Un investigador ha publicado en GitHub el código fuente reconstruido de Stuxnet, el famoso malware diseñado para sabotear instalaciones nucleares iraníes. Este software fue el primero en causar daños físicos reales al manipular centrifugadoras industriales de Siemens. El repositorio permite ahora estudiar su funcionamiento y los mecanismos de infección que utilizó.






Cualquiera que haya seguido las noticias mundiales a principios de la década de 2010, y los informes sobre tecnología en particular, probablemente haya oído hablar de Stuxnet. Ese malware generó una gran cantidad de teorías de conspiración, con el detalle de que algunas de ellas eran en realidad ciertas. El malware tenía como objetivo las instalaciones nucleares iraníes y se cree que fue el primer gusano digital en causar daños físicos directos en el mundo real. Un investigador de seguridad desconocido ha publicado ahora una reconstrucción del código fuente de Stuxnet en todo su esplendor.

El objetivo final del gusano, presuntamente exitoso (Operación Olympic Games), fueron controladores industriales de Siemens que supuestamente se utilizaban en la planta de enriquecimiento nuclear de Natanz, en Irán. Una vez que alcanzaba el objetivo, la carga útil de Stuxnet manipulaba los convertidores de frecuencia de las centrífugas industriales, en un intento de dañar sutilmente los rotores, todo mientras mantenía al personal de la planta en la oscuridad informando que la operación era normal.

El repositorio contiene instrucciones de compilación para que los entusiastas de la tecnología interesados puedan probarlo por sí mismos y aprender todo sobre su funcionamiento interno. Necesitarás una máquina virtual de Windows XP o Windows 7 y, por razones obvias, no deberías configurar ninguna conectividad de red para ella. Para presenciar los efectos completos de la carga útil en lugar de solo los mecanismos de propagación, necesitarás el software de Siemens adecuado y, idealmente, el hardware, aunque suponemos que las centrífugas a escala industrial no son precisamente comunes en los cajones de cables de los informáticos.


En su apogeo, Stuxnet se propagaba a través de tres mecanismos ([enlace]). El vector de infección primario eran las memorias USB con accesos directos de Windows y archivos autorun.inf. Al conectar una de esas memorias, el simple hecho de ver el contenido de la unidad activaría inmediatamente la infección gracias a una vulnerabilidad de día cero.

Los sistemas infectados intentaban entonces propagar el gusano de forma autónoma a través de la red utilizando una vulnerabilidad de día cero del Spooler de impresión de Windows que permitía a un atacante escribir archivos del sistema en cualquier máquina que compartiera una impresora. También se copiaba en carpetas compartidas de red accesibles. Para evadir las comprobaciones de firma de controladores de Windows, Stuxnet utilizó dos certificados digitales robados de Realtek y JMicron ([enlace]).


El gusano también tenía código para inyectarse en el software de Siemens, a través de la base de datos WinCC SQL Server, e incrustar su código en los archivos de proyecto Step 7 que se ejecutaban automáticamente cuando los ingenieros los abrían. Dado que esos archivos estaban casi garantizados a ser compartidos entre más de un ingeniero, constituían un excelente vector de infección interna que no dependía de tener el control de la red compartida.

El paso final era tomar el control de la DLL que se comunicaba con las centrífugas reales e inyectar código malicioso en los PLC (Controladores Lógicos Programables) de esas máquinas para alterar sigilosamente los rotores.


Stuxnet formaba parte de la Operación Olympic Games ([enlace]), un presunto esfuerzo coordinado entre EE. UU. e Israel para intentar frenar el supuesto progreso de Irán en la creación de armas nucleares en su instalación de Natanz. La iniciativa aparentemente se llevó a cabo bajo las administraciones de Bush y Obama, y supuestamente era una forma de disuadir a Israel de lanzar su propio ataque preventivo contra Irán. El software fue presuntamente desarrollado tanto por el Pentágono como por la Unidad 8200 de Israel, y según se informa, tuvo éxito en derribar aproximadamente el 10% de las centrífugas de Natanz ([enlace]) al dañar gravemente sus rotores.

Sin embargo, el gusano tenía un error grave: no tenía comprobaciones suficientes sobre el entorno en el que se encontraba y no notó que ya no estaba en un entorno de red local. Cuando los ingenieros llevaron sus portátiles a casa, escapó hacia Internet ([enlace]), momento en el cual los investigadores de seguridad de todo el mundo soltaron un colectivo "eh, esto es extraño" y procedieron a investigar. Afortunadamente, el gusano contenía una fecha de autodestrucción programada para el 24 de junio de 2012.

Fuente:
TomsHardware