The idea behind the Stuxnet computer worm is actually quite simple. We don't want Iran to get the bomb. Their major asset for developing nuclear weapons is the Natanz uranium enrichment facility. The gray boxes that you see, these are real-time control systems. Now if we manage to compromise these systems that control drive speeds and valves, we can actually cause a lot of problems with the centrifuge. The gray boxes don't run Windows software; they are a completely different technology. But if we manage to place a good Windows virus on a notebook that is used by a maintenance engineer to configure this gray box, then we are in business. And this is the plot behind Stuxnet.
ایده اصلی کرم کامپیوتری استاکس نت در واقع بسیار ساده است. ما نمیخواهیم ایران به بمب دست پیدا کند. دارایی اصلیشان برای توسعه سلاحهای هستهای در سایت غنیسازی اورانیوم نطنز واقع شده. مستطیلهای خاکستری رنگی که میبینید، سیستمهای کنترلی بلادرنگی هستند. حال اگر بتوانیم مدیریت این سیستمها که سرعت چرخش و دریچهها را کنترل میکنند، در دست بگیریم میاتونیم کلی دردسر برای سانتریفیوژها ایجاد کنیم. مستطیلهای خاکستری تحت فرمان ویندوز نیستند؛ فناوری کاملا متفاوتی دارند. اما اگر بتوانیم یک ویروس خوب ویندوز را روی لپ تاپی قرار بدهیم از سوی یک مهندس سرویس و نگهداری جهت تنظیم این مستطبل خاکستری استفاده میشود، به هدف رسیدیم. و این پشت پرده استاکس نت هست.
So we start with a Windows dropper. The payload goes onto the gray box, damages the centrifuge, and the Iranian nuclear program is delayed -- mission accomplished. That's easy, huh? I want to tell you how we found that out. When we started our research on Stuxnet six months ago, it was completely unknown what the purpose of this thing was. The only thing that was known is it's very, very complex on the Windows part, the dropper part, used multiple zero-day vulnerabilities. And it seemed to want to do something with these gray boxes, these real-time control systems. So that got our attention, and we started a lab project where we infected our environment with Stuxnet and checked this thing out. And then some very funny things happened. Stuxnet behaved like a lab rat that didn't like our cheese -- sniffed, but didn't want to eat. Didn't make sense to me. And after we experimented with different flavors of cheese, I realized, well, this is a directed attack. It's completely directed. The dropper is prowling actively on the gray box if a specific configuration is found, and even if the actual program code that it's trying to infect is actually running on that target. And if not, Stuxnet does nothing.
خب از یک دراپر ویندوزی (نصب کننده بد افزار) شروع میکنیم. پیلود (قسمت مخرب بد افزار) که به آن مستطیل خاکستری میرسد به سانترفیوژها آسیب می زند، و برنامه هستهای ایران دچار خلل میشود-- هدف محقق شد. به همین آسانی. نه؟ برایتان ماجرایش را تعریف می کنم. ۶ ماه پیش که تحقیق بر روی استاکس نت را شروع کردیم، هدف این بدافزار کاملا ناشناخته بود. تنها چیز مشخص این بود که در سمت ویندوزی (قسمت دراپر) خیلی خیلی پیچیده است، از چندین آسیبپذیری ناشناخته استفاده میکرد. و به نظر میرسید که میخواهد کاری با جعبههای خاکستری، این سیستمهای کنترل بلادرنگ کند. خب توجه ما را به خودش جلب کرد، و پروژه آزمایشگاهی را شروع کردیم که در آن محیط را به استاکس نت آلوده کردیم و عملکردش را بررسی کردیم. و چیزهای جالبی اتفاق افتاد. استاکس نت مثل موش آزمایشگاهی رفتار میکرد که پنیرهای ما را دوست نداشت-- بو میکشید اما نمیخواست بخورد. برایم غیرقابل درک بود. و بعد از اینکه با طعمهای مختلف پنیر تست کردیم، به این نتیجه رسیدم که این یک حمله مستقیم است. کاملا جهت دار. دراپر فعالانه بر روی مستطیل خاکستری پرسه می زند. اگر تنظبمات خاصی پیدا شد و حتی اگر که کد برنامه اصلی که قصد آلوده کردنش را دارد در حال اجرا بر روی هدف هست. و در غیر آن، استاکس نت هیچ کاری نمیکند.
So that really got my attention, and we started to work on this nearly around the clock, because I thought, "Well, we don't know what the target is. It could be, let's say for example, a U.S. power plant, or a chemical plant in Germany. So we better find out what the target is soon." So we extracted and decompiled the attack code, and we discovered that it's structured in two digital bombs -- a smaller one and a bigger one. And we also saw that they are very professionally engineered by people who obviously had all insider information. They knew all the bits and bites that they had to attack. They probably even know the shoe size of the operator. So they know everything.
و آن واقعا توجه من را به خودش جلب کرد، و روی آن شروع به کار کردیم تقریبا شبانه روزی، چون فکر کردم که «خب ما نمیدانیم هدف چیست. هدف چیزی میتواند باشد مثل یک نیروگاه انرژی آمریکایی، یا کارخانه شیمیایی در آلمان. پس بهتر بود زودتر سر دربیاریم که هدف چیست.» ما کد حمله گر را پیدا کردیم و کد اصلی را باز تولید کردیم. فهمیدیم که از ۲ بمب دیجیتال تشکیل شده-- یک بمب کوچکتر و یک بزرگتر. و متوجه شدیم که بسیار حرفهای طراحی شدند توسط افرادی که به طور مشخص اطلاعات کافی از داخل هدف داشتند. از کوچکترین اطلاعات مورد نیاز برای حمله خبر داشتند. احتمالا سایز پای اپراتور را هم میدانستند. همه چیز را می دانستند
And if you have heard that the dropper of Stuxnet is complex and high-tech, let me tell you this: the payload is rocket science. It's way above everything that we have ever seen before. Here you see a sample of this actual attack code. We are talking about -- around about 15,000 lines of code. Looks pretty much like old-style assembly language. And I want to tell you how we were able to make sense out of this code. So what we were looking for is, first of all, system function calls, because we know what they do.
و اگر شنیدهاید که دارپر استاکس نت خیلی پیچیده و مدرن است، اجازه دهید که این را بگویم: پیچیدگی پیلود مثل علم موشک است. به مراتب پیجیدهتر از هر چیزی هست که تا به الان دیده بودیم. اینجا قسمتی از کد حمله را میبینید. ما در مورد چیزی حدود-- ۱۵۰۰۰ خط کد صحبت میکنیم. با ظاهری خیلی شبیه به زبان قدیمی اسمبلی. و میخواهم برایتان بگویم چطور توانستیم از این کد سر در بیاوریم. قبل از هرچیز، دنبال فراخوانی توابع سیستمی بودیم، چونکه میدانستیم چه کار میکنند.
And then we were looking for timers and data structures and trying to relate them to the real world -- to potential real world targets. So we do need target theories that we can prove or disprove. In order to get target theories, we remember that it's definitely hardcore sabotage, it must be a high-value target and it is most likely located in Iran, because that's where most of the infections had been reported. Now you don't find several thousand targets in that area. It basically boils down to the Bushehr nuclear power plant and to the Natanz fuel enrichment plant.
و بعد دنبال تایمرها و ساختارهای داده بودیم و سعی کردیم ارتباطی بین آنها و دنیای واقعی پیذا کنیم-- به اهداف محتمل دنیای واقعی. خب به نظریههایی نیاز داشتیم که بتوانیم اثبات یا رد کنیم. برای پیدا کردن نظریه های هدف، ما به یاد داشتیم که قطعا نوعی خرابکاری مرکزی در کار است، و باید هدف ارزشمندی باشد و به احتمال زیاد در ایران واقع شده است، زیرا جایی هست که بیشترین آلوده شدنها گزارش شده است. دیگر اهداف زیادی در این منطقه باقی نمیماند. و محدود میشد به نیروگاه بوشهر و تاسیسات غنیسازی نطنز.
So I told my assistant, "Get me a list of all centrifuge and power plant experts from our client base." And I phoned them up and picked their brain in an effort to match their expertise with what we found in code and data. And that worked pretty well. So we were able to associate the small digital warhead with the rotor control. The rotor is that moving part within the centrifuge, that black object that you see. And if you manipulate the speed of this rotor, you are actually able to crack the rotor and eventually even have the centrifuge explode. What we also saw is that the goal of the attack was really to do it slowly and creepy -- obviously in an effort to drive maintenance engineers crazy, that they would not be able to figure this out quickly.
خب به دستیارم گفتم «فهرست کل متخصصان سانتریفیوژ و نیروگاهها را از مشتریانمان میخواهم.» با آنها تماس گرفتم و مشاوره گرفتم در تلاشی برای به کار گرفتن تخصص آنها با چیزی که ما در کد و اطلاعات پیدا کردیم. و به خوبی جواب داد. و ما به خوبی تونستیم ارتباط بین کلاهک دیجیتال کوچک با کنترل روتور برقرار کنیم. روتور قسمت چرخنده در داخل سانتریفیوژ است، آن شئ مشکی رنگی که میبینید. و اگر شما سرعت روتور را دستکاری کنید در واقع میتونید باعث شکستش بشید و در نهایت انفجار سانتریفیوژ. همچنین دیدیم که هدف حمله این بوده که خیلی آرام و مرموز انجام شود-- مشخصا تلاشی برای عصبی کردن مهندسان نگهداری بود که نتوانند به راحتی از موضوع سر دربیارند.
The big digital warhead -- we had a shot at this by looking very closely at data and data structures. So for example, the number 164 really stands out in that code; you can't overlook it. I started to research scientific literature on how these centrifuges are actually built in Natanz and found they are structured in what is called a cascade, and each cascade holds 164 centrifuges. So that made sense, that was a match.
کلاهک دیجیتال بزرگ-- که تلاش زیادی روی آن انجام دادیم با بررسی خیلی موشکفانه بر داده و ساختار دادهها. برای مثال عدد ۱۶۴ خیلی برجسته و مشخص که به راحتی نمیشود از آن چشم پوشی کرد. من درمنابع علمی شروع به تحقیق در مورد چگونگی ساخت این سانتریفیوژها در نطنز کردم و فهمیدم که آنها دارای ساختاری هستند که به آن آبشار میگویند و هر آبشار شامل ۱۶۴ سانتریفیوژ است. خب منطقی به نظر میامد و مطابقت داشت.
And it even got better. These centrifuges in Iran are subdivided into 15, what is called, stages. And guess what we found in the attack code? An almost identical structure. So again, that was a real good match. And this gave us very high confidence for what we were looking at. Now don't get me wrong here, it didn't go like this. These results have been obtained over several weeks of really hard labor. And we often went into just a dead end and had to recover.
و حتی بهتر هم شد. در ایران این سانتریفیوژها به دستههای ۱۵تایی تقسیم میشوند که مراحل نام دارند. و حدس بزنید چی توی کد حمله پیدا کردیم؟ یک ساختار تقریبا یکسان. که باز مطابقت خیلی خوب دیگری بود. و این اطمینان را می داد که دنبال چه بودیم. اشتباه نکنید همه چیز به همین راحتی پیش نرفت. این نتایج طی هفتهها کار پرفشار بدست آمد. و چند باری به ته خط رسیدیم و مجبور بودیم از نو شروع کنیم.
Anyway, so we figured out that both digital warheads were actually aiming at one and the same target, but from different angles. The small warhead is taking one cascade, and spinning up the rotors and slowing them down, and the big warhead is talking to six cascades and manipulating valves. So in all, we are very confident that we have actually determined what the target is. It is Natanz, and it is only Natanz. So we don't have to worry that other targets might be hit by Stuxnet.
در هر صورت فهمیدیم که هر دو کلاهک دیجیتالی هدفی یکسان را نشانه گرفتند، اما از زاویههای متفاوت. کلاهک کوچک هدفش یک آبشار است، چرخاندن بیشتر روترها و کاهش سرعتشان، و کلاهک بزرگتر با شش آبشار در ارتباط است و دریچهها را دستکاری میکند. در کل، یقین کامل داریم که ما درواقع تعیین کردیم که هدف کجاست، هدف نطنزاست و تنها نطنز است. پس نیازی نیست نگران باشیم که اهداف دیگری شاید مورد حمله استاکس نت قرار بگیرند.
Here's some very cool stuff that we saw -- really knocked my socks off. Down there is the gray box, and on the top you see the centrifuges. Now what this thing does is it intercepts the input values from sensors -- so for example, from pressure sensors and vibration sensors -- and it provides legitimate program code, which is still running during the attack, with fake input data. And as a matter of fact, this fake input data is actually prerecorded by Stuxnet. So it's just like from the Hollywood movies where during the heist, the observation camera is fed with prerecorded video. That's cool, huh?
چیزهای خیلی جالبی دیدیم-- که من را واقعا حیرت زده کرد. در قسمت پایین مستطیل خاکستری رنگ و در بالا سانتریفیوژها را می بینید. خب حالا این چه کار میکند-- جلوی مقادیر ارسالی از حسگرها را سد میکند-- برای مثال، از حسگرهای فشار و حسگرهای ارتعاش-- و کد قانونی فراهم میکند که در طول حمله به اجرای خود با اطلاعات ورودی ساختگی ادمه می دهد. و در حقیقت این داده ورودی ساختگی درواقع از قبل توسط استاکس نت ذخیره شده است. همانند فیلمهای هالیوودی که در حین سرقت ویدیوهای از قبل ضبط شده به دوربینهای محافظتی ارسال میشود. با حال است، نه؟
The idea here is obviously not only to fool the operators in the control room. It actually is much more dangerous and aggressive. The idea is to circumvent a digital safety system. We need digital safety systems where a human operator could not act quick enough. So for example, in a power plant, when your big steam turbine gets too over speed, you must open relief valves within a millisecond. Obviously, this cannot be done by a human operator. So this is where we need digital safety systems. And when they are compromised, then real bad things can happen. Your plant can blow up. And neither your operators nor your safety system will notice it. That's scary.
ایده به طور مشخص این نیست که تنها اپراتور اتاق کنترل را دست به سر کند. در واقع بسیار خطرناکتر و مهاجمتر است. ایده این است که سیستم ایمنی دیجیتال را از کار بیاندازد. سیستمهای ایمنی دیجیتال در جاهایی نیازند که اپراتور انسانی بحد کافی سریع نیست. مثلا در نیروگاههای انرژی، زمانی که توربین بخار بزرگ سرعتش بیش از حد زیاد میشود. باید دریچههای آسودگی را در یک میلی ثانیه باز کنید. مشخصا کار اپراتور انسان نیست. خب اینجاست که سیستم ایمنی دیجیتال لازم داریم. و زمانی که آنها در اختیار گرفته شده باشند، اتفاقات بدی ممکن است رخ دهد. نیروگاه ممکن منفجر شود. و نه اپراتور و نه سیستم ایمنی دیجیتال متوجه آن نمیشود. وحشتناک است.
But it gets worse. And this is very important, what I'm going to say. Think about this: this attack is generic. It doesn't have anything to do, in specifics, with centrifuges, with uranium enrichment. So it would work as well, for example, in a power plant or in an automobile factory. It is generic. And you don't have -- as an attacker -- you don't have to deliver this payload by a USB stick, as we saw it in the case of Stuxnet. You could also use conventional worm technology for spreading. Just spread it as wide as possible. And if you do that, what you end up with is a cyber weapon of mass destruction. That's the consequence that we have to face. So unfortunately, the biggest number of targets for such attacks are not in the Middle East. They're in the United States and Europe and in Japan. So all of the green areas, these are your target-rich environments. We have to face the consequences, and we better start to prepare right now.
اما بدتر هم میشود. و چیزی که قرار است بگویم خیلی مهم است. در موردش فکر کنید: این یک حمله عمومی است. به طور خاص ارتباطی با سانتریفیوژها، با تجهیزات غنی سازی اورانیوم ندارد. و ممکن است به خوبی در جاهای دیگر کار کند. مثل نیروگاه انرژی یا کارخانه اتومبیل سازی. عمومی است. و به عنوان حمله گر اجباری نیست-- که پیلود را از طریق حافظه یو اس بی (USB) انتقال دهید، به روشی که ما در استاکس نت دیدم. میشود از فناوری معمول ورمها (کرمها) برای انتشار استفاده گردد. تا جای ممکن آن را منتشر کنید. و با انجام این کار چیزی که حاصل میشود سلاحی سایبری برای تخریب در حجم بالا است. و پیامدی است که باید با آن روبرو شویم. متاسفانه، اهداف بیشترچنین حملاتی در خاورمیانه نیست. بلکه آمریکا، اروپا و ژاپن هستند. تمامی قسمتهای سبز، محیطهایی با اهداف زیاد هستند. ما باید با نتیجه کار رو به رو شویم، و بهتر است خود را همین حالا آماده کنیم.
Thanks.
متشکرم.
(Applause)
(تشویق)
Chris Anderson: I've got a question. Ralph, it's been quite widely reported that people assume that Mossad is the main entity behind this. Is that your opinion?
کریس اندرسون: سوالی دارم. رالف؛ به طور گسترده گزارش شده که مردم تصور میکنند که موساد ماهیت اصلی پشت این اتفاق هست. آیا تو هم اینطوری فکر میکنی؟
Ralph Langner: Okay, you really want to hear that? Yeah. Okay. My opinion is that the Mossad is involved, but that the leading force is not Israel. So the leading force behind that is the cyber superpower. There is only one, and that's the United States -- fortunately, fortunately. Because otherwise, our problems would even be bigger.
رالف لنگنر، باشد، واقعا میخواهید بدانید؟ بله. به عقیده من موساد دخیل است، اما قدرت اصلی و پیشگام اسرائیل نیست. قدرت اصلی پیشرو ابرقدرت سایبری است. تنها یکی هست، و آن هم آمریکاست-- خوشبختانه، خوشبختانه. چون در غیر این صورت مشکلاتمان از این هم بزرگتر میشد.
CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.
ک ا: تشکر از این که ما را ترسوندی. ممنون رالف.
(Applause)
(تشویق )