Win32/Stuxnet — сетевой червь, распространяющийся на компьютерах под управлением операционной системы Windows. 17 июня 2010 года его обнаружил антивирусный эксперт Сергей Уласень из белорусской компании «ВирусБлокАда». Вирус был обнаружен не только на компьютерах рядовых пользователей, но и в промышленных системах, управляющих автоматизированными производственными процессами. Stuxnet был нацелен на системы диспетчерского управления и сбора данных (SCADA), и это первый в истории кибератак вирус, который физически разрушал инфраструктуру. По предположениям, это кибероружие, ответственное за нанесение ущерба иранской ядерной программе после установки на ядерном объекте в Натанзе в 2009 году. По оценке Symantec группа разработки Stuxnet должна была состоять из пяти-тридцати человек, которые потратили бы на подготовку червя шесть месяцев, эксперты, опрошенные The Guardian, BBC и The New York Times предположили, что сложность кода указывает на государственное участие в разработке.
Цель атаки Это первый широко известный компьютерный червь, перехватывающий и модифицирующий информационный поток между программируемыми логическими контроллерами марки Simatic S7 и рабочими станциями SCADA-системы Simatic WinCC фирмы SiemensОписание Win32.Stuxnet.a в «Вирусной энциклопедии» Е. Касперского. Таким образом, конструкция и архитектура Stuxnet не является узкоспециализированной и может быть адаптирована в качестве платформы для атак на современные системы SCADA и ПЛК заводских сборочных линий или электростанций. Её можно использовать для несанкционированного сбора данных (шпионажа) и диверсий в АСУ ТП промышленных предприятий, аэропортов и т. п.
Вирус, по сообщениям, уничтожил почти пятую часть иранских центрифуг, заразил более 200 000 компьютеров и вызвал физическую поломку 1000 машин.
Предполагаемое происхождение вируса Исследователь Ральф Лэнгнер в 2010 году предположил, что вирус Stuxnet являлся специализированной разработкой против ядерного проекта Ирана спецслужб Израиля, а в 2011 году добавил, что «Моссад причастен, но за ним стоит США». В качестве доказательства упоминаются завуалированные упоминания слова MYRTUS, содержащиеся в коде червя. Кроме того, в коде единожды встречается никак не объяснённая дата 9 мая 1979 года (19790509). В этот день произошла казнь известного иранского промышленника Хабиба Элгханиана, еврея по национальности.
Американский журналист Дэвид Сангер в книге «Противостоять и скрывать: тайные войны Обамы и удивительное использование американской силы» утверждает, что Stuxnet был частью антииранской операции «Олимпийские игры» американского правительства.
New York Times утверждает, что эта программа была разработана совместно разведывательными службами США и Израиля, а израильтяне уже испытали вирус в своём центре в городе Димона, в пустыне Негев. В газете утверждается, что вирус был разработан в Димоне не позже 2009 года, и им была успешно заражена компьютерная система ядерной программы Ирана. Бывший аналитик ЦРУ Мэтью Барроуз в книге «Будущее рассекречено» пишет, что червь Stuxnet «смог, пусть и на короткое время, приостановить иранскую ядерную программу. Он нарушил работу почти 1000 центрифуг для обогащения уранового топлива. По мнению экспертов, иранцы, обнаружив вирус и избавившись от 1000 зараженных устройств, смогли предотвратить больший ущерб».
В сентябре 2019 года опубликовано журналистское расследование, согласно которому заражение вирусом иранского центра по обогащению было произведено иранским специалистом, завербованным голландской разведкой AIVD по поручению ЦРУ и Моссада.
В январе 2024 года голландские журналисты опубликовали расследование, согласно которому в 2008 году 36-летний голландец Эрик ван Саббен проник на иранский ядерный комплекс в городе Натанза и занёс Stuxnet в сеть АСУ ТП. Эрик ван Саббен был завербован голландскими спецслужбами AVID и MVID в 2005 году по заданию американских спецслужб. Его технический опыт, многочисленные контакты в регионе и связи с Ираном (он уже вел бизнес в Иране и был женат на иранской женщине, у которой есть семья в стране) сделали его идеальным для этой миссии. Исследователи пришли к выводу, что Ван Саббен немедленно покинул Иран после успешного саботажа ядерной программы страны. Журналисты также сообщали, что две недели спустя Ван Саббен погиб в аварии на мотоцикле недалеко от своего дома в Дубае. О готовящемся саботаже иранской ядерной программы не знали нидерландские политики, но знали спецслужбы страны, однако даже они не были в курсе, что через их агента будет распространяться вирус. «Американцы использовали нас», — сказал один из источников в нидерландской разведке.
Технология Вирус использовал четыре уязвимости системы Microsoft Windows (уязвимость «нулевого дня» (zero-day) и три ранее известные уязвимости).
Уязвимость в обработке LNK/PIF-файлов (MS10-046). Позволяла червю распространяться через внешние носители. Уязвимость заключалась в выполнении кода при попытке системы отобразить иконку c накопителя, например, при просмотре в Проводнике Windows. Уязвимость в буфере печати Windows (Microsoft Windows Print Spooler Service Remote Code Execution Vulnerability (BID 43073)). С её помощью червь распространялся по сети. Уязвимость в обработке RPC (Microsoft Windows Server Service RPC Handling Remote Code Execution Vulnerability (BID 31874)). Позволяет червю распространяться через сетевой протокол Windows (SMB).
Оставаться незамеченным антивирусными программами вирусу помогало наличие настоящих цифровых подписей (два действительных сертификата, выпущенных компаниями Realtek и JMicron).
Объём исходного текста вируса составил примерно 500 КБ кода на языке ассемблера, С и C++.
Stuxnet состоит из трех модулей:
червя, который выполняет все процедуры, связанные с основной полезной нагрузкой атаки; ярлыка, который автоматически запускает распространяемые копии червя, компонента руткита, отвечающего за сокрытие всех вредоносных файлов и процессов для предотвращения обнаружения.
Обычно он внедряется в целевую среду через зараженный USB-накопитель, преодолевая любой «воздушный зазор». Затем червь распространяется по сети, сканируя наличие программного обеспечения Siemens Step7 на компьютерах, управляющих ПЛК. При отсутствии любого из этих критериев Stuxnet переходит в спящий режим внутри компьютера. Если оба условия выполнены, Stuxnet внедряет зараженный руткит в ПЛК и программное обеспечение Step7, изменяя код и выдавая неожиданные команды ПЛК, возвращая пользователям цикл нормальных значений операционной системы.
В популярной культуре
Документальный фильм Алекса Гибни 2016 года «Нулевые дни» посвящен феномену Stuxnet и связанной с ним кибервойне. В 8 сезоне 18 серии сериала «Касл» под названием «Предатель» выясняется, что Stuxnet был (вымышленно) создан MI6, и его версию используют для вывода из строя лондонской энергосистемы. В центре сюжета романа «Троянский конь» Марка Руссиновича использование вируса Stuxnet и попытка Ирана обойти его. В игре Ghost in the Shell: Arise Stuxnet — это тип заразившего Кусанаги и Манамуру компьютерного вируса, который позволил внедрить в них ложные воспоминания. В июле 2017 года MRSA (Mat Zo) выпустил трек под названием «Stuxnet» на лейбле Hospital Records. В видеоигре Tom Clancy's Splinter Cell: Blacklist от Ubisoft главный герой, Сэм Фишер, использует мобильный летающий штаб («Паладин»), который был атакован вирусом типа Stuxnet и разбился бы без вмешательства Фишера. В фильме Майкла Манна 2015 года «Кибер» код вируса, которым хакер вызвал взрыв насосов системы охлаждения на атомной электростанции в Чхайване, на самом деле является декомпилированным кодом Stuxnet. В третьем эпизоде «Звездного пути: Дискавери» под названием «Контекст для королей» персонажи определяют фрагмент декомпилированного кода Stuxnet как часть экспериментальной транспортной системы. Большая часть того же кода показана в эпизоде «Костёр» сериала «Пространство» в виде визуального представления «диагностического эксплойта», взламывающего программное обеспечение управления ядерными ракетами.
См. также Хронология компьютерных вирусов и червей Duqu Flame Regin (компьютерный вирус) Воздушный зазор (сети передачи данных) Взрывы коммуникационных устройств «Хезболлы»
Примечания
Ссылки
Siemens — Industry Automation and Drive Technologies — Service& Support — SIMATIC WinCC / SIMATIC PCS 7: Information concerning Malware / Virus / Trojan
Бесплатное средство для удаления вируса Stuxnet компании BitDefender Организационно-технические проблемы защиты от целевых вредоносных программ типа Stuxnet / А. С. Марков, А. А. Фадин // Вопросы кибербезопасности. 2013. № 1(1). С.28-36.
Категория:Компьютерные вирусы и сетевые черви Категория:Кибервойна Категория:2010 год в Иране Категория:Ядерная программа Ирана Категория:Ирано-израильский конфликт