Выясняются все новые и новые подробности о вирусе StuxNet, обнаруженый в Июне этого года. Чем вирус необычен? Да много чем... В первую очередь тем, что умел распространяться на флэшках (используя уязвимость в обратотке файлов lnk) Это уже само по себе экзотично в век Интернета.
Еще он примечателен тем, что использовал не одну, а четыре 0-day (т.е. доселе неизвестные) уязвимости, что тоже нечасто случается. Вернее, две уязвимости были известны, но очень мало. Майкрософт про них не знал и патчей, соответственно, не выпустил. Для верности вирус использовал еще и пятую, известную, но очень злую уязвимость в RPC сервисе, которую уже во всю эксплуатировал червь Conficker.
Вирус был подписан краденой цифровой подписью. В целях защиты, Майкрософт требует, чтобы все драйвера в системе были подписаны. Не помогло. Злоумышленники скорее всего украли подписи из тайваньских отделений фирм MicronJ и RealTek. Странный факт, но офисы этих фирм находятся в одном и том же здании в городе Шинчу (Синь-чжу). Если это не простое совпадение, то это значит кто-то физически проник в комнаты, зашел на соответствующие компьютеры, выкрал ключи. Не любительская работа. Его явно писала команда — пол-мегабайта кода на ассемблере, С и С++.
Обнаружен Stuxnet был не в Америке, Китае или Европе, где больше всего народу в интернете, и где нормальным вирусам самая благодать, а в Иране. 60% заражений произошло в государстве исламской революции. Он умеет принимать команды и обновляться децентрализованно, по типу P2P. Классические ботнеты пользуются центральными командными системами
А самое, не побоюсь этого слова, сенсационное — вирус не рассылает спам, не форматирует диск и даже не крадет банковские данные. Он занимается вредительством на производстве. Точнее, он атакует индустриальные системы контроля и управления, использующие софт под названием Simatic WinCC. Что еще сенсационней, Stuxnet скрытно прописывает себя на программируемые чипы (их используют для контроля за производством), маскируется и убивает какой-то важный процесс. Не случайный процесс, а возвращающий определенный код. К сожалению, что этот код знчит, пока неизвестно. Подробности. Это, кстати, объясняет способ распрстранения через флешки — промышленные системы редко подключены к Интернету.
Расследование вируса StuxNet продолжает развиваться.
На сайте Symantec вышла статья с детальным разбором того, как StuxNet заражает контроллеры. Очень рекомендую прочесть в оригинале, но в кратце перескажу. Он прячется в компе, на котором инсталлирован сименсофский софт Step7 (работающий с контроллером) и перехватывет запросы на чтение/записи данных на контроллер. Запросы на запись, разумеется, для того, чтобы заражать чипы, запросы на чтение - чтобы тщательно стирать следы своей деятельности. Если посмотреть на инфицированный контроллер на компе, где уже есть вирус, то ничего подозрительного не видно вообще.
Жертвы
Перед заражением вирус проверяет версию контроллера и подключенного к нему хардвера. Исследователи выяснили, что злоумышленников интересовали контроллеры 6ES7-417 и 6ES7-315-2, и индустриальные сети стандарта Profibus-DP. Тут вирус вклинивается в коммуникации между контроллером и заводской автоматикой. Раньше я писал, что он просто обрубает какой-то таймер, но это не так. Он создает целый хитрый блок логики, слушающий приходящие от сенсоров сигналы, и на лету подменяющий отдаваемые команды.
StuxNet уже на чипе
Отдельно упоминается еще один режим заражения, через Memory Mapped IO, про который дается мало информации, только говорят, что он еще сложнее.
Кроме того, Symantec опубликовал бюллетень о трояне Infostealer.Nimkey, занимающегося кражей ключей для цифровой подписей. К виновнику торжества он прямого отношения скорее всего не имеет, но исследователи замечают, что ключи для StuxNet могли быть украдены подобным образом. Если троян угнал всего один ключ и немедленно самоуничтожился, то не исключено.
Далее:
Ральф Лэнгнер, автор гипотезы про атаку на реактор в Бушере, публикует еще несколько коротких заметок о вирусе. В общем, продолжает тему точечной атаки на непонятно кого, но не распространяется. В телефонном интервью сказал, что история настолько странная, что он не знает, как даже объяснить. (чтоб никто не подумал, что это мировая закулиса затыкает исследователям рот, добавлю, что Symantec дает в сто раз больше подробностей и обещает вскорости выпустить большую обзорную статью)
Еще одну гипотезу о цели атаки высказывает Франк Ригер из Chaos Computer Club - по его мнению ей мог быть завод по обогащению урана в Натанзе. Там что-то серьезно взорвалось год назад (т.е. примерно когда вирус и запустили) В результате глава Иранской ядерной программы был уволен, а количество рабочих центрифуг на заводе уменьшилось почти на четверть. В доказательство он приводит интересную деталь: вирус, по его словам, содержит систему синхронизациями между множеством копий в одной промышленной сети (как я понимаю, это как раз процедура, подключенная к Profibus). Такой подход имееет смысл в ситуации, где имеется большое количество одинаковых сложных устройств, каждое из которых управляется своим контроллером. Центрифуги для разделения изотопов вполне подходят по описание.
Все даты в формате GMT
3 час. Хитов сегодня: 742
Права: смайлы да, картинки да, шрифты нет, голосования нет
аватары да, автозамена ссылок вкл, премодерация откл, правка нет
<\/u><\/a> 
- участник сейчас на форуме
- участник вне форума