Cyberbezpieczeństwo i kontrola dostępu

Ostrzeżenia przed cyberatakami na systemy sterowania i automatyki były ogłaszane już dawno. Podejmowano również ich pojedyncze próby (patrz: ramka). Dopiero jednak w 2010 roku nastąpił w tym zakresie prawdziwy przełom.

Wykryty wtedy Stuxnet był pierwszym publicznie znanym robakiem, który stworzono specjalnie w celu zainfekowania i zdestabilizowania systemów sterowania w przemyśle. Zaatakował on tysiące komputerów na całym świecie, czym wzbudził sporą sensację, stając się też źródłem teorii spiskowych na temat jego twórców i przeznaczenia.

Robak wywołał także ogromne poruszenie wśród osób, które odpowiadały za bezpieczeństwo systemów informatycznych w przemyśle. Okazało się bowiem, że dotychczasowe zabezpieczenia są niewystarczające, przez co komputery mogą stać się najsłabszym ogniwem oraz furtką do ataków z zewnątrz, nawet w przypadku wyspecjalizowanych i drogich systemów automatyki. Przerażało też to, że nim Stuxneta udało się zidentyfikować, działał on w ukryciu być może nawet przez ponad rok.

JAK ATAKOWAŁ STUXNET?

Stuxnet atakował prawdopodobnie za pośrednictwem pamięci USB. Dzięki temu mógł infekować także komputery obsługujące główny system sterowania zakładem, które właśnie ze względów bezpieczeństwa zwykle nie są podłączane do Internetu. Wykorzystując wcześniej nieznane luki bezpieczeństwa w systemie Windows (zero day exploits) rozprzestrzeniał się po sieci lokalnej, instalując m.in. sterowniki o nazwach mrxnet.sys i mrxcls.sys.

Pliki te nie były identyfikowane przez system jako potencjalnie złośliwe oprogramowanie, ponieważ miały certyfikat bezpieczeństwa podpisany prawdziwymi cyfrowymi kluczami prywatnymi wykradzionymi z firm Realtek oraz JMicron. Jeżeli robak na zainfekowanym komputerze nie wykrył instalacji systemu SCADA WinCC lub oprogramowania Step 7, nie robił zupełnie nic.

W przeciwnym wypadku Stuxnet m.in. zmieniał nazwę pliku s7otbxdx. dll, znajdującego się w katalogu zawierającym pliki używane w realizacji komunikacji pomiędzy Simatic Managerem a sterownikami S7, na s7otbxdsx.dll. Potem w folderze tym umieszczany był fałszywy plik s7otbxdx. dll, dzięki któremu robak mógł wprowadzać złośliwy kod do sterowników programowalnych.

JAKIE SZKODY MÓGŁ SPOWODOWAĆ STUXNET?

Celem działania robaka były głównie sterowniki z serii S7-417 i projekty określonego typu. Selektywność uznano za cechę wyróżniającą Stuxnet. Przeprogramowanie sterowników uniemożliwiało właściwe sterowanie przebiegiem procesów przemysłowych, prowadząc do ich rozregulowania. Jednocześnie zmiany w kodzie były ukrywane przed operatorami systemu. Nie można było ich też cofnąć ani nadpisać.

W efekcie mimo całkowitej utraty kontroli obsługa nie była w stanie nic zauważyć ani też na czas interweniować. Z zainfekowanego komputera wirus próbował również przesyłać dane na zewnętrzny serwer, a także pobierać stamtąd aktualizacje i rozkazy. Oprócz możliwości sabotażu pracy zakładu Stuxnet mógł być zatem wykorzystywany w działalności szpiegowskiej.

Przypuszcza się, że twórcami Stuxnetu byli specjaliści wspierani przez rządy Stanów Zjednoczonych i Izraela, a ich celem była elektrownia jądrowa w Iranie. Prawdopodobnie jednak ofiarą tego robaka padły również inne zakłady, m.in. elektrownia nuklearna w Rosji.

Gdy Stuxnet nie stanowił już zagrożenia, spodziewano się, że rozwiązania w nim wykorzystane mogą stanowić inspirację i bazę dla innych wirusów tego rodzaju. Było to tym bardziej prawdopodobne, że oprogramowanie firmy Microsoft jest powszechnie używane w przemyśle.

CO BYŁO KOLEJNE?

Zdaniem ekspertów nie należało się też sugerować tym, że atak za pomocą Stuxnetu został wymierzony w produkty konkretnego producenta, w tym wypadku sterowniki i oprogramowanie Siemensa. Naśladowcy twórców tego wirusa za cel mogli równie dobrze przyjąć rozwiązania oferowane przez innych producentów podzespołów systemów sterowania. Jeżeli dodatkowo mutacje Stuxnetu byłyby jeszcze bardziej wyrafinowane, mogłyby wyrządzić dużo więcej szkody niż ich pierwowzór.

Jak się okazało, nie pomylono się. Wkrótce poważnym zagrożeniem dla cyberbezpieczeństwa systemów przemysłowych stał się robak Duqu. To złośliwe oprogramowanie wykryto w 2011 roku (patrz: ramka).

Pod względem struktury i koncepcji Duqu był podobny do Stuxneta - fragmenty kodu źródłowego obydwu były nawet identyczne. Nie można było jednak stwierdzić, czy twórcy Duqu byli autorami Stuxnetu, czy tylko mieli dostęp do jego kodu. Pewne było natomiast to, że nowy robak miał zupełnie inny cel niż jego poprzednik.

Zdaniem ekspertów Duqu był nakierowany głównie na pozyskiwanie danych, przede wszystkim dokumentacji projektowej, od dostawców komponentów systemów automatyki przemysłowej. Informacje w ten sposób zebrane mogły w przyszłości umożliwić cyberataki podobne do tego przeprowadzonego przy użyciu Stuxnetu. Przypuszcza się, że Duqu został m.in. użyty w 2011 roku w ataku na irańskie elektrownie jądrowe.