Nhà nghiên cứu dịch ngược mã nguồn mã độc khét tiếng Stuxnet và công bố lên GitHub
Một nhà nghiên cứu bảo mật ẩn danh vừa dịch ngược toàn bộ mã nguồn của mã độc khét tiếng Stuxnet và đăng tải lên GitHub. Mã độc này từng nhắm vào các cơ sở hạt nhân của Iran và là phần mềm độc hại đầu tiên gây ra thiệt hại vật lý ngoài đời thực.
Bất kỳ ai theo dõi tin tức thế giới vào đầu những năm 2010, đặc biệt là các báo cáo công nghệ, có lẽ đều từng nghe về Stuxnet. Loại mã độc này đã sinh ra vô số thuyết âm mưu – và điều thú vị là một số trong số đó lại là sự thật. Mã độc này nhắm vào các cơ sở hạt nhân của Iran và được cho là con sâu máy tính kỹ thuật số đầu tiên gây ra thiệt hại vật lý trực tiếp ngoài đời thực. Mới đây, một nhà nghiên cứu bảo mật giấu tên đã công bố bản dịch ngược mã nguồn của Stuxnet một cách đầy đủ.
Mục tiêu cuối cùng của con sâu, được cho là đã thành công, là các bộ điều khiển công nghiệp từ Siemens được sử dụng tại nhà máy làm giàu hạt nhân Natanz của Iran. Khi tiếp cận được mục tiêu, payload (tải trọng độc hại) của Stuxnet đã thao túng các bộ biến tần trong các lồng ly tâm công nghiệp nhằm âm thầm làm hỏng các cánh rotor – đồng thời giữ cho nhân viên nhà máy trong bóng tối bằng cách báo cáo rằng mọi thứ vẫn hoạt động bình thường.
Kho lưu trữ trên GitHub đi kèm với các hướng dẫn xây dựng để những người đam mê công nghệ quan tâm có thể tự trải nghiệm và tìm hiểu về cách thức hoạt động bên trong của nó. Bạn sẽ cần một máy ảo Windows XP hoặc Windows 7, và vì những lý do hiển nhiên, bạn không nên cấu hình bất kỳ kết nối mạng nào cho nó. Để chứng kiến toàn bộ hiệu ứng của payload thay vì chỉ các cơ chế lây lan, bạn sẽ cần phần mềm Siemens phù hợp và lý tưởng nhất là có cả phần cứng – mặc dù chúng ta có thể đoán rằng các lồng ly tâm quy mô công nghiệp không phải là thứ phổ biến trong ngăn kéo cáp của những người mê công nghệ.
Vào thời hoàng kim, Stuxnet lây lan qua ba cơ chế. Vectơ lây nhiễm chính là các ổ USB chứa các phím tắt Windows và tệp autorun.inf. Khi cắm một trong những chiếc USB đó vào, việc chỉ xem nội dung của ổ đĩa ngay lập tức sẽ kích hoạt quá trình lây nhiễm nhờ một lỗ hổng zero-day.
Các hệ thống bị nhiễm sau đó sẽ tự động cố gắng lây lan con sâu xa hơn qua mạng bằng cách sử dụng lỗ hổng Windows Print Spooler zero-day, cho phép kẻ tấn công ghi các tệp hệ thống vào bất kỳ máy nào chia sẻ máy in. Nó cũng tự sao chép vào các chia sẻ mạng có thể truy cập. Để né tránh cácσ kiểm tra chữ ký trình điều khiển của Windows, Stuxnet đã sử dụng hai chứng chỉ kỹ thuật số bị đánh cắp từ Realtek và JMicron.
Con sâu này cũng có mã để tự tiêm nhiễm vào phần mềm Siemens, thông qua cơ sở dữ liệu WinCC SQL Server, và nhúng mã của nó vào các tệp dự án Step 7 tự động chạy khi các kỹ sư mở chúng lên. Vì các tệp đó gần như chắc chắn được chia sẻ giữa nhiều kỹ sư, nên đây là một vectơ lây nhiễm nội bộ tuyệt vời không phụ thuộc vào việc có quyền kiểm soát chia sẻ mạng hay không.
Bước cuối cùng là chiếm quyền điều khiển DLL giao tiếp với các lồng ly tâm thực tế và tiêm mã độc vào các PLC (Bộ điều khiển logic khả trình) của các cỗ máy đó để âm thầm phá hoại các rotor.
Stuxnet là một phần của Chiến dịch Olympic Games, một nỗ lực phối hợp được cho là giữa Mỹ và Israel nhằm cố gắng kìm hãm tiến độ chế tạo vũ khí hạt nhân của Iran tại cơ sở Natanz. Sáng kiến này dường như được thực hiện dưới cả hai đời tổng thống Bush và Obama, và được cho là một cách để ngăn cản Israel phát động một cuộc tấn công phủ đầu chống lại Iran. Phần mềm này bịa đặt là được phát triển bởi cả Lầu Năm Góc và Đơn vị 8200 của Israel, và được cho là đã thành công trong việc đánh sập khoảng 10% số lồng ly tâm của Natanz bằng cách làm hỏng nghiêm trọng các rotor của chúng.
Tuy nhiên, con sâu này lại có một lỗi tồi tệ: nó không có đủ các bước kiểm tra về môi trường mà nó đang hoạt động, và không nhận ra rằng nó không còn ở trong môi trường mạng nội bộ nữa. Khi các kỹ sư mang máy tính xách tay của họ về nhà, nó đã thoát ra ngoài internet nói chung, tại thời điểm đó, các nhà nghiên cứu bảo mật trên toàn thế giới đã đồng loạt thốt lên "ồ, thật kỳ lạ" và tiến hành điều tra. May mắn thay, con sâu này chứa một ngày tự hủy được mã hóa cứng là ngày 24 tháng 6 năm 2012.
🔧 NHÀ NGHIÊN CỨU DỊCH NGƯỢC MÃ NGUỒN MÃ ĐỘC KHÉT TIẾNG STUXNET VÀ CÔNG BỐ LÊN GITHUB Bất kỳ ai theo dõi tin tức thế giới vào đầu những năm 2010, đặc biệt là các báo cáo công nghệ, có lẽ đều từng nghe về Stuxnet. Loại mã độc này đã sinh ra vô số thuyết âm mưu – và điều thú vị là một số trong số đó lại là sự thật. Mã độc này nhắm vào các cơ sở hạt nhân của Iran và được cho là con sâu máy tính kỹ thuật số đầu tiên gây ra thiệt hại vật lý trực tiếp ngoài đời thực. Mới đây, một nhà nghiên cứu bảo mật giấu tên đã công bố bản dịch ngược mã nguồn của Stuxnet một cách đầy đủ. Mục tiêu cuối cùng của con sâu, được cho là đã thành công, là các bộ điều khiển công nghiệp từ Siemens được sử dụng tại nhà máy làm giàu hạt nhân Natanz của Iran. Khi tiếp cận được mục tiêu, payload (tải trọng độc hại) của Stuxnet đã thao túng các bộ biến tần trong các lồng ly tâm công nghiệp nhằm âm thầm làm hỏng các cánh rotor – đồng thời giữ cho nhân viên nhà máy trong bóng tối bằng cách báo cáo rằng mọi thứ vẫn hoạt động bình thường. Kho lưu trữ trên GitHub đi kèm với các hướng dẫn xây dựng để những người đam mê công nghệ quan tâm có thể tự trải nghiệm và tìm hiểu về cách thức hoạt động bên trong của nó. Bạn sẽ cần một máy ảo Windows XP hoặc Windows 7, và vì những lý do hiển nhiên, bạn không nên cấu hình bất kỳ kết nối mạng nào cho nó. Để chứng kiến toàn bộ hiệu ứng của payload thay vì chỉ các cơ chế lây lan, bạn sẽ cần phần mềm Siemens phù hợp và lý tưởng nhất là có cả phần cứng – mặc dù chúng ta có thể đoán rằng các lồng ly tâm quy mô công nghiệp không phải là thứ phổ biến trong ngăn kéo cáp của những người mê công nghệ. Vào thời hoàng kim, Stuxnet lây lan qua ba cơ chế. Vectơ lây nhiễm chính là các ổ USB chứa các phím tắt Windows và tệp autorun.inf. Khi cắm một trong những chiếc USB đó vào, việc chỉ xem nội dung của ổ đĩa ngay lập tức sẽ kích hoạt quá trình lây nhiễm nhờ một lỗ hổng zero-day. Các hệ thống bị nhiễm sau đó sẽ tự động cố gắng lây lan con sâu xa hơn qua mạng bằng cách sử dụng lỗ hổng Windows Print Spooler zero-day, cho phép kẻ tấn công ghi các tệp hệ thống vào bất kỳ máy nào chia sẻ máy in. Nó cũng tự sao chép vào các chia sẻ mạng có thể truy cập. Để né tránh cácσ kiểm tra chữ ký trình điều khiển của Windows, Stuxnet đã sử dụng hai chứng chỉ kỹ thuật số bị đánh cắp từ Realtek và JMicron. Con sâu này cũng có mã để tự tiêm nhiễm vào phần mềm Siemens, thông qua cơ sở dữ liệu WinCC SQL Server, và nhúng mã của nó vào các tệp dự án Step 7 tự động chạy khi các kỹ sư mở chúng lên. Vì các tệp đó gần như chắc chắn được chia sẻ giữa nhiều kỹ sư, nên đây là một vectơ lây nhiễm nội bộ tuyệt vời không phụ thuộc vào việc có quyền kiểm soát chia sẻ mạng hay không. Bước cuối cùng là chiếm quyền điều khiển DLL giao tiếp với các lồng ly tâm thực tế và tiêm mã độc vào các PLC (Bộ điều khiển logic khả trình) của các cỗ máy đó để âm thầm phá hoại các rotor. Stuxnet là một phần của Chiến dịch Olympic Games, một nỗ lực phối hợp được cho là giữa Mỹ và Israel nhằm cố gắng kìm hãm tiến độ chế tạo vũ khí hạt nhân của Iran tại cơ sở Natanz. Sáng kiến này dường như được thực hiện dưới cả hai đời tổng thống Bush và Obama, và được cho là một cách để ngăn cản Israel phát động một cuộc tấn công phủ đầu chống lại Iran. Phần mềm này bịa đặt là được phát triển bởi cả Lầu Năm Góc và Đơn vị 8200 của Israel, và được cho là đã thành công trong việc đánh sập khoảng 10% số lồng ly tâm của Natanz bằng cách làm hỏng nghiêm trọng các rotor của chúng. Tuy nhiên, con sâu này lại có một lỗi tồi tệ: nó không có đủ các bước kiểm tra về môi trường mà nó đang hoạt động, và không nhận ra rằng nó không còn ở trong môi trường mạng nội bộ nữa. Khi các kỹ sư mang máy tính xách tay của họ về nhà, nó đã thoát ra ngoài internet nói chung, tại thời điểm đó, các nhà nghiên cứu bảo mật trên toàn thế giới đã đồng loạt thốt lên "ồ, thật kỳ lạ" và tiến hành điều tra. May mắn thay, con sâu này chứa một ngày tự hủy được mã hóa cứng là ngày 24 tháng 6 năm 2012. 🗞 Nguồn: Tom's Hardware #vgsnews #vgs #tintuc
