Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Translator: Unnawut Leepaisalsuwanna Reviewer: Phatra Sae-ting

The idea behind the Stuxnet computer worm

แผนการที่อยู่ภายใต้หนอนคอมพิวเตอร์ที่ชื่อว่า 'Stuxnet' นี้

is actually quite simple.

จริงๆแล้วมันเรียบง่ายมากๆ

We don't want Iran to get the bomb.

เราไม่ต้องการให้อิหร่านมีระเบิดนิวเคลียร์

Their major asset for developing nuclear weapons

ส่วนสำคัญในการพัฒนาระเบิดนิวเคลียร์ของอิหร่าน

is the Natanz uranium enrichment facility.

ก็คือโรงงานเสริมสมรรถนะยูเรเนียมที่นาทันซ์

The gray boxes that you see,

กล่องสีเทาที่คุณเห็น

these are real-time control systems.

นั่นคือระบบควบคุมตามเวลาจริง

Now if we manage to compromise these systems

ถ้าเราสามารถเจาะเข้าไปในระบบเหล่านี้

that control drive speeds and valves,

ซึ่งควบคุมความเร็วและวาล์วต่างๆ

we can actually cause a lot of problems

เราก็จะสามารถก่อให้เกิดปัญหาได้มากมาย

with the centrifuge.

กับเครื่องหมุนเหวี่ยง ซึ่งเป็นส่วนสำคัญของการเสริมสมรรถนะ

The gray boxes don't run Windows software;

กล่องสีเทาพวกนั้นไม่ได้ใช้ระบบวินโดวส์หรอกนะ

they are a completely different technology.

มันเป็นเทคโนโลยีทีแตกต่างกันโดยสิ้นเชิง

But if we manage

แต่ถ้าเราสามารถ

to place a good Windows virus

ใส่ไวรัสของวินโดวส์

on a notebook

ลงบนโน๊ตบุ๊ค

that is used by a maintenance engineer

ของวิศวกรทั้งหลาย

to configure this gray box,

ที่ควบคุมกล่องสีเทาเหล่านี้

then we are in business.

เราก็เข้าไปอยู่ในเกมแล้ว

And this is the plot behind Stuxnet.

และนี่คือแผนการภายใต้ Stuxnet

So we start with a Windows dropper.

เราเริ่มด้วยการวางระเบิดไว้ในเครื่องวินโดวส์

The payload goes onto the gray box,

ข้อมูลจะถูกป้อนเข้ากล่องสีเทาผ่านโน๊ตบุ๊ควิศวกร

damages the centrifuge,

ซึ่งจะไปสร้างความเสียหายกับเครื่องหมุนเหวี่ยงอีกที

and the Iranian nuclear program is delayed --

ทีนี้โครงการนิวเคลียร์ของอิหร่านก็จะล่าช้าลงไป

mission accomplished.

ภารกิจเสร็จสิ้น

That's easy, huh?

ง่ายใช่มั้ยล่ะ?

I want to tell you how we found that out.

ผมจะเล่าให้ฟัง ว่าเราเจอคำตอบได้อย่างไร

When we started our research on Stuxnet six months ago,

ตอนที่เราเริ่มศึกษา Stuxnet เมื่อหกเดือนที่แล้ว

it was completely unknown what the purpose of this thing was.

ไม่มีใครรู้เลยว่าจุดประสงค์ของมันคืออะไร

The only thing that was known

สิ่งเดียวที่เรารู้ก็คือ

is it's very, very complex on the Windows part, the dropper part,

โค๊ดตัววางระเบิด ซึ่งทำงานบนวินโดวส์ มีความซับซ้อนมากๆ

used multiple zero-day vulnerabilities.

มีการใช้ช่องโหว่หลายช่อง ซึ่งยังไม่มีใครค้นพบมาก่อน

And it seemed to want to do something

และเหมือนว่ามันต้องการทำอะไรสักอย่าง

with these gray boxes, these real-time control systems.

กับกล่องสีเทาเหล่านี้ พวกระบบควบคุมเวลาจริง

So that got our attention,

นั่นคือสิ่งที่เราสังเกตเห็น

and we started a lab project

เราจึงเริ่มการทดลองขึ้น

where we infected our environment with Stuxnet

เราทำให้ระบบของเราติดเชื้อ Stuxnet

and checked this thing out.

เพื่อที่จะดูว่ามันทำงานอย่างไร

And then some very funny things happened.

และแล้วอะไรแปลกๆก็เกิดขึ้น

Stuxnet behaved like a lab rat

Stuxnet ทำตัวเหมือนหนูในห้องทดลอง

that didn't like our cheese --

ที่ไม่ชอบชีสที่เราให้

sniffed, but didn't want to eat.

มันดม แต่ไม่ยอมกิน

Didn't make sense to me.

ตามหลักแล้วมันไม่น่าเป็นเช่นนั้น

And after we experimented with different flavors of cheese,

เราจึงทดลองด้วยชีสหลายๆ แบบ

I realized, well, this is a directed attack.

ผมจึงเข้าใจว่า มันเป็นการโจมตีแบบมุ่งเป้าหมาย

It's completely directed.

มีเป้าหมายของมันเองโดยสิ้นเชิง

The dropper is prowling actively

ตัววางระเบิดจะคอยตรวจตรา

on the gray box

บนกล่องสีเทา

if a specific configuration is found,

เพื่อมองหาองค์ประกอบเฉพาะตัว

and even if the actual program code that it's trying to infect

มันยังมองด้วยว่า โปรแกรมที่มันต้องการแพร่เชื้อใส่

is actually running on that target.

กำลังทำงานอยู่บนเครื่องเป้าหมายหรือเปล่า

And if not, Stuxnet does nothing.

ถ้าคำตอบคือไม่ เจ้า Stuxnet มันก็จะไม่ทำอะไรเลย

So that really got my attention,

นั่นก็เป็นอีกเบาะแสหนึ่งที่เราได้

and we started to work on this

แล้วเราก็เริ่มศึกษามัน

nearly around the clock,

เกือบจะตลอด 24 ชั่วโมงเลยก็ว่าได้

because I thought, "Well, we don't know what the target is.

เพราะผมคิดว่า เรายังไม่รู้ว่ามันต้องการเล่นงานอะไร

It could be, let's say for example,

มันอาจจะเป็น... ยกตัวอย่างนะ

a U.S. power plant,

โรงไฟฟ้าในสหรัฐอเมริกา

or a chemical plant in Germany.

หรือโรงงานเคมีในเยอรมันนีก็เป็นได้

So we better find out what the target is soon."

ดังนั้น เราควรจะหาเป้าหมายของมันให้ได้เร็วที่สุด

So we extracted and decompiled

เราจึงดึงโค๊ดมันออกมา

the attack code,

แล้วพยายามถอดรหัสมัน

and we discovered that it's structured in two digital bombs --

และเราก็ค้นพบว่า มันมีระเบิดดิจิตอลซ่อนอยู่สองลูก

a smaller one and a bigger one.

ลูกเล็กหนึ่ง และลูกใหญ่หนึ่ง

And we also saw that they are very professionally engineered

เราพบด้วยว่า มันเป็นผลงานวิศวรกรรมอย่างมืออาชีพ

by people who obviously had all insider information.

โดยคนที่มีข้อมูลภายในอย่างกระจ่างแจ้ง

They knew all the bits and bites

พวกเขาต้องรู้ทุกกระเบียดนิ้ว

that they had to attack.

ที่เข้าจะต้องโจมตี

They probably even know the shoe size of the operator.

พวกเขาคงจะรู้แม้กระทั่งขนาดรองเท้าของผู้ควบคุมโรงงานด้วยซ้ำ

So they know everything.

พวกเขารู้ทุกอย่าง

And if you have heard that the dropper of Stuxnet

และถ้าคุณได้ยินมาว่าตัววางระเบิดของ Stuxnet

is complex and high-tech,

มีความซับซ้อนสูง และไฮเทคมากๆ

let me tell you this:

ผมบอกได้เลยครับ

the payload is rocket science.

ระเบิดที่มันวางไว้ เป็นวิทยาศาสตร์ระดับไอน์สไตน์เลย

It's way above everything

มันเหนือกว่าทุกสิ่ง

that we have ever seen before.

ที่เราเคยพบเคยเจอ

Here you see a sample of this actual attack code.

นี่คือตัวอย่างของโค๊ดที่ใช้ในการโจมตี

We are talking about --

เรากำลังพูดถึง

around about 15,000 lines of code.

โค๊ดประมาณ 15,000 บรรทัด

Looks pretty much like old-style assembly language.

ดูเหมือนภาษาคอมพิวเตอร์พื้นฐานๆ

And I want to tell you how we were able

ผมจะเล่าให้ฟัง

to make sense out of this code.

ว่าเราตีความโค๊ดเหล่านี้ได้อย่างไร

So what we were looking for is, first of all, system function calls,

สิ่งแรกที่เรามองหา ก็คือการเรียกใช้ฟังค์ชั่นที่มีอยู่แล้วในระบบ

because we know what they do.

เพราะเรารู้อยู่แล้วว่าฟังค์ชั่นเหล่านี้ทำอะไรบ้าง

And then we were looking for timers and data structures

จากนั้นเราก็จะมองหาตัวจับเวลา และโครงสร้างข้อมูล

and trying to relate them to the real world --

และพยายามเชื่อมโยงมันกับโลกภายนอก

to potential real world targets.

เพื่อหาเป้าหมายของมันในโลกภายนอก

So we do need target theories

เราไม่จำเป็นต้องสร้างทฤษฎีของเราขึ้นมา

that we can prove or disprove.

เพื่อพิสูจน์ หรือหักล้างกับความคิดของเรา

In order to get target theories,

ในการที่เราจะหาเป้าหมายที่แท้จริง

we remember

เรารู้แล้วว่า

that it's definitely hardcore sabotage,

มันพยายามจะทำลายบางสิ่งอย่างหนักหน่วง

it must be a high-value target

มันต้องเป็นเป้าหมายที่มีค่าสูง

and it is most likely located in Iran,

และน่าจะอยู่ในอิหร่าน

because that's where most of the infections had been reported.

เพราะรายงานการติดเชื้อส่วนใหญ่ อยู่บริเวณนั้น

Now you don't find several thousand targets in that area.

เราไม่จำเป็นต้องหาเป้าหมายเป็นพันๆ ในบริเวณนั้น

It basically boils down

เรากรองออกมาได้อย่างง่ายดาย

to the Bushehr nuclear power plant

ว่าเป้าหมายคือ โรงไฟฟ้านิวเคลียร์ บูชเชร์

and to the Natanz fuel enrichment plant.

และโรงงานเสริมสมรรถนะเชื้อเพลิง นาทันซ์

So I told my assistant,

ผมจึงบอกผู้ช่วยของผม

"Get me a list of all centrifuge and power plant experts from our client base."

ให้ไปหารายชื่อผู้เชี่ยวชาญด้านโรงไฟฟ้าและระบบหมุนเหวี่ยงทั้งหมดที่เรามี

And I phoned them up and picked their brain

และผมก็โทรหาพวกเขา ขอยืมสมองของพวกเขา

in an effort to match their expertise

เพื่อที่จะจับคู่ความเชี่ยวชาญของพวกเขา

with what we found in code and data.

กับข้อมูล และโค๊ดที่เราค้นพบ

And that worked pretty well.

มันได้ผลใช้ได้เลย

So we were able to associate

เราสามารถเชื่อมโยง

the small digital warhead

ขีปนาวุธดิจิตอลลูกเล็ก

with the rotor control.

กับระบบควบคุมตัวหมุน

The rotor is that moving part within the centrifuge,

ตัวหมุนคือส่วนที่ขยับได้ในเครื่องหมุนเหวี่ยง

that black object that you see.

สีดำที่คุณเห็นนี่แหละครับ

And if you manipulate the speed of this rotor,

และถ้าคุณสามารถเปลี่ยนแปลงความเร็วในการหมุนได้

you are actually able to crack the rotor

คุณก็สามารถทำให้ตัวหมุนแตกร้าวได้

and eventually even have the centrifuge explode.

และทำให้เครื่องหมุนเหวี่ยงระเบิดในที่สุด

What we also saw

สิ่งที่เราค้นพบอีกอย่างคือ

is that the goal of the attack

เป้าหมายในการโจมตี

was really to do it slowly and creepy --

ถูกกำหนดให้กระทำอย่างช้าๆ

obviously in an effort

เพื่อให้วิศวกรซ่อมบำรุง

to drive maintenance engineers crazy,

งงงวยกับสิ่งที่เกิดขึ้น

that they would not be able to figure this out quickly.

และทำให้พวกเขาหาทางแก้ไม่ได้

The big digital warhead -- we had a shot at this

ขีปนาวุธดิจิตอลลูกใหญ่นั้น

by looking very closely

ถ้าสังเกตดู

at data and data structures.

ที่ข้อมูล และโครงสร้างข้อมูลของมัน

So for example, the number 164

ยกตัวอย่างเช่น เลข 164

really stands out in that code;

มันเด่นมากในโค๊ดเหล่านั้น

you can't overlook it.

คุณไม่มีทางมองข้ามมันไปได้

I started to research scientific literature

ผมจึงค้นคว้างานวิจัยทางวิทยาศาสตร์ต่างๆ

on how these centrifuges

ที่พูดถึงกระบวนการสร้างเครื่องหมุนเหวี่ยง

are actually built in Natanz

ที่ใช้ในโรงงานที่นาทันซ์

and found they are structured

และผมก็พบว่ามันมีโครงสร้าง

in what is called a cascade,

ที่เรียกว่าโครงสร้างแบบหลั่นชั้น

and each cascade holds 164 centrifuges.

ในแต่ละชั้น จะมีเครื่องหมุนเหวี่ยง 164 ตัว

So that made sense, that was a match.

มันก็เลยกระจ่าง เราพบคู่ของมันแล้ว

And it even got better.

ยังมีอีกนะ

These centrifuges in Iran

เครื่องหมุนเหวี่ยงในอิหร่านพวกนี้

are subdivided into 15, what is called, stages.

ถูกแบ่งออกเป็น 15 ระดับ

And guess what we found in the attack code?

ทายดูสิ ว่าเราเจออะไรในโค๊ด

An almost identical structure.

โครงสร้างที่เกือบเรียกได้ว่า เหมือนกันเป๊ะๆ

So again, that was a real good match.

เราก็ได้ข้อสันนิษฐานอีกคู่หนึ่งแล้ว

And this gave us very high confidence for what we were looking at.

ซึ่งมันทำให้เรามั่นใจมากๆ ต่อการค้นพบของเรา

Now don't get me wrong here, it didn't go like this.

อย่าเพิ่งเข้าใจผมผิดนะ มันไม่ได้ง่ายขนาดนั้น

These results have been obtained

กว่าจะเป็นผลลัพธ์เหล่านี้

over several weeks of really hard labor.

เราใช้เวลากับมันอย่างหนักหน่วงอยู่หลายอาทิตย์

And we often went into just a dead end

และเราก็เจอทางตันอยู่บ่อยๆ

and had to recover.

แล้วก็ต้องถอยออกมา

Anyway, so we figured out

อย่างไรก็ตาม สุดท้ายเราก็พบว่า

that both digital warheads

ขีปนาวุธดิจิตอลทั้งสองนั้น

were actually aiming at one and the same target,

จริงๆแล้วโจมตีเป้าหมายเดียวกัน

but from different angles.

แต่ทำงานจากคนละมุม

The small warhead is taking one cascade,

ขีปนาวุธลูกเล็กเล็งไปที่เครื่องหมุนเหวี่ยงหนึ่งชั้น

and spinning up the rotors and slowing them down,

คอยหมุนมันให้เร็วขึ้น และช้าลง

and the big warhead

ในขณะที่ขีปนาวุธลูกใหญ่

is talking to six cascades

ก็โจมตีเครื่องหมุนเหวี่ยงถึง 6 ชั้น

and manipulating valves.

และคอยเปลี่ยนแปลงวาล์วเรื่อยๆ

So in all, we are very confident

เพราะฉะนั้น สรุปรวมแล้ว เรามั่นใจมาก

that we have actually determined what the target is.

ว่าเราพบเป้าหมายที่มันจ้องเล่นงานแล้ว

It is Natanz, and it is only Natanz.

มันคือนาทันซ์ และนาทันซ์อย่างเดียว

So we don't have to worry

ดังนั้นเราจึงไม่ต้องกลัว

that other targets

ว่าเป้าหมายอื่นๆ

might be hit by Stuxnet.

จะโดนโจมตีโดย Stuxnet

Here's some very cool stuff that we saw --

นี่คือสิ่งที่พวกเราเจอ

really knocked my socks off.

ผมว่ามันเจ๋งมากๆ

Down there is the gray box,

นี่คือกล่องเทาที่ผมพูดถึง

and on the top you see the centrifuges.

และบนนั้น ก็คือเครื่องหมุนเหวี่ยง

Now what this thing does

สิ่งที่วายร้ายตัวนี้ทำ

is it intercepts the input values from sensors --

ก็คือ คอยดักจับข้อมูลจากเซ็นเซอร์ทั้งหลาย

so for example, from pressure sensors

ยกตัวอย่าง เซ็นเซอร์วัดความดัน

and vibration sensors --

และเซ็นเซอร์วันแรงสั่นสะเทือน

and it provides legitimate program code,

และป้อนข้อมูลให้กับโค๊ดอื่นๆ

which is still running during the attack,

ที่ยังทำงานปกติอยู่ระหว่างการโจมตี

with fake input data.

ด้วยข้อมูลเท็จ

And as a matter of fact, this fake input data

ซึ่งข้อมูลเท็จเหล่านี้

is actually prerecorded by Stuxnet.

ถูกบันทึกไว้ก่อนหน้าโดยตัว Stuxnet เอง

So it's just like from the Hollywood movies

มันเหมือนหนังฮอลลีวู๊ดเลยล่ะ

where during the heist,

ที่ระหว่างการปล้น

the observation camera is fed with prerecorded video.

กล้องวงจรปิดถูกป้อนด้วยวีดีโอที่ถูกอัดมาก่อนหน้าการปล้น

That's cool, huh?

เจ๋งมั้ยล่ะ?

The idea here is obviously

แผนการนี้ แน่นอนว่า

not only to fool the operators in the control room.

ไม่ใช่แค่เพื่อลวงผู้ปฏิบัติงานในห้องควบคุม

It actually is much more dangerous and aggressive.

จริงๆแล้วมันน่ากลัวกว่านั้นอีก

The idea

แผนการที่จริงก็คือ

is to circumvent a digital safety system.

เพื่อหลีกเลี่ยงระบบป้องกันแบบดิจิตอล

We need digital safety systems

เราจำเป็นต้องมีระบบดิจิตอลพวกนี้

where a human operator could not act quick enough.

ในสถานการณ์ที่มนุษย์ไม่สามารถตอบสนองได้เร็วพอ

So for example, in a power plant,

ยกตัวอย่าง ในโรงงานไฟฟ้า

when your big steam turbine gets too over speed,

เวลาที่ใบพัดปั่นไฟหมุนเร็วเกินไป

you must open relief valves within a millisecond.

คุณจะต้องเปิดวาล์วระบายภายในหนึ่งมิลลิวินาที

Obviously, this cannot be done by a human operator.

แน่นอนว่ามนุษย์ไม่สามารถทำได้ทัน

So this is where we need digital safety systems.

และนั่นคือเหตุผลที่เราต้องมีระบบดิจิตอลคอยป้องกัน

And when they are compromised,

และเมื่อระบบเหล่านี้ถูกคุกคาม

then real bad things can happen.

นั่นแหละเวลาที่ปัญหาใหญ่จะเกิดขึ้น

Your plant can blow up.

โรงไฟฟ้าของคุณอาจระเบิดเป็นจุลได้

And neither your operators nor your safety system will notice it.

โดยที่ผู้ควบคุมและระบบควบคุมไม่รู้เรื่องเลย

That's scary.

มันน่ากลัวมาก

But it gets worse.

แต่ยังน่ากลัวไม่พอ

And this is very important, what I'm going to say.

สิ่งที่ผมจะพูดต่อไปนี้ มันสำคัญมากๆ

Think about this:

ลองนึกภาพตามนะครับ

this attack is generic.

ถ้าการโจมตีนี้เป็นการโจมตีทั่วไป

It doesn't have anything to do, in specifics,

ไม่ได้เจาะจงว่า

with centrifuges,

จะต้องเป็นเครื่องหมุนเหวี่ยง

with uranium enrichment.

ที่ทำหน้าที่เสริมสมรรถนะยูเรเนียม

So it would work as well, for example,

มันก็สามารถมีผลได้อย่างเท่าเทียมกัน

in a power plant

ในโรงไฟฟ้า

or in an automobile factory.

หรือโรงงานผลิตรถยนต์

It is generic.

มันจะโจมตีกวาดไปทั่วก็ได้

And you don't have -- as an attacker --

และในฐานะผู้โจมตี

you don't have to deliver this payload

คุณไม่ต้องแพร่ขีปนาวุธเหล่านี้

by a USB stick,

ด้วยแท่ง USB หรอก

as we saw it in the case of Stuxnet.

ดังที่เห็นจาก Stuxnet

You could also use conventional worm technology for spreading.

คุณสามารถใช้หนอนคอมพิวเตอร์ทั่วๆไปในการแพร่เชื้อ

Just spread it as wide as possible.

ถ้ามันถูกกำหนดให้แพร่ให้ไกลที่สุด

And if you do that,

ถ้าคุณทำมันขึ้นมา

what you end up with

สิ่งที่คุณได้ก็คือ อาวุธดิจิตอล

is a cyber weapon of mass destruction.

ที่มีอานุภาพทำลายล้างสูง เสมือนระเบิดนิวเคลียร์

That's the consequence

และนั่นคือผลกรรม

that we have to face.

ที่เราจะต้องเจอ

So unfortunately,

โชคร้ายนะครับ

the biggest number of targets for such attacks

ที่การโจมตีส่วนมาก

are not in the Middle East.

ไม่ได้โจมตีตะวันออกกลาง

They're in the United States and Europe and in Japan.

หากแต่เป็นสหรัฐอเมริกา ยุโรป และญี่ปุ่น

So all of the green areas,

พื้นที่สีเขียวเหล่านี้

these are your target-rich environments.

นั่นแหละครับ เป้าหมายชั้นดี

We have to face the consequences,

เราจะต้องเตรียมพร้อมรับมือกับสิ่งเหล่านี้

and we better start to prepare right now.

แล้วเราควรจะเริ่ม ตั้งแต่ตอนนี้เลย

Thanks.

ขอบคุณครับ

(Applause)

(เสียงปรบมือ)

Chris Anderson: I've got a question.

คริส แอนเดอร์สัน: ผมมีคำถามครับ

Ralph, it's been quite widely reported

ราล์ฟ, รายงานส่วนใหญ่กล่าวว่า

that people assume that Mossad

หน่วยข่าวกรองของอิสราเอล

is the main entity behind this.

อยู่เบื้องหลังแผนการนี้

Is that your opinion?

คุณคิดอย่างนั้นหรือเปล่า?

Ralph Langner: Okay, you really want to hear that?

ราล์ฟ แลงก์เนอร์: โอเค คุณอยากรู้จริงๆใช่ไหม

Yeah. Okay.

โอเค ได้

My opinion is that the Mossad is involved,

ความคิดของผมคือ หน่วยข่าวกรองของอิสราเอลมีส่วนเกี่ยวข้อง

but that the leading force is not Israel.

แต่หัวเรี่ยวหัวแรงสำคัญไม่ใช่อิสราเอล

So the leading force behind that

ผู้บงการแผนการนี้

is the cyber superpower.

เป็นมหาอำนาจทางไซเบอร์

There is only one,

ซึ่งมีอยู่เพียงหนึ่งเดียว

and that's the United States --

นั่นคือ สหรัฐอเมริกา

fortunately, fortunately.

ซึ่งถือว่าโชคดีมากนะครับ

Because otherwise,

เพราะมิฉะนั้น

our problems would even be bigger.

ปัญหามันจะใหญ่กว่านี้แน่ๆ

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

คริส แอนเดอร์สัน: ขอบคุณมากครับ คุณเพิ่งทำให้พวกเรากลัวสุดขีดไปเลย ขอบคุณครับ

(Applause)

(เสียงปรบมือ)