.

So we extracted and decompiled

Așa că am extras și am decompilat

the attack code,

codul de atac,

and we discovered that it's structured in two digital bombs --

și am descoperit că e structurat în două bombe digitale --

a smaller one and a bigger one.

una mai mică și una mai mare.

And we also saw that they are very professionally engineered

Și am mai văzut că sunt concepute foarte profesionist

by people who obviously had all insider information.

de către oameni care evident aveau informații din interior.

They knew all the bits and bites

Ei știau toți biții și octeții

that they had to attack.

care trebuiau atacați.

They probably even know the shoe size of the operator.

Probabil știau și ce mărime de pantof poartă operatorul.

So they know everything.

Deci știau totul.

And if you have heard that the dropper of Stuxnet

Și dacă auziți că partea de injectare din Stuxnet

is complex and high-tech,

este complexă și tehnologie de vârf,

let me tell you this:

vă spun doar atât:

the payload is rocket science.

sarcina e știință extremă.

It's way above everything

E cu mult peste orice

that we have ever seen before.

am văzut înainte.

Here you see a sample of this actual attack code.

Aveți aici o mostră din acest cod de atac real.

We are talking about --

Vorbim despre

around about 15,000 lines of code.

aproximativ 15000 de linii de cod.

Looks pretty much like old-style assembly language.

Pare asemănător cu limbajul clasic de asamblare.

And I want to tell you how we were able

Și vreau să vă spun cum am fost în stare

to make sense out of this code.

să înțelegem acest cod.

So what we were looking for is, first of all, system function calls,

Ceea ce căutăm întâi sunt apelurile de funcții sistem,

because we know what they do.

fiindcă știm ce fac ele.

And then we were looking for timers and data structures

Iar apoi ne uităm după temporizări și structuri de date

and trying to relate them to the real world --

și încercăm să le legăm de lumea reală --

to potential real world targets.

de ținte potențiale din lumea reală.

So we do need target theories

Deci avem nevoie de teorii despre ținte

that we can prove or disprove.

pe care le putem confirma sau infirma.

In order to get target theories,

Pentru a obține teorii despre ținte,

we remember

ne aducem aminte

that it's definitely hardcore sabotage,

că asta e clar sabotaj de vârf,

it must be a high-value target

deci trebuie să fie o țintă de valoare mare,

and it is most likely located in Iran,

și cel mai probabil e localizat în Iran,

because that's where most of the infections had been reported.

fiindcă de acolo au fost raportate cele mai multe infecții.

Now you don't find several thousand targets in that area.

În acea zonă nu găsești mii de ținte.

It basically boils down

De fapt se reduce

to the Bushehr nuclear power plant

la centrala nucleară Bushehr

and to the Natanz fuel enrichment plant.

și la instalația de îmbogățirea a uraniului din Natanz.

So I told my assistant,

Așa că am spus asistentului meu:

"Get me a list of all centrifuge and power plant experts from our client base."

"Fă-mi rost de o listă a tuturor experților în centrifuge și centrale."

And I phoned them up and picked their brain

Și i-am sunat pe toți și am profitat de creierul lor

in an effort to match their expertise

într-un efort de a potrivi experiența lor

with what we found in code and data.

cu ce am găsit în cod și date.

And that worked pretty well.

Și asta a mers destul de bine.

So we were able to associate

Așa că am fost în stare să asociem

the small digital warhead

micul focos digital

with the rotor control.

cu controlul rotorului.

The rotor is that moving part within the centrifuge,

Rotorul este partea mobilă din centrifugă,

that black object that you see.

obiectul negru pe care-l vedeți.

And if you manipulate the speed of this rotor,

Și dacă manipulezi viteza acestui rotor,

you are actually able to crack the rotor

ești de fapt în stare să strici rotorul

and eventually even have the centrifuge explode.

și centrifuga poate chiar să explodeze.

What we also saw

Ceea ce am mai văzut

is that the goal of the attack

e că scopul atacului

was really to do it slowly and creepy --

era s-o facă încet și înfiorător --

obviously in an effort

într-un evident efort

to drive maintenance engineers crazy,

de a înnebuni inginerii de întreținere,

that they would not be able to figure this out quickly.

astfel încât să nu-și dea seama repede.

The big digital warhead -- we had a shot at this

Marele focos digital -- am încercat și cu asta

by looking very closely

prin examinarea detaliată

at data and data structures.

a datelor și a structurilor de date.

So for example, the number 164

De exemplu, numărul 164

really stands out in that code;

iese în evidență în acel cod,

you can't overlook it.

nu poți s-o treci cu vederea.

I started to research scientific literature

Am început să cercetez literatura științifică

on how these centrifuges

despre cum au fost centrifugele

are actually built in Natanz

construite de fapt în Natanz

and found they are structured

și am găsit că sunt grupate

in what is called a cascade,

în ceea ce se numește o cascadă,

and each cascade holds 164 centrifuges.

și că fiecare cascadă conține 164 de centrifuge.

So that made sense, that was a match.

Așa că a avut sens, a fost o potrivire.

And it even got better.

Și a devenit chiar mai bun.

These centrifuges in Iran

Aceste centrifuge din Iran

are subdivided into 15, what is called, stages.

sunt subdivizate în 15 faze.

And guess what we found in the attack code?

Și ghiciți ce am găsit în codul de atac?

An almost identical structure.

O structură aproape identică.

So again, that was a real good match.

Deci din nou, asta a fost o potrivire foarte bună.

And this gave us very high confidence for what we were looking at.

Și asta ne-a dat foarte multă încredere cu privire la rezultate.

Now don't get me wrong here, it didn't go like this.

Să nu mă înțelegeți greșit, nu a mers chiar așa simplu.

These results have been obtained

Aceste rezultate au fost obținute

over several weeks of really hard labor.

în multe săptămâni de muncă grea.

And we often went into just a dead end

Și adesea am ajuns într-o fundătură

and had to recover.

și a trebuit s-o luăm de la capăt.

Anyway, so we figured out

Oricum, am descifrat

that both digital warheads

că ambele focoase digitale

were actually aiming at one and the same target,

ținteau de fapt aceeași țintă,

but from different angles.

dar din unghiuri diferite.

The small warhead is taking one cascade,

Focosul mic lua o cascadă,

and spinning up the rotors and slowing them down,

și învârtea rotoarele mai repede, apoi mai încet,

and the big warhead

iar focosul mare

is talking to six cascades

comanda șase cascade

and manipulating valves.

și manipula supapele.

So in all, we are very confident

Deci în final, suntem foarte siguri

that we have actually determined what the target is.

că am determinat care era ținta reală.

It is Natanz, and it is only Natanz.

E Natanz și numai Natanz.

So we don't have to worry

Deci nu trebuie să ne îngrijorăm

that other targets

că alte ținte

might be hit by Stuxnet.

ar putea fi lovite de Stuxnet.

Here's some very cool stuff that we saw --

Iată aici niște lucruri grozave pe care le-am văzut --

really knocked my socks off.

chiar m-au impresionat.

Down there is the gray box,

Acolo jos este cutia gri,

and on the top you see the centrifuges.

și sus vedeți centrifugele.

Now what this thing does

Acest lucru interceptează

is it intercepts the input values from sensors --

valorile de intrare de la senzori --

so for example, from pressure sensors

de exemplu senzorul de presiune

and vibration sensors --

și de vibrații --

and it provides legitimate program code,

și furnizează codului legitim,

which is still running during the attack,

care rulează încă în timpul atacului,

with fake input data.

date de intrare false.

And as a matter of fact, this fake input data

Și de fapt aceste date de intrare false

is actually prerecorded by Stuxnet.

sunt preînregistrate de Stuxnet.

So it's just like from the Hollywood movies

Deci e exact ca în filmele hollywoodiene

where during the heist,

unde în timpul unui jaf,

the observation camera is fed with prerecorded video.

camera de supraveghere e alimentată cu o secvență video preînregistrată.

That's cool, huh?

Grozav, nu?

The idea here is obviously

Evident, ideea e nu numai

not only to fool the operators in the control room.

de a păcăli operatorii din camera de control.

It actually is much more dangerous and aggressive.

E de fapt mult mai periculoasă și agresivă.

The idea

Ideea e de a

is to circumvent a digital safety system.

ocoli un sistem de siguranță digital.

We need digital safety systems

Avem nevoie de sisteme de siguranță digitale

where a human operator could not act quick enough.

acolo unde operatorul uman nu poate acționa suficient de repede.

So for example, in a power plant,

De exemplu, într-o centrală de energie,

when your big steam turbine gets too over speed,

când turbinele cu aburi se rotesc prea repede,

you must open relief valves within a millisecond.

trebuie să deschizi supapele de descărcare într-o milisecundă.

Obviously, this cannot be done by a human operator.

Evident, asta nu poate fi făcut de un operator uman.

So this is where we need digital safety systems.

Deci aici avem nevoie de sisteme de siguranță digitale.

And when they are compromised,

Și când ele sunt compromise,

then real bad things can happen.

se pot întâmpla lucruri foarte rele.

Your plant can blow up.

Instalația poate exploda.

And neither your operators nor your safety system will notice it.

Și nici operatorul, nici sistemul de siguranță nu va observa.

That's scary.

Asta e înspăimântător.

But it gets worse.

Dar devine și mai rău.

And this is very important, what I'm going to say.

Și ce voi spune acum e foarte important.

Think about this:

Gândiți-vă la asta.

this attack is generic.

Acest atac e generic.

It doesn't have anything to do, in specifics,

Nu are de a face, în caracteristici,

with centrifuges,

cu centrifugele,

with uranium enrichment.

cu îmbogățirea uraniului.

So it would work as well, for example,

Deci ar funcționa la fel de bine,

in a power plant

de exemplu într-o centrală energetică

or in an automobile factory.

sau într-o fabrică de mașini.

It is generic.

E generic.

And you don't have -- as an attacker --

Și nu trebuie -- ca și atacator --

you don't have to deliver this payload

nu trebuie să livrezi această sarcină

by a USB stick,

printr-un stick USB,

as we saw it in the case of Stuxnet.

așa cum am văzut în cazul Stuxnet.

You could also use conventional worm technology for spreading.

Poți utiliza pentru răspândire tehnologie convențională de vierme.

Just spread it as wide as possible.

Doar răspândește-l cît mai larg posibil.

And if you do that,

Și dacă faci asta,

what you end up with

ceea ce vei obține

is a cyber weapon of mass destruction.

e o ciber-armă de distrugere în masă.

That's the consequence

Aceasta e consecința

that we have to face.

cu care trebuie să ne înfruntăm.

So unfortunately,

Deci din păcate,

the biggest number of targets for such attacks

cel mai mare număr de ținte pentru asemenea atacuri

are not in the Middle East.

nu sunt în Orientul de Mijloc.

They're in the United States and Europe and in Japan.

Ele sunt in SUA, Europa și Japonia.

So all of the green areas,

Toate zonele verzi

these are your target-rich environments.

sunt mediile bogate în ținte.

We have to face the consequences,

Trebuie să înfruntăm consecințele,

and we better start to prepare right now.

și ar fi bine să începem să ne pregătim chiar acum.

Thanks.

Mulțumesc.

(Applause)

(Aplauze)

Chris Anderson: I've got a question.

Chris Anderson: Am o întrebare.

Ralph, it's been quite widely reported

Ralph, e destul de larg răspândită știrea

that people assume that Mossad

că oamenii presupun că Mossad

is the main entity behind this.

e principala entitate din spatele acestui caz.

Is that your opinion?

E asta și opinia ta?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: În regulă, chiar vrei să auzi asta?

Yeah. Okay.

Da. În regulă.

My opinion is that the Mossad is involved,

Opinia mea este că Mossad este implicat,

but that the leading force is not Israel.

dar forța conducătoare nu e Israel.

So the leading force behind that

Forța conducătoare din spatele acestui caz

is the cyber superpower.

este ciber-superputerea.

There is only one,

Există doar una singură,

and that's the United States --

și asta e SUA --

fortunately, fortunately.

din fericire, din fericire.

Because otherwise,

Fiindcă altfel,

our problems would even be bigger.

problemele noastre ar fi și mai mari.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Mulțumesc că ne-ai speriat de moarte. Mulțumesc Ralph.

(Applause)

(Aplauze)