Stuxnet is een computerworm die zich richt op de soorten industriële controlesystemen (ICS) die vaak worden gebruikt in infrastructuurondersteunende faciliteiten (zoals elektriciteitscentrales, waterbehandelingsfaciliteiten, gasleidingen, enz.).
Men zegt dat de worm voor het eerst ontdekt werd in 2009 of 2010, maar feitelijk al in 2007 het nucleaire programma van Iran werd aangevallen. Destijds werd Stuxnet vooral gevonden in Iran, Indonesië en India, goed voor meer dan 85% van alle infecties.
Sindsdien heeft de worm duizenden computers in veel landen getroffen, zelfs sommige machines volledig verpest en een groot deel van Irans nucleaire centrifuges vernietigd.
Wat doet Stuxnet?
Stuxnet is ontworpen om programmeerbare logische controllers (PLC's) te wijzigen die in die faciliteiten worden gebruikt. In een ICS-omgeving automatiseren de PLC's industriële taken, zoals het regelen van de stroomsnelheid om druk- en temperatuurregelingen te handhaven.
Het is gebouwd om zich alleen naar drie computers te verspreiden, maar elk van deze kan zich uitbreiden naar drie andere, en dat is hoe het zich verspreidt.
Een ander kenmerk is het verspreiden naar apparaten op een lokaal netwerk dat niet is verbonden met internet. Het kan bijvoorbeeld via USB naar één computer gaan maar dan worden verspreid naar een aantal andere privémachines achter de router die niet zijn ingesteld om externe netwerken te bereiken, waardoor intranetapparaten elkaar effectief kunnen infecteren.
Aanvankelijk werden de apparaatstuurprogramma's van Stuxnet digitaal ondertekend, omdat ze werden gestolen uit legitieme certificaten die van toepassing waren op JMicron- en Realtek-apparaten, waardoor deze eenvoudig zichzelf kon installeren zonder verdachte prompts voor de gebruiker. Sindsdien heeft VeriSign de certificaten echter ingetrokken.
Als het virus op een computer terechtkomt waar niet de juiste Siemens-software is geïnstalleerd, blijft het onbruikbaar. Dit is een groot verschil tussen dit virus en anderen, in de zin dat het is gebouwd voor een extreem specifiek doel en niet "wil" iets schandelijks te doen op andere machines.
Hoe bereikt Stuxnet PLC's?
Om veiligheidsredenen zijn veel van de hardware-apparaten die worden gebruikt in industriële besturingssystemen niet via internet verbonden (en vaak zelfs niet verbonden met lokale netwerken). Om dit tegen te gaan, bevat de Stuxnet-worm verschillende geavanceerde propagatiemiddelen met het doel uiteindelijk STEP 7-projectbestanden te bereiken en te infecteren die worden gebruikt om de PLC-apparaten te programmeren.
Voor initiële propagatiedoeleinden richt de worm zich op computers waarop de Windows-besturingssystemen worden uitgevoerd en doet dit meestal via een flashstation. De PLC zelf is echter geen op Windows gebaseerd systeem, maar eerder een eigen machine-taalapparaat. Vandaar dat Stuxnet eenvoudig Windows-computers doorkruist om bij de systemen te komen die de PLC's beheren, waarop het zijn nuttige lading weergeeft.
Om de PLC te herprogrammeren, zoekt en infecteert de Stuxnet-worm STEP 7-projectbestanden, die worden gebruikt door Siemens SIMATIC WinCC, een systeem voor toezichtcontrole en gegevensverwerving (SCADA) en een interface voor menselijke machine (HMI) die worden gebruikt om de PLC's te programmeren.
Stuxnet bevat verschillende routines om het specifieke PLC-model te identificeren. Deze modelcontrole is nodig omdat de instructies op machineniveau op verschillende PLC-apparaten kunnen verschillen. Zodra het doelapparaat is geïdentificeerd en geïnfecteerd, krijgt Stuxnet de controle om alle gegevens die de PLC binnenkomen of onderscheppen te onderscheppen, inclusief de mogelijkheid om met die gegevens te knoeien.
Namen Stuxnet komt eraan
Hieronder volgen enkele manieren waarop uw antivirusprogramma de Stuxnet-worm kan identificeren:
- F-Secure: Trojan-Dropper: W32 / Stuxnet
- Kaspersky: Rootkit.Win32.Stuxnet.b of Rootkit.Win32.Stuxnet.a
- McAfee: Stuxnet
- Normandisch: W32 / Stuxnet.A
- Sophos: Troj / Stuxnet-A of W32 / Stuxnet-B
- Symantec: W32.Temphid
- Trend Micro: WORM_STUXNET.A
Stuxnet kan ook enkele "familieleden" hebben die op namen als Duqu of Flame zijn gebaseerd.
Hoe Stuxnet te verwijderen
Aangezien Siemens-software aangetast is wanneer een computer is geïnfecteerd met Stuxnet, is het belangrijk om contact met hen op te nemen als een infectie wordt vermoed.
Voer ook een volledige systeemscan uit met een antivirusprogramma zoals Avast of AVG of een virusscanner op aanvraag, zoals Malwarebytes.
Het is ook noodzakelijk om Windows up-to-date te houden, wat u kunt doen met Windows Update.
