Η ιδέα πίσω από το worm (ηλεκτρονικό σκουλήκι) Stuxnet είναι βασικά πολύ απλή. Δεν θέλουμε το Ιράν να αποκτήσει τη Βόμβα. Η κύρια μονάδα τους για την ανάπτυξη πυρηνικών όπλων είναι η μονάδα εμπλουτισμού ουρανίου στο Νατάνζ. Τα γκρίζα κουτιά που βλέπετε, είναι συστήματα ελέγχου πραγματικού χρόνου. Τώρα, εάν καταφέρουμε να αποκτήσουμε πρόσβαση σε αυτά τα συστήματα που ελέγχουν ταχύτητες και βαλβίδες, μπορούμε πραγματικά να προκαλέσουμε πολλά προβλήματα στον φυγοκεντρητή. Τα γκίζα κουτιά δεν "τρέχουν" λειτουργικό Windows - είναι μια τελείως διαφορετική τεχνολογία. Αλλά, εάν καταφέρουμε να τοποθετήσουμε έναν καλό ιό για Windows σε έναν φορητο υπολογιστή που χρησιμοποιείται από έναν μηχανικό συντήρησης για να ρυθμίσουν αυτό το γκρίζο κουτί, τότε κάτι γίνεται. Αυτό είναι το σχέδιο πίσω από το Stuxnet.
The idea behind the Stuxnet computer worm is actually quite simple. We don't want Iran to get the bomb. Their major asset for developing nuclear weapons is the Natanz uranium enrichment facility. The gray boxes that you see, these are real-time control systems. Now if we manage to compromise these systems that control drive speeds and valves, we can actually cause a lot of problems with the centrifuge. The gray boxes don't run Windows software; they are a completely different technology. But if we manage to place a good Windows virus on a notebook that is used by a maintenance engineer to configure this gray box, then we are in business. And this is the plot behind Stuxnet.
Ξεκινάμε λοιπόν με έναν "dropper" (ψηφιακός ιός) για Windows. Το "φορτίο" (μολυσμένο αρχείο) εισάγεται στο γκρίζο κουτί, κάνει ζημιά στον φυγοκεντρητή και το Ιρανικό πυρηνικό πρόγραμμα καθυστερεί -- αποστολή εξετελέσθη. Εύκολο, ε; Θέλω να σας πω πώς το ανακαλύψαμε αυτό. Όταν πριν από 6 μήνες ξεκινήσαμε την έρευνά μας για το Stuxnet, μας ήταν εντελώς άγνωστος ο σκοπός του. Το μόνο που ήταν γνωστό ήταν το πάρα πολύ πολύπλοκο κομμάτι των Windows, το κομμάτι του "dropper" (ιού) χρησιμοποίησε πολλαπλά τρωτά σημεία για επίθεση τύπου "μηδενικής ημέρας". Και φαινόταν ότι προσπαθούσε να κάνει κάτι με αυτά τα γκρίζα κουτιά, τα συστήματα ελέγχου πραγματικού χρόνο. Έτσι, αυτό κέντρισε την προσοχή μας και ξεκινήσαμε ένα εργαστηριακό πρόγραμμα, όπου μολύναμε το δίκτυο μας με το Stuxnet και αρχίσαμε να το παρακολουθούμε. Και τότε συνέβησαν μερικά πολύ περίεργα πράγματα. To Stuxnet συμπεριφερόταν σαν το ποντίκι του εργαστηρίου που δεν του άρεσε το τυρί μας -- το μύριζε, αλλά δεν ήθελε να το φάει. Δεν μπορούσα να το καταλάβω. Και αφού πειραματιστήκαμε με διάφορες γεύσεις τυριών, συνειδητοποίησα, ότι έκανε μια κατευθυνόμενη επίθεση. Είναι πλήρως κατευθυνόμενο. Ο "dropper" (ιος) καραδοκεί ενεργά στο γκρίζο κουτί εάν βρεθεί μια συγκεκριμένη ρύθμιση, ακόμα και αν το ίδιο το πρόγραμμα που προσπαθεί να μολύνει τρέχει στον ίδιο το στόχο. Εάν όχι, το Stuxnet δεν κάνει τίποτα.
So we start with a Windows dropper. The payload goes onto the gray box, damages the centrifuge, and the Iranian nuclear program is delayed -- mission accomplished. That's easy, huh? I want to tell you how we found that out. When we started our research on Stuxnet six months ago, it was completely unknown what the purpose of this thing was. The only thing that was known is it's very, very complex on the Windows part, the dropper part, used multiple zero-day vulnerabilities. And it seemed to want to do something with these gray boxes, these real-time control systems. So that got our attention, and we started a lab project where we infected our environment with Stuxnet and checked this thing out. And then some very funny things happened. Stuxnet behaved like a lab rat that didn't like our cheese -- sniffed, but didn't want to eat. Didn't make sense to me. And after we experimented with different flavors of cheese, I realized, well, this is a directed attack. It's completely directed. The dropper is prowling actively on the gray box if a specific configuration is found, and even if the actual program code that it's trying to infect is actually running on that target. And if not, Stuxnet does nothing.
Αυτό πραγματικά μου κίνησε την περιέργεια και ξεκινήσαμε να δουλεύουμε πάνω σε αυτό σχεδόν όλο το εικοσιτετράωρο, γιατί, σκέφτηκα, πως δεν γνωρίζουμε ποιος είναι ο στόχος. Θα μπορούσε να είναι, για παράδειγμα, μια μονάδα παραγωγής ηλεκτρικής ενέργειας στις ΗΠΑ ή ένα εργοστάσιο χημικών στη Γερμανία. Γι' αυτό θα ήταν καλύτερο να βρούμε σύντομα ποιος είναι ο στόχος. Έτσι, εξάγαμε και απομεταγλωττίσαμε τον κώδικα της επίθεσης και ανακαλύψαμε ότι είναι δομημένος σε δύο ψηφιακές βόμβες -- μια μικρότερη και μια μεγαλύτερη. Επίσης, είδαμε ότι είναι επαγγελματικά σχεδιασμένες από ανθρώπους που προφανώς είχαν πληροφορίες εκ των έσω. Γνώριζαν όλα τα δεδομένα στα οποία έπρεπε να επιτεθούν. Πιθανότατα να γνωρίζουν και το νούμερο του παπουτσιού του χειριστή. Γνωρίζουν λοιπόν τα πάντα.
So that really got my attention, and we started to work on this nearly around the clock, because I thought, "Well, we don't know what the target is. It could be, let's say for example, a U.S. power plant, or a chemical plant in Germany. So we better find out what the target is soon." So we extracted and decompiled the attack code, and we discovered that it's structured in two digital bombs -- a smaller one and a bigger one. And we also saw that they are very professionally engineered by people who obviously had all insider information. They knew all the bits and bites that they had to attack. They probably even know the shoe size of the operator. So they know everything.
Και έαν έχετε ακούσει ότι ο "dropper" του Stuxnet είναι πολύπλοκος και υψηλής τεχνολογίας, επιτρέψτε μου να σας πω μόνο αυτό: το "φορτίο" του είναι πυραυλική φυσική. Είναι κατά πολύ ανώτερο από οτιδήποτε έχουμε δει ποτέ. Εδώ βλέπετε ένα δείγμα του πραγματικού κώδικα. Μιλάμε για περίπου 15.000 γραμμές κώδικα. Μοιάζει πάρα πολύ με το παλαιό στυλ του κώδικα της γλώσσας assembly. Και θέλω να σας πω πώς κατορθώσαμε να κατανοήσουμε αυτόν τον κώδικα. Αυτό λοιπόν που ψάξαμε, ήταν όλες οι λειτουργίες κλήσεως του συστήματος, επειδή γνωρίζουμε τι κάνουν.
And if you have heard that the dropper of Stuxnet is complex and high-tech, let me tell you this: the payload is rocket science. It's way above everything that we have ever seen before. Here you see a sample of this actual attack code. We are talking about -- around about 15,000 lines of code. Looks pretty much like old-style assembly language. And I want to tell you how we were able to make sense out of this code. So what we were looking for is, first of all, system function calls, because we know what they do.
Και μετά ψάχναμε για χρονομετρητές και δομές δεδομένων και προσπαθούσαμε να τους συσχετίσουμε με τον πραγματικό κόσμο, με δυνητικά πραγματικούς στόχους παγκοσμίως. Χρειαζόμαστε λοιπόν θεωρίες στόχων που να μπορούμε να αποδείξουμε ή όχι. Για να αναπτύξουμε θεωρίες στόχων, κρατάμε στο νου μας ότι αποτελεί σίγουρα δολιοφθορά ιδιαίτερης σοβαρότητας, ότι πρέπει να είναι στόχος υψηλής σημασίας και είναι πολύ πιθανόν να βρίσκεται στο Ιράν, γιατί εκεί αναφέρθηκαν οι περισσότερες μολύνσεις. Δεν υπάρχουν χιλιάδες στόχοι σε αυτή την περιοχή. Βασικά, καταλήγουμε στο εργοστάσιο πυρηνικής ενέργειας του Μπουσίρ και στη μονάδα εμπλουτισμού καυσίμου του Νασάνζ.
And then we were looking for timers and data structures and trying to relate them to the real world -- to potential real world targets. So we do need target theories that we can prove or disprove. In order to get target theories, we remember that it's definitely hardcore sabotage, it must be a high-value target and it is most likely located in Iran, because that's where most of the infections had been reported. Now you don't find several thousand targets in that area. It basically boils down to the Bushehr nuclear power plant and to the Natanz fuel enrichment plant.
Έτσι, είπα στον βοηθό μου, "Θέλω μια λίστα με όλους τους εμπειρογνώμονες μονάδων παραγωγής ενέργειας και φυγοκεντρητών από την βάση δεδομένων μας." Και τους τηλεφώνησα και ζήτησα τη γνώμη τους σε μια προσπάθεια να συνδυάσω την εμπειρία τους με αυτά που βρήκαμε στον κώδικα και στα δεδομένα. Και αυτό δούλεψε αρκετά καλά. Έτσι, ήμασταν σε θέση να συσχετίσουμε τη μικρή ψηφιακή βόμβα με τον έλεγχο του στροφείου. Το στροφείο είναι το κινούμενο μέρος εντός του φυγοκεντρητή, το μαύρο αντικείμενο που βλέπετε. Και εάν μπορείς να χειριστείς την ταχύτητα του στροφείου, μπορείς στην πραγματικότητα να το σπάσεις και ακόμη να προκαλέσεις έκρηξη στον φυγοκεντρητή. Αυτό που είδαμε επίσης ήταν ότι σκοπός της επίθεσης ήταν το να πραγματοποιηθεί αργά και μυστικά -- προφανώς μια προσπάθεια που θα οδηγούσε τους μηχανικούς συντήρησης στην τρέλα, γιατί δεν θα ήταν σε θέση να καταλάβουν γρήγορα τι συμβαίνει.
So I told my assistant, "Get me a list of all centrifuge and power plant experts from our client base." And I phoned them up and picked their brain in an effort to match their expertise with what we found in code and data. And that worked pretty well. So we were able to associate the small digital warhead with the rotor control. The rotor is that moving part within the centrifuge, that black object that you see. And if you manipulate the speed of this rotor, you are actually able to crack the rotor and eventually even have the centrifuge explode. What we also saw is that the goal of the attack was really to do it slowly and creepy -- obviously in an effort to drive maintenance engineers crazy, that they would not be able to figure this out quickly.
Η μεγάλη ψηφιακή βόμβα -- ήμασταν τυχεροί σε αυτό κοιτώντας πολύ προσεκτικά τα δεδομένα και τις δομές τους. Έτσι, για παράδειγμα, ο αριθμός 164 πραγματικά ξεχωρίζει στον κώδικα - δεν μπορείς να τον παραβλέψεις. Ξεκίνησα να ερευνώ την επιστημονική βιβλιογραφία στο πως αυτοί οι φυγοκεντρητές κατασκευάζονται στο Νατάνζ και βρήκα ότι είναι δομημένοι σε αυτό που ονομάζουν διάταξη στοίβας και κάθε μία τέτοια διάταξη διαθέτει 164 φυγοκεντρητές. Έτσι αυτό έβγαζε νόημα, είχαμε ταύτιση.
The big digital warhead -- we had a shot at this by looking very closely at data and data structures. So for example, the number 164 really stands out in that code; you can't overlook it. I started to research scientific literature on how these centrifuges are actually built in Natanz and found they are structured in what is called a cascade, and each cascade holds 164 centrifuges. So that made sense, that was a match.
Και έγινε ακόμα καλύτερο. Αυτοί οι φυγοκεντρητές στο Ιράν υποδιαιρούνται σε 15, όπως τα ονομάζουν, στάδια. Και μαντέψτε τι βρήκαμε στον κώδικα της επίθεσης; Μια σχεδόν πανομοιότυπη δομή. Έτσι ξανά, αυτή ήταν μια πάρα πολύ καλή ταύτιση. Και αυτό μας έδωσε μεγάλη αυτοπεποίθηση για αυτό που ψάχναμε. Τώρα, μη με παρεξηγήσετε, δεν πάει έτσι. Αυτά τα αποτελέσματα αποκτήθηκαν μετά από πολλές εβδομάδες πραγματικά σκληρής δουλειάς. Και συχνά φτάναμε σε αδιέξοδο και έπρεπε να ξεκινήσουμε από την αρχή.
And it even got better. These centrifuges in Iran are subdivided into 15, what is called, stages. And guess what we found in the attack code? An almost identical structure. So again, that was a real good match. And this gave us very high confidence for what we were looking at. Now don't get me wrong here, it didn't go like this. These results have been obtained over several weeks of really hard labor. And we often went into just a dead end and had to recover.
Όπως και να έχει, βρήκαμε ότι και οι δύο ψηφιακές βόμβες στην πραγματικότητα στόχευαν σε έναν και μοναδικό στόχο, αλλά από διαφορετικές προσεγγίσεις. Η μικρή βόμβα καταλαμβάνει μία διάταξη στοίβας, και αυξάνει ή μειώνει την ταχύτητα περιστροφής των στροφείων και η μεγάλη βόμβα επικοινωνεί με έξι διατάξεις στοίβας και χειρίζεται τις βαλβίδες. Έτσι, είμαστε πολύ σίγουροι ότι έχουμε όντως προσδιορίσει ποιος είναι ο στόχος. Είναι το Νατάνζ και μόνο το Νατάνζ. Έτσι, δεν χρειάζεται να ανησυχούμε ότι και άλλοι στόχοι μπορεί να χτυπηθούν από το Stuxnet.
Anyway, so we figured out that both digital warheads were actually aiming at one and the same target, but from different angles. The small warhead is taking one cascade, and spinning up the rotors and slowing them down, and the big warhead is talking to six cascades and manipulating valves. So in all, we are very confident that we have actually determined what the target is. It is Natanz, and it is only Natanz. So we don't have to worry that other targets might be hit by Stuxnet.
Εδώ είναι μερικά πολύ ενδιαφέροντα πράγματα που είδαμε, πραγματικά με έκαναν να ανασηκωθώ από τη θέση μου. Εκεί κάτω υπάρχει το γκρίζο κουτί και από πάνω βλέπετε τους φυγοκεντρητές. Τώρα, αυτό που κάνει είναι να παρακολουθεί τις τιμές εισόδου από τους αισθητήρες -- για παράδειγμα, από τους αισθητήρες πίεσης και τους αισθητήρες δόνησης -- και παρέχει αξιόπιστο κώδικα, ο οποίος τρέχει ακόμα και κατά τη διάρκεια της επίθεσης, με ψευδή δεδομένα εισόδου. Και για την ακρίβεια, αυτά τα ψευδή στοιχεία εισόδου είναι στην πραγματικότητα προεγγεγραμμένα από το Stuxnet. Έιναι λοιπόν σαν τις χολιγουντιανές ταινίες, όπου κατά τη διάρκεια της ληστείας η κάμερα παρακολούθησης τροφοδοτείται με προεγγεγραμμένο βίντεο. Πολύ καλό, ε;
Here's some very cool stuff that we saw -- really knocked my socks off. Down there is the gray box, and on the top you see the centrifuges. Now what this thing does is it intercepts the input values from sensors -- so for example, from pressure sensors and vibration sensors -- and it provides legitimate program code, which is still running during the attack, with fake input data. And as a matter of fact, this fake input data is actually prerecorded by Stuxnet. So it's just like from the Hollywood movies where during the heist, the observation camera is fed with prerecorded video. That's cool, huh?
Η ιδέα εδώ είναι προφανώς, όχι μόνο να ξεγελάσει τους χειριστές του κέντρου ελέγχου. Στην πραγματικότητα είναι πολύ πιο επικίνδυνο και επιθετικό. Η ιδέα είναι να παρακάμψει ένα ασφαλές ψηφιακό σύστημα. Χρειαζόμαστε ψηφιακά συστήματα ασφαλείας εκεί όπου ο άνθρωπος χειριστής δεν μπορεί να αντιδράσει αρκετά γρήγορα. Έτσι για παράδειγμα, σε ένα εργοστάσιο παραγωγής ενέργειας, όταν η τεράστια τουρμπίνα ατμού αποκτήσει υπερβολική ταχύτητα, πρέπει να ανοίξουν οι βαλβίδες εκτόνωσης μέσα σε χιλιοστά του δευτερολέπτου. Προφανώς, αυτό δεν μπορεί να γίνει από έναν άνθρωπο χειριστή. Εδώ είναι που χρειαζόμαστε ψηφιακά συστήματα ασφαλείας. Και όταν αυτά παραβιαστούν, τότε πολλά άσχημα πράγματα μπορούν να συμβούν. Το εργοστάσιο μπορεί να εκραγεί. Και ούτε οι χειριστές, ούτε το σύστημα ασφαλείας δεν θα καταλάβουν τίποτα. Αυτό είναι τρομακτικό.
The idea here is obviously not only to fool the operators in the control room. It actually is much more dangerous and aggressive. The idea is to circumvent a digital safety system. We need digital safety systems where a human operator could not act quick enough. So for example, in a power plant, when your big steam turbine gets too over speed, you must open relief valves within a millisecond. Obviously, this cannot be done by a human operator. So this is where we need digital safety systems. And when they are compromised, then real bad things can happen. Your plant can blow up. And neither your operators nor your safety system will notice it. That's scary.
Αλλά, γίνεται ακόμα χειρότερο. Και αυτό που πρόκειται να πω είναι πολύ σημαντικό. Αναλογιστείτε αυτό: Η επίθεση είναι γενική. Δεν κάνει τίποτα συγκεκριμένο με τους φυγοκεντρητές, με τον εμπλουτισμό του ουρανίου. Έτσι, θα μπορέσει να λειτουργήσει, για παράδειγμα, σε μια μονάδα παραγωγής ενέργειας ή σε μια αυτοκινητοβιομηχανία. Είναι πολύ γενικό. Και δεν χρειάζεται, σαν επιτιθέμενος δεν χρειάζεται να εισάγεις το "φορτίο" του ιού μέσω μιας συσκευής αποθήκευσης USB, όπως το είδαμε στην περίπτωση του Stuxnet. Θα μπορούσατε επίσης να χρησιμοποιήσετε συμβατική τεχνολογία τύπου "σκουλικιού" (worm) για τη διάδοση. Απλά διαδίδοντάς το όσο το δυνατόν περισσότερο. Και εάν το κάνετε αυτό, καταλήγετε σε ένα κυβερνο-όπλο μαζικής καταστροφής. Αυτό είναι το επακόλουθο που έχουμε να αντιμετωπίσουμε. Έτσι, δυστυχώς ο μεγαλύτερος αριθμός στόχων για τέτοιες επιθέσεις δεν είναι στη Μέση Ανατολή. Είναι στις ΗΠΑ, την Ευρώπη και την Ιαπωνία. Έτσι, όλες οι πράσινες περιοχές, είναι εν δυνάμει στόχοι. Πρέπει να αντιμετωπίσουμε τις συνέπειες και καλό θα ήταν να προετοιμαζόμαστε από τώρα.
But it gets worse. And this is very important, what I'm going to say. Think about this: this attack is generic. It doesn't have anything to do, in specifics, with centrifuges, with uranium enrichment. So it would work as well, for example, in a power plant or in an automobile factory. It is generic. And you don't have -- as an attacker -- you don't have to deliver this payload by a USB stick, as we saw it in the case of Stuxnet. You could also use conventional worm technology for spreading. Just spread it as wide as possible. And if you do that, what you end up with is a cyber weapon of mass destruction. That's the consequence that we have to face. So unfortunately, the biggest number of targets for such attacks are not in the Middle East. They're in the United States and Europe and in Japan. So all of the green areas, these are your target-rich environments. We have to face the consequences, and we better start to prepare right now.
Σας ευχαριστώ.
Thanks.
(Χειροκρότημα)
(Applause)
Κρις Άντερσον: Έχω μια ερώτηση. Ραλφ, έχει αναφερθεί ευρέως πως ο κόσμος πιστεύει ότι η Μοσάντ είναι η κύρια οντότητα πίσω από αυτό. Είναι αυτή η άποψή σου;
Chris Anderson: I've got a question. Ralph, it's been quite widely reported that people assume that Mossad is the main entity behind this. Is that your opinion?
Ραλφ Λάνγκνερ: Λοιπόν, σίγουρα θέλετε να το ακούσετε αυτό; Ναι. Εντάξει. Η άποψή μου είναι ότι η Μοσάντ είναι αναμεμιγμένη, αλλά η ηγετική δύναμη δεν είναι το Ισραήλ. Η κινητήρια δύναμη πίσω από αυτό είναι η υπερδύναμη του κυβερνοχώρου. Αυτή είναι μόνο μία και είναι οι ΗΠΑ -- ευτυχώς, ευτυχώς. Γιατί αλλιώς, τα προβλήματά μας θα ήταν ακόμα μεγαλύτερα.
Ralph Langner: Okay, you really want to hear that? Yeah. Okay. My opinion is that the Mossad is involved, but that the leading force is not Israel. So the leading force behind that is the cyber superpower. There is only one, and that's the United States -- fortunately, fortunately. Because otherwise, our problems would even be bigger.
Κρις Άντερσον: Σε ευχαριστούμε που μας κατατρόμαξες. Ευχαριστούμε Ραλφ.
CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.
(Χειροκρότημα)
(Applause)