Stuxnet – Maskarnas mask

Maskarnas Mask

Förra veckan fick vi höra talas om Stuxnet. Maskarnas mask. Datavirusens Skynet. Ett malware så avancerat att alla som analyserat det fortfarande – en vecka senare – står gapande av häpnad och skräck. Stuxnet är så utstuderat, avancerat och försåtligt att många misstänker att en stat ligger bakom. Efter att du läst det här kommer du förstå varför.

Introduktion

Vanliga maskar, trojaner och virus har som mål att sprida sig. Oftast över internet. Stuxnet är radikalt annorlunda. Det är designat för att spridas via USB-minnen till en fabriksmiljö som har ett eget intranät, inte anslutet till internet. Där används ofta någon typ av styrsystem för att styra pumpar, ventiler och läsa av givare. Det finns olika tillverkare. ABB har sina populära Advant system. Inom kärnkraftsindustrin är SCADA systemet Siemens Simatic S7 särskilt populärt. Stuxnet är som en agent med rätt att döda. Den letar efter en dator som är ansluten till ett S7 system. Hittar den inget sådant på datorn sprider sig Stuxnet ljudlöst till nästa dator för att söka vidare. Stuxnet gör ingen skada och lämnar inga elektroniska spår efter sig på datorn efter att den flyttat vidare till nästa dator. Om den hittar ett S7 system letar Stuxnet efter en speciell konfiguration. Det är först när den hittar ett S7 system med rätt konfiguration som den börjar göra skada. Stor skada. Den börjar nämligen modifiera pumparna och ventilerna. Detta kan exempelvis leda till att kraftverket … exploderar.

Stuxnet söker efter en Windowsdator kopplad till ett Siemens Simatic Step7 system

Spridning

Den initiala spridningen sker via ett USB-minne. En agent kan exempelvis göra inbrott hos en fabriksarbetare på natten och infektera ett USB-minne medan han/hon sover. Arbetaren tar sedan med sig USB-minnet till jobbet och stoppar in det i sin dator. Väl inne på intranätet använder sig Stuxnet av fem olika Zero Day Exploits för att sprida sig vidare till andra datorer. Även här är Stuxnet unikt. Inget annat malware har någonsin innehållit mer än en Zero Day. En 0-day är nämligen värdefull, den kan säljas dyrt på svarta marknaden. Stuxnet använder följande tre 0-days för att sprida sig:

• LNK (MS10-046)
• Print Spooler (MS10-061)
• Server Service (MS08-067)

Dessa tre ska nu vara patchade av Microsoft. Men Stuxnet använder även trick för att höja sina rättigheter (Privilege Escalation) efter att den infekterat en dator. Nämligen:

• Privilege escalation via Keyboard layout file
• Privilege escalation via Task Scheduler

Bägge dessa är än idag opatchade!

Certifikat

Stuxnet installerar sig som ett rootkit. För att åstadkomma detta maskerar den sig som en drivrutin. I vanliga fall får användaren upp en varning om en okänd drivrutin installeras i systemet. Är drivrutinen signerad med ett godkänt certifikat kan den däremot installeras i tysthet utan användarens godkännande. Stuxnet har inte bara en giltig signatur, den har två! Den organisation som skapat Stuxnet har kommit över giltiga certifikat för att signera drivrutiner från två olika företag (Realtek Semiconductor Corp och JMicron Technology Corporation) som inte har något annat gemensamt än att de sitter i samma byggnad i Taiwan…

Stuxnet har i särklass störst spridning i Iran

Lejonparten av fabrikerna som Stuxnet infekterat ligger i Iran. Förutom att infektera USB-minnen i Iran har Stuxnet-agenterna dessutom infiltrerat två stycken kontor i samma byggnad i Taiwan och kommit över deras bäst bevakade hemligheter, signeringscertifikaten. Det luktar underrättelsetjänst lång väg. Endast Gud (och Stuxnet) vet hur de bar sig åt.

Stuxnet har uppenbarligen gått under arbetsnamnet Myrtus.

Bibliska mått

Analyser av Stuxnet visar att katalogen där den kompilerats haft namnet Myrtus. Det har spekulerats hej vilt under veckan om vad Myrtus egentligen betyder och om det är någon slags referens till Bibeln. Vad jag kan hitta är Myrtus i alla fall en växt. I grekisk mytologi förknippades Myrtus med gudinnan Afrodite. I romersk mytologi med Venus och i Judisk liturgi är Myrtus en av de fyra heliga växterna som används vid Lövhyddohögtiden (Sukkot).

Sverige

Stuxnet har ännu inte nått Sverige. Och tur är väl det. Idag skriver IDG att samtliga 10 svenska kärnkraftverk kärnkraftsreaktorer använder samma styrsystem som Stuxnet/Myrtus angriper…

Huvudbonad

Foliehatt på

Nu är det dags att sätta på foliehatten. 2010 års Bilderbergmöte kretsade bland annat kring säkerhet i cyberrymden. Strax utsåg Obama en ny Cyber Security Tzar. Ett par månader senare smäller det till med nyheten om maskarnas mask – Stuxnet – samtidigt som nya övervakningslagar och påstådda hot mot Europa annonseras. I samma veva föreslås att lagstifta in bakdörrar i alla krypteringsprogram. Idag har dessutom SÄPO deklarerat ett förhöjt terrorhot mot Sverige. Det kan vara en slump. Dessa händelser behöver inte ha något samband. Kan vara. Behöver inte.

Hur som helst är Stuxnet/Myrtus av allt att döma skapad av en stat med syfte att attackera en specifik anläggning någonstans i Iran (förmodligen urancentrifugerna). Det här är banbrytande på flera sätt. Både uppsåtet, den diskreta spridningsmekanismen, igensopandet av elektroniska fotspår och maskeringen som officiellt signerad drivrutin. Men framför allt är det förslagenheten som imponerar. Sprida sig utan att synas. Leta, snoka, sniffa och spana. Attackera bytet på en given signal. Kombinationen av skicklig programmering, opatchade säkerhetshål och medhjälp av mänskliga agenter i flera olika länder pekar på att en organisation med enorma resurser ligger bakom Stuxnet/Myrtus. Något säger mig att vi kommer få se mer av sådant här i framtiden.