The idea behind the Stuxnet computer worm is actually quite simple. We don't want Iran to get the bomb. Their major asset for developing nuclear weapons is the Natanz uranium enrichment facility. The gray boxes that you see, these are real-time control systems. Now if we manage to compromise these systems that control drive speeds and valves, we can actually cause a lot of problems with the centrifuge. The gray boxes don't run Windows software; they are a completely different technology. But if we manage to place a good Windows virus on a notebook that is used by a maintenance engineer to configure this gray box, then we are in business. And this is the plot behind Stuxnet.
Ідея, яка лежить в основі комп'ютерного черв'яка Стакснет, насправді доволі проста. Ми не хочемо, щоб Іран отримав бомбу. Їхній головний об'єкт з розробки ядерної зброї -- це завод зі збагачення урану в Натанзі. Сірі коробки, які ви бачите, -- це системи контролю в реальному часі. Тепер, якщо нам вдасться зламати ці системи, які управляють швидкостями обертання і клапанами, ми насправді завдамо багато проблем центрифузі. Сірі коробки працюють не під програмним забезпеченням Windows. Це зовсім інша технологія. Але якщо нам вдасться розмістити хороший Windows вірус на ноутбуці, який використовується інженером технічного обслуговування для налаштування цієї сірої коробки, тоді ми в справі. За таким сценарієм працює Стакснет.
So we start with a Windows dropper. The payload goes onto the gray box, damages the centrifuge, and the Iranian nuclear program is delayed -- mission accomplished. That's easy, huh? I want to tell you how we found that out. When we started our research on Stuxnet six months ago, it was completely unknown what the purpose of this thing was. The only thing that was known is it's very, very complex on the Windows part, the dropper part, used multiple zero-day vulnerabilities. And it seemed to want to do something with these gray boxes, these real-time control systems. So that got our attention, and we started a lab project where we infected our environment with Stuxnet and checked this thing out. And then some very funny things happened. Stuxnet behaved like a lab rat that didn't like our cheese -- sniffed, but didn't want to eat. Didn't make sense to me. And after we experimented with different flavors of cheese, I realized, well, this is a directed attack. It's completely directed. The dropper is prowling actively on the gray box if a specific configuration is found, and even if the actual program code that it's trying to infect is actually running on that target. And if not, Stuxnet does nothing.
І так, ми починаємо із закидання вірусу в Windows. Вірус потрапляє в сіру коробку, завдає шкоди центрифузі, і іранська ядерна програма відкладається -- місія виконана. Це просто, чи не так? Я хочу розповісти вам як ми до цього дійшли. Коли ми почали досліджувати Стакснет шість місяців тому, було абсолютно невідомо для чого потрібна ця річ. Єдине, що було зрозуміло, це те, що її Windows компонента, яка закидується на ноутбук, дуже і дуже складна, і використовує до цих пір декілька невідомих вразливостей. Здається, вона хоче зробити щось з цими сірими коробками, цими системами контролю в реальному часі. Це привернуло нашу увагу і ми почали лабораторний проект, в якому ми заражали наше обладнання Стакснетом і перевіряли наслідки. А потім сталися деякі доволі смішні речі. Стакснет поводив себе як лабораторний щур, якому не подобається наш сир -- принюхався, але не хотів їсти. Ми нічого не розуміли. І після того, як ми поекспериментували з різними ароматами сиру, я зрозумів, що це спрямована атака. Вона повністю скерована. Впроваджена програма активно досліджує сіру коробку, чи знайдені спеціальні налаштування, і, навіть, чи запущена на цій машині програма, яку вона намагається заразити. І якщо ні, то Стакснет нічого не робить.
So that really got my attention, and we started to work on this nearly around the clock, because I thought, "Well, we don't know what the target is. It could be, let's say for example, a U.S. power plant, or a chemical plant in Germany. So we better find out what the target is soon." So we extracted and decompiled the attack code, and we discovered that it's structured in two digital bombs -- a smaller one and a bigger one. And we also saw that they are very professionally engineered by people who obviously had all insider information. They knew all the bits and bites that they had to attack. They probably even know the shoe size of the operator. So they know everything.
Це дійсно привернуло мою увагу і ми почали працювати над цим майже цілодобово, тому що я розумів, що ми не знаємо що це за мета. Це могла бути, наприклад, американська електростанція або хімічний завод в Німеччині. Тому нам необхідно якомога швидше відшукати цю мету. Ми взяли і декомпілювали атакуючий код, і ми виявили, що він являє собою дві цифрові бомби -- меншу й більшу. Ми також побачили, що вони зроблені дуже професійно людьми, які очевидно володіли всією внутрішньою інформацією. Вони знали всі біти та байти, які їм потрібно було атакувати. Вони ймовірно навіть знали розмір взуття оператора. Таким чином, їм було відомо все.
And if you have heard that the dropper of Stuxnet is complex and high-tech, let me tell you this: the payload is rocket science. It's way above everything that we have ever seen before. Here you see a sample of this actual attack code. We are talking about -- around about 15,000 lines of code. Looks pretty much like old-style assembly language. And I want to tell you how we were able to make sense out of this code. So what we were looking for is, first of all, system function calls, because we know what they do.
І якщо ви почули, що програма Стакснет складна і високотехнологічна, дозвольте мені сказати ось що: це як ракетобудування. Це крутіше за все, що нам доводилося бачити до цього. Ось тут ви бачите приклад цього реально атакуючого коду. Ми говоримо про приблизно 15,000 рядків коду. Виглядає дуже схожим на старий-добрий код асемблеру. І я хочу розповісти вам, як нам вдалося розібратися в цьому коді. Перше, на що ми дивилися, це виклики системних функцій, тому що ми знали, що вони роблять.
And then we were looking for timers and data structures and trying to relate them to the real world -- to potential real world targets. So we do need target theories that we can prove or disprove. In order to get target theories, we remember that it's definitely hardcore sabotage, it must be a high-value target and it is most likely located in Iran, because that's where most of the infections had been reported. Now you don't find several thousand targets in that area. It basically boils down to the Bushehr nuclear power plant and to the Natanz fuel enrichment plant.
І потім ми дивилися на таймери і структури даних і намагалися пов'язати їх з реальним світом -- потенційними мішенями в реальному світі. Нам потрібні гіпотези про реальні мішені, які б ми могли довести або відхилити. Щоб сформувати такі гіпотези, ми згадали, що це за означенням справжній саботаж, тому ціль повинна мати велику цінність і скоріше за все вона знаходиться в Ірані, тому що там була виявлена найбільша кількість заражень. І ви не знайдете там декілька тисяч потенційних об'єктів. В кінці-кінців все зводиться до атомної електростанції в Бушері та до заводу по збагаченню урану в Натанзі.
So I told my assistant, "Get me a list of all centrifuge and power plant experts from our client base." And I phoned them up and picked their brain in an effort to match their expertise with what we found in code and data. And that worked pretty well. So we were able to associate the small digital warhead with the rotor control. The rotor is that moving part within the centrifuge, that black object that you see. And if you manipulate the speed of this rotor, you are actually able to crack the rotor and eventually even have the centrifuge explode. What we also saw is that the goal of the attack was really to do it slowly and creepy -- obviously in an effort to drive maintenance engineers crazy, that they would not be able to figure this out quickly.
Тому я сказав своєму асистенту: "Дай мені список всіх центрифуг і спеціалістів по електростанціям з нашої клієнтської бази." Я обдзвонив їх усіх і використав їх мозок в зусиллях співставити їх досвід з тим, що ми знайшли в коді та даних. І це чудово спрацювало. Ми змогли співставити невелику цифрову боєголовку з управлінням ротора. Ротор -- це рухома частина всередині центрифуги, той чорний об'єкт, що ви бачите. І якщо ви управляєте швидкістю цього ротора, ви насправді можете його зламати і в результаті навіть підірвати центрифугу. Що ми також побачили це те, що мета атаки була зробити це повільно і акуратно -- очевидно зі спробою довести до божевілля інженерів обслуги, щоб вони не змогли швидко полагодити це.
The big digital warhead -- we had a shot at this by looking very closely at data and data structures. So for example, the number 164 really stands out in that code; you can't overlook it. I started to research scientific literature on how these centrifuges are actually built in Natanz and found they are structured in what is called a cascade, and each cascade holds 164 centrifuges. So that made sense, that was a match.
Велика цифрова боєголовка -- ми зрозуміли для чого вона, вивчаючи ретельніше дані і структури даних. Наприклад, число 164 виділяється в цьому коді; її складно не помітити. Я почав вивчати наукову літературу про те, як ці центрифуги будувались в Натанзі і виявив, що вони мають структуру, яка називається каскадом, і кожен каскад містить 164 центрифуги. Це мало сенс, і це було збігом.
And it even got better. These centrifuges in Iran are subdivided into 15, what is called, stages. And guess what we found in the attack code? An almost identical structure. So again, that was a real good match. And this gave us very high confidence for what we were looking at. Now don't get me wrong here, it didn't go like this. These results have been obtained over several weeks of really hard labor. And we often went into just a dead end and had to recover.
Вийшло навіть краще. Ці центрифуги в Ірані були розподілені на 15, як це називається, ступенів. І здогадайтеся, що ми знайшли в атакуючому коді? Майже ту ж саму структуру. І знову таки, це був дійсно чудовий збіг. Це надало нам високої впевненості в тому, що ми розуміємо з чим маємо справу. Не зрозумійте мене неправильно, це відбувалося не так. Ці результати були отримані впродовж декількох тижнів тяжкої роботи в лабораторії. Ми часто заходили в глухий кут і починали все спочатку.
Anyway, so we figured out that both digital warheads were actually aiming at one and the same target, but from different angles. The small warhead is taking one cascade, and spinning up the rotors and slowing them down, and the big warhead is talking to six cascades and manipulating valves. So in all, we are very confident that we have actually determined what the target is. It is Natanz, and it is only Natanz. So we don't have to worry that other targets might be hit by Stuxnet.
В будь-якому випадку, ми з'ясували, що обидві цифрові боєголовки були націлені на одну і ту саму ціль, але з різних кутів. Маленька боєголовка бралась за один каскад, розкручувала і сповільнювала ротори, а велика боєголовка бралась за шість каскадів і маніпулювала вентилями. В результаті, ми впевнені, що насправді визначили, що є ціллю. Це Натанх і тільки Натанз. Тому нам не потрібно хвилюватися, що інші мішені можуть бути вражені Стакснетом.
Here's some very cool stuff that we saw -- really knocked my socks off. Down there is the gray box, and on the top you see the centrifuges. Now what this thing does is it intercepts the input values from sensors -- so for example, from pressure sensors and vibration sensors -- and it provides legitimate program code, which is still running during the attack, with fake input data. And as a matter of fact, this fake input data is actually prerecorded by Stuxnet. So it's just like from the Hollywood movies where during the heist, the observation camera is fed with prerecorded video. That's cool, huh?
Ось дещо дуже класне, що ми побачили, -- реально знесло мені дах. Знизу знаходиться сіра коробка, а зверху ви бачите центрифуги. І що робить ця штука, вона перехоплює вхідні дані з датчиків, наприклад, з датчиків тиску і датчиків вібрації, і передає вихідному коду, який все ще працює під час атаки, підроблені вхідні дані. І насправді, ці підроблені вхідні дані записані в Стакснет. Це точно так само, як в голівудських фільмах, коли під час пограбування камері спостереження подається попередньо записане відео. Це круто, чи не так?
The idea here is obviously not only to fool the operators in the control room. It actually is much more dangerous and aggressive. The idea is to circumvent a digital safety system. We need digital safety systems where a human operator could not act quick enough. So for example, in a power plant, when your big steam turbine gets too over speed, you must open relief valves within a millisecond. Obviously, this cannot be done by a human operator. So this is where we need digital safety systems. And when they are compromised, then real bad things can happen. Your plant can blow up. And neither your operators nor your safety system will notice it. That's scary.
Ідея тут, звісно, не тільки в тому, щоб перехитрити операторів з кімнати управління. Насправді все набагато небезпечніше та агресивніше. Ідея в тому, щоб обійти цифрову систему безпеки. Нам потрібні цифрові системи безпеки там, де людина не може діяти достатньо швидко. Наприклад, на електростанції, коли велика турбіна занадто швидко прискорюється, вам необхідно відчинити запобіжні клапани впродовж мілісекунди. Очевидно, що людина на таке не здатна. Тому ось саме тут нам потрібні цифрові системи безпеки. І якщо вони зламані, то можуть трапитись дійсно погані речі. Ваша станція може підірватися. І ні оператори, ні ваша система цифрової безпеки цього не помітить. Це страшно.
But it gets worse. And this is very important, what I'm going to say. Think about this: this attack is generic. It doesn't have anything to do, in specifics, with centrifuges, with uranium enrichment. So it would work as well, for example, in a power plant or in an automobile factory. It is generic. And you don't have -- as an attacker -- you don't have to deliver this payload by a USB stick, as we saw it in the case of Stuxnet. You could also use conventional worm technology for spreading. Just spread it as wide as possible. And if you do that, what you end up with is a cyber weapon of mass destruction. That's the consequence that we have to face. So unfortunately, the biggest number of targets for such attacks are not in the Middle East. They're in the United States and Europe and in Japan. So all of the green areas, these are your target-rich environments. We have to face the consequences, and we better start to prepare right now.
Але буде ще страшніше. І те, що я збираюсь сказати, дуже важливо. Поміркуйте: ця атака універсальна. Немає нічого спільного, особливо, з центрифугами, зі збагаченням урану. Тому це добре спрацювало б, наприклад, на електростанції або на автомобільному заводі. Це універсально. І вам не потрібно як тому, хто атакує, завантажувати цей корисний вантаж через USB, як ми бачили це у випадку зі Стакснетом. Ви також можете використати технологію розповсюдження за допомогою черв'яків. Просто розповсюджуйте його настільки, наскільки це можливо. І якщо ви зробите це, ви отримаєте кібер-зброю масового ураження. Це наслідок, який ми повинні визнати. На наше нещастя, найбільша кількість потенційних мішеней для атак знаходиться не на Близькому Сході. Вони знаходяться в Сполучених Штатах, Європі та Японії. Всі ці зелені зони, все це області з великою кількістю мішеней. Ми повинні визнати наслідки, і ми повинні почати готуватися до них вже зараз.
Thanks.
Дякую.
(Applause)
(Оплески)
Chris Anderson: I've got a question. Ralph, it's been quite widely reported that people assume that Mossad is the main entity behind this. Is that your opinion?
Кріс Андерсон: у мене є запитання. Ральф, доволі широко відомо, що люди вважають, що Моссад є головним, хто за цим стоїть. Як ви вважаєте?
Ralph Langner: Okay, you really want to hear that? Yeah. Okay. My opinion is that the Mossad is involved, but that the leading force is not Israel. So the leading force behind that is the cyber superpower. There is only one, and that's the United States -- fortunately, fortunately. Because otherwise, our problems would even be bigger.
Ральф Ленгнір: Що ж, ви дійсно хочете почути це? Добре, добре. На мій погляд, Моссад бере в цьому участь, але провідною силою є не Ізраїль. Провідна сила, яка за цим стоїть, це супер кібер-держава. Є тільки одна така, і це сполучені Штати -- на щастя, на щастя. Тому що в іншому випадку, у нас були б набагато більші проблеми.
CA: Thank you for scaring the living daylights out of us. Thank you, Ralph.
К.А.: Дякую за те, що налякали нас до смерті. Дякую, Ральф.
(Applause)
(Оплески)