Arşivden: Stuxnet — Bir kod parçası santrifüjleri nasıl sabote etti?

Haziran 2010. Belarus'un başkenti Minsk'teki küçük antivirüs şirketi VirusBlokAda'ya İranlı bir müşteriden şikâyet geliyor: Bilgisayarlar durmadan yeniden başlıyor. Şirketin araştırmacısı Sergey Ulasen sorunu incelerken bir USB bellekten bulaşan, son derece karmaşık bir zararlı buluyor. O gün kimse bilmiyordu, ama bu dosya siber güvenlik tarihini ikiye ayıracaktı: Stuxnet'ten önce ve sonra.

Ne oldu?

Stuxnet ilk bakışta sıradan bir solucan gibi yayılıyordu, ama sıradan hiçbir yanı yoktu. Symantec'in 2011'de yayımladığı ayrıntılı analize göre kod, Windows'taki dört ayrı zero-day açığını birlikte kullanıyordu. Bunlardan biri, kısayol (LNK) dosyalarını işleme biçimindeki açıktı (CVE-2010-2568): Zararlı USB belleğin içeriğine bakmak bulaşma için yetiyordu. Sürücüleri de Realtek ve JMicron'dan çalınmış geçerli dijital sertifikalarla imzalanmıştı, bu yüzden güvenilir yazılım gibi görünüyordu.

Asıl sürpriz, kodun bir bilgisayara bulaştıktan sonra çoğu zaman hiçbir şey yapmamasıydı. Stuxnet çok özel bir hedef arıyordu: Siemens'in Step 7 yazılımıyla yönetilen, belirli frekans dönüştürücülere bağlı motorları kontrol eden PLC'ler. Bu koşulları sağlamayan sistemlerde sessizce bekliyordu.

Nasıl fark edildi?

Kodun amacı, dünyanın dört bir yanındaki araştırmacıların aylar süren ortak çalışmasıyla çözüldü. Alman endüstriyel kontrol uzmanı Ralph Langner ve ekibi, hedef koşulların bir uranyum zenginleştirme tesisinin santrifüj düzenine uyduğunu öne sürdü. Langner'in sonraki analizlerine göre Stuxnet, santrifüjlerin dönüş hızını zaman zaman olağan dışı değerlere çıkarıp düşürüyor, bu sırada da operatörlerin ekranına önceden kaydedilmiş "normal" sensör değerlerini yansıtıyordu. Kontrol odasındakiler her şeyin yolunda olduğunu görürken makineler yıpranıyordu.

Washington merkezli Institute for Science and International Security (ISIS), Uluslararası Atom Enerjisi Ajansı verilerine dayanan 2010 tarihli raporunda, İran'ın Natanz tesisinde 2009 sonu ile 2010 başı arasında yaklaşık 1.000 santrifüjün devreden çıkarıldığını ve bunun Stuxnet'le bağlantılı olabileceğini değerlendirdi. Kodun arkasında kimin olduğu ise hiçbir zaman resmî olarak doğrulanmadı. Basına yansıyan iddialara göre, özellikle New York Times'ın 2012'deki haberine göre, operasyon ABD ve İsrail'in ortak yürüttüğü "Olympic Games" adlı bir programın parçasıydı. İki ülke de bunu resmî olarak kabul etmedi.

Bugüne mirası

Stuxnet üç şeyi kalıcı olarak değiştirdi. Birincisi, kodun fiziksel dünyada hasar verebileceğini gösterdi; bugün enerji, su ve üretim tesislerinin OT güvenliği ayrı bir disiplin olarak konuşuluyorsa bunda bu vakanın payı büyük. İkincisi, "air-gap" yani internetten fiziksel olarak ayrılmış ağların tek başına yeterli olmadığını, bir USB belleğin o boşluğu kapatabileceğini kanıtladı. Üçüncüsü, imzalı yazılıma duyulan güvenin de saldırı yüzeyi olduğunu hatırlattı. Çalınan sertifikalar ve tedarik zinciri saldırıları bugün hâlâ haber listelerimizin değişmez konuları arasında.

Arşivden not

Stuxnet'in en ürkütücü yanı gücü değil, sabrıydı. Yalnızca aradığı hedefi bulduğunda harekete geçti ve izleyenlere her şeyin yolunda olduğunu söyledi. Bugün bir alarm panosuna bakarken kendimize sormamız gereken soru belki de o yüzden hâlâ aynı: Gördüğümüz değerler gerçek mi, yoksa bize gösterilmek istenenler mi?

Kaynaklar

• Nicolas Falliere, Liam O Murchu, Eric Chien — W32.Stuxnet Dossier, Symantec (2011)
• Ralph Langner — To Kill a Centrifuge (2013)
• David Albright, Paul Brannan, Christina Walrond — Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant?, ISIS (2010)
• Kim Zetter — How Digital Detectives Deciphered Stuxnet, Wired (2011)