Stuxnet è un worm scoperto nel 2010 che è stato progettato dalla National Security Agency (NSA) in collaborazione con l' unità israeliana 8200 per affrontare le centrifughe per l'arricchimento dell'uranio in Iran . Il programma è iniziato sotto la presidenza di George W. Bush ed è proseguito sotto la presidenza di Barack Obama . Fa parte dell'Operazione Olympic Games e le sue caratteristiche lo classificano come APT .
Specifico per il sistema Windows , è stato scoperto ingiugno 2010da VirusBlokAda, una società di sicurezza IT con sede in Bielorussia . La complessità del worm è molto insolita per il malware . È stato descritto da vari esperti come un'arma cibernetica , progettata per attaccare uno specifico obiettivo industriale. Sarebbe il primo nella storia.
È il primo worm scoperto che spia e riprogramma i sistemi industriali, il che comporta un rischio elevato. Si rivolge in particolare ai sistemi SCADA utilizzati per il comando di controllo dei processi industriali. Stuxnet ha la capacità di riprogrammare i controllori logici programmabili industriali ( PLC ) prodotti da Siemens e camuffare le sue modifiche. I controllori a logica programmabile Siemens sono utilizzati sia da alcune centrali idroelettriche o nucleari che per la distribuzione di acqua potabile o condotte .
Il worm ha colpito 45.000 sistemi informatici, di cui 30.000 situati in Iran , compresi i PC appartenenti ai dipendenti della centrale nucleare di Bushehr . Gli altri 15.000 sistemi informatici sono computer e centrali elettriche situate in Germania , Francia , India e Indonesia , utenti delle tecnologie Siemens.
È stato segnalato per la prima volta dalla società di sicurezza VirusBlokAda a metàgiugno 2010, e una storia è stata fatta risalire a giugno 2009.
Il virus attacca i sistemi Windows utilizzando quattro attacchi " zero day " (tra cui la vulnerabilità CPLINK (in) e la vulnerabilità sfruttata dal worm Conficker ) e punta i sistemi utilizzando il software SCADA WinCC / PCS 7 di Siemens .
Il virus è stato probabilmente inoculato aggiornando un virus già installato sui computer di destinazione; infetta quindi altri computer WinCC nella rete con altri exploit . Una volta nel sistema, utilizza le password predefinite per interrogare il software. Siemens sconsiglia però di modificare le password di default, in quanto “potrebbe pregiudicare il corretto funzionamento dell'impianto” .
La complessità del worm è insolita per un malware : l'attacco richiede la conoscenza dei processi industriali e delle vulnerabilità di Windows in un dato momento, e segna il desiderio di sconvolgere le infrastrutture industriali. Anche il numero di exploit di Windows " zero day " utilizzati è insolito: questi exploit rari e preziosi non scoperti normalmente non vengono sprecati dagli hacker al punto da mobilitarne quattro nello stesso worm. Stuxnet ha una dimensione di mezzo megabyte ed è scritto in diversi linguaggi di programmazione (inclusi C e C++ ), cosa non comune anche per i malware .
Un portavoce di Siemens ha detto che il worm è stato trovato su 15 sistemi, 5 dei quali si trovano in Germania in fabbriche che ospitano sistemi di controllo dei processi industriali. Siemens afferma che non è stata trovata alcuna infezione attiva e che non sono stati segnalati danni causati dal worm. Symantec afferma che la maggior parte dei sistemi infetti si trova in Iran (quasi 30.000 su 45.000 computer infetti), il che ha portato a credere che possa aver deliberatamente preso di mira "infrastrutture di alto valore" in Iran , presumibilmente legate al programma. . Ralph Langner, un ricercatore tedesco sulla sicurezza informatica, afferma che l'obiettivo previsto è stato probabilmente raggiunto.
L' Iran ha accusato uno stato o un'organizzazione straniera di aver deliberatamente preso di mira. L'analista Bruce Schneier ha definito interessante l'ipotesi che la centrale nucleare di Bushehr fosse stata presa di mira, sebbene la considerasse priva di prove. L'Iran ha detto che come i computer dei lavoratori dell'impianto sono stati colpiti, così è stato l'impianto. Inizioottobre 2010, in occasione di un articolo sull'Unità 8200 , a sua volta una sezione di Aman , il servizio di intelligence militare israeliano , Le Figaro scriveva:
“Indizi scoperti negli algoritmi del programma Stuxnet, avendo infettato, tra l'altro, i sistemi informatici iraniani, farebbero riferimento all'eroina biblica Esther . I possibili collegamenti tra questa offensiva virtuale e Israele probabilmente non saranno mai provati, ma il sospetto nei circoli di intelligence è alto. "
Nel novembre 2010i ricercatori di Symantec e Langner Communications hanno affermato che il worm ha preso di mira i sistemi di controllo delle turbine a vapore come quelli utilizzati nella centrale nucleare di Bushehr e nei componenti chiave della centrifuga . Il virus, infatti, avrebbe modificato all'insaputa degli operatori della centrale le velocità di rotazione delle centrifughe portando al loro degrado ed esplosioni. I ricercatori di Symantec avevano anche precedentemente indicato che Stuxnet aveva fissato una data di "distruzione".24 giugno 2012.
Il generale israeliano Gabi Ashkenazi al momento del suo ritiro ha affermato di essere responsabile dell'attacco del worm Stuxnet.
La Russia ha denunciato la cooperazione tra Stati Uniti e Israele per la creazione di questo worm e ha affermato che questo progetto avrebbe potuto provocare un disastro maggiore di Chernobyl . Ha chiesto alla NATO di indagare sulla questione. Un'approfondita inchiesta del New York Times conferma anche questa ipotesi di cooperazione israelo-americana.
Nel febbraio 2011, Symantec pubblica una recensione completa di Stuxnet. Gli specialisti stimano che ci siano voluti sei mesi di sviluppo e un team di cinque-dieci persone per scrivere il programma, incluso almeno un ingegnere con una perfetta conoscenza delle apparecchiature industriali mirate. Microsoft, nel frattempo, stima che il tempo necessario per creare Stuxnet sia stato di "10.000 giorni uomo" , escludendo il team che ha rubato i certificati Verisign da Realtek Semiconductor Corps e JMicron Technology Corp a Taiwan , nonché un team in Iran che probabilmente ha fornito le informazioni necessarie per questa operazione.
Il programma è molto complesso ed estremamente ben scritto, che mostra uno straordinario desiderio di raggiungere l'obiettivo desiderato, ed esclude il lavoro di un gruppo privato.
L'architettura del programma è molto completa per un worm informatico, comprende diverse parti:
Il worm è in grado di funzionare ingannando un processo principale di Windows (Ntdll.dll) e ingannando gli antivirus più famosi. Dispone inoltre di porzioni crittografate che vietano qualsiasi lettura del virus non caricato in memoria. Una caratteristica interessante è che non attacca i computer dotati di antivirus ETrust v5 e v6.
Originariamente, Stuxnet si è diffuso dal PC portatile di uno degli ingegneri collegati a un computer infetto nella fabbrica di Natanz. Una volta che il computer è stato connesso a Internet, il worm si è diffuso su Internet, colpendo i sistemi informatici in molti paesi.
Secondo Eugene Kaspersky , il worm ha anche infettato il sistema di una centrale nucleare in Russia. La tenuta della rete di fabbrica, tuttavia, ha risparmiato l'infezione della rete pubblica russa.
Il worm, una volta eseguito con successo su un computer sano, si installerà da solo. Per fare ciò, utilizza altri due difetti, ancora sconosciuti a Microsoft quando è stato creato Stuxnet, per ottenere i diritti di amministratore.
Questi due difetti consentono l'esecuzione di un codice arbitrario con diritti di amministratore. Una volta ottenuti i diritti, il worm installa i seguenti componenti:
Il 15 luglio 2010, Siemens fornisce ai propri clienti uno strumento in grado di rilevare e rimuovere il worm.
Il 2 agosto 2010, Microsoft annuncia il Bollettino sulla sicurezza MS10-046.
Il 19 agosto 2010, uno strumento di rimozione è messo a disposizione da FSB Security Labs in Francia.
Il 8 ottobre 2010, BitDefender fornisce uno strumento di rimozione .