Эксперты "Лаборатории Касперского" провели исследование червя Stuxnet и пришли к неутешительному выводу, что данная вредоносная программа знаменует собой начало новой эры кибервойн.
Специалисты антивирусной компании отмечают, что на данный момент нет достаточной информации, позволяющей идентифицировать организаторов атаки или цель, на которую она направлена. Однако несомненно, что это технически сложная атака, за которой стоит хорошо финансируемая, высококвалифицированная команда, обладающая глубокими знаниями в области технологии SCADA. По мнению аналитиков "Лаборатории Касперского", подобная атака могла быть осуществлена только с поддержкой и с одобрения суверенного государства.
"Я думаю, что это поворотный момент - теперь мы живем в совершенно новом мире, потому что раньше были только киберпреступники, а теперь, боюсь, пришло время кибертерроризма, кибероружия и кибервойн, - сказал Евгений Касперский, соучредитель и генеральный директор "Лаборатории Касперского". - Эта вредоносная программа предназначена не для кражи денег, рассылки спама или воровства личных данных - нет, этот зловред создан для вывода из строя заводов, повреждения промышленных систем. Девяностые были десятилетием кибервандалов, двухтысячные - эпохой онлайн-преступников, теперь наступает эра цифрового терроризма".
Изучив червя, эксперты "Лаборатории Касперского" обнаружили, что он использовал четыре различные неизвестные ранее уязвимости "нулевого дня" (zero-day) и два действительных сертификата (выпущенных компаниями Realtek и JMicron), которые позволили зловреду долгое время избегать попадания на экраны антивирусных радаров. Конечной целью червя был доступ к системам предприятий Simatic WinCC SCADA, которые используются для мониторинга и управления промышленными, инфраструктурными и сервисными процессами. Подобные системы широко применяются в нефтепроводах, электростанциях, крупных системах связи, аэропортах, судах и даже на военных объектах по всему миру.
"Лаборатория Касперского" считает, что Stuxnet представляет собой прототип кибероружия, создание которого повлечет за собой новую всемирную гонку вооружений. На сей раз это будет гонка кибервооружений.
kaspersky.ru/
Stuxnet таки добрался до иранского ядерного завода в Бушехре
Сегодня появилась новость о том, что официальное новостное агентство Ирана сообщило о поражении некоторых компьютерных систем ядерного иранского завода комплексным червем Stuxnet. Ранее специалисты заявляли, что этот вредоносный код «заточен» под промышленные объекты, и сразу же нашлись эксперты, утверждающие, что этот червь и был создан для поражения иранского ядерного завода. Понятно, что спекуляции на эту тему ведутся во множестве СМИ, от очень серьезных изданий до «желтой» прессы, однако пока нет никаких доказательств тому, что Stuxnet создан для Ирана.
Махмуд Джафари, глава ядерного завода Бушехра, утверждает, что хотя червь и поразил некоторые компьютерные системы производства, но не причинил никакого вреда главным системам завода.
Сейчас существует два главных мнения экспертов по компьютерной безопасности, насчет этого червя. Первое — «Stuxnet не обязательно создан кем-то для поражения промышленных мощностей Ирана» и второе — «Stuxnet создан силами не одного хакера, а целым комплексом специалистов, прекрасно разбирающихся в функционировании промышленного проприетарного ПО, особенно ПО».
Последнее мнение основано на том факте, что Stuxnet, во-первых, имеет чрезвычайно сложную структуру, над которой до сих пор работают эксперты. Во-вторых, в коде Stuxnet отсутствуют индивидуальные «метки», которые присущи практически любому ПО, создаваемому отдельными личностями. В общем, вероятность того, что Stuxnet создан каким-либо одиноким хакером, равна нулю.
И еще — те же эксперты (например, Поль Фергюсон из TrendMicro) считают, что с появлением такого червя, как Stuxnet, в мире появилось действительно серьезное кибер-оружие, которое не ворует чьи-то там номера кредитных карт, а способно привести к очень серьезной аварии на очень опасных промышленных объектах. Такой тип угрозы, согласно тому же Фергюсону, является «абсолютно новым, и это причина того, что многие эксперты начали буквально запугивать правительство для того, чтобы то начало принимать серьезные меры безопасности».
Stuxnet привлек внимание и отечественных специалистов. «Злоумышленники постарались разработать свою программу таким образом, чтобы она привлекала к себе как можно меньше внимания. Способ заражения Win32/Stuxnet тоже уникален, так как ПО использует неизвестную ранее уязвимость. А возможность проникновения вируса на ПК через USB-накопители позволяет в короткие сроки получить большую распространенность», — прокомментировал ситуацию Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства Eset.
Стоит отметить, что слухи о направленности Stuxnet на Иран вполне могут оказаться полностью беспочвенными, поскольку наиболее распространен пока этот вирус в США, затем уж в Иране. Россия пока на третьем месте.
Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства Eset, предоставил новую статистику по распространению вируса, за что ему огромное спасибо. Вот самая новая статистика, где видно, что Иран таки лидирует в указанном списке:
Iran — 52,2%
Indonesia — 17,4%
India — 11,3%
И наконец, мнение Александра о том, для чего был «заточен» вирус: «Мое личное мнение Бушер мог быть лишь одной из целей, но ничто не указывает на то, что она единственная или основная. Например, в Германии было зафиксировано несколько случаев заражений на АЭС. Я согласен с мнением моего коллеги высказанное сегодня в нашем англоязычном блоге (http://blog.eset.com/2010/09/25/cyberwar-cyberhisteria)».
ESET выпускает аналитический отчет о черве для промышленного шпионажа Win32/Stuxnet
Москва, 24 сентября 2010 г. Компания ESET, международный разработчик антивирусного ПО и решений в области компьютерной безопасности, сообщает о выходе аналитического отчета «Stuxnet Under the Microscope». В исследовании рассмотрены технические особенности внутреннего устройства червя Win32/Stuxnet, характер его распространения, а также цели, преследуемые создателями вредоносной программы.
Червь Win32/Stuxnet был обнаружен специалистами ESET в начале июля 2010 года. В отличие от большинства вредоносных программ, которые ежедневно появляются в сети Интернет и нацелены на широкий спектр компьютеров, Win32/Stuxnet рассчитан на узкий круг корпоративных систем. Задача данного червя состоит во внедрении вредоносного функционала в промышленные информационные системы класса SCADA.
«Мы впервые столкнулись со столь хорошо спроектированной и продуманной до мелочей вредоносной программой, – говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства ESET. – Каждый нюанс работы Win32/Stuxnet преследует определенную цель. Червь располагает механизмами контроля количества заражений и самоликвидации. Атаки с использованием столь сложного ПО готовятся очень длительное время. Без всякого сомнения, Win32/Stuxnet имеет целевую направленность».
Win32/Stuxnet разработан группой высококвалифицированных специалистов, которые хорошо ориентируются в слабых местах современных средств информационной безопасности. Червь сделан таким образом, чтобы оставаться незамеченным как можно дольше. В качестве механизмов распространения вредоносная программа использует несколько серьезных уязвимостей с возможностью удаленного выполнения кода, некоторые из которых остаются незакрытыми и сегодня. Стоимость таких уязвимостей на черным рынке может достигать 10 тысяч евро за каждую. А цена уязвимости в обработке LNK/PIF-файлов (MS10-046), позволяющей червю распространяться через внешние носители, еще выше.
Некоторые компоненты Win32/Stuxnet были подписаны легальными цифровыми сертификатами компаний JMicron и Realtek. В результате, вплоть до отзыва сертификатов вредоносное ПО было способно обходить большое количество реализаций технологии защиты от внешних воздействий HIPS (Host Intrusion Prevention System).
«Одной из главных трудностей в процессе анализа стал большой объем кода, – говорит Евгений Родионов, старший специалист по анализу сложных угроз российского представительства ESET. – Только изучив устройство каждого из многочисленных компонентов червя, складывается целостная картина и понимание его возможностей. Наиболее интересной частью работы стало обнаружение незакрытых Microsoft уязвимостей, которые использовались червем в процессе заражения для локального повышения привилегий».
Отчет «Stuxnet Under the Microscope» подготовлен совместными усилиями специалистов ESET из штаб-квартиры в Сан-Диего, вирусной лаборатории в Братиславе и Центра вирусных исследований и аналитики российского представительства ESET. Русскоязычная версия отчета будет опубликована в октябре.
Кто и зачем сделал Stuxnet?
Скажем прямо, первая же версия, родившаяся лично у меня, как только была получена карта заражений и стал понятен принцип работы червя, так и осталась единственной, и все последующие «находки» и сторонние факты только добавляли кирпичиков именно к ней, а не к каким-то другим версиям. Но чтобы не раздувать истерии (а то и международных скандалов) — лучше было помолчать.
Однако постепенно, когда все больше и больше фактов стало проникать в СМИ, тем все чаще и чаще эта же версия стала муссироваться уже и там. Сначала все тише, но в последние дни пару дней она стала основной. Правда, пока еще не озвучена массово, но думаю вот-вот и это произойдет.
Последний гвоздик забил вчера Ральф Лангнер, рассказавший о том, что конкретно делает Stuxnet с Siemens PLC. Кто не читал — читайте, но вкратце вывод прост — Stuxnet является оружием промышленного саботажа (а не шпионажа) и явно был создан для атаки на одну единственную конкретную цель. Да, со всеми своими наворотами и зеродеями — ради одного «снайперского» выстрела.
Который, вероятно, достиг цели.
Сегодня еще один исследователь собрал все факты в кучу и вывалил полученные мысли. Что же, это действительно на все 100% то, о чем думал все это время и я. Поэтому ограничусь все лишь переводом ключевых мест идеи.
Хотя, если отвечать на вопрос «Кто?» — Моссад. «Зачем?» — Бушерская атомная электростанция в Иране.
Иран является одним из наиболее пострадавших от червя регионов. Судя по динамике данных о заражениях — примерно в мае-июне Иран был лидером по числу заражений, потом больше заражений стало в Индии, но понятно почему — просто там больше компьютеров.
Какое производство в Иране, является самой привлекательной военной целью? Бушерская атомная электростанция.
Стацию в Бушере начали строить еще в 1970-е. Строительство вела компания Siemens. В 1979 году Siemens прекратил работы в этой стране (из-за революции). Впоследствии Siemens вернулся в Иран, и это был один из его крупнейших рынков. В январе этого года Siemens снова обьявил о прекращении сотрудничества с Ираном. Используется ли на Бушерской АЭС софт Siemens для управления процессами — официально неизвестно (см. P.S.). Однако этим летом Siemens попался на поставке комплектующих в Бушер.
Мысли об участии в этой истории российской компании «Атомстройэкспорт» оставим за рамками. Отметим только, что у компании есть проекты в Индии (еще одной из стран, наиболее пострадавших от червя), а еще их сайт содержит iframe на эксплоиты, зачищенные пару лет назад.
Израиль является одной из наиболее заинтересованных в уничтожении Бушерской АЭС стран. Как известно, Иран подозревают в том, что на этой станции под видом ядерного топлива иранцы будут клепать запасы для производства собственного ядерного оружия. Которое, конечно они тут же нацелят на Израиль.
Израиль входит в число стран, обладающих серьезнейшими специалистами по IT-безопасности, в том числе использованию таких технологий и для атак, и для шпионажа. Все было сказано еще год назад.
Asked to speculate about how Israel might target Iran, Borg said malware —- a commonly used abbreviation for «malicious software» —- could be inserted to corrupt, commandeer or crash the controls of sensitive sites like uranium enrichment plants. Israeli agents would have to conceal the malware in software used by the Iranians or discreetly plant it on portable hardware brought in, unknowingly, by technicians. «A contaminated USB stick would be enough,» Borg said.
Самая клевая часть теории, которую я не знал, но просто идеально легла в тему. В книге Эштар в Библии рассказывается о том, как Эштар (бывшая женой персидского царя) сообщает Царю о заговоре против евреев. Царь в ответ разрешает евреям защитить себя и убить своих врагов. Имя Эштар данное ей при рождении — Hadassah, что переводится как «Мирт».
Наличие в коде Stuxnet строчки «b:myrtussrcobjfre_w2k_x86i386guava.pdb» привело к тому, что весь цикл публикаций о нем я и назвал «Мирт и Гуава». Гуава — растение из семейства миртовых. Растение — a plant. Электростанция — a plant.
Бушерская АЭС должна была начать работу в августе этого года. 21 августа началась загрузка топлива, однако тут же резко застопорилась. Фактически, ее запуск был отложен. По официальной причине — «из-за сильной жары». Однако, температура в Иране в это время была абсолютно в пределах климатических норм. Задержка в запуске станции составила три недели.
Загрузка топлива в реактор займет месяца три. После этого он начнет работать.
...