Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ральф Лангнер: Взламывая Стакснет, кибер-оружие 21 века

Переводчик: Nikolay Frolov Редактор: Aliaksandr Autayeu

The idea behind the Stuxnet computer worm

Идея, лежащая в основе компьютерного червя Стакснет

is actually quite simple.

на самом деле довольно проста.

We don't want Iran to get the bomb.

Мы не хотим, чтобы Иран получил Бомбу.

Their major asset for developing nuclear weapons

Их главный объект по разработке ядерных вооружений —

is the Natanz uranium enrichment facility.

фабрика по обогащению урана в Натанзе.

The gray boxes that you see,

Серые коробки, которые вы видите,

these are real-time control systems.

это системы непрерывного контроля.

Now if we manage to compromise these systems

Если нам удастся взломать эти системы,

that control drive speeds and valves,

управляющие скоростями вращения и клапанами,

we can actually cause a lot of problems

мы сможем причинить кучу проблем

with the centrifuge.

центрифуге.

The gray boxes don't run Windows software;

Серые коробки работают не под управлением Windows.

they are a completely different technology.

Это совершенно иная технология.

But if we manage

Но если нам удастся

to place a good Windows virus

установить хороший Windows вирус

on a notebook

на ноутбук,

that is used by a maintenance engineer

используемый инженером этой машины

to configure this gray box,

для настройки этой серой коробки,

then we are in business.

тогда мы в деле.

And this is the plot behind Stuxnet.

Вот по такому сценарию и действует Стакснет.

So we start with a Windows dropper.

Мы начинаем с заброса вируса в Windows.

The payload goes onto the gray box,

Вирус попадает в серую коробку,

damages the centrifuge,

приносит вред центрифуге,

and the Iranian nuclear program is delayed --

и иранская ядерная программа откладывается —

mission accomplished.

миссия выполнена.

That's easy, huh?

Просто, не правда ли?

I want to tell you how we found that out.

Я хочу рассказать о том, как мы это обнаружили.

When we started our research on Stuxnet six months ago,

Когда мы начали исследовать Стакснет полгода назад,

it was completely unknown what the purpose of this thing was.

было совершенно неизвестно, зачем нужна эта штука.

The only thing that was known

Единственно, было известно,

is it's very, very complex on the Windows part, the dropper part,

что её Windows-компонента, забрасываемая компонента, очень, очень сложна,

used multiple zero-day vulnerabilities.

и использует несколько до сих пор неизвестных уязвимостей.

And it seemed to want to do something

Кажется, она хочет сделать что-то

with these gray boxes, these real-time control systems.

с этими серыми коробками, с системами непрерывного контроля.

So that got our attention,

Это привлекло наше внимание,

and we started a lab project

и мы начали лабораторный проект,

where we infected our environment with Stuxnet

в котором мы заражали нашу компьютерную среду Стакснетом

and checked this thing out.

и смотрели, что делает эта штука.

And then some very funny things happened.

И затем случились очень забавные вещи.

Stuxnet behaved like a lab rat

Стакснет вел себя, как лабораторная крыса,

that didn't like our cheese --

которой не нравился наш сыр —

sniffed, but didn't want to eat.

принюхивалась, но не хотела есть.

Didn't make sense to me.

Мы ничего не понимали.

And after we experimented with different flavors of cheese,

И после того, как мы поэкспериментировали с различными ароматами сыра,

I realized, well, this is a directed attack.

я понял, что это направленная атака.

It's completely directed.

Она полностью направленная.

The dropper is prowling actively

Внедрённая программа активно исследовала

on the gray box

серую коробку,

if a specific configuration is found,

на предмет определённых настроек,

and even if the actual program code that it's trying to infect

и даже на предмет того, запущена ли на данной машине программа,

is actually running on that target.

которую она старается заразить.

And if not, Stuxnet does nothing.

И если поиски не давали результата, Стакснет бездействовал.

So that really got my attention,

Это сильно привлекло моё внимание,

and we started to work on this

и мы начали работать над этим

nearly around the clock,

почти круглосуточно,

because I thought, "Well, we don't know what the target is.

потому что я понимал, что мы не знаем, что это за цель.

It could be, let's say for example,

Это могла быть

a U.S. power plant,

американская ядерная электростанция,

or a chemical plant in Germany.

или химический завод в Германии.

So we better find out what the target is soon."

Нам лучше поскорее отыскать потенциальную цель.

So we extracted and decompiled

Мы извлекли и декомпилировали

the attack code,

атакующий код,

and we discovered that it's structured in two digital bombs --

и мы обнаружили, что он представляет собой две бомбы —

a smaller one and a bigger one.

поменьше и побольше.

And we also saw that they are very professionally engineered

Мы также увидели, что они сделаны очень профессионально,

by people who obviously had all insider information.

людьми, которые очевидно обладали всей внутренней информацией.

They knew all the bits and bites

Они знали каждый бит и байт

that they had to attack.

того, что им нужно было атаковать.

They probably even know the shoe size of the operator.

Они вероятно даже знали размер ботинок оператора.

So they know everything.

Им было известно всё.

And if you have heard that the dropper of Stuxnet

Если вы слышали, что заражающая программа Стакснет

is complex and high-tech,

сложна и высокотехнологична,

let me tell you this:

позвольте сказать вам вот что:

the payload is rocket science.

наполнение — просто «ядерная физика».

It's way above everything

Это круче всего,

that we have ever seen before.

что нам когда-либо приходилось видеть.

Here you see a sample of this actual attack code.

Здесь вы видите кусочек настоящего атакующего кода.

We are talking about --

Мы говорим о —

around about 15,000 lines of code.

приблизительно о 15 000 строк кода.

Looks pretty much like old-style assembly language.

Выглядит почти как старый добрый код на ассемблере.

And I want to tell you how we were able

И я хочу рассказать вам, как нам удалось

to make sense out of this code.

разобраться в этом коде.

So what we were looking for is, first of all, system function calls,

В первую очередь мы искали все системные вызовы,

because we know what they do.

потому что мы знали, что они делают.

And then we were looking for timers and data structures

И затем мы смотрели на таймеры и структуры данных

and trying to relate them to the real world --

и пытались связать их с реальным миром —

to potential real world targets.

чтобы определить потенциальные мишени в реальном мире.

So we do need target theories

Нам очень нужны гипотезы о потенциальных мишенях,

that we can prove or disprove.

которые мы могли бы доказать или опровергнуть.

In order to get target theories,

Чтобы сформулировать такие гипотезы,

we remember

мы вспомнили,

that it's definitely hardcore sabotage,

что это определённо крутой саботаж,

it must be a high-value target

поэтому цель должна представлять большую ценность,

and it is most likely located in Iran,

и вероятнее всего она расположена в Иране,

because that's where most of the infections had been reported.

потому что там было обнаружено наибольшее количество заражений.

Now you don't find several thousand targets in that area.

И вы не найдёте там несколько сотен потенциальных объектов.

It basically boils down

Всё сводится в итоге

to the Bushehr nuclear power plant

к ядерной электростанции в Бушере

and to the Natanz fuel enrichment plant.

и к заводу по обогащению урана в Натанзе.

So I told my assistant,

Я сказал своему помощнику:

"Get me a list of all centrifuge and power plant experts from our client base."

«Достань мне список всех центрифуг и специалистов электростанциям из нашей клиентской базы.»

And I phoned them up and picked their brain

Я обзвонил их всех и использовал их мозги в попытке

in an effort to match their expertise

совместить их опыт

with what we found in code and data.

с тем, что мы нашли в коде и данных.

And that worked pretty well.

И это сработало отлично.

So we were able to associate

Мы смогли сопоставить

the small digital warhead

небольшую цифровую боеголовку

with the rotor control.

с управлением ротором.

The rotor is that moving part within the centrifuge,

Ротор — это движущаяся часть внутри центрифуги,

that black object that you see.

тот чёрный объект, который вы видите.

And if you manipulate the speed of this rotor,

И если вам удастся манипулировать скоростью этого ротора,

you are actually able to crack the rotor

вы сможете сломать ротор

and eventually even have the centrifuge explode.

и в результате даже взорвать центрифугу.

What we also saw

Мы также увидели,

is that the goal of the attack

что цель атаки

was really to do it slowly and creepy --

заключалась в том, чтобы сделать это медленно и аккуратно —

obviously in an effort

очевидно в попытке

to drive maintenance engineers crazy,

свести обслуживающих инженеров с ума,

that they would not be able to figure this out quickly.

потому что они не смогли бы быстро её вычислить.

The big digital warhead -- we had a shot at this

Большая цифровая боеголовка — мы поняли для чего она,

by looking very closely

изучая внимательнее

at data and data structures.

данные и структуру данных.

So for example, the number 164

К примеру, число 164

really stands out in that code;

выделяется в этом коде.

you can't overlook it.

Его сложно пропустить.

I started to research scientific literature

Я начал изучать научную литературу

on how these centrifuges

об этих центрифугах,

are actually built in Natanz

установленных в Натанзе

and found they are structured

и обнаружил, что они устроены

in what is called a cascade,

в форме того, что называется каскадом,

and each cascade holds 164 centrifuges.

и каждый каскад установлено 164 центрифуги.

So that made sense, that was a match.

Это имело смысл, и это было совпадением.

And it even got better.

Вышло даже лучше.

These centrifuges in Iran

Эти центрифуги в Иране

are subdivided into 15, what is called, stages.

были разделены на 15, как это называется, ступеней.

And guess what we found in the attack code?

И догадайтесь, что мы нашли в атакующем коде?

An almost identical structure.

Почти ту же самую структуру.

So again, that was a real good match.

Опять же, очень хорошее совпадение.

And this gave us very high confidence for what we were looking at.

Это вселило в нас уверенность, что мы понимаем, с чем имеем дело.

Now don't get me wrong here, it didn't go like this.

Не поймите меня неправильно, это, конечно, произошло не так.

These results have been obtained

Эти результаты были получены

over several weeks of really hard labor.

в течение нескольких недель очень напряжённой работы.

And we often went into just a dead end

И мы часто утыкались в тупики

and had to recover.

и начинали заново.

Anyway, so we figured out

В любом случае, мы выяснили,

that both digital warheads

что обе цифровые боеголовки

were actually aiming at one and the same target,

были нацелены на одну и ту же цель,

but from different angles.

но под разными углами.

The small warhead is taking one cascade,

Маленькая боеголовка принималась за один каскад,

and spinning up the rotors and slowing them down,

раскручивала и замедляла роторы,

and the big warhead

а большая боеголовка

is talking to six cascades

захватывала шесть каскадов

and manipulating valves.

и манипулировала вентилями.

So in all, we are very confident

В итоге, мы уверены,

that we have actually determined what the target is.

что мы на самом деле определили, что является целью.

It is Natanz, and it is only Natanz.

Это Натанз и это только Натанз.

So we don't have to worry

И нам не нужно беспокоиться,

that other targets

что другие мишени

might be hit by Stuxnet.

могут быть поражены Стакснетом.

Here's some very cool stuff that we saw --

Вот кое-что замечательное из того, что мы увидели —

really knocked my socks off.

реально снесло мне башню.

Down there is the gray box,

Там внизу расположена серая коробка,

and on the top you see the centrifuges.

а наверху вы видите центрифуги.

Now what this thing does

И что делает эта штука,

is it intercepts the input values from sensors --

она перехватывает входные данные из датчиков —

so for example, from pressure sensors

к примеру, из датчиков давления

and vibration sensors --

и датчиков вибрации —

and it provides legitimate program code,

и передаёт исходному коду,

which is still running during the attack,

которые всё ещё работает во время атаки,

with fake input data.

поддельные входные данные.

And as a matter of fact, this fake input data

И эти поддельные входные данные

is actually prerecorded by Stuxnet.

записаны в Стакснет.

So it's just like from the Hollywood movies

Это прямо как в голливудских фильмах,

where during the heist,

когда во время ограбления

the observation camera is fed with prerecorded video.

камерам наблюдения посылается заранее записанное видео.

That's cool, huh?

Круто, правда?

The idea here is obviously

Идея здесь, конечно,

not only to fool the operators in the control room.

не только в том, чтобы перехитрить операторов комнаты управления.

It actually is much more dangerous and aggressive.

На самом деле всё гораздо опаснее и агрессивнее.

The idea

Идея заключается в том,

is to circumvent a digital safety system.

чтобы обмануть цифровую систему безопасности.

We need digital safety systems

Нам нужны цифровые системы безопасности,

where a human operator could not act quick enough.

когда человек не может действовать достаточно быстро.

So for example, in a power plant,

К примеру, на электростанции,

when your big steam turbine gets too over speed,

когда большая турбина слишком сильно ускоряется,

you must open relief valves within a millisecond.

вам необходимо открыть предохранительный клапан в течении миллисекунды.

Obviously, this cannot be done by a human operator.

Очевидно, человек на такое неспособен.

So this is where we need digital safety systems.

Здесь нам необходима цифровая система безопасности.

And when they are compromised,

И если они взломаны,

then real bad things can happen.

могут произойти очень плохие вещи.

Your plant can blow up.

Ваша станция может взорваться.

And neither your operators nor your safety system will notice it.

И ни ваши операторы, ни ваша система безопасности этого не заметят.

That's scary.

Это страшно.

But it gets worse.

Но будет ещё страшнее.

And this is very important, what I'm going to say.

То, что я собираюсь сказать, очень важно.

Think about this:

Подумайте.

this attack is generic.

Эта атака универсальная.

It doesn't have anything to do, in specifics,

Они никак не связана в деталях

with centrifuges,

с центрифугами,

with uranium enrichment.

с обогащением урана.

So it would work as well, for example,

Она также хорошо сработала бы, к примеру,

in a power plant

на электростанции

or in an automobile factory.

или на автомобильном заводе.

It is generic.

Это универсальный инструмент.

And you don't have -- as an attacker --

Вам нет необходимости — как атакующему —

you don't have to deliver this payload

нет необходимости внедрять содержимое

by a USB stick,

через USB,

as we saw it in the case of Stuxnet.

как мы видели это в случае Стакснета.

You could also use conventional worm technology for spreading.

Вы могли бы использовать обычную технологию распространения через червей.

Just spread it as wide as possible.

Просто распространите его настолько, насколько возможно.

And if you do that,

И если вы сделаете это,

what you end up with

вы получите

is a cyber weapon of mass destruction.

кибер-оружие массового поражения.

That's the consequence

Это последствие,

that we have to face.

которое мы должны признать.

So unfortunately,

К несчастью,

the biggest number of targets for such attacks

наибольшее число потенциальных мишеней для таких атак

are not in the Middle East.

расположено не на Ближнем Востоке.

They're in the United States and Europe and in Japan.

А в США, Европе и Японии.

So all of the green areas,

Все эти зелёные области,

these are your target-rich environments.

всё это области с большим количеством мишеней.

We have to face the consequences,

Мы должны признать последствия,

and we better start to prepare right now.

и мы должны начать готовиться к ним уже сейчас.

Thanks.

Спасибо.

(Applause)

(Аплодисменты)

Chris Anderson: I've got a question.

Крис Андерсон: У меня вопрос.

Ralph, it's been quite widely reported

Ральф, довольно широко известно,

that people assume that Mossad

что считается, что Моссад

is the main entity behind this.

является главной силой, стоящей за этим.

Is that your opinion?

А как вы считаете?

Ralph Langner: Okay, you really want to hear that?

Ральф Лангнер: Хорошо, вы действительно хотите это услышать?

Yeah. Okay.

Хорошо, хорошо.

My opinion is that the Mossad is involved,

На мой взгляд, Моссад участвует в этом,

but that the leading force is not Israel.

но ведущей силой является не Израиль.

So the leading force behind that

Ведущая сила, стоящая за этим,

is the cyber superpower.

супер кибер-держава.

There is only one,

Есть только одна такая,

and that's the United States --

и это США —

fortunately, fortunately.

к счастью, к счастью.

Because otherwise,

Потому что иначе,

our problems would even be bigger.

у нас были бы куда большие проблемы.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

К.А.: Спасибо за то, что напугали нас до смерти. Спасибо, Ральф.

(Applause)

(Аплодисменты)