Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Перекладач: Sergii Petrenko Утверджено: Oleksii Molchanovskyi

The idea behind the Stuxnet computer worm

Ідея, яка лежить в основі комп'ютерного черв'яка Стакснет,

is actually quite simple.

насправді доволі проста.

We don't want Iran to get the bomb.

Ми не хочемо, щоб Іран отримав бомбу.

Their major asset for developing nuclear weapons

Їхній головний об'єкт з розробки ядерної зброї --

is the Natanz uranium enrichment facility.

це завод зі збагачення урану в Натанзі.

The gray boxes that you see,

Сірі коробки, які ви бачите, --

these are real-time control systems.

це системи контролю в реальному часі.

Now if we manage to compromise these systems

Тепер, якщо нам вдасться зламати ці системи,

that control drive speeds and valves,

які управляють швидкостями обертання і клапанами,

we can actually cause a lot of problems

ми насправді завдамо багато проблем

with the centrifuge.

центрифузі.

The gray boxes don't run Windows software;

Сірі коробки працюють не під програмним забезпеченням Windows.

they are a completely different technology.

Це зовсім інша технологія.

But if we manage

Але якщо нам вдасться

to place a good Windows virus

розмістити хороший Windows вірус

on a notebook

на ноутбуці,

that is used by a maintenance engineer

який використовується інженером технічного обслуговування

to configure this gray box,

для налаштування цієї сірої коробки,

then we are in business.

тоді ми в справі.

And this is the plot behind Stuxnet.

За таким сценарієм працює Стакснет.

So we start with a Windows dropper.

І так, ми починаємо із закидання вірусу в Windows.

The payload goes onto the gray box,

Вірус потрапляє в сіру коробку,

damages the centrifuge,

завдає шкоди центрифузі,

and the Iranian nuclear program is delayed --

і іранська ядерна програма відкладається --

mission accomplished.

місія виконана.

That's easy, huh?

Це просто, чи не так?

I want to tell you how we found that out.

Я хочу розповісти вам як ми до цього дійшли.

When we started our research on Stuxnet six months ago,

Коли ми почали досліджувати Стакснет шість місяців тому,

it was completely unknown what the purpose of this thing was.

було абсолютно невідомо для чого потрібна ця річ.

The only thing that was known

Єдине, що було зрозуміло, це те,

is it's very, very complex on the Windows part, the dropper part,

що її Windows компонента, яка закидується на ноутбук, дуже і дуже складна,

used multiple zero-day vulnerabilities.

і використовує до цих пір декілька невідомих вразливостей.

And it seemed to want to do something

Здається, вона хоче зробити щось

with these gray boxes, these real-time control systems.

з цими сірими коробками, цими системами контролю в реальному часі.

So that got our attention,

Це привернуло нашу увагу

and we started a lab project

і ми почали лабораторний проект,

where we infected our environment with Stuxnet

в якому ми заражали наше обладнання Стакснетом

and checked this thing out.

і перевіряли наслідки.

And then some very funny things happened.

А потім сталися деякі доволі смішні речі.

Stuxnet behaved like a lab rat

Стакснет поводив себе як лабораторний щур,

that didn't like our cheese --

якому не подобається наш сир --

sniffed, but didn't want to eat.

принюхався, але не хотів їсти.

Didn't make sense to me.

Ми нічого не розуміли.

And after we experimented with different flavors of cheese,

І після того, як ми поекспериментували з різними ароматами сиру,

I realized, well, this is a directed attack.

я зрозумів, що це спрямована атака.

It's completely directed.

Вона повністю скерована.

The dropper is prowling actively

Впроваджена програма активно досліджує

on the gray box

сіру коробку,

if a specific configuration is found,

чи знайдені спеціальні налаштування,

and even if the actual program code that it's trying to infect

і, навіть, чи запущена на цій машині програма,

is actually running on that target.

яку вона намагається заразити.

And if not, Stuxnet does nothing.

І якщо ні, то Стакснет нічого не робить.

So that really got my attention,

Це дійсно привернуло мою увагу

and we started to work on this

і ми почали працювати над цим

nearly around the clock,

майже цілодобово,

because I thought, "Well, we don't know what the target is.

тому що я розумів, що ми не знаємо що це за мета.

It could be, let's say for example,

Це могла бути, наприклад,

a U.S. power plant,

американська електростанція

or a chemical plant in Germany.

або хімічний завод в Німеччині.

So we better find out what the target is soon."

Тому нам необхідно якомога швидше відшукати цю мету.

So we extracted and decompiled

Ми взяли і декомпілювали

the attack code,

атакуючий код,

and we discovered that it's structured in two digital bombs --

і ми виявили, що він являє собою дві цифрові бомби --

a smaller one and a bigger one.

меншу й більшу.

And we also saw that they are very professionally engineered

Ми також побачили, що вони зроблені дуже професійно

by people who obviously had all insider information.

людьми, які очевидно володіли всією внутрішньою інформацією.

They knew all the bits and bites

Вони знали всі біти та байти,

that they had to attack.

які їм потрібно було атакувати.

They probably even know the shoe size of the operator.

Вони ймовірно навіть знали розмір взуття оператора.

So they know everything.

Таким чином, їм було відомо все.

And if you have heard that the dropper of Stuxnet

І якщо ви почули, що програма Стакснет

is complex and high-tech,

складна і високотехнологічна,

let me tell you this:

дозвольте мені сказати ось що:

the payload is rocket science.

це як ракетобудування.

It's way above everything

Це крутіше за все,

that we have ever seen before.

що нам доводилося бачити до цього.

Here you see a sample of this actual attack code.

Ось тут ви бачите приклад цього реально атакуючого коду.

We are talking about --

Ми говоримо про

around about 15,000 lines of code.

приблизно 15,000 рядків коду.

Looks pretty much like old-style assembly language.

Виглядає дуже схожим на старий-добрий код асемблеру.

And I want to tell you how we were able

І я хочу розповісти вам, як нам вдалося

to make sense out of this code.

розібратися в цьому коді.

So what we were looking for is, first of all, system function calls,

Перше, на що ми дивилися, це виклики системних функцій,

because we know what they do.

тому що ми знали, що вони роблять.

And then we were looking for timers and data structures

І потім ми дивилися на таймери і структури даних

and trying to relate them to the real world --

і намагалися пов'язати їх з реальним світом --

to potential real world targets.

потенційними мішенями в реальному світі.

So we do need target theories

Нам потрібні гіпотези про реальні мішені,

that we can prove or disprove.

які б ми могли довести або відхилити.

In order to get target theories,

Щоб сформувати такі гіпотези,

we remember

ми згадали,

that it's definitely hardcore sabotage,

що це за означенням справжній саботаж,

it must be a high-value target

тому ціль повинна мати велику цінність

and it is most likely located in Iran,

і скоріше за все вона знаходиться в Ірані,

because that's where most of the infections had been reported.

тому що там була виявлена найбільша кількість заражень.

Now you don't find several thousand targets in that area.

І ви не знайдете там декілька тисяч потенційних об'єктів.

It basically boils down

В кінці-кінців все зводиться

to the Bushehr nuclear power plant

до атомної електростанції в Бушері

and to the Natanz fuel enrichment plant.

та до заводу по збагаченню урану в Натанзі.

So I told my assistant,

Тому я сказав своєму асистенту:

"Get me a list of all centrifuge and power plant experts from our client base."

"Дай мені список всіх центрифуг і спеціалістів по електростанціям з нашої клієнтської бази."

And I phoned them up and picked their brain

Я обдзвонив їх усіх і використав їх мозок

in an effort to match their expertise

в зусиллях співставити їх досвід

with what we found in code and data.

з тим, що ми знайшли в коді та даних.

And that worked pretty well.

І це чудово спрацювало.

So we were able to associate

Ми змогли співставити

the small digital warhead

невелику цифрову боєголовку

with the rotor control.

з управлінням ротора.

The rotor is that moving part within the centrifuge,

Ротор -- це рухома частина всередині центрифуги,

that black object that you see.

той чорний об'єкт, що ви бачите.

And if you manipulate the speed of this rotor,

І якщо ви управляєте швидкістю цього ротора,

you are actually able to crack the rotor

ви насправді можете його зламати

and eventually even have the centrifuge explode.

і в результаті навіть підірвати центрифугу.

What we also saw

Що ми також побачили це те,

is that the goal of the attack

що мета атаки

was really to do it slowly and creepy --

була зробити це повільно і акуратно --

obviously in an effort

очевидно зі спробою

to drive maintenance engineers crazy,

довести до божевілля інженерів обслуги,

that they would not be able to figure this out quickly.

щоб вони не змогли швидко полагодити це.

The big digital warhead -- we had a shot at this

Велика цифрова боєголовка -- ми зрозуміли для чого вона,

by looking very closely

вивчаючи ретельніше

at data and data structures.

дані і структури даних.

So for example, the number 164

Наприклад, число 164

really stands out in that code;

виділяється в цьому коді;

you can't overlook it.

її складно не помітити.

I started to research scientific literature

Я почав вивчати наукову літературу

on how these centrifuges

про те, як ці центрифуги

are actually built in Natanz

будувались в Натанзі

and found they are structured

і виявив, що вони мають структуру,

in what is called a cascade,

яка називається каскадом,

and each cascade holds 164 centrifuges.

і кожен каскад містить 164 центрифуги.

So that made sense, that was a match.

Це мало сенс, і це було збігом.

And it even got better.

Вийшло навіть краще.

These centrifuges in Iran

Ці центрифуги в Ірані

are subdivided into 15, what is called, stages.

були розподілені на 15, як це називається, ступенів.

And guess what we found in the attack code?

І здогадайтеся, що ми знайшли в атакуючому коді?

An almost identical structure.

Майже ту ж саму структуру.

So again, that was a real good match.

І знову таки, це був дійсно чудовий збіг.

And this gave us very high confidence for what we were looking at.

Це надало нам високої впевненості в тому, що ми розуміємо з чим маємо справу.

Now don't get me wrong here, it didn't go like this.

Не зрозумійте мене неправильно, це відбувалося не так.

These results have been obtained

Ці результати були отримані

over several weeks of really hard labor.

впродовж декількох тижнів тяжкої роботи в лабораторії.

And we often went into just a dead end

Ми часто заходили в глухий кут

and had to recover.

і починали все спочатку.

Anyway, so we figured out

В будь-якому випадку, ми з'ясували,

that both digital warheads

що обидві цифрові боєголовки

were actually aiming at one and the same target,

були націлені на одну і ту саму ціль,

but from different angles.

але з різних кутів.

The small warhead is taking one cascade,

Маленька боєголовка бралась за один каскад,

and spinning up the rotors and slowing them down,

розкручувала і сповільнювала ротори,

and the big warhead

а велика боєголовка

is talking to six cascades

бралась за шість каскадів

and manipulating valves.

і маніпулювала вентилями.

So in all, we are very confident

В результаті, ми впевнені,

that we have actually determined what the target is.

що насправді визначили, що є ціллю.

It is Natanz, and it is only Natanz.

Це Натанх і тільки Натанз.

So we don't have to worry

Тому нам не потрібно хвилюватися,

that other targets

що інші мішені

might be hit by Stuxnet.

можуть бути вражені Стакснетом.

Here's some very cool stuff that we saw --

Ось дещо дуже класне, що ми побачили, --

really knocked my socks off.

реально знесло мені дах.

Down there is the gray box,

Знизу знаходиться сіра коробка,

and on the top you see the centrifuges.

а зверху ви бачите центрифуги.

Now what this thing does

І що робить ця штука,

is it intercepts the input values from sensors --

вона перехоплює вхідні дані з датчиків,

so for example, from pressure sensors

наприклад, з датчиків тиску

and vibration sensors --

і датчиків вібрації,

and it provides legitimate program code,

і передає вихідному коду,

which is still running during the attack,

який все ще працює під час атаки,

with fake input data.

підроблені вхідні дані.

And as a matter of fact, this fake input data

І насправді, ці підроблені вхідні дані

is actually prerecorded by Stuxnet.

записані в Стакснет.

So it's just like from the Hollywood movies

Це точно так само, як в голівудських фільмах,

where during the heist,

коли під час пограбування

the observation camera is fed with prerecorded video.

камері спостереження подається попередньо записане відео.

That's cool, huh?

Це круто, чи не так?

The idea here is obviously

Ідея тут, звісно,

not only to fool the operators in the control room.

не тільки в тому, щоб перехитрити операторів з кімнати управління.

It actually is much more dangerous and aggressive.

Насправді все набагато небезпечніше та агресивніше.

The idea

Ідея в тому,

is to circumvent a digital safety system.

щоб обійти цифрову систему безпеки.

We need digital safety systems

Нам потрібні цифрові системи безпеки там,

where a human operator could not act quick enough.

де людина не може діяти достатньо швидко.

So for example, in a power plant,

Наприклад, на електростанції,

when your big steam turbine gets too over speed,

коли велика турбіна занадто швидко прискорюється,

you must open relief valves within a millisecond.

вам необхідно відчинити запобіжні клапани впродовж мілісекунди.

Obviously, this cannot be done by a human operator.

Очевидно, що людина на таке не здатна.

So this is where we need digital safety systems.

Тому ось саме тут нам потрібні цифрові системи безпеки.

And when they are compromised,

І якщо вони зламані,

then real bad things can happen.

то можуть трапитись дійсно погані речі.

Your plant can blow up.

Ваша станція може підірватися.

And neither your operators nor your safety system will notice it.

І ні оператори, ні ваша система цифрової безпеки цього не помітить.

That's scary.

Це страшно.

But it gets worse.

Але буде ще страшніше.

And this is very important, what I'm going to say.

І те, що я збираюсь сказати, дуже важливо.

Think about this:

Поміркуйте:

this attack is generic.

ця атака універсальна.

It doesn't have anything to do, in specifics,

Немає нічого спільного, особливо,

with centrifuges,

з центрифугами,

with uranium enrichment.

зі збагаченням урану.

So it would work as well, for example,

Тому це добре спрацювало б, наприклад,

in a power plant

на електростанції

or in an automobile factory.

або на автомобільному заводі.

It is generic.

Це універсально.

And you don't have -- as an attacker --

І вам не потрібно як тому, хто атакує,

you don't have to deliver this payload

завантажувати цей корисний вантаж

by a USB stick,

через USB,

as we saw it in the case of Stuxnet.

як ми бачили це у випадку зі Стакснетом.

You could also use conventional worm technology for spreading.

Ви також можете використати технологію розповсюдження за допомогою черв'яків.

Just spread it as wide as possible.

Просто розповсюджуйте його настільки, наскільки це можливо.

And if you do that,

І якщо ви зробите це,

what you end up with

ви отримаєте

is a cyber weapon of mass destruction.

кібер-зброю масового ураження.

That's the consequence

Це наслідок,

that we have to face.

який ми повинні визнати.

So unfortunately,

На наше нещастя,

the biggest number of targets for such attacks

найбільша кількість потенційних мішеней для атак

are not in the Middle East.

знаходиться не на Близькому Сході.

They're in the United States and Europe and in Japan.

Вони знаходяться в Сполучених Штатах, Європі та Японії.

So all of the green areas,

Всі ці зелені зони,

these are your target-rich environments.

все це області з великою кількістю мішеней.

We have to face the consequences,

Ми повинні визнати наслідки,

and we better start to prepare right now.

і ми повинні почати готуватися до них вже зараз.

Thanks.

Дякую.

(Applause)

(Оплески)

Chris Anderson: I've got a question.

Кріс Андерсон: у мене є запитання.

Ralph, it's been quite widely reported

Ральф, доволі широко відомо,

that people assume that Mossad

що люди вважають, що Моссад

is the main entity behind this.

є головним, хто за цим стоїть.

Is that your opinion?

Як ви вважаєте?

Ralph Langner: Okay, you really want to hear that?

Ральф Ленгнір: Що ж, ви дійсно хочете почути це?

Yeah. Okay.

Добре, добре.

My opinion is that the Mossad is involved,

На мій погляд, Моссад бере в цьому участь,

but that the leading force is not Israel.

але провідною силою є не Ізраїль.

So the leading force behind that

Провідна сила, яка за цим стоїть,

is the cyber superpower.

це супер кібер-держава.

There is only one,

Є тільки одна така,

and that's the United States --

і це сполучені Штати --

fortunately, fortunately.

на щастя, на щастя.

Because otherwise,

Тому що в іншому випадку,

our problems would even be bigger.

у нас були б набагато більші проблеми.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

К.А.: Дякую за те, що налякали нас до смерті. Дякую, Ральф.

(Applause)

(Оплески)