Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ralph Langner: Stuxnet'i bozmak, 21.yy siber silahı

Çeviri: Taner Tarlakazan Gözden geçirme: Meric Aydonat

The idea behind the Stuxnet computer worm

Stuxnet bilgisayar solucanının arkasındaki

is actually quite simple.

fikir aslında oldukça basit.

We don't want Iran to get the bomb.

İran'ın bomba elde etmesini istemiyoruz.

Their major asset for developing nuclear weapons

Onların nükleer silah geliştirmeklerinin ana aracı

is the Natanz uranium enrichment facility.

Natanz uranyum zenginleştirme tesisi.

The gray boxes that you see,

Bu gördüğünüz gri kutular,

these are real-time control systems.

gerçek zamanlı kontrol sistemleri.

Now if we manage to compromise these systems

Eğer çalışma hızını ve vanaları

that control drive speeds and valves,

kontrol eden bu sistemleri etkisiz hale getirebilirsek,

we can actually cause a lot of problems

santrifüjde birçok probleme

with the centrifuge.

sebep oluruz.

The gray boxes don't run Windows software;

Gri kutular Windows yazılımı kullanmıyorlar;

they are a completely different technology.

onlar tamamen farklı bir teknoloji.

But if we manage

Ama bu gri kutuyu

to place a good Windows virus

kullanan mühendisin bilgisayarına

on a notebook

iyi bir Windows virüsü

that is used by a maintenance engineer

yüklemeyi başarırsak

to configure this gray box,

o zaman iş üzerindeyiz,

then we are in business.

demektir.

And this is the plot behind Stuxnet.

Stuxnet'in ardındaki senaryo bu.

So we start with a Windows dropper.

Yani Windows'u düşürecek bir sistem ile başlıyoruz.

The payload goes onto the gray box,

Ana yük gri kutuya gidiyor,

damages the centrifuge,

santrifüje zarar veriyor,

and the Iranian nuclear program is delayed --

ve iran nükleer programı gecikti --

mission accomplished.

görev tamamlandı.

That's easy, huh?

Bu kolay, değil mi?

I want to tell you how we found that out.

Size bunu nasıl başardığımızı anlatmak istiyorum.

When we started our research on Stuxnet six months ago,

Altı ay önce Stuxnet üzerinde araştırmamıza başladığımızda,

it was completely unknown what the purpose of this thing was.

bu şeyin amacının ne olduğu tamamen bilinmiyordu.

The only thing that was known

Bilinen tek şey,

is it's very, very complex on the Windows part, the dropper part,

Windows kısmının, düşürücü kısmının çok karışık olduğuydu,

used multiple zero-day vulnerabilities.

çoklu sıfır gün zayıf noktaları kullanıldı.

And it seemed to want to do something

Ve bu gri kutular, bu gerçek zamanlı kontrol sistemleri ile

with these gray boxes, these real-time control systems.

birşeyler yapmak istiyormuş gibi gözüyordu.

So that got our attention,

Bu bizim dikkatimizi çekti,

and we started a lab project

ve bir laboratuvar projesi başlattık

where we infected our environment with Stuxnet

Çevremizi Stuxnet ile kapladık

and checked this thing out.

ve bu şeyi denedik.

And then some very funny things happened.

Ve sonra çok komik şeyler oldu.

Stuxnet behaved like a lab rat

Stuxnet bir deney faresi gibi davrandı

that didn't like our cheese --

bizim peynirimiz sevmedi --

sniffed, but didn't want to eat.

kokladı, ama yemek istemedi.

Didn't make sense to me.

Bana anlamlı gelmedi.

And after we experimented with different flavors of cheese,

Ve farklı tatlar içeren peynirlerle yaptığımız deneylerden sonra,

I realized, well, this is a directed attack.

farkettim ki, bu direkt bir atak.

It's completely directed.

Tamamen yönlendirilmiş.

The dropper is prowling actively

Düşürücü, uygun ayarlama bulundugunda

on the gray box

virüsü yaymaya çalışan asıl program

if a specific configuration is found,

görevini yapsa dahi

and even if the actual program code that it's trying to infect

gri kutu üzerinde sinsice

is actually running on that target.

dolanıyor.

And if not, Stuxnet does nothing.

Ve euygun ayarlama bulunmadığında, Stuxnet birşey yapmıyor.

So that really got my attention,

Bu benim dikkatimi çekti,

and we started to work on this

Ve tam zamanlı olarak bunun

nearly around the clock,

üzerinde çalışmaya başladık,

because I thought, "Well, we don't know what the target is.

çünkü düşündüm ki hedef ne onu bilmiyoruz.

It could be, let's say for example,

Hedef diyelim ki, ABD'de güç santrali,

a U.S. power plant,

ya da Almanya'da

or a chemical plant in Germany.

kimyasal bir tesis olabilir.

So we better find out what the target is soon."

Öncelikle hedef ne onu bulmalıyız.

So we extracted and decompiled

Atak kodunu çıkardık ve tersten

the attack code,

kodladık ve keşfettik ki

and we discovered that it's structured in two digital bombs --

iki dijital bomba üzerine inşa edilmiş --

a smaller one and a bigger one.

bir büyük bir de küçük.

And we also saw that they are very professionally engineered

Aynı zamanda gördük ki, içeriden alınmış her türlü

by people who obviously had all insider information.

bilgiye sahip oldukça profosyonel mühendisler çalışmışlar.

They knew all the bits and bites

Saldıracakları şeyin içini dışını

that they had to attack.

yönlerini biliyorlardı.

They probably even know the shoe size of the operator.

Büyük ihtimalle işi yürütenin ayakkabı numarasını dahi biliyorlardı.

So they know everything.

Yani herşeyi biliyorlardı.

And if you have heard that the dropper of Stuxnet

Ve Stuxnet'in düşürücüsünün karışık ve

is complex and high-tech,

yüksek teknoloji ürünü olduğunu

let me tell you this:

düşünüyorsanız size şunu söyleyeyim:

the payload is rocket science.

iş yükü çok karmaşıktı.

It's way above everything

Daha önce gördüğümüz herşeyden

that we have ever seen before.

daha zordu.

Here you see a sample of this actual attack code.

Asıl saldırı kodunun bir örneğini görüyorsunuz.

We are talking about --

15 bin satırlık bir kaynak

around about 15,000 lines of code.

kodundan bahsediyoruz.

Looks pretty much like old-style assembly language.

Oldukça eski tip birleştirici diline benziyor.

And I want to tell you how we were able

Ve size bu kodlardan nasıl bir

to make sense out of this code.

anlam çıkardığımızı anlatmak istiyorum.

So what we were looking for is, first of all, system function calls,

Öncelikle baktığımız şey sistem fonksiyon aramaları,

because we know what they do.

çünkü ne işe yaradığını biliyoruz.

And then we were looking for timers and data structures

Ve sonrasında zamanlayıcılar ve veri yapılarına bakıyorduk

and trying to relate them to the real world --

ve onları gerçek dünya ile ilişkilendirmeye çalıştırıyorduk --

to potential real world targets.

potansiyel gerçek hedeflere.

So we do need target theories

Bu nedenle kanıtlayacağımız veya

that we can prove or disprove.

çürütebileceğimiz hedef teorilerine ihtiyacımız var.

In order to get target theories,

Hefef teorilerini elde etmek için,

we remember

hatırlayalım bu,

that it's definitely hardcore sabotage,

çok ağır sabotaj,

it must be a high-value target

çok yüksek değerli bir hedef olmalı,

and it is most likely located in Iran,

ve büyük olasılıkla İran'da konuşlanmalı,

because that's where most of the infections had been reported.

çünkü orası en fazla bulaşmanın raporlandığı yer.

Now you don't find several thousand targets in that area.

Birkaç bin tane hedef bulmazsınız o bölgede.

It basically boils down

Basitçe Bushehr nükleer güç tesisi

to the Bushehr nuclear power plant

ve Natanz yakıt zenginleştirme

and to the Natanz fuel enrichment plant.

tesisi arasında kaldık.

So I told my assistant,

Asistanıma,

"Get me a list of all centrifuge and power plant experts from our client base."

''Müşterilerimizden bütün santrifüf ve güç santrali uzmanlarının bir listesini bana getir.''

And I phoned them up and picked their brain

Ve onlara telefon açtım ve bulduğumuz kod ve

in an effort to match their expertise

veri ile onların uzmanlığını bir araya getirmek

with what we found in code and data.

için onları ikna ettim.

And that worked pretty well.

Ve bu gayet iyi işledi.

So we were able to associate

Küçük dijital nükleer başlığı

the small digital warhead

çark kontrolü ile

with the rotor control.

ilişkilendirebildik.

The rotor is that moving part within the centrifuge,

Çark, santrifüjün içerisindeki hareket

that black object that you see.

eden siyah parça.

And if you manipulate the speed of this rotor,

Ve eğer bu çarkın hızında oynama yapabilirseniz,

you are actually able to crack the rotor

çarkı bozabilirsiniz ve eninde sonunda

and eventually even have the centrifuge explode.

santrifüjü patlatabilirsiniz.

What we also saw

Gördüğümüz başka bir

is that the goal of the attack

şey de saldırının amacı yavaş

was really to do it slowly and creepy --

ve garip bir biçimde olmasıydı --

obviously in an effort

bakım mühendislerini delirtme

to drive maintenance engineers crazy,

amacı açıkca görülüyordu,

that they would not be able to figure this out quickly.

sorunu çabuk çözemeyeceklerdi.

The big digital warhead -- we had a shot at this

Büyük dijital savaş başlığı --

by looking very closely

veri ve veri yapılarına

at data and data structures.

yakından bakma sonucu bir şansımız vardı.

So for example, the number 164

Örnek olarak, 164 numara

really stands out in that code;

bu koda karşılık geliyor;

you can't overlook it.

gözden kaçıramazsınız.

I started to research scientific literature

Bilimsel literatürü taramaya başladım

on how these centrifuges

bu santrifüjler Natanz'da

are actually built in Natanz

gerçekte nasıl üretildigini

and found they are structured

ve kademe olarak isimlendirilen

in what is called a cascade,

yapıda nasıl bulunduğunu,

and each cascade holds 164 centrifuges.

ve her bir kademe 164 santrifuju taşıyordu araştırdım.

So that made sense, that was a match.

Ve bu anlamlı geldi, bir eşleşmeydi.

And it even got better.

Ve sonra daha da iyiye gitti.

These centrifuges in Iran

İran'daki bu santrifüjler 15 tane

are subdivided into 15, what is called, stages.

bölüm adı verilen yapılara sınıflandırılıyor.

And guess what we found in the attack code?

Ve tahmin edin saldırı kodunda ne bulduk?

An almost identical structure.

Neredeyse eş bir yapı.

So again, that was a real good match.

Yani yine bu iyi bir eşleşmeydi.

And this gave us very high confidence for what we were looking at.

Ve bu bize ilgilendiğimiz şey ile ilgili yüksek bir güven aşıladı.

Now don't get me wrong here, it didn't go like this.

Şimdi burayı yanlış anlatmayayım, o şekilde gitmedi.

These results have been obtained

Bu sonuçlar birkaç senelik çok sıkı

over several weeks of really hard labor.

çalışmanın ardından elde edildi.

And we often went into just a dead end

Ve çoğunlukla çıkmaza giriyorduk

and had to recover.

yeniden başlamamız gerekiyordu.

Anyway, so we figured out

Neyse, anladık ki

that both digital warheads

her iki dijital savaş başlığı da

were actually aiming at one and the same target,

tek ve aynı hedefe odaklanmıştı,

but from different angles.

ama farklı açılardan.

The small warhead is taking one cascade,

Küçük savaş başlığı bir kademeyi alıyordu,

and spinning up the rotors and slowing them down,

ve rotorları döndürüp onları yavaşlatıyordu,

and the big warhead

büyük savaş başlığı

is talking to six cascades

altı kademeyi alıyordu

and manipulating valves.

ve vanaları manipüle ediyordu.

So in all, we are very confident

Yani, hedefin ne olduğunu bulduğumuz,

that we have actually determined what the target is.

konusunda oldukça kendimize güveniyorduk.

It is Natanz, and it is only Natanz.

Hedef Natanz ve sadece Natanz.

So we don't have to worry

Yani Stuxnet tarafından

that other targets

vurulma olasılığı olan

might be hit by Stuxnet.

başka hedefler için endişe etmemize gerek yoktu.

Here's some very cool stuff that we saw --

Burada gördüğümüz beni çok etkileyen

really knocked my socks off.

bazı şeyler var.

Down there is the gray box,

Aşağıda bu gri kutu,

and on the top you see the centrifuges.

ve onun üzerinde santrifüjler var.

Now what this thing does

Şimdi bu şeyin yaptığı

is it intercepts the input values from sensors --

sensörden gelen giriş verisini yakalamak --

so for example, from pressure sensors

mesela basınç sensöründen ve

and vibration sensors --

titreşim sensöründen --

and it provides legitimate program code,

ve geçerli kodu sağlamak,

which is still running during the attack,

ki o da saldırı sırasında sahte giriş verisi ile

with fake input data.

hala çalışıyor.

And as a matter of fact, this fake input data

Ve sonuç olarak, bu sahte giriş verisi

is actually prerecorded by Stuxnet.

daha önceden Stuxnet tarafından kaydedilmişti.

So it's just like from the Hollywood movies

Yani tıpkı Hollywood filmlerindeki gibi

where during the heist,

soygun sırasında,

the observation camera is fed with prerecorded video.

gözlem kamerası daha önceden kaydedilmiş video ile kapatılıyor.

That's cool, huh?

Bu havalı değil mi?

The idea here is obviously

Buradaki fikir açık olarak

not only to fool the operators in the control room.

sadece kontrol odasındaki operatörleri kandırmak değil.

It actually is much more dangerous and aggressive.

Aslında çok daha tehlikeli ve saldırgan.

The idea

Fikir dijital güvenlik

is to circumvent a digital safety system.

sistemine müdahele edip engellemek.

We need digital safety systems

İnsan operatörlerin yeteri kadar çabuk davranamayacakları

where a human operator could not act quick enough.

noktalarda dijital güvenlik sistemlerine ihtiyacımız var.

So for example, in a power plant,

Mesela, bir güç santralinde,

when your big steam turbine gets too over speed,

buhar türbininiz aşırı hızlandığı zaman,

you must open relief valves within a millisecond.

tahliye vanalarını milisaniyeler içinde açmalısınız.

Obviously, this cannot be done by a human operator.

Açıkca, bu insan tarafından yapılamaz.

So this is where we need digital safety systems.

Bu yüzden dijital güvenlik sistemlerine ihtiyacımız var.

And when they are compromised,

Ve gözardı edildikleri zaman,

then real bad things can happen.

sonrasında çok fena şeyler olabilir.

Your plant can blow up.

Santraliniz patlayacak hale gelebilir.

And neither your operators nor your safety system will notice it.

Ve operatörleriniz ya da güvenlik sisteminiz bunu anlayamayabilir.

That's scary.

Bu korkutucu.

But it gets worse.

Ama daha da kötüleşiyor.

And this is very important, what I'm going to say.

Ve bu söyleceğim şey çok önemli.

Think about this:

Bunu bir düşünün.

this attack is generic.

Bu saldırı genel.

It doesn't have anything to do, in specifics,

Spesifik olarak santrifüjler ile

with centrifuges,

ya da uranyum zenginleştirmesi

with uranium enrichment.

ile alakalı değil.

So it would work as well, for example,

Yani, örnek olarak bir güç santralinde de

in a power plant

gayet iyi çalışabilir

or in an automobile factory.

ya da bir otomobil fabrikasında.

It is generic.

Bu genel birşey.

And you don't have -- as an attacker --

Ve saldırgan olarak

you don't have to deliver this payload

bu iş yükünü USB bellek ile

by a USB stick,

vermek zorunda değilsiniz

as we saw it in the case of Stuxnet.

Stuxnet olayında gördüğümüz gibi.

You could also use conventional worm technology for spreading.

Aynı zamanda yayılma için geleneksel solucan teknolojisini kullanabilirsiniz.

Just spread it as wide as possible.

Yayabildiğin kadar yay.

And if you do that,

Ve bunu yaparsanız,

what you end up with

sonunda siber bir

is a cyber weapon of mass destruction.

kitle imha silahı elde edersiniz.

That's the consequence

Bu yüzleşmek zorunda olduğumuz

that we have to face.

bir sonuç.

So unfortunately,

Yani maalesef,

the biggest number of targets for such attacks

bu tür saldırıların en yoğun yaşandığı

are not in the Middle East.

yer Orta Doğu değil.

They're in the United States and Europe and in Japan.

Amerika Birleşik Devletleri, Avrupa ve Japonya.

So all of the green areas,

Bütün bu yeşil alanlar,

these are your target-rich environments.

hedef bakımından zengin çevreler.

We have to face the consequences,

Sonuçlar ile yüzleşmeliyiz,

and we better start to prepare right now.

ve hazırlanmaya başlamalıyız.

Thanks.

Teşekkürler.

(Applause)

(Alkış)

Chris Anderson: I've got a question.

Chris Anderson: Bir sorum var.

Ralph, it's been quite widely reported

Ralph, çoğu yerde raporlanandığı

that people assume that Mossad

üzere insanlar bunun asıl sorumlusunun

is the main entity behind this.

Mossad olduğunu düşünüyor.

Is that your opinion?

Sen böyle mi düşünüyorsun?

Ralph Langner: Okay, you really want to hear that?

Ralph Langler: Tamam, bunu gerçekten duymak istiyor musun?

Yeah. Okay.

Evet. Tamam,

My opinion is that the Mossad is involved,

Bence Mossad işin içinde,

but that the leading force is not Israel.

ama başı çeken kuvvet İsrail değil.

So the leading force behind that

Bunun arkasındaki asıl güç

is the cyber superpower.

siber süpergüç.

There is only one,

Sadece bir tane var,

and that's the United States --

ve bu Amerika Birleşik Devletleri --

fortunately, fortunately.

çok şükür ki.

Because otherwise,

Çünkü diğer türlü,

our problems would even be bigger.

problemlerimiz daha da büyük olurdu.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Bizi bu kadar korkuttuğun için teşekkürler.Teşekkürler Ralph.

(Applause)

(Alkış)