Stuxnet è un worm informaticoConfirmed: US and Israel created Stuxnet, lost control of it Arstechnica, Giugno 2012Hacker-Attacken: US-Regierung schürt Furcht vor Cyber-Krieg Ogni giorno una terribile notizia, ogni giorno un'allerta: Il presidente degli Stati Uniti Barack Obama vede il rischio di una imponente guerra informatica. Ha esortato i cinesi a creare un piano di difesa e si consulta con i leader del settore pensando al peggio. Dietro l'allarmismo un puro calcolo politico. Der Spiegel 15.03.2013 secondo numerose ricostruzioni, Stuxnet sarebbe stato sviluppato da Stati Uniti e Israele. Secondo numerose ricostruzioni giornalistiche e fonti d'intelligence, Stuxnet fu sviluppato nell'ambito dell'operazione "Olympic Games", una campagna segreta di cyberoperazioni contro il programma nucleare iraniano, con l'obiettivo di sabotare l'impianto di arricchimento dell'uranio di Natanz. alterare il funzionamento delle centrifughe fino a provocarne guasti e danneggiamenti, impedendo la rilevazione dei malfunzionamenti e della presenza dello stesso. Nel documentario Zero Days, diretto da Alex Gibney, viene per la prima volta rivelato che Stuxnet faceva parte di un progetto ben più ampio: "Nitro Zeus", il cui obiettivo consisteva nell'esecuzione di attacchi informatici a obiettivi sensibili presenti in Iran.Zero Days | documentario di Alex Gibney
Stuxnet colpisce i PLC, componenti hardware programmabili via software che sono fondamentali per l'automazione degli impianti, in particolare quelli adibiti al controllo delle centrifughe utilizzate per separare materiali nucleari come l'uranio arricchito. La caratteristica che ha colpito gli esperti fin dall'inizio è il livello di sofisticatezza di questo software, che dimostra una conoscenza dettagliata dell'ambiente informatico in uso nell'impianto. Il malware faceva leva su quattro vulnerabilità di Windows 0-dayIl virus Stuxnet: Il worm che è venuto dal nulla 2. Chi ha scritto Stuxnet? -- Der Spiegel 22.09.2010 , per poi propagarsi verso il software Step7 della Siemens.
In seguito all'infezione del virus nel centro di arricchimento, il programma si è diffuso al di fuori dello stabilimento tramite un PC portatile infetto a causa di un errore di programmazione presente nel virus stesso,Obama Order Sped Up Wave of Cyberattacks Against Iran, By DAVID E. SANGER Published: June 1, 2012 New York Times dato che Stuxnet poteva essere eseguito anche su più impianti dotati di sistema SCADA e PLC, colpendo principalmente le aziende (e quindi anche le relative nazioni tra cui il Giappone, gli USA e l'Europa)S. Karnouskos: Stuxnet Worm Impact on Industrial Cyber-Physical System Security. In:37th Annual Conference of the IEEE Industrial Electronics Society (IECON 2011), Melbourne, Australia, 7-10 Nov 2011. Retrieved 20 Apr 2014. da cui provenivano le attrezzature per il programma atomico iraniano.
L'architettura di Stuxnet è complessa ed è composta da tre grandi moduli: un worm che danneggia i PLC e permette al software di autoreplicarsi su altre macchine, un collegamento che mette in esecuzione le copie create dal worm e un rootkit che nasconde il virus rendendolo non individuabile.
L'inizio del contagio da parte di Stuxnet è probabilmente avvenuto, all'interno del sistema industriale stesso, tramite una chiavetta USB infetta in mano a un ignaro ingegnere iraniano: il virus si è poi propagato in rete, cercando il software industriale Step7 (realizzato dalla Siemens per controllare i PLC dell'impianto), modificandone il codice in modo da danneggiare il sistema e facendo credere all'operatore che tutto funzionasse correttamente.
Storia Il virus fu scoperto nel 2010 da Sergey Ulasen impiegato di VirusBlokAda, una società di sicurezza bielorussa. Ulasen fu chiamato da un loro cliente iraniano perché un tecnico aveva osservato un riavvio inaspettato di una macchina dopo un BSOD: dopo un'analisi, il tecnico bielorusso rilevò che tali anomalie si ripresentavano su più macchine e osservò comportamenti diversi tra i PC industriali (differenze tra i PC che risulteranno infetti e quelli puliti). A seguito di test con macchine sane munite di un sistema di rilevamento collegate in rete, scoprì il tentativo di infezione.
Il nome attribuito al virus da VirusBlokAda fu "Rootkit.Tmphider"; Symantec lo chiamò "W32.Temphid", per poi passare a "W32.Stuxnet". Attualmente il suo nome è dato dalla combinazione di parole chiave particolarmente frequenti nel suo codice (".stub" e "mrxnet.sys").
La prima versione infettava le macchine tramite vulnerabilità non ancora note del sistema operativo Windows. Non si è trattato del primo attacco contro un sistema di controllo industriale, ma è stata la prima scoperta dell'esistenza di un malware in grado di spiare, controllare e danneggiare un sistema industriale tramite l'utilizzo di un rootkit per PLC.
Dalla notizia di questo sabotaggio, sono cresciute le preoccupazioni per un'eventuale "Černobyl' iraniana".Stuxnet: Angst vor einem zweiten Tschernobyl Stuxnet agisce. Il virus informatico che ha infestato gli stabilimenti nucleari iraniani, potrebbe avere altre conseguenze oltre al . Alcuni esperti temono un incidente atomico ad alto impatto, lo scenario peggiore, quando gli impianti "contagiati" torneranno a essere connessi in rete, e mettono in guardia sui persistenti attacchi in corso.
La società Kaspersky Lab stimò che la diffusione del virus fosse incominciata tra i mesi di marzo e aprile del 2010, nonostante la prima versione del software potesse essere datata per il giugno 2009. Il worm infettava tutti i sistemi in rete ma si eseguiva solamente su coloro che erano dotati di sistemi SCADA modificando il codice del software Step7 che controllava i PLC dell'impianto.
Versioni successive del virus Stuxnet hanno colpito altre cinque organizzazioni iraniane, con l'obiettivo di controllare e danneggiare la produzione iraniana di uranio arricchito. L'agenzia di sicurezza informatica Symantec ha valutato che nel 2010 il 60% dei computer infetti dal Stuxnet in tutto il mondo era in Iran. Symantec ha confermato che i suoi clienti non sono stati danneggiati dal worm, ma il sistema industriale iraniano dotato del software Step7 fu il bersaglio iniziale di Stuxnet.
Dato l'elevato grado di complessità del software, dal fatto che esso doveva essere testato su sistemi reali (con relative spese per l'acquisto dei PLC), l'azienda di sicurezza Kaspersky Lab ha confermato che l'attacco deve aver sicuramente avuto un supporto da agenzie nazionali, considerazione sostenuta anche dalla F-Secure.
Il 25 novembre 2010, il canale televisivo del Regno Unito Sky News pubblicò un servizio fatto da una fonte anonima dove dichiarava che Stuxnet, o una sua variante, era venduto al mercato nero.
Nel febbraio 2011 il movimento di hacker Anonymous ha "trafugato" delle e-mail alla HBGary, contractor del governo USA. Una di queste e-mail era datata 28 luglio 2010, proveniva dalla McAfee e forniva all'azienda una copia di StuxnetHBGary wanted to suppress Stuxnet research Crowdleaks, 13 febbraio 2011. In seguito Crowdleaks ha decompilato parte di Stuxnet, il sorgente è ottenibile su github.com.
Nel maggio 2011, il programma televisivo statunitense Need To Know riporta un discorso dove Gary Samore afferma che il governo americano è grato che lo stato iraniano abbia avuto problemi con le centrifughe nucleari, facendo intendere un coinvolgimento USA nel progetto di Stuxnet.Gary Samore speaking at the 10 December 2010 Washington Forum of the Foundation for Defense of Democracies in Washington DC, reported by C-Span and contained in the PBS program Need to Know ("Cracking the code: Defending against the superweapons of the 21st century cyberwar" , 4 minutes into piece) Successivamente tramite il The Daily Telegraph anche Israele ha fatto intendere il suo coinvolgimento.
Il primo di giugno 2012, un articolo del New York Times afferma che Stuxnet è stato il prodotto di una collaborazione tra USA e Israele la cui operazione prende il nome di "Operation Olympic Games", promossa dal governo Bush e proseguita con Obama.
Il 24 luglio 2012, un articolo di Chris Matyszczyk dell''azienda CNET rivela come l'agenzia iraniana per l'energia atomica inviò una mail a F-Secure dove si è scoperta una nuova versione di Stuxnet.
Il 25 dicembre 2012, una comunicazione semi ufficiale iraniana afferma che il virus Stuxnet ha colpito alcune industrie nella zona meridionale dell'Iran, tra cui una centrale elettrica.
Nel luglio 2013 Edward Snowden ha confermato che Stuxnet è stato progettato dalla NSA con la collaborazione dell'"intelligence" israeliana, tramite un corpo speciale noto come Foreign Affairs Directorate (FAD).Snowden confirms NSA created Stuxnet with Israeli aid da RT.comIn an interview conducted using encrypted e-mails, whistleblower Edward Snowden discusses the power of the NSA, how it is "in bed together with the Germans" and the vast scope of Internet spying conducted by the United States and Britain da spiegel.de
Il worm ha anche infettato un impianto nucleare russo, l'esperto Eugene Kaspersky ha avvisato che fintanto gli impianti non vengono collegati alla rete pubblica non ci saranno rischi di infezione.
Modalità di funzionamento Diversamente dalla maggior parte dei malware, Stuxnet è stato progettato per danneggiare solo quei sistemi dotati di particolari requisiti, rimanendo del tutto dormiente nei sistemi non interessati. In particolare il virus aggredisce solo i calcolatori dotati del software Siemens Step7, altrimenti il virus stesso è stato progettato per disattivarsi. Inoltre, per evitare di venire scoperto, il virus è stato dotato di un modulo che ne limita la diffusione da un PC a non più di altri tre; in più il virus è stato progettato per auto cancellarsi dopo il 24 giugno 2012.
Per i suoi scopi il virus è dotato della capacità di effettuare un attacco man in the middle usato per falsificare i dati forniti dai sensori industriali dopo la manomissione degli impianti, in modo da non insospettire i tecnici, facendo credere un funzionamento corretto del sistema. La complessità del software è molto elevata, a tal punto di essere in grado di sfruttare vulnerabilità di ben tre sistemi diversi: il sistema operativo Windows, il software di gestione dei PLC della Siemens (PCS7, WinCC e Step7) e i PLC stessi.
Stuxnet avrebbe aspettato 13 giorni prima di agire (13 giorni è infatti il tempo che ci vuole per riempire una cascata di centrifughe con l'uranio). Nel frattempo, registrò tutte le attività delle centrifughe, salvandone i dati tecnici per poterli riutilizzare in una fase successiva dell'attacco. Il quattordicesimo giorno attaccò, aumentando la velocità di rotazione delle centrifughe da 1064 Hz a 1410 Hz, in modo che le centrifughe risentirono della cosiddetta frequenza di risonanza: il metallo della centrifuga vibrò fino al punto di rompersi in pezzi. Poi, in una seconda fase dell'attacco, rallentò le centrifughe fino a 2 Hz, facendo oscillare la centrifuga fino a romperla. Durante tutta la fase attiva dell'attacco, Stuxnet mandò ai computer della sala di controllo i dati che raccolse nei primi 13 giorni, in modo che i tecnici (almeno in un primo momento) non potessero accorgersi di nulla.
Infezione di Windows