Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Översättare: Anders Björk Granskare: Matti Jääaro

The idea behind the Stuxnet computer worm

Idén bakom datamasken Stuxnet

is actually quite simple.

är egentligen ganska simpel.

We don't want Iran to get the bomb.

Vi vill inte att Iran ska få Kärnvapen.

Their major asset for developing nuclear weapons

Deras största tillgång för att utveckla kärnvapen

is the Natanz uranium enrichment facility.

är Natanz urananriktningsanläggning.

The gray boxes that you see,

De gråa lådorna som ni ser,

these are real-time control systems.

dessa är realtidsstyrsystem.

Now if we manage to compromise these systems

Om vi lyckas sätta dessa system ur spel

that control drive speeds and valves,

som styr rotationshastigheter och ventiler,

we can actually cause a lot of problems

kan vi faktiskt skapa en massa problem

with the centrifuge.

med centrifugen.

The gray boxes don't run Windows software;

På de gråa lådorna körs inte Windows;

they are a completely different technology.

det är en helt annan teknologi.

But if we manage

Men klarar vi av

to place a good Windows virus

att placera ett ordentligt Windowsvirus

on a notebook

på en bärbar dator

that is used by a maintenance engineer

som används av en systemingenjör för

to configure this gray box,

att konfigurera den här gråa lådan,

then we are in business.

då är vi hemma.

And this is the plot behind Stuxnet.

Och det här är tillvägagångssättet bakom Stuxnet

So we start with a Windows dropper.

Så vi startar med en Windowsbaserad transportör.

The payload goes onto the gray box,

Lasten [programmet] överförs till den gråa lådan,

damages the centrifuge,

skadar centrifugerna,

and the Iranian nuclear program is delayed --

och det Iranska kärnvapenprogrammet försenas --

mission accomplished.

uppdraget utfört!

That's easy, huh?

Det låter enkelt eller hur?

I want to tell you how we found that out.

Jag vill berätta hur vi tog reda på detta.

When we started our research on Stuxnet six months ago,

När vi startade vår forskning om Stuxnet för sex månader sen,

it was completely unknown what the purpose of this thing was.

var det fullkomligt okänt vad syftet med den här saken var.

The only thing that was known

Den enda sak som var känd

is it's very, very complex on the Windows part, the dropper part,

var att den innehöll en väldigt, väldigt komplex Windowsdel, transportören,

used multiple zero-day vulnerabilities.

använde multipla noll:te-dags sårbarheter.

And it seemed to want to do something

Och den såg ut att vilja göra någonting

with these gray boxes, these real-time control systems.

med de här gråa lådorna, de här realtidsstyrsystemen.

So that got our attention,

Så det fångade vår uppmärksamhet,

and we started a lab project

och vi startade ett laboratorieprojekt

where we infected our environment with Stuxnet

där vi infekterade vår utvecklingsmiljö med Stuxnet

and checked this thing out.

och undersökte den här saken.

And then some very funny things happened.

Och då hände några väldigt roliga saker.

Stuxnet behaved like a lab rat

Stuxnet betedde sig som en labbråtta

that didn't like our cheese --

som inte gillade vår ost --

sniffed, but didn't want to eat.

den luktade, men ville inte äta.

Didn't make sense to me.

Jag kunde inte förstå mig på den.

And after we experimented with different flavors of cheese,

Och efter experimenterande med olika typer av ostar,

I realized, well, this is a directed attack.

Insåg jag, det här är en riktad attack.

It's completely directed.

Den var fullständigt riktad.

The dropper is prowling actively

Transportören skannade aktivt

on the gray box

av den gråa lådan

if a specific configuration is found,

för att se om en specifik konfiguration fanns inuti den,

and even if the actual program code that it's trying to infect

och till och med om det program det försöker infektera med

is actually running on that target.

i själva verket redan körs på målet [gråa lådan].

And if not, Stuxnet does nothing.

Och om inte, gör Stuxnet ingenting.

So that really got my attention,

Så det här fångade verkligen min uppmärksamhet,

and we started to work on this

och vi började jobba på det här

nearly around the clock,

nästan dygnet runt,

because I thought, "Well, we don't know what the target is.

för att jag insåg, nåväl, vi vet inte faktiskt vad som är målet.

It could be, let's say for example,

Det skulle kunna vara, låt oss säga till exempel,

a U.S. power plant,

ett Amerikansk kraftverk,

or a chemical plant in Germany.

eller en kemifabrik i Tyskland.

So we better find out what the target is soon."

Så det är nog bäst att vi fort listar ut vad målet är.

So we extracted and decompiled

Så vi extraherade och dekompilerade

the attack code,

attackkoden,

and we discovered that it's structured in two digital bombs --

och vi upptäckte att den var strukturerad som två digitala bomber --

a smaller one and a bigger one.

en mindre och en större.

And we also saw that they are very professionally engineered

Och vi såg också att de var väldigt professionellt gjorda

by people who obviously had all insider information.

av folk som uppenbarligen hade tillgång till all insider-information.

They knew all the bits and bites

De kände till alla bitar och bytes

that they had to attack.

som de var tvungna att attackera.

They probably even know the shoe size of the operator.

De visste troligtvis till och med vilken skostorlek operatören hade.

So they know everything.

Så de visste alltså allting.

And if you have heard that the dropper of Stuxnet

Och om ni har hört att transportören av Stuxnet

is complex and high-tech,

är komplex och högteknologisk

let me tell you this:

låt mig berätta det här:

the payload is rocket science.

lasten är på raketforskningsnivå.

It's way above everything

Den är på en nivå långt över allt

that we have ever seen before.

som vi överhuvudtaget sett förut.

Here you see a sample of this actual attack code.

Här kan du se ett smakprov av den verkliga attackkoden.

We are talking about --

Vi talar om --

around about 15,000 lines of code.

i runda slängar 15.000 rader kod.

Looks pretty much like old-style assembly language.

Det ser ganska likt ut gammaldags assemblerspråk.

And I want to tell you how we were able

Och vill tala om hur det var möjligt för oss

to make sense out of this code.

att få ut något vettigt av denna kod.

So what we were looking for is, first of all, system function calls,

Så det vi tittade efter först var anrop av systemfunktioner,

because we know what they do.

eftersom vi visste vad de gör.

And then we were looking for timers and data structures

Och sen tittade vi efter timers och datastrukturer.

and trying to relate them to the real world --

och försökte relatera dem till verkliga världen --

to potential real world targets.

till potentiella verkliga mål.

So we do need target theories

Så vi behövde teorier om vilka målen var

that we can prove or disprove.

som vi kunde bevisa eller förkasta.

In order to get target theories,

För att kunna ta fram dessa målteorier

we remember

drog vi oss till minne att

that it's definitely hardcore sabotage,

eftersom detta definitivt var sabotage på högsta nivå,

it must be a high-value target

så måste det vara ett mål med högt värde,

and it is most likely located in Iran,

och mest troligt lokaliserat till Iran,

because that's where most of the infections had been reported.

eftersom de flesta infektionerna hade rapporterats där.

Now you don't find several thousand targets in that area.

Det går inte att hitta flera tusen mål i det området.

It basically boils down

Det kokar praktiskt taget ned

to the Bushehr nuclear power plant

till Bushehrs kärnkraftverk

and to the Natanz fuel enrichment plant.

och Natanz bränsleanriktningsfabrik.

So I told my assistant,

Så jag bad min assistent,

"Get me a list of all centrifuge and power plant experts from our client base."

"Ge mig en lista på alla centrifug- och kraftverksexperter ur vår klientdatabas."

And I phoned them up and picked their brain

Och jag ringde upp dem och bollade lite idéer med dem

in an effort to match their expertise

i ett försök att matcha deras expertis

with what we found in code and data.

med vad vi hade hittat i koden och datat.

And that worked pretty well.

Och det funkade ganska bra.

So we were able to associate

Så vi lyckades associera

the small digital warhead

den lilla digitala stridsspetsen

with the rotor control.

med rotorstyrningen.

The rotor is that moving part within the centrifuge,

Rotorn är den rörliga delen i centrifugen,

that black object that you see.

det svarta objektet du ser här.

And if you manipulate the speed of this rotor,

Och om du manipulerar farten på denna rotor,

you are actually able to crack the rotor

så kan du i själva verket få rotorn att spricka

and eventually even have the centrifuge explode.

och till slut kommer hela centrifugen att explodera.

What we also saw

Vad vi också såg

is that the goal of the attack

är att målet med attacken

was really to do it slowly and creepy --

i verkligen var att göra det långsamt och krypande --

obviously in an effort

uppenbarligen i ett försök

to drive maintenance engineers crazy,

att driva underhållsingenjörerna till vansinne,

that they would not be able to figure this out quickly.

så att de inte skulle kunna klura ut det hela snabbt.

The big digital warhead -- we had a shot at this

Den stora digitala stridsspetsen -- vi gjorde ett försök

by looking very closely

genom att väldigt noggrant

at data and data structures.

titta på data och datastrukturer.

So for example, the number 164

Så till exempel, talet 164

really stands out in that code;

är något som verkligen står ut i koden;

you can't overlook it.

det går helt enkelt inte att förbise det.

I started to research scientific literature

Jag började forska i vetenskaplig litteratur

on how these centrifuges

om hur de här centrifugerna

are actually built in Natanz

verkligen var installerade i Natanz

and found they are structured

och såg att de var strukturerade

in what is called a cascade,

i något som kallas en kaskad,

and each cascade holds 164 centrifuges.

och varje kaskad består av 164 centrifuger.

So that made sense, that was a match.

Så det verkade vettigt, det passade ihop

And it even got better.

Och det blev till och med bättre.

These centrifuges in Iran

De här centrifugerna i Iran

are subdivided into 15, what is called, stages.

är uppdelade i 15, så kallade steg.

And guess what we found in the attack code?

Och gissa vad vi hittade i attackkoden?

An almost identical structure.

En nästan identisk struktur.

So again, that was a real good match.

Så åter igen, passade det ihop mycket bra.

And this gave us very high confidence for what we were looking at.

Och detta gav oss starkt självförtroende för vad vi verkligen tittade på.

Now don't get me wrong here, it didn't go like this.

Uppfatta mig inte fel nu, det gick inte så lätt.

These results have been obtained

De här resultaten nåddes

over several weeks of really hard labor.

genom många veckors verkligen hårt arbete.

And we often went into just a dead end

Och vi kom ofta till en återvändsgränd

and had to recover.

och var tvungna komma vidare därifrån.

Anyway, so we figured out

Hursomhelst, vi klurade ut

that both digital warheads

att de båda digitala stridsspetsarna

were actually aiming at one and the same target,

verkligen var riktade mot ett och samma mål,

but from different angles.

men från olika vinklar.

The small warhead is taking one cascade,

Den lilla stridsspetsen tar en kaskad,

and spinning up the rotors and slowing them down,

och ökar hastigheten på rotorerna och sen minskar den,

and the big warhead

och den stora stridsspetsen

is talking to six cascades

pratar med sex kaskader

and manipulating valves.

och manipulerar ventiler.

So in all, we are very confident

Så på det stora hela, var vi övertygade

that we have actually determined what the target is.

att vi verkligen hade kommit fram vad målet var.

It is Natanz, and it is only Natanz.

Det är Natanz, och enbart Natanz

So we don't have to worry

Så vi behövde inte oroa oss

that other targets

att andra mål

might be hit by Stuxnet.

skulle bli drabbade av Stuxnet.

Here's some very cool stuff that we saw --

Här några väldigt coola saker som vi såg --

really knocked my socks off.

som verkligen fick mig falla av stolen.

Down there is the gray box,

Här nere är den där gråa lådan,

and on the top you see the centrifuges.

och här upptill ser du centrifugerna.

Now what this thing does

Vad denna sak nu gör

is it intercepts the input values from sensors --

är att den genskjuter indata från sensorerna --

so for example, from pressure sensors

exempelvis från trycksensorerna

and vibration sensors --

och vibrationssensorerna --

and it provides legitimate program code,

och skickar vidare helt "normala" värden,

which is still running during the attack,

som fortfarande körs under attacken

with fake input data.

med falska indata.

And as a matter of fact, this fake input data

Och faktum är, att dessa falska indata

is actually prerecorded by Stuxnet.

i själva verket är förinspelade av Stuxnet.

So it's just like from the Hollywood movies

Så det är precis som i Hollywoodfilmer

where during the heist,

där under en bankkupp,

the observation camera is fed with prerecorded video.

observationskameran matas med en förinspelad video.

That's cool, huh?

Det är allt lite coolt eller hur?

The idea here is obviously

Tanken här är uppenbarligen

not only to fool the operators in the control room.

att inte bara lura operatörerna i kontrollrummet.

It actually is much more dangerous and aggressive.

Den är i själva verket mycket farligare och aggressivare.

The idea

Tanken

is to circumvent a digital safety system.

är att kringgå ett digital säkerhetssystem.

We need digital safety systems

Vi behöver de här digitala säkerhetssystemen

where a human operator could not act quick enough.

där en mänsklig operatör inte kan hinna reagera tillräckligt snabbt.

So for example, in a power plant,

Så till exempel, i ett kraftverk,

when your big steam turbine gets too over speed,

när din stora ångturbin roterar med överhastighet,

you must open relief valves within a millisecond.

så måste man öppna säkerhetsventiler inom en millisekund.

Obviously, this cannot be done by a human operator.

Så uppenbarligen, kan inte det göras av mänsklig operatör.

So this is where we need digital safety systems.

Så det är här vi verkligen behöver digitala säkerhetssystem.

And when they are compromised,

Och när de är satta ur spel,

then real bad things can happen.

kan väldigt hemska saker hända.

Your plant can blow up.

Ditt kraftverk kan flyga i luften.

And neither your operators nor your safety system will notice it.

Och varken dina operatörer eller ditt säkerhetssystem kommer märka det.

That's scary.

Det är skrämmande.

But it gets worse.

Men det blir värre.

And this is very important, what I'm going to say.

Och det här är väldigt viktigt, det jag är på väg att säga.

Think about this:

Tänk er detta.

this attack is generic.

Det här är en generisk attack.

It doesn't have anything to do, in specifics,

Den har ingenting specifikt att göra

with centrifuges,

med centrifuger,

with uranium enrichment.

med urananrikning.

So it would work as well, for example,

Så den hade fungerat lika bra, till exempel,

in a power plant

i ett kraftverk

or in an automobile factory.

eller i en bilfabrik.

It is generic.

Den är generiskt.

And you don't have -- as an attacker --

Och du behöver inte -- som vi denna attack --

you don't have to deliver this payload

behöver inte leverera denna nyttolast

by a USB stick,

med hjälp av ett USB-minne,

as we saw it in the case of Stuxnet.

som vi såg i fallet med Stuxnet.

You could also use conventional worm technology for spreading.

Man skulle kunna använda konventionell datavirusteknologi för spridningen.

Just spread it as wide as possible.

Bara sprida den så brett som möjligt.

And if you do that,

Och om du gör det,

what you end up with

kommer du i slutänden få

is a cyber weapon of mass destruction.

det som är ett cybermassförstörelsevapen.

That's the consequence

Det är konsekvensen

that we have to face.

vi måste stå inför.

So unfortunately,

Så olyckligtvis,

the biggest number of targets for such attacks

ligger det största antalet mål för sådana attacker

are not in the Middle East.

inte i mellanöstern.

They're in the United States and Europe and in Japan.

De är i USA och i Europa och i Japan.

So all of the green areas,

Så alla de här gröna områdena,

these are your target-rich environments.

de är våra mål-rika miljöer.

We have to face the consequences,

Vi måste ta konsekvenserna

and we better start to prepare right now.

och det är bäst att vi börjar förbereda oss nu.

Thanks.

Tack.

(Applause)

(Applåder)

Chris Anderson: I've got a question.

Chris Andersson: Jag har en fråga.

Ralph, it's been quite widely reported

Ralph, det har rapporteras ganska flitigt

that people assume that Mossad

att folk antar att Mossad

is the main entity behind this.

är organisationen som i huvudsak ligger bakom detta.

Is that your opinion?

Är det din åsikt?

Ralph Langner: Okay, you really want to hear that?

Ralph Langner: OK, Vill du verkligen höra detta?

Yeah. Okay.

Jaha. OK.

My opinion is that the Mossad is involved,

Min åsikt är att Mossad är inblandad,

but that the leading force is not Israel.

men att den ledande kraften bakom inte är Israel.

So the leading force behind that

Så den ledande kraften bakom detta

is the cyber superpower.

är en cyber-supermakt.

There is only one,

Det finns bara en,

and that's the United States --

och det är USA --

fortunately, fortunately.

lyckligtvis, lyckligtvis.

Because otherwise,

För i annat fall,

our problems would even be bigger.

skulle våra problem vara till och med ännu större.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Tack för att du skrämde livet ur oss. Tack Ralph.

(Applause)

(Applåder)