Στις 17 Ιουνίου 2010 η εταιρεία ασφάλειας VirusBlokAda ανέφερε ένα νέο κακόβουλο πρόγραμμα που εξαπλωνόταν μέσω συντομεύσεων (αρχείων .lnk) στα Windows. Λίγες εβδομάδες αργότερα, η Symantec πρόσθεσε ανίχνευση, και το πρόγραμμα έγινε γνωστό ως Stuxnet. Η ανάλυση που ακολούθησε έδειξε κάτι ασυνήθιστο: το πρόγραμμα δεν ενδιαφερόταν κυρίως για προσωπικά αρχεία ή κωδικούς, αλλά για έναν συγκεκριμένο τύπο βιομηχανικού εξοπλισμού.
Τι έψαχνε
Σύμφωνα με το τεχνικό «φάκελο» που δημοσίευσε η Symantec το 2011, το Stuxnet έψαχνε υπολογιστές με το λογισμικό Step 7 της Siemens, που χρησιμοποιείται για τον προγραμματισμό βιομηχανικών ελεγκτών (PLC). Επιχειρούσε να τροποποιήσει τον κώδικα των ελεγκτών και να κρύψει τις αλλαγές από όσους χειρίζονταν τον εξοπλισμό. Η Symantec το περιέγραψε ως το πρώτο γνωστό rootkit για PLC. Ο στόχος του ήταν ελεγκτές που επικοινωνούσαν με τουλάχιστον 33 μετατροπείς συχνότητας, δηλαδή συσκευές που ρυθμίζουν την ταχύτητα κινητήρων, από δύο συγκεκριμένους κατασκευαστές: τη φινλανδική Vacon και την ιρανική Fararo Paya, με έδρα την Τεχεράνη.
Επειδή οι υπολογιστές που προγραμματίζουν τέτοιους ελεγκτές συνήθως δεν είναι συνδεδεμένοι σε δίκτυο, το πρόγραμμα εξαπλωνόταν με πολλούς τρόπους: μέσω τοπικού δικτύου με τη βοήθεια ευπάθειας που ήταν άγνωστη στον κατασκευαστή, μέσω αρχείων έργων Step 7 και μέσω αφαιρούμενων μονάδων αποθήκευσης. Ένας οδηγός του είχε υπογραφεί με έγκυρο πιστοποιητικό της Realtek Semiconductor, γεγονός που έκανε πιο δύσκολο τον εντοπισμό του.
Ο χάρτης της εξάπλωσης
Στις 29 Σεπτεμβρίου 2010 οι καταγραφές της Symantec έδειχναν περίπου 100.000 μολυσμένους υπολογιστές, από πάνω από 40.000 διαφορετικές εξωτερικές διευθύνσεις IP σε περισσότερες από 155 χώρες. Περίπου το 60% των μολυσμένων υπολογιστών βρισκόταν στο Ιράν. Αυτό δεν σημαίνει ότι όλοι ήταν στόχοι: το πρόγραμμα ενεργοποιούσε τον επιβλαβή κώδικά του μόνο σε συγκεκριμένο περιβάλλον.
Η σύνδεση με τη Νατάνζ είναι ανάλυση, όχι δήλωση
Το Ινστιτούτο Επιστήμης και Διεθνούς Ασφάλειας (ISIS) δημοσίευσε τον Δεκέμβριο του 2010 ανάλυση του κώδικα. Παρατήρησε ότι οι συχνότητες που χρησιμοποιούσε ο κώδικας ταιριάζουν με φυγόκεντρους εμπλουτισμού ουρανίου τύπου IR-1: η ονομαστική συχνότητα λειτουργίας είναι 1.064 Hz και η συχνότητα στην οποία ο αλουμινένιος ρότορας αστοχεί είναι 1.410 Hz. Ο κώδικας ανέβαζε και μείωνε κατά διαστήματα τη συχνότητα. Το ISIS εκτίμησε ότι περίπου 1.000 από περίπου 9.000 φυγόκεντρους IR-1 στο εργοστάσιο εμπλουτισμού καταστράφηκαν πιθανότατα στα τέλη του 2009 ή στις αρχές του 2010. Το ίδιο το ινστιτούτο σημειώνει ότι το Ιράν δεν είχε επιβεβαιώσει αριθμό, ότι η καταστροφή δεν ήταν ολική και ότι η παραγωγή χαμηλά εμπλουτισμένου ουρανίου δεν μειώθηκε το 2010.
Τι δεν ξέρουμε
Στην ανάλυση του ISIS οι δημιουργοί του προγράμματος παρέμεναν άγνωστοι. Το κείμενο αυτό δεν υιοθετεί καμία απόδοση ευθυνών, γιατί δεν έχουμε διασταυρώσει επίσημη ανάληψη ευθύνης. Παραμένει επίσης άγνωστο αν υπήρξαν παλιότερες ή νεότερες εκδόσεις πέρα από όσες είχαν αναλυθεί δημόσια τότε.
