رمزگشایی از قوی.ترین سلاح سایبری قرن

واضح آرشیو وب فارسی:فان پاتوق: دانش > فناوری اطلاعات
- رالف لنگنر، کارشناس امنت سایبری در کنفرانس TED از استاکس.نت، روش کار و اهداف آن سخن گفت، این.که این ویروس را آمریکایی.ها مشخصا برای حمله به تاسیسات غنی سازی اورانیوم نطنز در ایران طراحی کرده.اند.رالف لنگنر*: ایده اصلی تولید بدافزار کامپیوتری استاکس.نت خیلی ساده است: تولید کنندگان این بدافزار، می.خواهند مانعی در راه برنامه هسته.ای ایران ایجاد کنند.

می.دانیم که نقطه اتکای اصلی برنامه هسته.ای ایران، تاسیسات غنی.سازی اورانیوم نطنز است. در چنین تاسیسات صنعتی برای کنترل سرعت ماشین.ها و باز و بسته شدن شیرها، (مثلا در سانتریفیوژ.ها) از سیستم.های کنترل منطقی قابل برنامه.ریزی PLC استفاده می.کنند که تحت سیستم.عامل.هایی کار می.کنند که هیچ ربطی به ویندوز ندارند. حال اگر بخواهید که در چنین سیستمی اختلال ایجاد کنید، می.توانید از یک ویروس کامپیوتری خوب استفاده کنید که خود را به رایانه مهندسی که این دستگاه.ها را برنامه.ریزی می.کند، برساند و هنگامی.که رایانه یا لپ.تاپ به پی.ال.سی متصل شد، بدافزار اصلی را در آن بارگزاری کند؛ آن.گاه عملکرد سانتریفیوژ دچار اختلال می.شود و کل برنامه هسته.ای به تاخیر می.افتد. بدین.ترتیب ماموریت به نتیجه می.رسد! ساده به نظر می.رسد، نه؟

بگذارید بگویم که چگونه به این جا رسیده.ایم: شش ماه پیش که کار پژوهش بر روی استاکس.نت را شروع کردیم، اصلا نمی.دانستیم که هدف آن چه چیزی می.تواند باشد، تنها چیزی که می.دانستیم این بود که قسمت تحت ویندوز آن تا چه حد پیچیده است و از چه روش هوشمندانه.ای برای نفوذ هم.زمان به چند نقطه آسیب.پذیر ویندوز استفاده کرده است. به نظر می.رسید که می.خواهد کاری با این پی.ال.سی.ها و کنترل.کننده.ها بکند، در نتیجه ما تمرکز خود را معطوف به آنها کردیم و یک پروژه آزمایشگاهی را برای تشخیص هدف آن آغاز کردیم. ولی چیز جالبی اتفاق افتاد، استاکس.نت مانند موشی عمل می.کرد که علاقه.ای به پنیر ما نداشت، بو می.کشید ولی تمایلی به خوردن آن نداشت، امری که اصلا منطقی به نظر نمی.رسید.

بعد از این که با پنیرهای متفاوت آن را آزمودیم و به نتیجه مشابهی رسیدیم، دریافتیم که این ویروس برای حمله به یک هدف مشخص طراحی شده است. به دنبال مشخصه.ها و کدهای عملیاتی به خصوصی می.گردد و در صورتی که آنها را پیدا کند شروع به کار می.کند و اگر چنین چیزی را در هدف پیدا نکند، اصلا عمل نمی.کند. دریافتیم که بدون دانستن هدف، نمی.توان کار زیادی از پیش برد. این هدف می.توانست هر جایی باشد، یک نیروگاه در امریکا یا حتی یک کارخانه مواد شیمیایی در آلمان.

ما کدهای حمله را استخراج و رمزگشایی کردیم و دریافتیم که دو بمب دیجیتال در استاکس.نت وجود دارد، یک بمب کوچک.تر و یک بمب بزرگ.تر، علاوه بر آن دانستیم که حمله.کننده.ها از یک مهندسی بسیار پیشرفته بهره برده و دانش کاملی از هدف خود داشته.اند، آن.ها بر تمام بیت.ها و بایت.های هدف اشراف داشتند و شاید حتی شماره کفش اپراتورها را هم می.دانستند! هر کدام از بمب.ها یک هدف بخصوص داشتند و به طور خودکار و بدون کنترل از راه دور کار می.کردند.

اگر فکر می.کنید که استاکس.نت صرفا ویروسی پیچیده و با فناوری بالا است، باید بگویم که خیلی بیشتر از چیزی است که حتی بتوانید تصورش کنید. سطح آن خیلی بالاتر و پیشرفته.تر از هر چیز دیگری است که بتوان حتی به آن فکر کرد، فقط کافی است بگویم که این قسمت از ویروس به تنهایی، 15هزار خط برنامه.نویسی داشت که به زبانی نزدیک به اسمبلی نوشته شده بود. حال ما باید به دنبال چه چیزی در این 15 هزار خط می گشتیم، اول این که به دنبال چه عملکردهایی در سیستم می.گشت، چرا که می.دانیم که آنها چه کاری انجام می.دهند، و علاوه بر آن زمان.سنج.ها و ساختار داده.ها برای مشخص کردن هدف احتمالی به کار می.آمدند.

ما نیاز به نظریه.هایی در مورد اهداف داشتیم تا بتوان با استفاده از آنها مشخص کرد که یک سیستم بخصوص، هدف این ویروس است یا خیر. چیزی که می.دانستیم این بود که این یک عملیات خرابکاری است، هدف یک سیستم ولتاژ بالا است و احتمالا هم در ایران قرار دارد، چرا که بیشترین میزان کامپیوترهای الوده شده در این کشور قرار داشتند. در این منطقه اهداف احتمالی زیادی وجود ندارد که اصلی.ترین آنها نیروگاه هسته.ای بوشهر و تاسیسات نطنز است. از همین رو به دستیارم گفتم که فهرستی از کارشناسان سانتریفیوژ و نیروگاه.های هسته.ای که مشتری ما هستند، تهیه کند. با آنها تماس گرفتم تا از مشاور آنها برای تعیین هدف احتمالی استفاده کنم.

با استفاده از مشاوره.های آنها توانستیم ارتباطی بین بمب کوچک.تر و کنترل روتور سانتریفیوژ پیدا کنیم. روتور قسمت متحرک سانتریفیوژ است و اگر بتوانید سرعت آن را تغییر دهید، در عمل می.توانید عملکرد آن را دچار اختلال کنید و حتی سبب انفجار دستگاه سانتریفیوژ شوید. هم.چنین فهمیدیم که هدف این بمب، این است که سرعت سانتریفیوژ را خیلی آهسته تغییر دهد، شاید برای این.که کاربران دستگاه.ها نتوانند به سرعت به وجود مشکل پی ببرند و کاملا گیج شوند.

ولی بمب بزر.گ.تر، کاملا با داده.ها و ساختار داده.ها در ارتباط بود، برای مثال، عدد 164 را در نظر بگیرید که در ساختار آن وجود داشت؛ اگر در مورد آرایش سانتریفیوژ.ها تحقیق کنید در می.یابید که آرایش سانتریفیوژ مورد استفاده در دستگاه.های سانتریفیوژ نطنز، آبشار 164 تایی از دستگاه.های سری P-1 است، علاوه بر آن سانتریفیوژ.های ایران در 15 مرحله و با آرایش خاصی قرار گرفته.اند. جالب اینجاست که ساختار داده.هایی که ما در کد حمله استاکس.نت یافتیم، کاملا منطبق با این آرایش بود. به این ترتیب می.توانیم با اطمینان بگوییم که این همان هدفی است که به دنبال آن می.گشتیم.

حال می.توانیم بگوییم که هر دو بمب به یک هدف حمله می.کنند، منتهی از زوایای مختلف. بمب کوچک.تر فقط به یک آبشار سانتریفیوژ حمله می.کند و سرعت روتورها را کم می.کند، در حالی که بمب بزرگ.تر به مجموعه 6 آبشاری حمله می.کند و شیرها را به طور نادرست باز و بسته می.کند. اکنون می.توانیم با اطمینان بگوییم که هدف این ویروس نطنز و تنها نطنز است، و دیگر دارندگان پی.ال.سی نباید نگرانی از این باب داشته باشند (دست کم در حال حاضر!)

حال به یک ویژگی دیگر استاکس.نت می.پردازیم. این ویروس، ورودی.های حسگرها را جعل کرده و تغییر می.دهد، (مثل حسگرهای دما و فشار) و در نتیجه به رغم این.که سانتریفیوژ.ها درست کار نمی.کنند، کاربر آنها متوجه چنین مشکلی نمی.شود. چون در حقیقت داده.های ورودی که از پیش در آن ذخیره شده.اند، به جای داده.های واقعی نمایش داده می.شوند؛ درست مانند یک فیلم هالیوودی که در آن، تصاویر دوربین.های نظارتی با تصاویر جعلی از پیش ضبط شده جابجا می.شوند. جالب است، نه؟!

هدف در اینجا تنها این نیست که اپراتور و اتاق کنترل را گول بزنیم، در حقیقت، مسئله بسیار خطرناک.تر و تهاجمی.تر از این است؛ این سیستم قرار است یک سیستم ایمنی دیجیتال را فریب دهد. در چنین حالتی، کاربر انسانی نمی.تواند به سرعت واکنش نشان دهد، و در نتیجه، اگر مثلا در جایی مانند یک نیروگاه باشید، و توربین.ها به سرعت بسیار خطرناکی برسند بدون آن.که هیچ سیستم حفاظتی آن را تشخیص دهد، حاصل کار وحشتناک خواهد بود: نیروگاه منفجر می.شود بدون این که کاربر یا سیستم حفاظتی نیروگاه از آن باخبر شوند.

ولی مسئله خیلی مهم در این میان، این است که وضع از این هم بدتر خواهد شد. به این نکته فکر کنید: این حمله عمومی است، به طور خاص هیچ کاری به سانتریفیوژ یا اورانیوم ندارد، در نتیجه می.تواند در هر جای دیگری کار کند، مثل یک نیروگاه یا یک کارخانه خودروسازی؛ و بر خلاف مورد خاص استاکس.نت، دیگر نیازی هم به یک یو.اس.بی برای انتقال آن نخواهد بود، مثلا می.توان برای انتقال آن از فناوری معمولی کرم اینترنتی استفاده کرد تا بتوان آن را تا جای ممکن پراکنده کرد.

بدین ترتیب این ویروس به یک سلاح سایبری کشتار جمعی تبدیل خواهد شد. بیشترین جاهایی که در معرض خطر قرار می.گیرند، نه در خاورمیانه و آسیا (آن.گونه که در مورد استاکس.نت رخ داد) که در امریکا، اروپا و ژاپن خواهند بود. آنها می.توانند به سادگی کپی و پخش شوند. ما باید با تبعات این حمله مواجه شویم، و بهتر است که از همین امروز خود را آماده آن روز کنیم.

و یک نکته: به باور من موساد هم در این حمله دخیل بود، ولی آنها به تنهایی توان مدیریت چنین کاری را نداشتند، بلکه نیروی رهبری کننده آن ابرقدرت سایبری دنیای امروز بود، و تنها یک کشور امروزه چنین جایگاهی دارد: ایالات متحده امریکا.

*رالف لنگنر (Ralph Langner)، کارشناس امنیت سیستم.های کنترلی و امنیت سایبری از آلمان است که پس از رمزگشایی از استاکس.نت و شیوه عملکرد آن در سال 2010 بیش.ازپیش مورد توجه قرار گرفت.

ترجمه: مجید جویا

این صفحه را در گوگل محبوب کنید

[ارسال شده از: فان پاتوق]

[مشاهده در: www.funpatogh.com]

[تعداد بازديد از اين مطلب: 318]