Компьютерра PDA N59 (25.09.2010-01.10.2010)
Шрифт:
Вредоносное ПО написано на множестве разных языков. С одной стороны, это C, C++ и другие объектно-ориентированные языки высокого уровня. А с другой — коды STL (Statement List), низкоуровневый язык типа ассемблера, используемый в системах управления промышленными процессами. Плюс вообще впервые наблюдаемый специалистами руткит PLC, скрывающий вредоносный STL-код. Если же говорить о работе червя со SCADA-системами вообще, то в первую очередь следует подчеркнуть, что эта область приложения компьютеров отличается очень высоким уровнем специализации. Иначе говоря, по свидетельству специалистов, разработчики Stuxnet в своем распоряжении непременно должны были иметь для тестирования именно то реально применяемое аппаратное обеспечение, под которое затачивалось их кибероружие. Ибо все признаки свидетельствуют, что они в точности и в деталях знали нюансы работы
Начиная с этого момента разбора представляется наиболее логичным от наблюдений и свидетельств антивирусных экспертов из Symantec и Kaspersky Lab перейти к результатам анализа, выполненного специалистом по безопасности компьютерных промышленных систем из фирмы Siemens. Ибо Stuxnet был несомненно заточен против ПО именно этой компании, уверенно доминирующей на рынке SCADA-систем, а весьма уважаемый германский специалист по безопасности промышленных систем Ральф Лангнер (Ralph Langner), работающий в Siemens, недавно опубликовал в Сети результаты своих исследований, посвященных интересным свойствам невиданного прежде гипер-червя из киберпространства.
Поначалу, как и у экспертов из антивирусных фирм, первой идеей Лангнера было то, что Stuxnet написали для похищения промышленных секретов - каких-нибудь фирменных формул, рецептов или схем, которые могут быть использованы конкурентами для производства контрафактной продукции. Однако, углубившись в анализ свойств червя, обнаружил Лангнер нечто существенно иное.
Червь Stuxnet действительно занят непрерывными поисками, однако разыскивает он очень специфические установочные параметры системы, нечто вроде ее "отпечатков пальцев", которые говорят, что именно работает под управлением PLC или программируемого логического контроллера. Как уже говорилось, промышленные SCADA-системы весьма специфичны для каждой конкретной фабрики. Они состоят из множества небольших узлов, измеряющих температуру, давление, потоки жидкостей и газов, они управляют вентилями, моторами, и всем прочим хозяйством, необходимым для поддержания нередко опасных промышленных процессов в рамках их норм безопасности и в пределах эффективности. Таким образом, оба компонента систем - аппаратные модули конфигурации и программное обеспечение - являются специфическим набором, изготовляемым для каждой конкретной фабрики. Ну а с точки зрения червя Stuxnet все эти вещи выглядят как "отпечаток пальцев". И лишь только в том случае, если идентифицирована надлежащая конфигурация, он начинает делать больше, много больше, нежели просто тихо распространять себя в поисках цели.
(Именно эта особенность программы свидетельствует об одной принципиально важной вещи: атакующая сторона очень точно знала конфигурацию выбранной цели. Она наверняка должна была иметь поддержку инсайдера или группы инсайдеров внутри фабрики, либо какой-то еще способ доступа к программной части и аппаратной конфигурации избранного для атаки объекта.)
Среди шагов, которые, как обнаружил Лангнер, делает Stuxnet при обнаружении искомой цели, оказались изменения в фрагментах программного кода Siemens, известного как "оперативный Блок 35". Этот важный компонент программы Siemens занимается мониторингом критических производственных операций — вещей, которые требуют срочной реакции в пределах 100 миллисекунд. Вмешиваясь в работу Блока 35, Stuxnet может, к примеру, легко вызвать аварийный сбой в работе, ведущий к саморазрушению промышленного процесса. Так, во всяком случае, это видит Лангнер.
В частности, в его аналитической работе пошагово демонстрируется, что именно происходит с системой, когда Stuxnet находит свою цель по ее "отпечаткам". Как только Stuxnet выявляет критически существенную функцию, срабатывающую в модуле PLC, вредоносная программа берет управление системой на себя. Один из самых последних кодов, который Stuxnet отправляет в обреченную систему, носит выразительное название “DEADF007”. Ну а затем очевидно начинается фейерверк, хотя точное назначение захваченных программой функций остается неизвестным, говорит Лангнер. Это может быть и перевод скорости вращения турбины на максимально возможные обороты, и отключение системы смазки, или еще какие-то жизненно важные для нормальной работы функции системы (конкретная природа повреждений, вызываемых червем, просто неизвестна, потому что со стороны по коду SPS нельзя увидеть, что именно делают задаваемые параметры, не видя схему той конкретной
По свидетельству Лангнера, "Stuxnet — это стопроцентно целенаправленная кибератака, нацеленная на уничтожение некоего промышленного процесса в физическом мире. Это явно не имеет отношения к шпионажу и похищениям информации, как полагали некоторые. Это абсолютно диверсионная атака".
Поскольку ныне практически все исследователи, изучающие червя, вполне единодушны в выводах о том, что Stuxnet был сконструирован чрезвычайно изощренным и умелым мастером — скорее всего, специалистами государственной спецслужбы — и был создан для разрушения чего-то большого и важного, то теперь остается выяснить лишь два "простых" вопроса: (а) что за государство стоит за Stuxnet и (б) против какого объекта была направлена диверсия?
На сегодняшний день имеется достаточное количество фактов и доводов для того, чтобы (не наверняка, конечно, но) с высокой степенью достоверности ответить на оба этих вопроса.
Окончание следует.
Readitorial: По стопам "Ежедневного пророка"
Автор: Евгений Лебеденко
Опубликовано 27 сентября 2010 года
Сказочники имеют обыкновение предсказывать будущее. Ну, если не всё, то хотя бы технологическую его составляющую. Ковры-самолеты, тарелочка с яблочком, показывающая заморские страны, клубок с GPS-навигацией... Если хорошенько покопаться, аналогий между сказочным миром и современностью можно отыскать массу.
Например, газета "Ежедневный пророк" стоимостью пять кнатов, рассылаемая подписчикам совиной почтой. Джоан Роулинг, наделив придуманных ею волшебников невиданными способностями, тем не менее, оставила в их мире такой традиционный орган СМИ. Ну что стоило бы, например, рассылать новости телепатически, или транслировать их голограммы перед читателем ("Да прибудет с вами Сила")? Нет же, обыкновенная газета по копеечной цене.
Все дело в том, что некоторые вещи проросли в мироощущение Человечества настолько сильно, что даже в сказочном будущем они остаются без изменений. Книги, журналы и газеты - из числа этих вещей. Лист рукописной или печатной продукции в руке за много веков так органично вписался в облик человека разумного, что фантастической является сама идея замены его какой-то иной технологией.
Думаю, именно этим руководствовался Ник Шеридон из Исследовательского центра Ксерокс, придумав в семидесятых первую электронную бумагу Gyricon. Его невероятное по тем временам изобретение стало сейчас повседневной данностью, которую мы называем E Ink.
Если проводить аналогии с бумажными книгами, то моя первая (и единственная пока) электронная читалка "Explay TXT.Book" больше всего похожа на экземпляр левого тиража опусов Донцовой. Грязно-серый цвет электронной бумаги, артефакты содержимого предыдущих страниц, остающиеся на последующих (на форумах их красиво называли "фантомы"), долгое, с усилием "листание", как будто краска между страницами намертво склеила их. И, главное, один поддерживаемый формат файлов (TXT, как следовало из названия читалки) и один единственный шрифт, по ощущениям - творение китайского мастера каллиграфии, наскоро освоившего русский. Устройство было ужасно. Но я был безмерно рад ему.
Почему? Потому что, забросив на карту памяти десяток книг, я мог на неделю забыть о зарядном устройстве. Потому что, сидя на скамейке в летнем парке, я читал, а не ловил экраном отражение собственной физиономии. Потому что вернулось ощущение детства: ночь, книга и фонарик под одеялом. Да и просто потому, что шестидюймовый форм-фактор и вес в 150 граммов полностью совпадал с моим ощущением бумажной книги.
Я старался, как мог, исправить моего электробумажного друга. Путем многочисленных экспериментов, при поддержке тайных сил электричества, мне удалось поселить в нем прошивку от читалки "Orsio". Теперь мой "Explay" разбирается не только в txt, но и в форматах fb2, rtf, pdf и, даже, djvu. Хотя все также "пачкает" страницы артефактами и столь же неспешен, как и раньше.