L'architettura interna dell'arma cyber più infame della storia è ora di dominio pubblico. Un ricercatore di sicurezza anonimo ha pubblicato su GitHub un completo reverse-engineering del codice sorgente di Stuxnet, includendo le istruzioni di build e dettagli approfonditi sul funzionamento del worm.
Stuxnet è universalmente riconosciuto come il primo strumento digitale capace di causare danni fisici diretti. Sviluppato nell'ambito dell'operazione Olympic Games — uno sforzo congiunto tra Stati Uniti e Israele — il malware aveva come obiettivo le strutture nucleari iraniane, in particolare l'impianto di arricchimento di Natanz. Il software era progettato per infiltrarsi nei controller industriali Siemens e manipolare i convertitori di frequenza delle centrifughe, danneggiando sottilmente i rotori mentre riportava allo staff dell'impianto un funzionamento normale.
Le meccaniche dell'infezione
Il codice pubblicato rivela una sofisticata strategia di propagazione multi-vettore. Stuxnet si diffondeva principalmente tramite chiavette USB utilizzando scorciatoie di Windows e file autorun.inf, sfruttando una vulnerabilità zero-day per attivare l'infezione al semplice accesso al contenuto del drive. Una volta all'interno di una rete, utilizzava un'altra vulnerabilità zero-day nel Print Spooler di Windows per scrivere file di sistema su tutte le macchine che condividevano una stampante.
Per eludere i controlli di firma dei driver, il worm utilizzava certificati digitali rubati a Realtek e JMicron. Si infiltrava ulteriormente nel software Siemens tramite il database WinCC SQL Server, iniettando codice malevolo nei file di progetto Step 7. Questo garantiva che l'infezione si propagasse internamente man mano che gli ingegneri condividevano i file, senza dipendere dal controllo delle cartelle di rete.
Impatto fisico e fuga
Il payload finale colpiva le DLL che comunicavano con le centrifughe, iniettando codice nei PLC (Programmable Logic Controllers) per destabilizzare i rotori. Rapporti di ISIS indicano che Stuxnet avrebbe distrutto circa 1.000 centrifughe IR-1 — circa il 10% della capacità dell'impianto — tra la fine del 2009 e l'inizio del 2010.
La segretezza del worm terminò a causa di un bug critico: la mancanza di controlli sufficienti sull'ambiente circostante portò Stuxnet a diffondersi su internet quando i laptop infetti furono portati a casa dagli operatori. Questo permise ai ricercatori di tutto il mondo di scoprirlo, sebbene una data di autodistruzione codificata al 24 giugno 2012 abbia infine neutralizzato la minaccia.
Il repository su GitHub permette agli utenti tecnici di sperimentare il codice in ambienti isolati, sebbene sia necessaria una macchina virtuale con Windows XP o 7 e il software Siemens specifico per osservare gli effetti completi del payload.
Ancora nessun commento. Puoi essere il primo!