В обновленной версии так называемого "Досье Stuxnet", которое заведено на эту программу в подразделении Symantec Security Response, отмечается: "Это свидетельствует, что [создатели Stuxnet] хотели закрепиться в системе без обнаружения, оставаться там длительное время и незаметно изменять производственный процесс, однако без срывов его работы".
Червь Stuxnet был обнаружен в Иране в июне 2010 и к настоящему времени заразил свыше 100 000 компьютерных систем по всему миру. Главное отличие этого червя — помимо необычной сложности программы — это целенаправленная атака против конкретной разновидности SCADA-систем промышленного управления, а именно Siemens Simatic WinCC.
Исследователи вируса давно установили, что Stuxnet перехватывает команды, отправляемые SCADA- системой для управления определенными функциями на промышленном объекте, однако вплоть до последнего времени было неясно, какого рода конкретные функции были целью саботажа. Строго говоря, в Symantec и сейчас воздерживаются от непосредственного указания на объект, являвшийся наиболее вероятной целью атаки Stuxnet. Однако вся новая информация достаточно прозрачно указывает на то, что мишенью была фабрика по обогащению урана в Натанзе, тысячи центрифуг которой являются важнейшим элементом ядерной программы Ирана.
Исследователи Symantec подчеркивают, что они ни в коей мере не являются экспертами по компьютерным системам промышленного управления, однако благодаря консультациям и помощи со стороны такого рода специалистов из голландской фирмы Profibus, они сумели-таки восстановить назначение кодов атаки в Stuxnet.
Согласно досье Symantec, целью червя Stuxnet являются специфические драйверы преобразователя частоты — устройства, которое используется для управления скоростью работы механизмов типа электромотора. Червь перехватывает команды, посылаемые таким драйверам от управляющей программы Siemens SCADA, и подменяет их вредительскими командами, сильно изменяющими скорость вращения в сравнении со штатным режимом.
При этом, однако, вредоносная программа портит далеко не любой конвертер частоты. Червь тщательно сканирует аппаратный состав той сети, в которую проник, и начинает работу лишь в том случае, когда в конфигурации имеется по крайней мере 33 конвертера частоты, изготовленных либо иранской фирмой Fararo Paya, либо финской компанией Vacon.
Избирательность червя простирается еще глубже, поскольку Stuxnet интересуется только такими драйверами, которые работают с высокими частотами вращения — от 807 до 1210 Герц. Как свидетельствуют специалисты, столь высокие частоты в производстве используются лишь для узкого круга промышленных приложений. Нельзя, конечно, стопроцентно утверждать, что это явно указывает на ядерную фабрику, однако в досье Symantec отмечается такой факт: "Драйверы конвертера частоты для выходных значений свыше 600 Гц в США подпадают под контроль со стороны Комиссии по ядерному регулированию, поскольку они могут быть использованы для обогащения урана".
Насколько известно сейчас, червь Stuxnet начал заражать системы в январе 2009 года. В июле 2009 в интернете появлялись неофициальные сообщения, что на фабрике обогащения урана в Натанзе произошел некий "серьезный" ядерный инцидент. Опубликованная позже статистика по ядерной программе Ирана за 2009 год показала, что в тот же период количество центрифуг по обогащению урана загадочным образом уменьшилось с примерно 4700 до 3900.
Среди антивирусных исследователей, занимавшихся изучением Stuxnet, поразительная сложность червя довольно быстра привела к консенсусу, согласно которому за созданием столь изощренной программы, скорее всего, стоит некая государственная спецслужба, щедро финансируемая и сильно продвинутая в компьютерных спецоперациях. Поначалу, правда, предполагалось, что цель Stuxnet — какая-нибудь серьезная авария на производстве, типа взрыва или массового выхода оборудования из строя. Однако последние результаты анализа в Symantec четко указывают на то, что червь был создан для куда более тонкого саботажа, скрытно длящегося продолжительное время на протяжении многих месяцев. Кроме того, уже не вызывает никакого сомнения, что авторы программы-диверсанта затачивали ее под совершенно конкретный объект (или ряд идентичных объектов), имея при этом подробные и обширные сведения о специфике системы-мишени.
Как указывается в досье Symantec, драйверы конвертера частоты используются для управления скоростью вращения другого устройства — например, мотора на производстве или электростанции. Увеличение частоты означает увеличение скорости вращения ротора в моторе. В конкретном случае Stuxnet, червь целенаправленно ищет процессорный модуль управления, изготовленный Profibus & Profinet International, который связывается с по меньшей мере 33 драйверами конвертера частоты, изготовленными иранской либо финской компанией. Stuxnet действует очень избирательно даже в тех случаях, когда находит тот объект, на который был нацелен. Если количество драйверов от иранской фирмы превышает то же количество от финской фирмы, то Stuxnet запускает одну последовательность событий. Если же финских драйверов больше, чем иранских, то в ход идет другая цепочка команд.
Как только Stuxnet устанавливает, что заразил систему-цель, он начинает перехватывать команды системы, подаваемые драйверам, изменяя их функционирование. Как поясняют аналитики Symantec, "Stuxnet меняет выходную частоту на краткие периоды времени, сначала задавая 1410 Гц, затем снижая ее до 2 Гц, а затем повышая до 1064 Гц... Модификация выходной частоты, по сути дела, лишает автоматическую систему управления возможностей функционировать надлежащим образом. ... [В коде программы имеется еще один признак того, что ее цель — очень конкретное реальное приложение.] Червя интересует процесс, который работает непрерывно на протяжении более месяца, поскольку лишь в этом случае код программы достигает желаемого эффекта. Процесс обогащения урана — типичный пример такого процесса, где центрифуги должны вращаться с очень точной скоростью на протяжении длительных периодов времени для того, чтобы выделить уран нужной чистоты. Если же эти центрифуги перестают вращаться с нужной высокой скоростью, то тогда процесс отделения более тяжелых изотопов урана нарушается. А итоговое качество урана на выходе будет существенно ниже, чем требуется".
Как обнаружили исследователи, в коде программы имеется длительное время выжидания между различными стадиями вредительских процессов, запускаемых червем — в некоторых случаях длительностью свыше трех недель. Это очевидным образом свидетельствует, что атакующая сторона была заинтересована в незаметном и продолжительном внедрении в работающую систему-мишень, а не во взрыве или тому подобной акции, которая сделала бы вредительство червя заметным.
Червь Stuxnet был явно разработан таким образом, чтобы как можно дольше скрываться от обнаружения. Так что даже если бы администрация зараженного объекта и обнаружила какие-то неполадки и перемены в работе оборудования на фабрике, там все равно не смогли бы увидеть, что это Stuxnet угнездился в их системе, перехватывая и изменяя команды управления. Во всяком случае, доступная ныне картина выглядит так, что о существовании столь изощренного червя практически никто не ведал до тех пор, пока информация о Stuxnet не была широко опубликована в июле нынешнего года.
С оригиналом "Досье Stuxnet" можно ознакомиться на сайте Symantec (PDF).
Кафедра Ваннаха: Математика по Арнольду и Джефферсону
Автор: Ваннах Михаил
То, как программное обеспечение, попав на приличное 'железо' способно создавать весьма красочные, очень даже зримые, хотя и невесомые миры, знает каждый, кто хоть раз дорвался до свежей модели приставки и пятидесятидюймовой плазменной панели. А вот то, что и реальный мир вокруг нас формируется такой абстрактной и сугубо умозрительной дисциплиной, как математика, приходит на ум немногим. Но, тем не менее, это так.
Многообразие тепловых машин, - от холодильников с кондиционерами до дизелей и отто, - порождено уравнениями Фурье и циклами Карно (роль, которую сыграла в этой истории теория флогистона-теплорода, отфальсифицированная впоследствии наукой, тема для отдельного разговора). И мир радиоэлектроники начался с уравнений Максвелла, их громоздких кватернионов, породив полтора века спустя компьютерную
