Car-tech

Stuxnet Industrial Worm is een jaar geleden geschreven Ago

Stuxnet: Computer worm opens new era of warfare

Stuxnet: Computer worm opens new era of warfare
Anonim

genaamd Stuxnet, de worm was onbekend tot midden juli, toen het werd geïdentificeerd door onderzoekers met VirusBlockAda, een beveiligingsleverancier gevestigd in Minsk, Wit-Rusland. De worm is niet alleen opmerkelijk vanwege zijn technische verfijning, maar ook vanwege het feit dat hij zich richt op de computers van het industriële besturingssysteem die zijn ontworpen voor het runnen van fabrieken en krachtcentrales. Nu zeggen onderzoekers van Symantec dat ze een vroege versie van de computer hebben gevonden. worm die werd gemaakt in juni 2009, en dat de schadelijke software vervolgens in het begin van 2010 veel verfijnder werd gemaakt.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Deze eerdere versie van Stuxnet werkt op dezelfde manier als zijn huidige incarnatie - het probeert verbinding te maken met Siemens SCADA (supervisiesystemen en data-acquisitie) managementsystemen en gegevens te stelen - maar het gebruikt geen enkele van de nieuwere worm-opmerkelijkere technieken om antivirusdetectie te omzeilen en installeer zichzelf op Windows-systemen. Die functies zijn waarschijnlijk toegevoegd een paar maanden voordat de nieuwste worm voor het eerst werd ontdekt, zei Roel Schouwenberg, een onderzoeker met antivirusverkoper Kaspersky Lab. "Dit is zonder enige twijfel de meest geavanceerde gerichte aanval die we tot nu toe hebben gezien", zei hij.

Nadat Stuxnet werd gemaakt, voegden de auteurs nieuwe software toe die het toestond om zich via USB-apparaten te verspreiden met vrijwel geen tussenkomst van het slachtoffer. En ze slaagden er ook op een of andere manier in om coderingssleutels van chipfabrikanten Realtek en JMicron te bemachtigen en de malware digitaal te ondertekenen, zodat antivirusscanners het moeilijker zouden hebben om het te detecteren.

Realtek en JMicron hebben beide kantoren in de Hsinchu Science Park in Hsinchu, Taiwan, en Schouwenberg is van mening dat iemand de sleutels heeft gestolen door fysiek toegang te hebben tot computers bij de twee bedrijven. Volgens beveiligingsdeskundigen zijn deze gerichte aanvallen al jaren bezig, maar ze zijn pas sinds kort mainstream-aandacht gaan krijgen, nadat Google bekendmaakte dat het het doelwit was van een aanval die bekend staat als Aurora.

Zowel Aurora als Stuxnet gebruiken ongepatchte 'zero-day'-fouten in Microsoft-producten. Maar Stuxnet is technisch gezien opmerkelijker dan de Google-aanval, zei Schouwenberg. "Aurora had een zero-day, maar het was een zero-day tegen IE6," zei hij. "Hier heb je een kwetsbaarheid die effectief is tegen elke versie van Windows sinds Windows 2000."

Op maandag haastte Microsoft zich een vroege patch uit voor de Windows-kwetsbaarheid die Stuxnet gebruikt om zich van systeem naar systeem te verspreiden. Microsoft bracht de update uit, net zoals de Stuxnet-aanvalscode begon te worden gebruikt in meer virulente aanvallen.

Hoewel Stuxnet door een vervalser kon worden gebruikt om industriële geheimen te stelen - fabrieksgegevens over het maken van golfclubs, bijvoorbeeld - Schouwenberg vermoedt dat een natiestaat achter de aanslagen zat. <> Tot op heden zegt Siemens dat vier van zijn klanten zijn besmet met de worm. Maar al die aanvallen hebben invloed op technische systemen, in plaats van op de fabrieksvloer.

Hoewel de eerste versie van de worm in juni 2009 werd geschreven, is het onduidelijk of die versie werd gebruikt in een echte aanval. Schouwenberg is van mening dat de eerste aanval al in juli 2009 had kunnen plaatsvinden. De eerste bevestigde aanval die Symantec weet dateert van januari 2010, zei Vincent Weafer, Symantec's vice-president van beveiligingstechnologie en reactie.

De meeste besmette systemen bevinden zich in Iran, voegde hij eraan toe, hoewel ook India, Indonesië en Pakistan worden getroffen. Dit is op zichzelf hoogst ongebruikelijk, zei Weaver. "Het is de eerste keer in 20 jaar dat ik me kan herinneren dat Iran zo zwaar opdook."

Robert McMillan behandelt computerbeveiliging en algemeen technologisch nieuws voor

The IDG News Service

. Volg Robert op Twitter op @bobmcmillan. Het e-mailadres van Robert is [email protected]