کد مهندسی معکوس استاکس نت منتشر شده در GitHub؛ بدافزار مخربی که تأسیسات نطنز را هدف قرار داده و با آسیب رساندن به سانتریفیوژها باعث آسیب فیزیکی می شود.
به گزارش سرویس امنیت سایبری مجردهدف نهایی این کرم که گفته میشود با موفقیت به آن دست یافت، کنترلکنندههای صنعتی ساخت زیمنس بود که طبق گزارشها در تأسیسات غنیسازی هستهای نطنز ایران استفاده میشد.
هنگامی که استاکس نت به هدف رسید، فرکانس مبدل های مورد استفاده در سانتریفیوژهای صنعتی را دستکاری کرد تا مخفیانه به روتور آنها آسیب برساند.
این عملیات در حالی انجام شد که سیستم عملکرد عادی تجهیزات را به کارکنان مرکز گزارش داد.
مخزن کد منتشر شده همچنین شامل دستورالعمل های ساخت است تا علاقه مندان بتوانند عملکرد درونی آن را کشف کنند.
برای اجرای آن به یک ماشین مجازی مجهز به ویندوز XP یا ویندوز 7 نیاز است و نباید اتصال شبکه ای برای این دستگاه تنظیم شود.
برای مشاهده عملکرد کامل قسمت مخرب، علاوه بر مکانیسم انتشار بدافزار، به نرم افزار مناسب زیمنس و در حالت ایده آل سخت افزار مربوطه نیاز خواهید داشت.
روش های گسترش استاکس نت در سیستم های ویندوز
استاکس نت در طول فعالیت خود از سه روش برای انتشار استفاده کرد. روش اصلی استفاده از USB استیک های حاوی میانبرهای ویندوز و فایل های autorun.inf بود.
اتصال چنین درایوی به رایانه میتواند فرآیند آلودگی را با استفاده از آسیبپذیری روز صفر، حتی فقط با مشاهده محتویات درایو، آغاز کند.
سپس سیستم های آلوده به طور خودکار سعی می کنند کرم را در شبکه پخش کنند. استاکسنت از آسیبپذیری روز صفر در Windows Print Spooler استفاده کرد که به مهاجم اجازه میداد فایلهای سیستم را روی رایانههای متصل به یک چاپگر مشترک بنویسد.
این بدافزار همچنین خود را در پوشههای مشترک قابل دسترسی در شبکه کپی کرد.
استاکس نت همچنین از دو گواهی دیجیتال سرقت شده از Realtek و JMicron برای دور زدن تأیید امضای دیجیتال درایورهای ویندوز استفاده کرد.
نرم افزار صنعتی نافذ زیمنس
این کرم همچنین حاوی کدهایی برای نفوذ به نرم افزار زیمنس بود.
استاکس نت این کار را از طریق پایگاه داده SQL Server WinCC و همچنین با قرار دادن کد آن در فایل های پروژه مرحله 7 انجام داد.
این فایل ها با باز شدن توسط مهندسان به صورت خودکار اجرا می شدند.
از آنجا که چنین فایلهایی تقریباً همیشه بین چندین مهندس به اشتراک گذاشته میشد، این روش یک مسیر مؤثر برای توزیع بدافزار داخلی بود و به کنترل پوشههای شبکه مشترک وابسته نبود.
در مرحله آخر، استاکس نت کنترل DLL هایی را که با سانتریفیوژهای واقعی ارتباط دارند، در دست گرفت و کد مخرب خود را به PLC های تجهیزات، کنترل کننده های منطقی قابل برنامه ریزی، تزریق کرد.
این به بدافزار اجازه داد تا به طور مخفیانه عملکرد روتورها را مختل کند.
بیشتر بخوانید: بهره برداری از سه آسیب پذیری کروم و ویندوز در حملات نرم افزارهای جاسوسی
عملیات المپیک و حمله به نطنز
استاکس نت بخشی از پروژه ای به نام عملیات بازی های المپیک بود. گزارش شده است که این پروژه یک تلاش هماهنگ بین ایالات متحده و اسرائیل برای محدود کردن پیشرفت ادعایی ایران در ساخت تسلیحات هستهای در تاسیسات نطنز بوده است.
گفته می شود این عملیات در دولت های جرج بوش و باراک اوباما نیز ادامه یافت و هدف آن جلوگیری از اقدام پیشگیرانه اسرائیل علیه ایران بود.
بر اساس گزارش های منتشر شده، پنتاگون و واحد 8200 اسرائیل در توسعه این بدافزار مشارکت داشته اند. همچنین گفته می شود که استاکس نت در نهایت با آسیب جدی به روتورهای سانتریفیوژها، حدود 10 درصد از سانتریفیوژهای نطنز را از کار انداخت.
بیشتر بخوانید: بدافزارهای هوشمند با جعل هویت سایت های رسمی Razer و مایکروسافت کاربران را فریب می دهند
نقص استاکس نت و انتشار ناخواسته آن در اینترنت
با این حال، استاکس نت یک نقص مهلک داشت. این کرم چک های کافی برای شناسایی محیط اجرای خود را نداشت و متوجه نشد که شبکه محلی را ترک کرده است.
هنگامی که مهندسان لپ تاپ های آلوده خود را به خانه بردند، استاکس نت راه خود را به اینترنت عمومی باز کرد. در آن زمان محققان امنیتی در سراسر جهان متوجه رفتار غیرعادی آن شدند و شروع به بررسی این بدافزار کردند.
خوشبختانه، استاکس نت یک تاریخ از پیش تعیین شده برای خود تخریبی داشت و قرار بود در ۲۴ ژوئن ۲۰۱۲ کار خود را متوقف کند.
گفتگو در مورد این post