The idea behind the Stuxnet computer worm is actually quite simple. We don't want Iran to get the bomb. Their major asset for developing nuclear weapons is the Natanz uranium enrichment facility. The gray boxes that you see, these are real-time control systems. Now if we manage to compromise these systems that control drive speeds and valves, we can actually cause a lot of problems with the centrifuge. The gray boxes don't run Windows software; they are a completely different technology. But if we manage to place a good Windows virus on a notebook that is used by a maintenance engineer to configure this gray box, then we are in business. And this is the plot behind Stuxnet.
A Stuxnet számítógépes féregvírus ötlete tulajdonképpen nagyon egyszerű. Nem akarjuk, hogy Iránnak atombombája legyen. Az ő legfontossabb eszközük a nukleáris fegyverek fejlesztéséhez a natanzi urándúsító létesítmény. Az itt látható szürke dobozok, valós idejű ipari vezérlő rendszerek. Ha sikerül kompromittálni ezeket a rendszereket, amelyek a motorok sebességét és a szelepeket vezérlik, tényleg sok problémát okozhatunk a centrifugákkal. A szürke dobozokon nem Windows szoftver fut, ezek teljesen más technológia. De ha sikerül elhelyezni egy jó Windows-os vírust egy notebookon, amelyiket egy gépész mérnök használ a szürke dobozok beállításához, akkor kész a siker. És ez a Stuxnet forgatókönyve.
So we start with a Windows dropper. The payload goes onto the gray box, damages the centrifuge, and the Iranian nuclear program is delayed -- mission accomplished. That's easy, huh? I want to tell you how we found that out. When we started our research on Stuxnet six months ago, it was completely unknown what the purpose of this thing was. The only thing that was known is it's very, very complex on the Windows part, the dropper part, used multiple zero-day vulnerabilities. And it seemed to want to do something with these gray boxes, these real-time control systems. So that got our attention, and we started a lab project where we infected our environment with Stuxnet and checked this thing out. And then some very funny things happened. Stuxnet behaved like a lab rat that didn't like our cheese -- sniffed, but didn't want to eat. Didn't make sense to me. And after we experimented with different flavors of cheese, I realized, well, this is a directed attack. It's completely directed. The dropper is prowling actively on the gray box if a specific configuration is found, and even if the actual program code that it's trying to infect is actually running on that target. And if not, Stuxnet does nothing.
Tehát egy Windows dropperel - potyogtatóval - indítunk. A hasznos teher, maga a vírus, átmegy a szürke dobozba, károsítja a centrifugát, és az iráni nukleáris program késleltetve van -- feladat teljesítve. Ez könnyű, nemde? El akarom mondani, hogy jöttünk erre rá. Amikor hat hónappal ezelőtt elkezdtük a Stuxnet kutatását, a féregvírus célja teljesen ismeretlen volt. Az egyetlen ismert tény az volt, hogy nagyon komplex a Windows része, a dropper része, több javítatlan sérülékenységet használt ki. És úgy tűnt akar valamit tenni ezekkel a szürke dobozokkal, a valós idejű vezérlő rendszerekkel. Tehát ez felkeltette az érdeklődésünket, és elindítottunk egy labor projektet, ahol megfertőztük a környezetünket Stuxnet-el és ellenőriztük ezt a dolgot. És akkor néhány furcsa dolog történt. Stuxnet úgy viselkedett mint egy laborpatkány amelyiknek nem ízlik a mi sajtunk -- szimatolt, de nem akarta megenni. Ennek semmi értelme nem volt. És miután kipróbáltunk különböző ízű sajtokat, rájöttem, hogy ez egy célzott támadás. Teljesen célzott. A dropper csak akkor aktiválódik a szürke dobozon ha megtalál egy sajátos konfigurációt, és csak akkor ha a megfertőzendő program valóban fut azon a célponton. És ha nem, akkor a Stuxnet passzív marad.
So that really got my attention, and we started to work on this nearly around the clock, because I thought, "Well, we don't know what the target is. It could be, let's say for example, a U.S. power plant, or a chemical plant in Germany. So we better find out what the target is soon." So we extracted and decompiled the attack code, and we discovered that it's structured in two digital bombs -- a smaller one and a bigger one. And we also saw that they are very professionally engineered by people who obviously had all insider information. They knew all the bits and bites that they had to attack. They probably even know the shoe size of the operator. So they know everything.
Ez aztán csakugyan felkeltette az érdeklődésemet, és elkezdtünk ezen dolgozni majdnem megállás nélkül, mert azt gondoltam: nem tudjuk mi a célpont. Lehetne, például egy amerikai erőmű, vagy egy németországi kémiai üzem. Tehát jobb, ha minél előbb megtaláljuk a célpontot. Ezért elkülönítettük és visszafejtettük a támadó programot, és felfedeztük, hogy két digitális bombából áll -- egy kissebből és egy nagyobból. És azt is láttuk, hogy nagyon profin vannak megtervezve, olyan emberek által, akiknek voltak belső információik. Ők ismerték az összes bitet és bájtot, amit meg kellett támadniuk. Valószínűleg még a kezelő cipőméretét is tudták. Tehát mindent tudtak a célpontról.
And if you have heard that the dropper of Stuxnet is complex and high-tech, let me tell you this: the payload is rocket science. It's way above everything that we have ever seen before. Here you see a sample of this actual attack code. We are talking about -- around about 15,000 lines of code. Looks pretty much like old-style assembly language. And I want to tell you how we were able to make sense out of this code. So what we were looking for is, first of all, system function calls, because we know what they do.
És hogyha a Stuxnet droppert komplexnek és csúcstechnológiának mondják, hadd mondjam ezt nektek: a hasznos teher - maga a vírus - pedig űrtechnológia. Sokkal fejlettebb bárminél, amit eddig valaha is láttunk. Itt látják a valódi támadó program egy részét. Mi most körülbelül 15.000 programsorról beszélünk. Úgy néz ki, mint a régi assembler nyelv. És el akarom mondani, hogyan értettük meg ezt a programot. Amit legelőször kerestünk azok a rendszerfüggvény hívások voltak, mert ezekról tudjuk, mit csinálnak.
And then we were looking for timers and data structures and trying to relate them to the real world -- to potential real world targets. So we do need target theories that we can prove or disprove. In order to get target theories, we remember that it's definitely hardcore sabotage, it must be a high-value target and it is most likely located in Iran, because that's where most of the infections had been reported. Now you don't find several thousand targets in that area. It basically boils down to the Bushehr nuclear power plant and to the Natanz fuel enrichment plant.
Azután pedig időzítéseket és adat struktúrákat kerestünk és próbáltuk őket a valós világhoz kötni -- potenciális valós világbeli célpontokhoz. Tehát célpont elméletekre volt szükségünk, amiket tudtunk bizonyítani vagy cáfolni. Hogy célpont elméleteket kapjunk, emlékezzünk, hogy ez minden bizonnyal komoly szabotázs, magas értékű célpont ellen, és a célpont nagy valószínűséggel Iránban van, mert onnan jelentették a legtöbb fertőzést. Nos, ebben a zónában nem találsz több ezer célpontot. Tulajdonképpen csak a bushehri atomerőműről és a natanzi üzemanyagdúsítóról lehet szó.
So I told my assistant, "Get me a list of all centrifuge and power plant experts from our client base." And I phoned them up and picked their brain in an effort to match their expertise with what we found in code and data. And that worked pretty well. So we were able to associate the small digital warhead with the rotor control. The rotor is that moving part within the centrifuge, that black object that you see. And if you manipulate the speed of this rotor, you are actually able to crack the rotor and eventually even have the centrifuge explode. What we also saw is that the goal of the attack was really to do it slowly and creepy -- obviously in an effort to drive maintenance engineers crazy, that they would not be able to figure this out quickly.
Tehát szóltam az asszisztensemnek: "Írj egy listát az összes centrifuga és erőmű szakértőről az adatbázisunkban." Majd felhívtam őket és faggattam őket azért, hogy összeillesszem az ő szakértelmüket azzal, amit találtunk a programban és az adatokban. És ez elég jól ment. Képesek voltunk összekapcsolni a kissebb digitális robbanófejet a centrifuga forgórész vezérlésével. A forgórész a centrifuga mozgó része, a fekete tárgy amit látnak. És hogyha mesterkedsz a forgórész sebességével, valóban képes vagy tönkretenni a forgórészt és végül esetleg a centrifugát is felrobbanthatod. Szintén láttuk még, hogy a támadás célja igazából az volt, hogy lassan és settenkedve történjen, nyilvánvalóan azért, hogy megbolondítsa a karbantartó mérnököket, és ne tudjanak gyorsan rájönni erre.
The big digital warhead -- we had a shot at this by looking very closely at data and data structures. So for example, the number 164 really stands out in that code; you can't overlook it. I started to research scientific literature on how these centrifuges are actually built in Natanz and found they are structured in what is called a cascade, and each cascade holds 164 centrifuges. So that made sense, that was a match.
A nagyobbik digitális robbanófej -- ennek is megnéztük nagyon aprólékosan az adatait és az adat struktúráit. Például a 164-es szám kiugrik abban a programban, nem tudsz elsiklani fölötte. Elkezdtem kutatni a tudományos irodalomban hogyan vannak felépítve ezek a centrifugák Natanzban, és azt találtam, hogy fürtökbe vannak szervezve, mindegyik fürtben 164 centrifuga van. Ennek volt értelme, egy megfelelés volt.
And it even got better. These centrifuges in Iran are subdivided into 15, what is called, stages. And guess what we found in the attack code? An almost identical structure. So again, that was a real good match. And this gave us very high confidence for what we were looking at. Now don't get me wrong here, it didn't go like this. These results have been obtained over several weeks of really hard labor. And we often went into just a dead end and had to recover.
És még ennél is jobb lett. Azok a centrifugák Iránban fel voltak osztva 15 fázisra. És mit találtunk a támadó programban? Egy majdnem azonos strúktúrát. Ez egy nagyon jó megfelelés volt. És ez nagy bizonyosságot adott a célpont felől. Ne értsenek félre, nem volt ilyen egyszerű. Ezeket az eredményeket több heti kemény labormunka hozta meg. És néha zsákutcába jutottunk és újra kellett kezdeni.
Anyway, so we figured out that both digital warheads were actually aiming at one and the same target, but from different angles. The small warhead is taking one cascade, and spinning up the rotors and slowing them down, and the big warhead is talking to six cascades and manipulating valves. So in all, we are very confident that we have actually determined what the target is. It is Natanz, and it is only Natanz. So we don't have to worry that other targets might be hit by Stuxnet.
Végülis, rájöttünk, hogy mindkét digitális robbanófej valójában ugyanazt a célpontot támadta, de különböző szögből. A kissebbik egy fürtöt támadott, és felgyorsította illetve lelassította a forgórészt, míg a nagyobbik robbanófej egyszerre hat fürtnek a szelepeit manipulálta. Tehát, nagyon biztosak voltunk benne, hogy csakugyan meghatároztuk a célpontot. Ez Natanz és csakis Natanz. Tehát nem kell aggódni, hogy a Stuxnet megtámad más célpontokat.
Here's some very cool stuff that we saw -- really knocked my socks off. Down there is the gray box, and on the top you see the centrifuges. Now what this thing does is it intercepts the input values from sensors -- so for example, from pressure sensors and vibration sensors -- and it provides legitimate program code, which is still running during the attack, with fake input data. And as a matter of fact, this fake input data is actually prerecorded by Stuxnet. So it's just like from the Hollywood movies where during the heist, the observation camera is fed with prerecorded video. That's cool, huh?
Íme néhány nagyon klassz dolog amit láttunk -- igazán mellbe vágott. Itt lenn van a szürke doboz, és felül látják a centrifugákat. Ez a dolog tulajdonképpen elfogja az érzékelők bemeneti értékeit -- például a nyomásérzékelőktől és a rezgésérzékelőktől -- és hamis adatokat ad az eredeti programnak, amelyik szintén fut a támadás alatt. És valójában ez a hamis adat előre rögzítve van a Stuxnet által. Pont olyan, mint a hollywoodi filmekben, amikor a rablás alatt a megfigyelő kamerát előre rögzített videóval látják el. Ez klassz, nemde?
The idea here is obviously not only to fool the operators in the control room. It actually is much more dangerous and aggressive. The idea is to circumvent a digital safety system. We need digital safety systems where a human operator could not act quick enough. So for example, in a power plant, when your big steam turbine gets too over speed, you must open relief valves within a millisecond. Obviously, this cannot be done by a human operator. So this is where we need digital safety systems. And when they are compromised, then real bad things can happen. Your plant can blow up. And neither your operators nor your safety system will notice it. That's scary.
Nyilvánvalóan itt nem csak a vezérlőterembeli kezelőket akarták átverni. Ez ennél sokkal veszélyesebb és agresszívebb. A cél az, hogy kijátsza a digitális biztonsági rendszert. Szükségünk van digitális biztonsági rendszerekre ahol a humán kezelő nem tud elég gyorsan cselekedni. Például, egy erőműben, amikor a nagy gőzturbina túlgyorsul, a biztonsági szelepet egy ezred másodperc alatt ki kell nyitni. Nyilvánvaló, hogy ezt egy humán kezelő nem tudja megtenni. Tehát ilyenkor szükségünk van a digitális biztonsági rendszerekre. És amikor ezek csődöt mondanak, akkor igazán rossz dolgok történhetnek. Felrobbanhat az üzemed. És sem a kezelők, sem a biztonsági rendszer nem veszi észre. Ez ijesztő.
But it gets worse. And this is very important, what I'm going to say. Think about this: this attack is generic. It doesn't have anything to do, in specifics, with centrifuges, with uranium enrichment. So it would work as well, for example, in a power plant or in an automobile factory. It is generic. And you don't have -- as an attacker -- you don't have to deliver this payload by a USB stick, as we saw it in the case of Stuxnet. You could also use conventional worm technology for spreading. Just spread it as wide as possible. And if you do that, what you end up with is a cyber weapon of mass destruction. That's the consequence that we have to face. So unfortunately, the biggest number of targets for such attacks are not in the Middle East. They're in the United States and Europe and in Japan. So all of the green areas, these are your target-rich environments. We have to face the consequences, and we better start to prepare right now.
De lesz ez rosszabb is. És amit mondani fogok, nagyon fontos. Gondolják el. Ez a támadás általános. A részleteiben semmi dolga a centrifugákkal, az uránium dúsítással. Tehát működött volna például egy erőműben vagy egy személygépkocsi gyárban. Általános. És mint támadó, nem kell USB memóriakártyán szállítani a hasznos terhet, mint a Stuxnet esetében láttuk. Használhatsz hagyományos féreg technológiát a terjesztésre. Csak terjeszd el a legszélesebb körben. És ha ezt megteszed, végül kapsz egy tömegpusztító kibernetikus fegyvert. Ez a következmény, amivel szembe kell nézzünk. Sajnos az ilyen támadások célpontjainak többsége nem a Közel-Keleten van. Hanem az Egyesült Államokban, Európában és Japánban. Ezek a zöld területek mind célpont gazdag környezetek. Szembe kell néznünk a következményekkel, és jobb ha azonnal elkezdünk felkészülni.
Thanks.
Köszönöm.
(Applause)
(Taps)
Chris Anderson: I've got a question. Ralph, it's been quite widely reported that people assume that Mossad is the main entity behind this. Is that your opinion?
Chris Anderson: Van egy kérdésem. Ralph, széles körben megírták, hogy feltételezik, hogy a Mossad a fő szereplő emögött a támadás mögött. Ez a te véleményed is?
Ralph Langner: Okay, you really want to hear that? Yeah. Okay. My opinion is that the Mossad is involved, but that the leading force is not Israel. So the leading force behind that is the cyber superpower. There is only one, and that's the United States -- fortunately, fortunately. Because otherwise, our problems would even be bigger.
Ralph Langner: Rendben, szóval igazán akarod hallani? Jó, legyen. Szerintem a Mossad benne van, de a vezető erő nem Izrael. A vezető erő emögött a kibernetikai szuperhatalom. Csak egy ilyen van, és ez az Egyesült Államok -- szerencsére, szerencsére. Mert máskülönben, még nagyobbak lennének a problémáink.
CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.
CA: Köszönöm, hogy halálra rémisztettél minket. Köszönöm Ralph.
(Applause)
(Taps)