El malware fast16 fue una herramienta de sabotaje diseñada hace unos 20 años para corromper simulaciones de armas nucleares, específicamente detonaciones de alta potencia. Este programa, precursor de Stuxnet, alteraba cálculos matemáticos en software especializado como LS-DYNA y AUTODYN. Su sofisticación sugiere que fue desarrollado por un actor estatal con un conocimiento técnico excepcional para interferir en procesos físicos reales.

Un nuevo análisis del malware fast16 basado en Lua ha confirmado que se trataba de una herramienta de sabotaje cibernético diseñada para alterar simulaciones de pruebas de armas nucleares.

Según los equipos de Symantec (propiedad de Broadcom) y Carbon Black, esta herramienta anterior a Stuxnet fue diseñada para corromper simulaciones de compresión de uranio que son fundamentales para el diseño de armas nucleares.

"El motor de ganchos de Fast16 está selectivamente interesado en simulaciones de explosivos de alta potencia dentro de LS-DYNA y AUTODYN", afirmó el Equipo de Caza de Amenazas en este enlace. "El malware verifica la densidad del material simulado y solo actúa cuando ese valor supera los 30 g/cm³, el umbral que el uranio solo puede alcanzar bajo la compresión de choque de un dispositivo de implosión".

Este desarrollo se produce semanas después de que SentinelOne presentara un análisis de fast16, describiéndolo como el primer marco de sabotaje cuyos componentes pueden haberse desarrollado ya en 2005, precediendo en dos años a la versión más antigua conocida de Stuxnet (alias Stuxnet 0.5).

Evidencia descubierta

Las pruebas halladas por la empresa de ciberseguridad incluyeron una referencia a la cadena "fast16" en un archivo de texto filtrado por un grupo de hackers anónimo llamado The Shadow Brokers en 2017. El archivo formaba parte de un enorme lote de herramientas de hacking y exploits presuntamente utilizados por el Equation Group, un actor de amenazas patrocinado por el estado con presuntos vínculos con la Agencia de Seguridad Nacional (NSA) de EE. UU.

En su núcleo, el malware de sabotaje industrial cuenta con un conjunto de 101 reglas para alterar los cálculos matemáticos realizados por ciertos programas de ingeniería y simulación que eran prevalentes en aquel momento. Aunque no están claros los binarios exactos que el malware parchea, SentinelOne identificó tres candidatos probables: LS-DYNA versión 970, Practical Structural Design and Construction Software (PKPM) y Modelo Hidrodinâmico (MOHID).

El último análisis de Symantec ha confirmado que LS-DYNA y AUTODYN son las dos aplicaciones objetivo de fast16, añadiendo que fue diseñado explícitamente para interferir con simulaciones de detonaciones de explosivos de alta potencia, casi con certeza para facilitar el sabotaje contra la investigación de armas nucleares.

"Ambas son aplicaciones de software utilizadas para simular problemas del mundo real, como la resistencia a los choques de vehículos, la modelización de materiales y la simulación de explosivos", señalaron Symantec y Carbon Black. "Los ganchos que fast16 coloca dentro del programa de simulación consisten en tres estrategias de ataque. El sabotaje solo se activa durante las ejecuciones de detonación y ráfagas transitorias a escala real".

Las 101 reglas de ganchos pueden categorizarse en 9-10 grupos, cada uno dirigido a diferentes versiones de LS-DYNA o AUTODYN, lo que sugiere que los desarrolladores del malware hacían un seguimiento de las actualizaciones de software y añadían soporte para diferentes versiones con el tiempo. Esto apunta a una operación metódica y sostenida.

"Si los grupos de reglas de ganchos se añadieron secuencialmente según fuese necesario, vemos que se añadió un grupo de ganchos para una versión anterior del software después de una versión más reciente", explicaron los investigadores.

"Uno podría imaginar que el usuario de la simulación volvió a una versión anterior al enfrentarse a la anomalía, antes de que esa versión también fuera atacada. En segundo lugar, los grupos de ganchos representan hasta 10 versiones diferentes de software de simulación, lo que significa que el usuario de la simulación actualiza las versiones con cierta frecuencia".

Fast16 está diseñado de tal manera que no infectará ordenadores que tengan instalados ciertos productos de seguridad. También se propaga automáticamente a otros endpoints de la misma red, de modo que cualquier máquina utilizada para ejecutar las simulaciones generará los mismos resultados alterados.

Los hallazgos indican que el sabotaje industrial estratégico mediante malware estaba siendo llevado a cabo por actores estatales hace ya 20 años, mucho antes de que Stuxnet se utilizara para dañar las centrifugadoras de enriquecimiento de uranio en la planta nuclear de Natanz en Irán.

En declaraciones al periodista de ciberseguridad Kim Zetter, Vikram Thakur, director técnico de Symantec, dijo en este enlace que el nivel de experiencia y comprensión necesarios para diseñar un malware así en 2005 es "asombroso". Dicho esto, no se sabe si existe una versión moderna de fast16 en activo.

"Ese grado de conocimiento del dominio, como comprender qué formas de EOS importan, qué convenciones de llamada son producidas por qué compiladores y qué clases de simulación activarán o no la puerta, es inusual en cualquier época y era muy inusual en 2005", afirmaron Symantec y Carbon Black.

"El marco pertenece al mismo linaje conceptual que Stuxnet, en el cual el malware fue adaptado no solo al producto de un proveedor, sino a un proceso físico específico que estaba siendo simulado o controlado por dicho producto".

Fuente:
THN