Ralph Langner: Cracking Stuxnet, a 21st-century cyber weapon

Ralph Langer: Cracking Stuxnet, vũ khí trong không gian điều khiển học của thế kỷ 21

Translator: Hoa Nguyen Reviewer: Minh Trang Lai

The idea behind the Stuxnet computer worm

Ý tưởng đằng sau sâu máy tính Stuxnet

is actually quite simple.

thật ra rất đơn giản.

We don't want Iran to get the bomb.

Chúng ta không muốn Iran có được bom hạt nhân.

Their major asset for developing nuclear weapons

Công cụ chính của họ để phát triển vũ khí hạt nhân

is the Natanz uranium enrichment facility.

là cơ sở làm giàu uranium Natanz.

The gray boxes that you see,

Những hộp màu xám mà bạn thấy

these are real-time control systems.

là những hệ thống điều khiển thời gian thực

Now if we manage to compromise these systems

dùng để điều khiển tốc độ truyền động và các van.

that control drive speeds and valves,

Nếu chúng ta thành công trong việc làm hỏng các hệ thống này

we can actually cause a lot of problems

chúng ta thật sự có thể tạo ra nhiều rắc rối

with the centrifuge.

cho lò ly tâm.

The gray boxes don't run Windows software;

Hộp xám không chạy phần mềm Windows;

they are a completely different technology.

chúng là một công nghệ khác hoàn toàn.

But if we manage

Nhưng nếu ta có thể

to place a good Windows virus

cài một virus Windows tốt

on a notebook

trong máy tính xách tay

that is used by a maintenance engineer

của một kĩ sư máy chịu trách nhiệm

to configure this gray box,

điều chỉnh cái hộp xám này

then we are in business.

thì ta có thể hành động.

And this is the plot behind Stuxnet.

Và đó là âm mưu của Stuxnet.

So we start with a Windows dropper.

Thế là chúng tôi bắt đầu với một chương trình cài mã (dropper) trong Windows.

The payload goes onto the gray box,

Mã phá hoại thâm nhập hộp xám,

damages the centrifuge,

làm hư lò ly tâm,

and the Iranian nuclear program is delayed --

và chương trình hạt nhân của Iran bị đình hoãn --

mission accomplished.

thì nhiệm vụ hoàn thành.

That's easy, huh?

Nghe thật dễ dàng phải không?

I want to tell you how we found that out.

Để tôi nói cho các bạn biết cách chúng tôi khám phá ra chuyện đó.

When we started our research on Stuxnet six months ago,

Khi chúng tôi bắt đầu nghiên cứu Stuxnet 6 tháng về trước,

it was completely unknown what the purpose of this thing was.

không một ai biết mục đích của nó là gì.

The only thing that was known

Điều duy nhất được biết,

is it's very, very complex on the Windows part, the dropper part,

là nó rất là phức tạp bên phần Windows, phần cài mã,

used multiple zero-day vulnerabilities.

sử dụng nhiều lỗ hổng zero-day.

And it seemed to want to do something

Và nó có vẻ muốn làm gì đó

with these gray boxes, these real-time control systems.

với các hộp xám này, các hệ thống điều khiển thời gian thực.

So that got our attention,

Nó làm chúng tôi chú ý,

and we started a lab project

và chúng tôi thử một thí nghiệm

where we infected our environment with Stuxnet

trong đó chúng tôi lây nhiễm Stuxnet vào môi trường của mình

and checked this thing out.

và thử kiểm tra nó.

And then some very funny things happened.

Và có vài chuyện rất thú vị đã xảy ra.

Stuxnet behaved like a lab rat

Stuxnet xử sự như một con chuột thí nghiệm

that didn't like our cheese --

không thích phô mai của chúng tôi --

sniffed, but didn't want to eat.

ngửi ngửi, nhưng không muốn ăn.

Didn't make sense to me.

Tôi không hiểu tại sao hết.

And after we experimented with different flavors of cheese,

Và sau khi chúng tôi thử nghiệm với những mùi vị phô mai khác nhau,

I realized, well, this is a directed attack.

Tôi nhận ra rằng, đây là cách tấn công trực tiếp.

It's completely directed.

Hoàn toàn trực tiếp.

The dropper is prowling actively

Chương trình cài sẽ chủ động săn tìm

on the gray box

trong hộp xám

if a specific configuration is found,

nếu thấy được một cấu hình đặc trưng

and even if the actual program code that it's trying to infect

và thậm chí nếu cái chương trình mà nó đang tìm cách lây nhiễm

is actually running on that target.

đang thật sự chạy trên mục tiêu.

And if not, Stuxnet does nothing.

Còn nếu không thì Stuxnet không làm gì cả.

So that really got my attention,

Chuyện đó làm tôi rất chú ý,

and we started to work on this

và chúng tôi bắt đầu xử lý chuyện này

nearly around the clock,

từ sáng tới tối,

because I thought, "Well, we don't know what the target is.

vì tôi nghĩ rằng chúng tôi không biết thật sự mục tiêu là gì.

It could be, let's say for example,

Ví dụ như, nó có thể là

a U.S. power plant,

một nhà máy điện của Mĩ,

or a chemical plant in Germany.

hoặc một nhà máy hóa chất của Đức.

So we better find out what the target is soon."

Vì thế chúng tôi buộc phải tìm ra mục tiêu là gì thật sớm.

So we extracted and decompiled

Thế là chúng tôi trích ra và phục hồi

the attack code,

mã tấn công,

and we discovered that it's structured in two digital bombs --

và chúng tôi khám phá ra là nó được chèn trong 2 trái bom kĩ thuật số --

a smaller one and a bigger one.

một trái nhỏ và một trái lớn.

And we also saw that they are very professionally engineered

Và chúng tôi cũng thấy được là chúng được thiết kế rất chuyên nghiệp

by people who obviously had all insider information.

bởi những người rõ ràng nắm được thông tin bên trong.

They knew all the bits and bites

Họ biết từng chút một

that they had to attack.

về những thứ mà họ phải tấn công.

They probably even know the shoe size of the operator.

Có lẽ họ còn biết cả cỡ giày của người vận hành nữa.

So they know everything.

Vậy là họ biết mọi thứ.

And if you have heard that the dropper of Stuxnet

Và nếu bạn đã nghe là chương trình cài mã của Stuxnet

is complex and high-tech,

phức tạp và có công nghệ cao,

let me tell you this:

để tôi nói cho bạn biết:

the payload is rocket science.

mã phá hoại còn cao cấp hơn nhiều.

It's way above everything

Nó cao cấp hơn mọi thứ

that we have ever seen before.

mà chúng tôi từng biết.

Here you see a sample of this actual attack code.

Ở đây bạn có thể thấy một phần của chính mã tấn công này.

We are talking about --

Chúng tôi đang nói về --

around about 15,000 lines of code.

khoảng 15.000 dòng lệnh.

Looks pretty much like old-style assembly language.

Trông rất giống mã assembler ngày xưa.

And I want to tell you how we were able

Giờ tôi muốn nói với các bạn bằng cách nào mà chúng tôi

to make sense out of this code.

hiểu được mã lệnh này.

So what we were looking for is, first of all, system function calls,

Cái mà chũng tôi tìm đầu tiên là hàm gọi hệ thống,

because we know what they do.

vì chúng tôi biết chúng làm gì.

And then we were looking for timers and data structures

Rồi chúng tôi tìm bộ timer và cấu trúc dữ liệu

and trying to relate them to the real world --

và cố liên hệ chúng với thế giới thực --

to potential real world targets.

tới các mục tiêu trong thế giới thực.

So we do need target theories

Vì thế chúng tôi cần các giả thuyết về mục tiêu

that we can prove or disprove.

để kiểm chứng và so sánh với mã lệnh.

In order to get target theories,

Để có được các giả thuyết mục tiêu,

we remember

chúng tôi nhớ rằng

that it's definitely hardcore sabotage,

vì rõ ràng nó chỉ nhằm mục đích phá hoại,

it must be a high-value target

nên phải là một mục tiêu có giá trị cao,

and it is most likely located in Iran,

và nhiều phần là nằm ở Iran,

because that's where most of the infections had been reported.

vì đó là nơi mà hầu hết các vụ gây nhiễm được báo cáo.

Now you don't find several thousand targets in that area.

Bạn không thể tìm thấy hàng ngàn mục tiêu như vậy ở đó được.

It basically boils down

Rõ ràng chỉ có

to the Bushehr nuclear power plant

nhà máy điện hạt nhân Bushehr

and to the Natanz fuel enrichment plant.

và cơ sở làm giàu thanh nhiên liệu Natanz.

So I told my assistant,

Thế là tôi yêu cầu trợ lý,

"Get me a list of all centrifuge and power plant experts from our client base."

"Cho tôi danh sách của tất cả các chuyên gia về lò ly tâm và nhà máy điện trong dữ liệu khách hàng."

And I phoned them up and picked their brain

Và tôi gọi họ và xin ý kiến

in an effort to match their expertise

để đối chiếu kiến thức chuyên môn của họ

with what we found in code and data.

với cái mà chúng tôi có trong mã và dữ liệu.

And that worked pretty well.

Kết quả khá thành công.

So we were able to associate

Chúng tôi đã có thể liên hệ được

the small digital warhead

giữa trái bom kĩ thuật số bé xíu này

with the rotor control.

với bộ điều khiển rotor.

The rotor is that moving part within the centrifuge,

Rotor là bộ phận chuyển động bên trong lò ly tâm,

that black object that you see.

cái vật màu đen mà bạn thấy ở đây.

And if you manipulate the speed of this rotor,

Và nếu bạn có thể can thiệp vào vận tốc của chiếc rotor này,

you are actually able to crack the rotor

bạn thực sự có thể làm gãy nó

and eventually even have the centrifuge explode.

và sau cùng làm cả lò ly tâm nổ tung.

What we also saw

Chúng tôi cũng thấy rằng

is that the goal of the attack

mục tiêu của cuộc tấn công

was really to do it slowly and creepy --

là thật sự tiến hành một cách từ từ và đáng sợ --

obviously in an effort

để rõ ràng là làm cho

to drive maintenance engineers crazy,

các kỹ sư bảo trì phải phát điên lên,

that they would not be able to figure this out quickly.

đến nỗi họ không thể khám phá ra nhanh chóng.

The big digital warhead -- we had a shot at this

Chúng tôi hiểu được trái bom kĩ thuật số lớn

by looking very closely

bằng cách tìm hiểu thật kĩ

at data and data structures.

dữ liệu và cấu trúc dữ liệu.

So for example, the number 164

Ví dụ như, con số 164

really stands out in that code;

rõ ràng nổi bật trong mã lệnh;

you can't overlook it.

bạn không thể bỏ qua nó.

I started to research scientific literature

Tôi bắt đầu nghiên cứu các bài báo khoa học

on how these centrifuges

về cách các lò ly tâm

are actually built in Natanz

được xây dựng ở Natanz

and found they are structured

và thấy rằng chúng được xây trong

in what is called a cascade,

các tầng,

and each cascade holds 164 centrifuges.

và mỗi tầng chứa 164 lò ly tâm.

So that made sense, that was a match.

Vậy là rõ, 2 thứ phù hợp với nhau.

And it even got better.

Và mọi chuyện còn tốt hơn nữa.

These centrifuges in Iran

Các lò ly tâm ở Iran

are subdivided into 15, what is called, stages.

được chia thành 15 giai đoạn.

And guess what we found in the attack code?

Và hãy đoán xem chúng tôi đã tìm thấy gì trong mã tấn công?

An almost identical structure.

Một cấu trúc hoàn toàn tương tự.

So again, that was a real good match.

Lại một lần nữa, mọi thứ rất ăn nhập với nhau.

And this gave us very high confidence for what we were looking at.

Chuyện này làm chúng tôi rất tự tin về cái chúng tôi đang quan sát.

Now don't get me wrong here, it didn't go like this.

Nhưng đừng hiểu lầm, mọi chuyện không đơn giản đâu.

These results have been obtained

Các kết quả này đạt được

over several weeks of really hard labor.

qua nhiều tuần làm việc khó nhọc.

And we often went into just a dead end

Và chúng tôi thường đi vào ngõ cụt

and had to recover.

và phải làm lại từ đầu.

Anyway, so we figured out

Dù sao đi nữa, chúng tôi đã hiểu ra

that both digital warheads

là cả 2 trái bom kĩ thuật số

were actually aiming at one and the same target,

đều nhằm vào cùng một mục tiêu,

but from different angles.

nhưng từ những góc khác nhau.

The small warhead is taking one cascade,

Bom nhỏ tấn công một tầng,

and spinning up the rotors and slowing them down,

rồi xoay nhanh rotor và làm chậm chúng lại,

and the big warhead

còn bom lớn thì

is talking to six cascades

xử lý 6 tầng khác

and manipulating valves.

và điều khiển các van.

So in all, we are very confident

Như vậy chúng tôi rất tự tin

that we have actually determined what the target is.

rằng chúng tôi đã xác định được mục tiêu là gì.

It is Natanz, and it is only Natanz.

Là Nataz, chỉ Natanz mà thôi.

So we don't have to worry

Vì thế chúng tôi không phải lo là

that other targets

những mục tiêu khác

might be hit by Stuxnet.

có thể bị Stuxnet đánh.

Here's some very cool stuff that we saw --

Có cái này rất hay

really knocked my socks off.

đã làm tôi rất ngạc nhiên.

Down there is the gray box,

Ở dưới đây là hộp xám,

and on the top you see the centrifuges.

và ở trên đỉnh bạn có thể thấy các lò ly tâm.

Now what this thing does

Bây giờ cái mà thứ này làm là

is it intercepts the input values from sensors --

ngăn chặn quá trình nhập dữ liệu từ các cảm biến --

so for example, from pressure sensors

ví dụ như, từ cảm biến áp suất

and vibration sensors --

và cảm biến rung động --

and it provides legitimate program code,

và nó tạo ra các mã hợp pháp,

which is still running during the attack,

vẫn tiếp tục chạy trong suốt cuộc tấn công,

with fake input data.

với dữ liệu cung cấp giả.

And as a matter of fact, this fake input data

Thật sự là dữ liệu giả này

is actually prerecorded by Stuxnet.

đã được ghi trước bởi Stuxnet.

So it's just like from the Hollywood movies

Nó giống như là trong phim Hollywood

where during the heist,

khi vụ trộm diễn ra,

the observation camera is fed with prerecorded video.

camera an ninh bị chồng lên bằng video thu sẵn.

That's cool, huh?

Hay quá phải không?

The idea here is obviously

Ý tưởng ở đây rõ ràng là

not only to fool the operators in the control room.

không chỉ đánh lừa những người điều hành trong phòng điều khiển.

It actually is much more dangerous and aggressive.

Thật ra nó nguy hiểm và hung hăng hơn nhiều.

The idea

Ý tưởng này là

is to circumvent a digital safety system.

là phá hỏng một hệ thống an toàn kĩ thuật số.

We need digital safety systems

Chúng ta cần các hệ thống an toàn kĩ thuật số

where a human operator could not act quick enough.

ở những nơi mà con người không phản ứng đủ nhanh.

So for example, in a power plant,

Chẳng hạn như trong nhà máy điện,

when your big steam turbine gets too over speed,

khi tua bin hơi nước chạy nhanh quá,

you must open relief valves within a millisecond.

bạn phải mở van xả trong vòng một phần nghìn giây.

Obviously, this cannot be done by a human operator.

Rõ ràng là chuyện này con người không làm được.

So this is where we need digital safety systems.

Vì vậy đây là chỗ ta cần hệ thống an toàn kĩ thuật số.

And when they are compromised,

Và khi chúng bị phá hoại,

then real bad things can happen.

thì những chuyện tồi tệ sẽ xảy ra.

Your plant can blow up.

Nhà máy có thể nổ tung.

And neither your operators nor your safety system will notice it.

mà người điều hành và hệ thống an toàn không hay biết.

That's scary.

Thật là đáng sợ.

But it gets worse.

Nhưng mọi sự còn tệ hơn nữa.

And this is very important, what I'm going to say.

Và cái tôi sắp nói rất quan trọng.

Think about this:

Các bạn thử nghĩ xem.

this attack is generic.

Cuộc tấn công này là chung chung.

It doesn't have anything to do, in specifics,

Không có gì đặc trưng để nói cả,

with centrifuges,

nó chỉ nhắm tới lò ly tâm

with uranium enrichment.

hay là chỉ nhắm tới việc làm giàu uranium.

So it would work as well, for example,

Cho nên nó cũng có thể dành cho, ví dụ như,

in a power plant

một nhà máy điện

or in an automobile factory.

hay là một nhà máy xe hơi.

It is generic.

Nó chung chung.

And you don't have -- as an attacker --

Và với vai trò là kẻ thực hiện cuộc tấn công,

you don't have to deliver this payload

bạn không phải mất công chuyển mã phá hoại

by a USB stick,

bằng thẻ USB

as we saw it in the case of Stuxnet.

như chúng ta đã thấy trong trường hợp của Stuxnet.

You could also use conventional worm technology for spreading.

Bạn cũng có thể dùng công nghệ sâu thông thường để lây lan.

Just spread it as wide as possible.

Chỉ cần lây nhiễm nó càng rộng càng tốt.

And if you do that,

Và nếu bạn làm vậy,

what you end up with

cuối cùng bạn sẽ có

is a cyber weapon of mass destruction.

một thứ vũ khí hủy diệt hàng loạt trong không gian điều khiển.

That's the consequence

Đó là hệ quả

that we have to face.

mà chúng ta phải đối mặt.

So unfortunately,

Rất đáng tiếc là,

the biggest number of targets for such attacks

phần lớn các mục tiêu cho những cuộc tấn công kiểu này

are not in the Middle East.

không nằm ở khu vực Trung Đông.

They're in the United States and Europe and in Japan.

Chúng ở Mĩ, châu Âu và Nhật Bản.

So all of the green areas,

Tất cả những vùng màu xanh,

these are your target-rich environments.

chúng là môi trường đầy mục tiêu.

We have to face the consequences,

Chúng ta phải đối mặt với các hệ quả,

and we better start to prepare right now.

và chúng ta nên bắt đầu chuẩn bị từ bây giờ.

Thanks.

Xin cảm ơn.

(Applause)

(Vỗ tay)

Chris Anderson: I've got a question.

Chris Anderson: Tôi có một câu hỏi.

Ralph, it's been quite widely reported

Ralph, có nhiều nguồn tin

that people assume that Mossad

cho là Mossad

is the main entity behind this.

là tổ chức chính đứng sau việc này.

Is that your opinion?

Ý kiến của anh thế nào?

Ralph Langner: Okay, you really want to hear that?

Ralph Langer: Okay, anh thật tình muốn biết sao?

Yeah. Okay.

Được rồi. Okay.

My opinion is that the Mossad is involved,

Theo ý tôi, Mossad có liên quan,

but that the leading force is not Israel.

nhưng Israel không đóng vai trò dẫn dắt.

So the leading force behind that

Cho nên thế lực cầm đầu vụ này

is the cyber superpower.

là một siêu cường trong không gian điều khiển.

There is only one,

Chỉ có một siêu cường như vậy mà thôi,

and that's the United States --

và đó là Hoa Kỳ --

fortunately, fortunately.

Như vậy cũng may

Because otherwise,

Bởi vì nếu khác đi,

our problems would even be bigger.

thì các vấn đề của chúng ta còn lớn hơn nữa.

CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.

CA: Cám ơn đã làm chúng tôi sợ đến vậy. Cám ơn Ralph.

(Applause)

(Vỗ tay)