Stuxnet: Hva skjedde? Christian Sandberg, European SE September 2011

Transkript

1 Stuxnet: Hva skjedde? Christian Sandberg, European SE September 2011

2 Agenda 1 Terminologi og teknologi Stuxnet detaljer Infisering, spredning og utnytting Hvordan kan dette forhindres? 2

3 Terminologi #1 Exploit/ Svakhet Programvare som utnytter en svakhet for å fremskape utilsiktet adferd (infisere) Worm/ Orm Malware som replikker seg automatisk i et nettverk (spredning) Payload Den selve ondsinnede aktiviteten, for eksempel slette en fil, last ned fil (gjøre skade) 3

4 Terminologi #2 PLC «Programmable Logic Controller» (PLC) kontrollerer maskiner for industri og produksjon Field PG Typisk en Windows basert PC, brukes til å overvåke og programmere PLC PLC Field PG 4

5 Typisk PLC installasjon Vann forsyning Rørledning Gass sentrifuge Internt nettverk Skrive Lese PLC Operatør PC Field PG 5

6 Målet Sanntids overvåkningssystem (Kontroller) Overvåker: Verdier Sentrifuge hastighet Kjører ikke Windows MEN.. 6

7 Operatøren Operatør (Field PG) SCADA Kontroller (PLC) Her har vi en angrepsvinkel! 7

8 Oppdraget Infisere med Malware Omprogrammere kontroller (Payload) Resultat: Ingen A-våpen! Mål: Iran sine uran sentrifuger 8

9 Banebrytende Orm Mer enn 50,000 ormer spres på Internett ~1000-vis av dem er blir ikke oppdaget av antivirus ~1 2 utnytter ukjente svakheter (0-day) Hva er så spesielt med Stuxnet? Hva er så banebrytende? 9

10 Stuxnet oversikt Arkitektur Exploit Teknikker En fil (bibliotek) Ca. 500k Skrevet i 7 språk Slettes 24 Juni ukjente Windows feil 2 stjålne sertifikater SCADA / PLC payload Lure antivirus Peer-2-Peer nettverk C&C kommando og kontroll 10

11 Infeksjonsstatistikk Antallet unike infiserte maskiner per land Dette er IKKE normalt Symantec 11

12 Velkommen til slagmarken! Bushehr Atomkraftverk, Iran 12

13 OPPDRAGETS MÅL: Infiltrere atomkraftverk Spre orm over nettverket Infisere operatør PCer ENDELIG MÅL: Omprogrammere kontrolleren 13

14 Delmål #1: Infisere den første noden i nettverket 14

15 Hvordan komme inn? 15

16 Noen muligheter.. Infiserte en vitende eller uvitende tredjepart med tilgang til innsiden En entreprenør SCADA konferanse USB minnepinner - «giveaway» USB minnepinner «mistet» utenfor bygning Den første infeksjon ble mest sannsynlig gjort med hjelp av en USB minnepinne 16

17 Fra USB pinne til PC Stuxnet bruke to metoder for å infisere en PC via USB Metode #1 Autorun design feil (.INF) Metode #2 Misbruk av snarvei fil (.LNK) 17

18 Metode #1: Autorun.inf svakhet Autorun.inf er en konfigurasjonsfil som kan instruere Windows til automatiske operasjoner når en flyttbar enhet tilkobles 18

19 Autorun.inf detaljer Filnavn: autorun.inf Stuxnet STUXNET KODE AutoRun [autorun] OPEN = setup.exe 19

20 DEMO TID! Autorun.inf 20

21 Metode #2:.LNK svakhet Design feil i Windows Explorer (ikke Internet Explorer) når den viser snarveier (shortcuts) Shortcut Egenskaper Filnavn: Shortcut Filstørrelse: 1 KB ICON lokasjon: c:\icon d:\bad_file Dette var Stuxnet ormen i vårt scenario 21

22 DEMO TID! LNK svakhet (MS10-046) 22

23 Fang meg hvis du kan.. Men Filene vises jo på USB pinnen? Nei - Stuxnet filtrerer bort disse filene. De vil ikke synes mer.. 23

24 Ikke Admin?! Ikke noe problem! Bruker Task Scheduler til å få mer rettigheter (admin) Lager en «Task» som starter Stuxnet vanlig bruker Editerer «Task» filen til å kjøre som system (admin) Padde for å få lik CRC32 kontroll sum Stuxnet har nå admin tilgang! 24

25 ANY * ANY * INFECT Men vent!? Er dette egentlig mulig? Vil Windows laste ukjente filer uten å spørre? Kun signerte binære filer kan startes uten advarsel. 25

26 Programvareutviklere må signere filer Check Point må også gjøre dette for å kunne gi best mulig bruker opplevelse Vårt sertifikat er utstedt av Verisign 26

27 Kompromiterte sertifikater Hvordan kan man få tak i sertifikater som ikke er sporbare? Begge disse selskapene har kontorer i Hsinchu Science and Industrial Park (Taiwan). Kan tyde på en utro tjener 27

28 Delmål #1 oppnådd! Internt nettverk PLC Operatør PC (Windows) Field PG 28

29 OPPDRAGETS MÅL: Infiltrere atomkraftverk Spre orm over nettverket Infisere operatør PCer ENDELIG MÅL: Omprogrammere kontrolleren 29

30 Spredning over nettverk Microsoft kjente til denne siden 2009 men påstod at den ikke var kritisk nok til å rettes Til Skriver Til Fil Admin område 30

31 Stuxnet kommunikasjonskomponenter Kommunisere via Peer-2-Peer Kommuniere med angripere Infisert PC - fungerer som server Get Version Infiser PC fungerer som klient Master? Angripere Send Version Do X Request Update Do Y Send Update Internet 31

32 Delmål #2 oppnådd! Ping Internt nettverk Fant operatør! C&C Jeg lever! Internet PLC Operatør PC (Windows) Field PG 32

33 OPPDRAGETS MÅL: Infiltrere atomkraftverk Spre orm over nettverket Infisere operatør PCer ENDELIG MÅL: Omprogrammere kontrolleren 33

34 Delmål #3: Infisere det virkelige målet! Når Stuxnet finner en Field PG vil den installere en Trojans hest som: Overvåker PLC kommandoer som skrives og leses Infiserer PLC og endrer kommandoene som sendes Skjuler at PLC ikke følger kommandoene Dette kaller vi et rootkit programvare som omgår operativsystemet 34

35 Eksempel på infisert PLC (lese/skrive) Operatør (Field PG) Operasjon Kontroller 5 Endre hastighet Predefinert verdi Operasjon Infisert med Stuxnet 5 Sjekk hastighet Vis forventet verdi 35

36 OPPDRAGETS MÅL: Infiltrere atomkraftverk OPPDRAG Spre orm over nettverket UTFØRT!! Infisere operatør PCer ENDELIG MÅL: Omprogrammere kontrolleren 36

37 Hva er realiteten? Er dagens kjente utgaver av Stuxnet en trussel? Nei så lenge du ikke skal anrike uran Hva er da problemet? 37

38 Problemet er.. Stuxnet koden er skrevet som et bibliotek Deler kan enkelt byttes ut for å utføre andre operasjoner Dette kan skje transparent over nettverk Det er også mulig å angripe kontrolleren direkte Mye utstyr bruker SCADA over IP!! 38

39 Hvordan minimere risikoen? Holde prosessnettverk så adskilt som mulig! Brannmur for sone inndeling og tette mest mulig IPS for å overvåke det som slippes igjennom Se etter typisk C&C trafikk Vanskeliggjøre fysisk tilgang til Field PG Kun mulig å bruke via sikker fjernadministrasjon Sikre Field PG maskinene Installer sikkerhetsprogramvare Stupe OS så mye som mulig Fjerne flest mulig av tredjeparts CA er fra MSCAPI store Dedikerte nettverk (VLAN) for SCADA over IP trafikk 39

40 Oppsummering Kompleks Stuxnet er en veldig sofistikert trussel! Usynlig Laget for å ikke tiltrekke oppmerksomhet Spesiallaget Vil kun gjøre skade på spesiell utstyr Kostbart Brukte 4 ukjente svakheter Mal Stuxnet kan kopieres kriminelle Modulær Kan brukes mot andre systemer.. 40

41 Spørsmål 41

42 Takk for meg! Christian Sandberg, EU SE csandberg@checkpoint.com 42