{{위키데이터 속성 추적}}
{{Infobox computer virus
| fullname         = 스턱스넷 맬웨어
| image            = 
| caption          = 
| common_name      = 스턱스넷
| technical_name   = 

* "'''Stuxnet'이라는 이름으로''"
** [[마이크로소프트]]
*** Worm:Win32/Stuxnet.[Letter]
*** TrojanDropper:Win32/Stuxnet
** [[NortonLifeLock|시만텍]]
*** W32.Stuxnet
*** W32.Stuxnet!lnk
** [[소포스]]
*** Troj/Stuxnet-[Letter]
*** Trojan-Dropper.Win32.Stuxnet.[letter]
*** Worm.Win32.Stuxnet.(letter)
*** TR/Drop.Stuxnet.(letter).(number)
** [[카스퍼스키 랩|카스퍼스키]]
*** Worm.Win32.Stuxnet
** [[F-Secure]]
*** Trojan-Dropper:W32/Stuxnet
*** Rootkit:W32/Stuxnet
** [[트렌드 마이크로]]
*** RTKT_STUXNET.[Letter]
*** LNK_STUXNET.[Letter]
*** WORM_STUXNET.[Letter]

| aliases          = 
| family           = 
| classification   = [[컴퓨터 웜]]
| type             = [[드롭퍼]]
| subtype          = 
| isolation_date   = 
| origin           = 
| infection_vector =
| author           = [[Equation Group]]
| ports_used       =
| OS               = [[윈도우 2000]], [[윈도우 XP]], [[윈도우 2003]], [[윈도우 비스타]], [[윈도우 서버 2008]], [[윈도우 7]], [[윈도우 서버 2008 R2]]<ref>{{웹 인용|url=https://www.wired.com/images_blogs/threatlevel/2010/11/w32_stuxnet_dossier.pdf|title=W32.Stuxnet Dossier|date=November 2010|publisher=Symantec}}</ref>
| filesize         =
| language         =
}}
'''스턱스넷'''(Stuxnet)은 2010년 6월에 발견된 [[웜]] 바이러스이다. [[마이크로소프트 윈도우]]를 통해 감염되어, [[지멘스 AG|지멘스 산업]]의 소프트웨어 및 장비를 공격한다. 이 웜이 산업시설을 공격하는 최초의 악성 소프트웨어는 아니지만,<ref name="Siemans-Cyber">{{웹 인용|url=http://www.totallyintegratedautomation.com/2010/09/building-a-cyber-secure-plant/|출판사=[[지멘스]]|제목=Building a Cyber Secure Plant|확인날짜=2010년 12월 5일|날짜=2010년 9월 30일|언어=en|archive-date=2021년 4월 21일|archive-url=https://web.archive.org/web/20210421092726/https://www.totallyintegratedautomation.com/2010/09/building-a-cyber-secure-plant/|url-status=}}</ref> 산업시설을 감시하고 파괴하는 악성 소프트웨어로는 최초이다.

이 웜은 마이크로소프트 윈도우가 설치된 임의의 컴퓨터에 감염되지만, 지멘스의 [[SCADA]] 시스템만을 감염시켜 장비를 제어하고 감시하는 특수한 코드를 내부에 담고 있다.<ref>{{웹 인용|url=http://www.symantec.com/connect/blogs/stuxnet-introduces-first-known-rootkit-scada-devices|제목=Stuxnet Introduces the First Known Rootkit for Industrial Control Systems|저자=Nicolas Falliere|출판사=[[시만텍]]|날짜=2010년 8월 6일|언어=en}}</ref><ref name=APtehran>{{뉴스 인용 |url=https://www.nytimes.com/aponline/2010/09/25/world/middleeast/AP-ML-Iran-Cyber-Attacks.html |제목=Iran's Nuclear Agency Trying to Stop Computer Worm |출판사=[[AP 통신사]] |location=[[테헤란]] |날짜=2010년 9월 25일 |확인날짜=2010년 9월 25일 |보존url=https://www.webcitation.org/5t1DCvbet?url=http://www.nytimes.com/aponline/2010/09/25/world/middleeast/AP-ML-Iran-Cyber-Attacks.html?_r=1 |보존날짜=2010년 9월 25일 |언어=en |url-status=live }}</ref> 스턱스넷은 장비를 프로그램하는 데 사용되는 [[프로그래머블 로직 컨트롤러|PLC]]를 감염시켜 장비의 동작을 변경한다.<ref name="Keizer1">{{뉴스 인용|url=http://www.infoworld.com/print/137598|출판사=[[Infoworld]]|제목=Is Stuxnet the 'best' malware ever?|날짜=2010년 9월 16일|저자=Gregg Keizer|확인날짜=2010년 9월 16일|언어=en|보존url=https://archive.today/20121205012450/http://www.infoworld.com/print/137598|보존날짜=2012년 12월 5일|url-status=dead}}</ref><ref name=RewritingPlaybook>{{웹 인용|저자=Steven Cherry, with Ralph Langner|제목=How Stuxnet Is Rewriting the Cyberterrorism Playbook|url=http://spectrum.ieee.org/podcast/telecom/security/how-stuxnet-is-rewriting-the-cyberterrorism-playbook|출판사=[[전기 전자 기술자 협회|IEEE]] Spectrum|날짜=2010년 10월 13일|언어=en}}</ref>

스턱스넷의 여러 변종이 [[이란]]에 있는 5개 시설에서 발견되었으며,<ref>{{뉴스 인용
 | url=http://www.bbc.co.uk/news/technology-12465688
 | 제목=Stuxnet Virus Targets and Spread Revealed
 | 날짜=2011년 2월 15일
 | 확인날짜=2011년 2월 17일
 | 출판사=[[BBC News]]
 | 언어=en
}}</ref> 웜의 공격목표는 이란의 [[농축 우라늄|우라늄 농축 시설]]인 것으로 추정된다.<ref name=RewritingPlaybook /><ref name=BBC>{{뉴스 인용|url=http://www.bbc.co.uk/news/technology-11388018|제목=Stuxnet worm 'targeted high-value Iranian assets'|출판사=[[BBC News]]|날짜=2010년 9월 23일|확인날짜=2010년 9월 23일|성=Fildes|이름=Jonathan|언어=en}}</ref><ref>{{뉴스 인용|url=http://www.telegraph.co.uk/technology/news/8021102/Stuxnet-virus-worm-could-be-aimed-at-high-profile-Iranian-targets.html |제목=Stuxnet virus: worm 'could be aimed at high-profile Iranian targets' |출판사=[[데일리 텔레그래프]]|날짜=2010년 9월 23일|확인날짜=2010년 9월 28일|location=런던 |이름=Claudine |성=Beaumont|언어=en}}</ref> 2010년 8월 [[시만텍]]은, 스턱스넷에 감염된 전 세계의 컴퓨터 중 60%가 이란에 소재한 컴퓨터라고 발표했다.<ref>{{뉴스 인용| url=http://www.reuters.com/article/idUSLDE68N1OI20100924 | 뉴스=[[로이터]] | 이름=William | 성=MacLean|제목=UPDATE 2-Cyber attack appears to target Iran-tech firms | 날짜=2010년 9월 24일|언어=en}}</ref> 11월 29일 지멘스는 이 웜이 자사의 고객에게 어떤 피해도 끼치지 않았으나,<ref>{{웹 인용|url=http://www.computerworld.com/s/article/9185419/Siemens_Stuxnet_worm_hit_industrial_systems?taxonomyId=142&pageNumber=1|제목=Siemens: Stuxnet worm hit industrial systems|저자=ComputerWorld|날짜=2010년 9월 14일|웹사이트=|출판사=Computerworld|확인날짜=2010년 10월 3일|언어=en|archive-date=2013년 12월 15일|archive-url=https://web.archive.org/web/20131215102952/http://www.computerworld.com/s/article/9185419/Siemens_Stuxnet_worm_hit_industrial_systems?taxonomyId=142&pageNumber=1|url-status=}}</ref> [[국제 연합 안전 보장 이사회|UN 안보리]] 결의안 1737호에 의해 사용 금지된 지멘스 제품을 비밀리에 입수하여 사용중인 이란 핵시설만이 피해를 입었다고 발표했다.<ref>{{뉴스 인용 | url=http://www.cbsnews.com/stories/2010/11/29/world/main7100197.shtml | 뉴스=[[CBS]] News | 제목=Iran Confirms Stuxnet Worm Halted Centrifuges | 날짜=2010년 11월 29일 | 언어=en | 확인날짜=2012년 2월 14일 | archive-date=2013년 11월 15일 | archive-url=https://web.archive.org/web/20131115005128/http://www.cbsnews.com/stories/2010/11/29/world/main7100197.shtml | url-status=dead }}</ref><ref name="NYTimes20100929">{{뉴스 인용|url=http://www.nytimes.com/2010/09/30/world/middleeast/30worm.html?_r=2&pagewanted=2&hpw|제목=In a Computer Worm, a Possible Biblical Clue|저자=Ethan Bronner & William J. Broad |날짜=2010년 9월 29일|뉴스=[[뉴욕 타임스]]|언어=en|확인날짜=2010년 10월 2일}}{{뉴스 인용
 | url=http://economictimes.indiatimes.com/news/news-by-industry/et-cetera/Software-smart-bomb-fired-at-Iranian-nuclear-plant-Experts/articleshow/6617686.cms
 | 제목=Software smart bomb fired at Iranian nuclear plant: Experts
 | 출판사=Economictimes.indiatimes.com
 | 날짜=2010년 9월 24일
 | 확인날짜=2010년 9월 28일
 | 언어=en
}}</ref> [[러시아]] 컴퓨터 보안 회사인 [[카스퍼스키 랩]]은 이 정도로 정교한 공격은 "국가적 규모의 지원" 없이 이루어질 수 없다고 결론지었다.<ref>{{뉴스 인용| url=http://www.kaspersky.com/about/news/virus/2010/Kaspersky_Lab_provides_its_insights_on_Stuxnet_worm | location=러시아 | 뉴스=카스퍼스키 랩 | 제목=Kaspersky Lab provides its insights on Stuxnet worm | 날짜=2010년 9월 24일|언어=en}}</ref> [[핀란드]] 컴퓨터 보안 회사인 F-Secure의 수석연구원 미코 휘푀넨(Mikko Hyppönen) 또한 여기에 동의했다.<ref>{{뉴스 인용| url=http://www.f-secure.com/weblog/archives/00002040.html | location=핀란드 | 뉴스=F-Secure | 제목=Stuxnet Questions and Answers - F-Secure Weblog | 날짜=2010년 10월 1일|언어=en}}</ref> 이 공격에는 [[이스라엘]]<ref name=retirement>[http://www.telegraph.co.uk/news/worldnews/middleeast/israel/8326387/Israel-video-shows-Stuxnet-as-one-of-its-successes.html Israel video shows Stuxnet as one of its successes]</ref>과 [[미국]]<ref>{{뉴스 인용|저자=Markoff, John|url=http://www.nytimes.com/2011/02/13/science/13stuxnet.html?scp=1&sq=Malware%20Aimed%20At%20Iran%20Hit%20Five%20Sites,%20Report%20Says&st=cse|제목=Malware Aimed at Iran Hit Five Sites, Report Says|출판사=[[뉴욕 타임스]]|날짜=2011년 2월 11일|쪽=15|언어=en}}</ref><ref name=SonsOfStuxnet>{{웹 인용|저자=Steven Cherry, with Larry Constantine|제목=Sons of Stuxnet|url=http://spectrum.ieee.org/podcast/telecom/security/sons-of-stuxnet|출판사=[[전기 전자 기술자 협회|IEEE]] Spectrum|날짜=2011년 12월 14일|언어=en}}</ref> 이 참여한 것으로 추정된다.

== 역사 ==
스턱스넷은 2010년 6월 중순 컴퓨터 보안 회사 VirusBlokAda에 의해 처음 발견되었고, 코드 내에서 Stuxnet이라는 키워드가 여러번 등장함에 따라 스턱스넷이라는 이름이 붙었다.<ref name=RewritingPlaybook /><ref name=economist2>{{웹 인용|제목=A worm in the centrifuge: An unusually sophisticated cyber-weapon is mysterious but important|출판사=[[이코노미스트]]|날짜=2010년 9월 30일|url=http://www.economist.com/node/17147818|언어=en}}</ref> 브라이언 크렙스 기자가 2010년 7월 15일 자신의 블로그에 이 내용을 포스팅하면서 전 세계에 알려졌다.<ref name="krebs20100715">{{웹 인용
 | url=http://krebsonsecurity.com/2010/07/experts-warn-of-new-windows-shortcut-flaw/
 | 제목=Experts Warn of New Windows Shortcut Flaw | 확인날짜=2011년 3월 3일
 | 성=Krebs
 | 이름=Brian
 | 날짜=2010년 7월 17일
 | 웹사이트=Krebs on Security
 | 언어=en
}}</ref><ref name="gross201104">{{웹 인용
 |url          = http://www.vanityfair.com/culture/features/2011/04/stuxnet-201104
 |제목       = A Declaration of Cyber-War
 |날짜       = 2011년 4월
 |성          = Gross
 |이름       = Michael Joseph
 |웹사이트 = 배니티 페어(Vanity Fair)
 |출판사    = Condé Nast
 |언어       = en
 |확인날짜 = 2011년 3월 3일
 |보존url    = https://web.archive.org/web/20140713082739/http://www.vanityfair.com/culture/features/2011/04/stuxnet-201104
 |보존날짜 = 2014년 7월 13일
 |url-status = dead
}}</ref> 2010년 7월 15일 이 바이러스의 존재가 알려지자마자, 산업 소프트웨어 보안과 관련된 두 개의 대형 메일링 리스트에 [[서비스 거부 공격|DDOS 공격]]이 이뤄졌다. 스턱스넷과 연관된 것으로 추정되는 이 공격으로 한개의 메일링 리스트가 다운되어 발전소와 공장에 관한 중요한 정보 교환을 방해했다.{{r|gross201104}}

카스퍼스키 랩의 전문가들은 2010년 3월이나 4월부터 이 바이러스가 퍼지기 시작했다고 추정했으나,<ref>{{웹 인용 |url=http://www.securelist.com/en/blog/325/Myrtus_and_Guava_the_epidemic_the_trends_the_numbers |제목=Myrtus and Guava: the epidemic, the trends, the numbers |저자=Alexander Gostev |날짜=2010년 9월 26일 |확인날짜=2011년 1월 22일 |언어=en |보존url=https://web.archive.org/web/20110101113112/http://www.securelist.com/en/blog/325/Myrtus_and_Guava_the_epidemic_the_trends_the_numbers |보존날짜=2011년 1월 1일 |url-status=dead }}</ref> 이 바이러스의 첫 번째 변종은 2009년 6월부터 등장한 것으로 밝혀졌다.<ref name="Keizer1" /> 바이러스의 전파 속도가 느리다고 여긴 개발자들이 2010년 3월 크게 발전된 두 번째 변종을 제작한 것으로 추정된다. 2010년 4월에는 약간의 수정을 거친 세 번째 변종이 퍼지기 시작했다.{{r|gross201104}}

== 감염된 나라 ==
[[시만텍]]에서 연구한 스턱스넷의 감염경로에 의하면, 초기에 감염된 주요 국가는 이란, [[인도네시아]] 및 [[인도]]인 것으로 보인다.<ref name="W32.Stuxnet">{{웹 인용|url=http://www.symantec.com/security_response/writeup.jsp?docid=2010-071400-3123-99 |제목=W32.Stuxnet|확인날짜=2011년 3월 2일| 출판사=[[시만텍]]|날짜=2010년 9월 17일|언어=en}}</ref>
{| class="wikitable"
|-
! 국가
! 감염된 컴퓨터
|-
| 이란
| 58.85%
|-
| 인도네시아
| 18.22%
|-
| 인도
| 8.31%
|-
| [[아제르바이잔]]
| 2.57%
|-
| 미국
| 1.56%
|-
| [[파키스탄]]
| 1.28%
|-
| 기타
| 9.2%
|-
|}

== 동작 ==

{{rquote|right|악성 소프트웨어 역사상 최대의 기술적 블록버스터.|[[배너티 페어 (잡지)|배너티 페어]] 2011년 4월호{{r|gross201104}}}}
대부분의 악성 소프트웨어와 달리, 스턱스넷은 특정 조건을 만족하지 않는 컴퓨터와 네트워크에는 거의 해를 끼치지 않는다. William J. Broad는 "개발자들은 자신들의 공격목표에만 타격을 입히기 위해 대단히 신중을 기했다. 이건 저격수의 솜씨다."라고 평했다.<ref name="broad20110115">{{뉴스 인용
 | last1=Broad | first1=William J.
 | first2=John | last2=Markoff
 | first3=David E. | last3=Sanger
 | 제목=Israel Tests on Worm Called Crucial in Iran Nuclear Delay
 | url=http://www.nytimes.com/2011/01/16/world/middleeast/16stuxnet.html?_r=1&ref=general&src=me&pagewanted=all
 | 확인날짜=2011년 1월 16일
 | 출판사=뉴욕 타임스
 | 날짜=2011년 1월 15일
 | 언어=en
}}</ref> 이 웜은 무작위로 전염되지만, 감염된 컴퓨터에서 지멘스 소프트웨어를 발견하지 못하면 휴면 상태에 들어가며, 3개 이하의 다른 컴퓨터에만 전염되도록 제어하고, 2012년 6월 24일에는 자기 자신을 삭제하는 안전장치를 포함하고 있다.{{r|gross201104}}

만약 공격목표를 발견하면, 스턱스넷은 공정 제어 신호를 중간에서 가로채 가짜 신호를 보내는 중간자 공격(man-in-the-middle attack)을 행해, 소프트웨어가 오작동을 감지하고 시스템을 정지시키지 않도록 한다.{{r|gross201104}}{{r|broad20110115}}<ref name=SonsOfStuxnet /> 이렇게 복잡한 공격을 수행하는 악성 소프트웨어는 사실상 처음 발견된 것이다. 스턱스넷은 마이크로소프트 윈도우, 지멘스 PCS 7, 그리고 지멘스 S7 PCL로 이루어진 3단계 시스템에 각각 공격을 행한다.

=== 윈도 운영체제 감염 ===
스턱스넷은 [[마이크로소프트 윈도우]] 운영체제에 4개의 [[제로 데이 공격]](소프트웨어 제조사가 해당 취약점에 대해 모르거나, 알고 있지만 보안 패치를 배포하지 않은 상태에서 하는 공격)과, 더불어 LNK/PIF 파일 [[취약점]]<ref>{{웹 인용|url=http://technet.microsoft.com/ko-kr/security/bulletin/ms10-046|제목=Windows 셸의 취약점으로 인한 원격 코드 실행 문제점(2286198)|출판사=[[마이크로소프트]]|날짜=2010년 8월 3일|확인날짜=2012년 2월 14일}}</ref>, 그리고 Conficker 웜이 사용한 취약점<ref>{{웹 인용|url=http://technet.microsoft.com/ko-kr/security/dd452420.aspx|제목=Conficker 웜: Conficker로부터 Windows 보호|출판사=[[마이크로소프트]]|날짜=2009년 4월 10일|확인날짜=2010년 12월 6일}}</ref>을 공격했다. 취약점에 대한 최신 정보는 악성 코드 개발자들에게는 귀한 것이므로, 하나의 웜에 4개나 되는 제로 데이 공격이 사용된 것은 전례없는 일이다.<ref name=BBC/> 또한 악성 소프트웨어로는 드물게 약 500KB의 큰 용량을 갖고,<ref name=wired>{{웹 인용|저자=Kim Zetter|제목=Blockbuster Worm Aimed for Infrastructure, But No Proof Iran Nukes Were Target|url=http://www.wired.com/threatlevel/2010/09/stuxnet/|출판사=[[와이어드 (잡지)|Wired]]|날짜=2010년 9월 23일|확인날짜=2010년 9월 24일|언어=en|보존url=https://archive.today/20121217211846/http://www.wired.com/threatlevel/2010/09/stuxnet/|보존날짜=2012년 12월 17일|url-status=live}}</ref> [[C (프로그래밍 언어)|C]]와 [[C++]]를 포함한 여러 언어로 작성되었다.<ref name="Keizer1" /><ref name=SonsOfStuxnet /><ref name=compworld>{{웹 인용
 |url          = http://www.computerworld.com/s/article/print/9185419/Siemens_Stuxnet_worm_hit_industrial_systems?taxonomyName=Network+Security&taxonomyId=142
 |저자       = Robert McMillan
 |날짜       = 2010년 9월 16일
 |출판사    = Computerworld
 |확인날짜 = 2010년 9월 16일
 |제목       = Siemens: Stuxnet worm hit industrial systems
 |언어       = en
 |보존url    = https://archive.today/20120525053210/http://www.computerworld.com/s/article/print/9185419/Siemens_Stuxnet_worm_hit_industrial_systems?taxonomyName=Network+Security&taxonomyId=142
 |보존날짜 = 2012년 5월 25일
 |url-status = dead
}}</ref> 최초 감염은 [[USB 플래시 드라이브]]를 통해 이루어졌고,<ref name=RewritingPlaybook /> 이후에는 윈도 컴퓨터간의 [[원격 프로시저 호출]] 등의 프로토콜을 통해 인터넷에 노출되지 않은 폐쇄망으로 연결된 컴퓨터에 감염되었다.<ref name=wired /><ref>{{웹 인용|저자=Liam O Murchu|url=http://www.symantec.com/connect/blogs/stuxnet-p2p-component|제목=Stuxnet P2P component|출판사=[[Symantec]]|날짜=2010년 9월 17일|확인날짜=2010년 9월 24일|언어=en}}</ref><ref name="symantec_dossier">{{웹 인용|url=http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_stuxnet_dossier.pdf|제목=W32.Stuxnet Dossier|출판사=Symantec Corporation|언어=en}}</ref>

스턱스넷은 윈도의 유저모드와 커널모드 [[루트킷]]으로 동작할 수 있으며,<ref name="symantec_dossier"/> [[중화민국]] 회사인 [[마이크론 테크놀로지]]와 [[리얼텍]]에서 각각 유출된 [[공인인증서]]의 [[공개 키 암호 방식|비밀 키]]로 서명된 [[장치 드라이버]]를 탑재하고 있다.<ref name=wired/><ref name="microscope">{{웹 인용|url=http://www.eset.com/us/resources/white-papers/Stuxnet_Under_the_Microscope.pdf|제목=Stuxnet Under the Microscope|format=PDF|저자=Aleksandr Matrosov, Eugene Rodionov, David Harley, and Juraj Malcho|확인날짜=2010년 9월 24일|언어=en|보존url=https://web.archive.org/web/20110710201455/http://www.eset.com/us/resources/white-papers/Stuxnet_Under_the_Microscope.pdf|보존날짜=2011년 7월 10일|url-status=dead}}</ref> 공인 인증된 장치 드라이버로 인해 바이러스가 커널모드 루트킷으로 동작할 수 있었고, 덕분에 오랫동안 발견되지 않았다.<ref name=kaspersky>{{웹 인용|url=http://www.kaspersky.com/about/news/virus/2010/Kaspersky_Lab_provides_its_insights_on_Stuxnet_worm|제목=Kaspersky Lab provides its insights on Stuxnet worm |출판사=Kaspersky Lab| 날짜=2010년 9월 24일|확인날짜=2010년 9월 27일|언어=en}}</ref>

[[덴마크]]와 [[말레이시아]]에 위치한 두 개의 웹 서버가 악성 소프트웨어의 제어와 명령 전달, 그리고 산업 스파이 정보 수집을 위해 사용되었다. 이 웹서버들은 발견 직후 악성 소프트웨어의 활동 정지를 위해 폐쇄되었다.<ref name="symantec_dossier"/>{{r|gross201104}}

=== Step 7 소프트웨어 감염 ===
[[파일:Step7 communicating with plc.svg|섬네일|오른쪽|Step 7과 지멘스 PLC의 정상 통신경로]]
[[파일:Stuxnet modifying plc.svg|섬네일|오른쪽|스턱스넷이 Step 7 소프트웨어와 지멘스 PLC 사이의 통신을 가로채는 모습]]
[[독일]]의 학자 랄프 랑너에 의하면,<ref>{{저널 인용
 |url          = http://www.vanityfair.com/culture/features/2011/04/stuxnet-201104
 |제목       = A Declaration of Cyber-War
 |저널       = 배니티 페어(Vanity Fair)
 |날짜       = 2011년 4월
 |저자       = Michael Joseph Gross
 |확인날짜 = 2011년 3월 4일
 |언어       = en
 |보존url    = https://web.archive.org/web/20140713082739/http://www.vanityfair.com/culture/features/2011/04/stuxnet-201104
 |보존날짜 = 2014년 7월 13일
 |url-status = dead
}}</ref><ref>{{웹 인용
 | url=http://www.langner.com/en/2010/09/14/ralphs-step-by-step-guide-to-get-a-crack-at-stuxnet-traffic-and-behavior/
 | 제목=Ralph's Step-By-Step Guide to Get a Crack at Stuxnet Traffic and Behaviour
 | 저자=Ralph Langner
 | 날짜=2010년 9월 14일
 | 확인날짜=2011년 3월 4일
 | 언어=en
}}</ref> 윈도 시스템에 설치된 스턱스넷은 지멘스사의 WinCC/PCS 7 SCADA 제어 소프트웨어인 Step 7을 감염시켜,<ref>{{웹 인용
 | url=http://www.symantec.com/connect/blogs/stuxnet-infection-step-7-projects
 | 제목=Stuxnet Infection of Step 7 Projects
 | 저자=Nicolas Falliere
 | 출판사=Symantec
 | 날짜=2010년 9월 26일
 | 언어=en
}}</ref> WinCC의 핵심 라이브러리인 <code>s7otbxdx.dll</code>의 내용을 변경한다. 이후 스턱스넷은 감염된 라이브러리를 통해 WinCC와 지멘스 PLC 사이의 데이터 통신을 몰래 가로채, PLC를 제어하면서 동시에 WinCC가 감염된 PLC의 메모리를 감지하여 스턱스넷을 찾아내는 것을 방해한다.<ref name="symantec_dossier" />

=== PLC 감염 ===
[[파일:S7300.JPG|섬네일|왼쪽|세 개의 입출력 모듈이 부착된 지멘스 Simatic S7-300 PLC [[중앙처리장치|CPU]]]]

스턱스넷의 전체 코드는 아직 공개되지 않았지만, 해당 악성 코드는 특정 조건으로 설정된 SCADA 소프트웨어만을 공격하는 것으로 알려져 있다.{{r|gross201104}} 스턱스넷은 특정한 [[가변 전압 가변 주파수 제어|가변 주파수 드라이브]]가 설치된 지멘스 S7-300 시스템 및 보조 모듈이 설치된 시스템에서만 동작하며, 두 회사(핀란드의 Vacon사 제품과 이란의 Fararo Paya사 제품)에서 생산하는 가변 주파수 드라이브가 설치된 PLC 시스템을 공격한다.<ref name="chien">{{웹 인용|url=http://www.symantec.com/connect/blogs/stuxnet-breakthrough|제목=Stuxnet: A Breakthrough|성=Chien|이름=Eric|출판사=Symantec|날짜=2010년 11월 12일|확인날짜=2010년 11월 14일|언어=en}}</ref> 또한, 모터의 주파수를 탐지하여 주파수가 807[[헤르츠|Hz]]에서 1210&nbsp;Hz 사이에 해당하는 시스템만을 공격한다. 이 조건에 해당하는 시스템은 펌프와 기체 [[원심분리기]]를 포함, 다양한 산업계에서 사용된다.

스턱스넷은 PLC 시스템의 Profibus 메시지 버스 시스템을 감시하는 D8890 블록에 악성 코드를 설치한다.<ref name="symantec_dossier"/> 특정 조건이 만족되면, 스턱스넷은 주기적으로 모터의 회전수를 1410&nbsp;Hz, 2&nbsp;Hz, 1064Hz로 변경하여 모터에 과부하를 일으킨다.<ref name="chien" /> 또한 PLC 시스템에 루트킷을 설치하여 자기 자신을 숨기고, 모터의 회전수가 변경되고 있다는 것을 시스템으로부터 숨긴다. 스턱스넷은 PLC 시스템에서는 최초로 발견된 루트킷이다.

== 제거 ==

지멘스는 스턱스넷을 감지하고 제거하는 소프트웨어를 배포했다. 또한 제삼자에게서 받은 USB 플래시 드라이브를 사용하지 말고, 마이크로소프트에서 제공한 취약점 패치를 설치하며, 스턱스넷이 발견될 경우 고객센터에 연락할 것을 권한다.<ref name="Siemens">{{웹 인용|url=http://support.automation.siemens.com/WW/llisapi.dll?func=ll&objid=43876783&nodeid0=10805583&caller=view&lang=en&siteid=cseus&aktprim=0&objaction=csopen&extranet=standard&viewreg=WW#Recommended_procedure%200408|확인날짜=2010년 9월 24일|출판사=[[지멘스]]|제목=SIMATIC WinCC / SIMATIC PCS 7: Information concerning Malware / Virus / Trojan|언어=en}}</ref> 또한 지멘스는 즉시 시스템 패스워드를 변경할 것을 권장한다.<ref>{{웹 인용|url=http://news.cnet.com/8301-1009_3-20011095-83.html|제목=Siemens warns Stuxnet targets of password risk|날짜=2010년 7월 20일|확인날짜=2010년 7월 17일|출판사=[[CNET]]|성=Espiner|이름=Tom|언어=en|archive-date=2011년 1월 9일|archive-url=https://web.archive.org/web/20110109160245/http://news.cnet.com/8301-1009_3-20011095-83.html|url-status=dead}}</ref>

스턱스넷은 외부 PLC를 재프로그램할 수 있는 능력이 있어, 제거를 더 어렵게 만들 수 있다. 시만텍의 Liam O'Murchu는 마이크로소프트 윈도우 시스템을 고치는 것만으로는 문제가 완전히 해결되지 않을 것이라고 경고했다. 스턱스넷의 제거 과정에서 실수를 일으키면 시스템에 해를 끼칠 것으로 예상되었으나,<ref>{{웹 인용|url=http://www.pcworld.com/businesscenter/article/205420/siemens_stuxnet_worm_hit_industrial_systems.html|제목=Siemens: Stuxnet Worm Hit Industrial Systems|출판사=IDG|언어=en|확인날짜=2012-02-14|archive-date=2012-07-28|archive-url=https://web.archive.org/web/20120728135648/http://www.pcworld.com/businesscenter/article/205420/siemens_stuxnet_worm_hit_industrial_systems.html|url-status=dead}}</ref> 지멘스는 발견 후 4개월 동안 22명의 고객의 시스템에서 스턱스넷이 성공적으로 제거되었다고 보고했다.<ref name="Siemens"/><ref name="crve">{{웹 인용|url=http://www.h-online.com/security/news/item/Stuxnet-also-found-at-industrial-plants-in-Germany-1081469.html|제목=Stuxnet also found at industrial plants in Germany |저자=crve|출판사=[[The H]]|날짜=2010년 9월 17일|확인날짜=2010년 9월 18일|언어=en}}</ref>

== 목표 및 제작자에 대한 추측 ==
전문가들은 스턱스넷이 악성 소프트웨어 역사상 가장 많은 비용과 개발 인력을 소모한 프로젝트일 것으로 추정한다.{{r|gross201104}} 스턱스넷의 다양한 능력은 산업 공정에 대한 전문적인 지식과 산업 기반 시설의 취약점에 대해 잘 알고 있는 개발팀이 아니면 만들어낼 수 없는 것이다.<ref name="Keizer1" /><ref name=compworld /> [[시만텍]]은 스턱스넷의 개발팀이 5명에서 30명 사이의 규모로, 6개월의 준비기간이 걸렸을 것으로 추정한다.<ref name=guardian>{{뉴스 인용|url=http://www.guardian.co.uk/technology/2010/sep/24/stuxnet-worm-national-agency|제목=Stuxnet worm is the 'work of a national government agency'|날짜=2010년 9월 24일|확인날짜=2010년 9월 27일|출판사=[[가디언]]|location=[[런던]]|이름=Josh|성=Halliday|언어=en}}</ref>{{r|gross201104}} 또한 전문가들은 스턱스넷과 같은 복잡한 코드를 개발하는 것은 국가만이 할 수 있는 일이라고 말한다.<ref name=BBC/><ref name=guardian/><ref name=nyt>{{웹 인용|성=Markoff|이름=John|url=https://www.nytimes.com/2010/09/27/technology/27virus.html|제목=A Silent Attack, but Not a Subtle One|출판사=뉴욕 타임스|날짜=2010년 9월 26일|확인날짜=2010년 9월 27일|언어=en}}</ref> 또한 자기 삭제나 웜이 끼칠 수 있는 불필요한 피해를 막는 기타 안전장치들은 법적인 문제를 회피하려는 것이며, 이것은 서방 정부가 관여하고 있다는 것을 의미한다.{{r|gross201104}} 그러나 소프트웨어 보안 전문가 브루스 슈나이어(Bruce Schneier)는 스턱스넷에 대한 모든 뉴스는 과장된 것이며, 대부분 추측에 지나지 않는다고 말했다.<ref>{{뉴스 인용
 | url=http://www.forbes.com/2010/10/06/iran-nuclear-computer-technology-security-stuxnet-worm.html
 | 제목=The Story Behind The Stuxnet Virus
 | 이름=Bruce
 | 성=Schneier
 | 날짜=2010년 10월 6일
 | 뉴스=[[포브스]]
 | 언어=en
}}</ref>
최근 뉴욕타임즈 기사에 따르면 스턱스넷은 오바마 대통령이 집무를 시작한 초기에 이란을 대상으로 한 사이버 공격을 명령하였다고 한다.<ref>{{뉴스 인용
 | url=http://www.nytimes.com/2012/06/01/world/middleeast/obama-ordered-wave-of-cyberattacks-against-iran.html?_r=1&pagewanted=all
 | 제목=Obama Order Sped Up Wave of Cyberattacks Against Iran
 | 이름=DAVID E.
 | 성=SANGER
 | 날짜=2012년 6월 1일
 | 뉴스=[[뉴욕타임스]]
 | 언어=en
}}</ref>

=== 이란 ===
스턱스넷에 감염된 PLC 시스템을 분석한 랄프 랭너는,<ref name=RewritingPlaybook /> 2010년 9월, 이 악성 소프트웨어가 이스라엘에서 개발된 것으로 추측했다.<ref>{{웹 인용
 | url=http://www.csmonitor.com/World/terrorism-security/2010/1001/Clues-emerge-about-genesis-of-Stuxnet-worm
 | 제목=Clues Emerge About Genesis of Stuxnet Worm
 | 성=Bright|이름=Arthur
 | 출판사=[[크리스천 사이언스 모니터]]
 | 날짜=2010년 10월 1일
 | 확인날짜=2011년 3월 4일
 | 언어=en
}}</ref> 그러나 2011년 2월에 녹화된 [[TED]] 컨퍼런스에서는, "제 생각에는 모사드가 연루되어 있습니다. 하지만 주도세력은 이스라엘이 아닙니다. 그 배후의 주도 세력은 사이버 초강대국입니다. 그 유일한 나라가 바로 미국입니다." 라고 말했다.<ref>{{웹 인용
 | url=http://www.ted.com/talks/ralph_langner_cracking_stuxnet_a_21st_century_cyberweapon.html
 | 제목=랄프 랭그너: 21세기 사이버 무기, 스턱스넷을 파헤치다
 | 성=Langner
 | 이름=Ralph
 | 날짜=2011년 2월
 | 확인날짜=2012-02-14
 | archive-date=2014-02-01
 | archive-url=https://web.archive.org/web/20140201101050/http://www.ted.com/talks/ralph_langner_cracking_stuxnet_a_21st_century_cyberweapon.html
 | url-status=
 }}</ref> 시만텍의 보안 대응팀 책임자인 Kevin Hogan은 감염된 시스템 중 약 60%가 [[이란]]에 있으며,<ref>{{웹 인용|url=http://www.computerworld.com/s/article/9179618/Iran_was_prime_target_of_SCADA_worm|저자=Robert McMillan|날짜=2010년 7월 23일|제목=Iran was prime target of SCADA worm|확인날짜=2010년 9월 17일|출판사=[[Computerworld]]|언어=en|archive-date=2010년 7월 27일|archive-url=https://web.archive.org/web/20100727034513/http://www.computerworld.com/s/article/9179618/Iran_was_prime_target_of_SCADA_worm|url-status=}}</ref> 따라서 이란의 중요 목표인 [[부셰르 원자력 발전소]] 또는 나탄즈에 있는 우라늄 농축 시설<ref name=wired/><ref>{{웹 인용|저자=Paul Woodward |url=http://warincontext.org/2010/09/26/iran-confirms-stuxnet-found-at-bushehr-nuclear-power-plant/ |제목=Iran confirms Stuxnet found at Bushehr nuclear power plant|출판사=Warincontext.org |날짜=2010년 9월 22일|확인날짜=2010년 9월 28일|언어=en}}</ref><ref name=FP>{{웹 인용 |url=http://blog.foreignpolicy.com/posts/2010/09/27/6_mysteries_about_stuxnet |제목=6 mysteries about Stuxnet |출판사=Blog.foreignpolicy.com |저자=Blake Hounshell |날짜=2010년 9월 27일 |확인날짜=2010년 9월 28일 |언어=en |archive-date=2014년 2월 9일 |archive-url=https://web.archive.org/web/20140209181744/http://blog.foreignpolicy.com/posts/2010/09/27/6_mysteries_about_stuxnet |url-status= }}</ref> 중 하나를 공격하는 것이라고 추측한다.<ref name=BBC /> 랭너는 스턱스넷이 "일회용 무기"이며, 목표 시설이 아마 실제로 피해를 입었을 것이나,<ref>{{웹 인용|url=http://www.csmonitor.com/USA/2010/0921/Stuxnet-malware-is-weapon-out-to-destroy-Iran-s-Bushehr-nuclear-plant|제목=Stuxnet malware is 'weapon' out to destroy ... Iran's Bushehr nuclear plant?|출판사=[[크리스천 사이언스 모니터]]|날짜=2010년 9월 21일|확인날짜=2010년 9월 23일|성=Clayton|이름=Mark|언어=en}}</ref> 이것은 추측에 지나지 않는다고 말했다.<ref name=wired/> 나탄즈의 우라늄 농축 시설이 대상이라고 처음 추측한 것은 독일의 연구원 Frank Rieger이다.{{r|gross201104}}

=== 나탄즈 우라늄 농축 시설 ===
{{외부 미디어
| align  = right
| width  =
| image1 = [http://www.globalsecurity.org/wmd/world/iran/natanz-imagery.htm 나탄즈] (GlobalSecurity.org)}}
이스라엘 일간지 하레츠({{llang|he|הארץ}})가 보도한 바에 의하면, 이란의 소프트웨어 보안 전문가들과 핵 전문가들은 "작년 한해동안 원심분리기 성능이 30퍼센트 감소한 나탄즈 우라늄 농축 시설이 스턱스넷에 의해 사보타지되었다"는 것을 알게 되었다.<ref>{{웹 인용
 | 저자=Yossi Melman
 | url=http://www.haaretz.com/print-edition/news/computer-virus-in-iran-actually-targeted-larger-nuclear-facility-1.316052
 | 제목='Computer virus in Iran actually targeted larger nuclear facility'
 | 날짜=2010년 9월 28일
 | 확인날짜=2011년 1월 1일
 | 언어=en
}}</ref> 2010년 11월 23일 나탄즈 우라늄 농축 시설은 기술적 문제로 시설이 여러 차례 정지되었다고 발표했다.<ref>{{웹 인용
 | url=http://www.globalsecuritynewswire.org/gsn/nw_20101123_2990.php
 | 제목=Iranian Nuclear Program Plagued by Technical Difficulties
 | 출판사=Globalsecuritynewswire.org
 | 날짜=2010년 11월 23일
 | 확인날짜=2010년 11월 24일
 | 언어=en
 | archive-date=2010년 11월 28일
 | archive-url=https://web.archive.org/web/20101128215956/http://www.globalsecuritynewswire.org/gsn/nw_20101123_2990.php
 | url-status=dead
 }}</ref><ref>{{웹 인용
 | url=http://www.haaretz.com/news/international/iran-pauses-uranium-enrichment-at-natanz-nuclear-plant-1.326276
 | 제목=Iran pauses uranium enrichment at Natanz nuclear plant
 | 출판사=Haaretz.com
 | 날짜=2010년 11월 24일
 | 확인날짜=2010년 11월 24일
 | 언어=en
}}</ref> [[위키리크스]]는 2009년 상반기에 일어난 "심각한 원자력 사고"(원심분리기 정지로 추정됨<ref name=economist>{{뉴스 인용|url=http://www.economist.com/blogs/babbage/2010/09/stuxnet_worm |제목=The Stuxnet worm: A cyber-missile aimed at Iran? |출판사=[[이코노미스트]] |날짜=2010년 9월 24일|확인날짜=2010년 9월 28일|언어=en}}</ref>)로 인해 이란 원자력 에너지 기구의 수장인 골람 레자 아가자데({{llang|fa|غلامرضا آقازاده}})가 사임하였다고 보고했다.<ref>{{웹 인용 |url=http://mirror.wikileaks.info/wiki/Serious_nuclear_accident_may_lay_behind_Iranian_nuke_chief%27s_mystery_resignation |제목=Serious nuclear accident may lay behind Iranian nuke chief%27s mystery resignation |출판사=위키리크스 |날짜=2009년 7월 16일 |확인날짜=2011년 1월 1일 |언어=en |보존url=https://web.archive.org/web/20101230121529/http://mirror.wikileaks.info/wiki/Serious_nuclear_accident_may_lay_behind_Iranian_nuke_chief%27s_mystery_resignation/ |보존날짜=2010년 12월 30일 |url-status=dead }}</ref> [[미국 과학자 연맹]]이 발표한 통계는 해당 사고가 일어났을 무렵 이란에서 가동중인 핵 농축 원심분리기의 숫자가 4,700에서 3,900으로 이유없이 줄어든 것을 보여준다.<ref>{{웹 인용|url=http://www.isisnucleariran.org/assets/pdf/ISIS_Analysis_IAEA_Report_16Nov2009.pdf |제목=IAEA Report on Iran |출판사=[[과학국제안보연구소]] |날짜=2010년 11월 16일|확인날짜=2011년 1월 1일|언어=en}}</ref> [[과학국제안보연구소]](ISIS)는 2010년 12월 출판한 보고서에서 스턱스넷이 나탄즈에서 일어난 사건에 대한 "합리적인 설명"이며, 최대 1,000개(약 10%)의 원심분리기가 2009년 11월부터 2010년 1월 사이에 파괴된 것으로 보인다고 언급했다.<ref name=ISIS>{{웹 인용|url=http://isis-online.org/uploads/isis-reports/documents/stuxnet_FEP_22Dec2010.pdf |제목=Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant? |출판사=[[Institute for Science and International Security]] |날짜=2010년 12월 22일|확인날짜=2010년 12월 27일|언어=en}}</ref> 이 보고서는 이렇게 결론짓는다. {{quote|스턱스넷의 공격은 원심분리기의 회전수를 올렸다가 내리는 것을 반복하여 모터에 심한 진동과 왜곡을 일으켜 파괴하는 것으로 보인다. 핵 시설의 원심분리기를 모두 파괴하는 것이 목표라면 스턱스넷은 실패한 것이다. 그러나 연구자들이 눈치채지 못하는 사이 보다 제한된 숫자의 원심분리기를 파괴하여 진행을 지연시키는 것이 목표라면, 일시적이나마 성공을 거둔 것으로 보인다<ref>The attacks seem designed to force a change in the centrifuge’s rotor speed, first raising the speed and then lowering it, likely with the intention of inducing excessive vibrations or distortions that would destroy the centrifuge. If its goal was to quickly destroy all the centrifuges in the FEP, Stuxnet failed. But if the goal was to destroy a more limited number of centrifuges and set back Iran’s progress in operating the FEP, while making detection difficult, it may have succeeded, at least temporarily. [http://isis-online.org/uploads/isis-reports/documents/stuxnet_FEP_22Dec2010.pdf Did Stuxnet Take Out 1,000 Centrifuges at the Natanz Enrichment Plant?]</ref>}} 또한 이 보고서는 이란 당국이 새 원심분리기를 대규모로 설치하여 이 사고를 숨기려고 한 것으로 보인다고 썼다.<ref name=ISIS /><ref name="Spiege l 26 December 2010">{{웹 인용|url=http://www.spiegel.de/netzwelt/netzpolitik/0,1518,736604,00.html |제목=Stuxnet-Virus könnte tausend Uran-Zentrifugen zerstört haben |출판사=[[슈피겔]] |날짜=2010년 12월 26일|확인날짜=2010년 12월 27일|언어=de}}</ref>

스턱스넷은 이란의 IR-1 원심분리기를 감염시켜, 회전속도를 정상속도인 1,064[[헤르츠|Hz]]에서 1,410Hz로 15분간 증가시켰다. 27일 후 웜 바이러스가 다시 작동하여 이번에는 50분간 수백헤르츠의 낮은 속도로 동작시켰다. 지나치게 빠른 속도에서 다시 낮은 속도를 오간 원심분리기의 알루미늄 튜브는 이웃한 튜브와 접촉하여 기계를 파괴시켰다.<ref name="Stark">{{뉴스 인용|저자=Stark, Holger|url=http://www.spiegel.de/international/world/0,1518,778912,00.html|제목=Mossad's Miracle Weapon: Stuxnet Virus Opens New Era of Cyber War|출판사=[[슈피겔]]|날짜=2011년 8월 8일|언어=en}}</ref> [[국제 원자력 기구]]에서 나탄즈 시설에 설치한 카메라에는, 스턱스넷이 활동한 것으로 알려진 무렵에 900-1000개의 원심분리기를 해체하여 제거하는 모습이 잡혔다.<ref>{{웹 인용|성=Warrick|이름=Joby|url=http://www.washingtonpost.com/wp-dyn/content/article/2011/02/15/AR2011021506501.html|제목=Iran's Natanz nuclear facility recovered quickly from Stuxnet cyberattack|출판사=[[워싱턴 포스트]]|날짜=2011년 2월 16일|확인날짜=2011년 2월 17일|언어=en}}</ref>

2011년 2월 15일 과학국제안보연구소는 또다른 보고서에서 다음과 같이 결론지었다.

{{quote|"이란이 충분히 주의를 기울인다면, 스턱스넷은 나탄즈 시설에서 더 이상 원심분리기를 파괴하지 못할 것이다. 이란은 제어 시스템에서 악성코드를 제거한 것으로 보인다. 이란의 많은 컴퓨터들이 스턱스넷에 감염되어 있으므로 재감염을 막으려면 이란은 특히 주의를 기울여야 할 것이다.

스턱스넷은 나탄즈 시설의 원심분리기를 파괴하기 위해 설계된 것으로 보이지만, 완전히 파괴한 것은 아니다. 또한 스턱스넷은 [[농축 우라늄#저농축 우라늄(LEU, Low-enriched uranium)|LEU]]의 2010년 생산량을 줄이지 못했다. 그러나 LEU의 생산량이 크게 늘어나지 않은 것은 스턱스넷의 역할이 큰 것으로 보인다. 어쨌든 스턱스넷이 왜 1,000개 정도의 원심분리기만을 파괴했는지에 대한 의문이 여전히 남아있다. 사이버 공격으로 원심분리기를 파괴하는 것이 생각보다 어려운 것일지도 모른다.<ref name=ISIS2>Assuming Iran exercises caution, Stuxnet is unlikely to destroy more centrifuges at the Natanz plant.  Iran likely cleaned the malware from its control systems.  To prevent re-infection, Iran will have to exercise special caution since so many computers in Iran contain Stuxnet. Although Stuxnet appears to be designed to destroy centrifuges at the Natanz facility, destruction was by no means total.  Moreover, Stuxnet did not lower the production of LEU during 2010.  LEU quantities could have certainly been greater, and Stuxnet could be an important part of the reason why they did not increase significantly.  Nonetheless, there remain important questions about why Stuxnet destroyed only 1,000 centrifuges.  One observation is that it may be harder to destroy centrifuges by use of cyber attacks than often believed.{{웹 인용|url=http://isis-online.org/isis-reports/detail/stuxnet-malware-and-natanz-update-of-isis-december-22-2010-reportsupa-href1/8|제목=Stuxnet Malware and Natanz: Update of ISIS December 22, 2010 Report|출판사=[[과학국제안보연구소]] |날짜= 2011년 2월 15일|언어=en}}</ref>}}

==== 이란측 반응 ====
이란의 준 공식 채널인 이란 학생 뉴스 통신은 2010년 9월 24일 이란 원자력 기구 전문가들이 시스템에서 스턱스넷을 제거할 방법을 논의하기 위해 모였다고 보도했다.<ref name=APtehran/> 데이비드 올브라이트(David Albright) 등의 분석가들은, 서방 정보기관들이 오랫동안 이란의 핵 프로그램을 사보타지하기 위해 노력하고 있었다고 한다.<ref name="sabotage">{{뉴스 인용|url=http://gulfnews.com/news/region/iran/signs-of-sabotage-in-tehran-s-nuclear-programme-1.658481|제목=Signs of sabotage in Tehran's nuclear programme|출판사=Gulf News|날짜=2010년 7월 14일|언어=en|확인날짜=2010년 9월 26일|보존url=https://web.archive.org/web/20101120230019/http://gulfnews.com/news/region/iran/signs-of-sabotage-in-tehran-s-nuclear-programme-1.658481|보존날짜=2010년 11월 20일|url-status=dead}}</ref><ref name=EyesCyberwar>{{뉴스 인용|저자=Dan Williams|url=http://www.reuters.com/article/idUSLV83872|제목=Wary of naked force, Israel eyes cyberwar on Iran|출판사=[[로이터]]|날짜=2009년 7월 7일|언어=en}}</ref>

부셰르 원자력 발전소 소장은 [[로이터]]와의 인터뷰에서 발전소 직원들의 PC만이 감염되었다고 말했고, 국영 신문인 《일간 이란》은 이란 통신부 장관 레자 타기푸르(Reza Taghipour)를 인용하여 "정부 시스템에 큰 피해를 끼치지 않았다"고 보도했다.<ref name=nyt/> 이란 산업채굴부 산하 정보통신 위원회 위원장인 마흐무드 리아이(Mahmud Liaii)는 "이란에 대한 [[사이버 전쟁|전자전]]이 시작되었으며... 이 컴퓨터 웜은 이란의 산업시설에 대한 정보를 이란 밖으로 유출할 목적으로 만들어졌다"고 말했다.<ref>{{뉴스 인용|url=http://www.thehindu.com/news/international/article797363.ece|제목=Under cyber-attack, says Iran|출판사=The Hindu | location=Chennai, India|이름=Atul|성=Aneja|날짜=2010년 9월 26일|언어=en}}</ref>

이란은 스턱스넷 감염에 대응하기 위한 팀을 조직했다. 한 공직자는 3만개 이상의 IP가 감염되었으며, 자기 자신을 변형시킬 수 있는 스턱스넷의 능력으로 인해 감염이 퍼지는 것을 막기가 어렵다고 말했다. 이란은 바이러스 제거 도구를 직접 제작했으며, 지멘스 SCADA 안티바이러스 시스템은 스턱스넷을 제거하는 대신 업데이트하는 것으로 의심되므로 사용하지 말 것을 권했다.<ref>{{웹 인용|url=http://www.irinn.ir/Default.aspx?TabId=56&nid=193428|제목=شبکه خبر :: راه های مقابله با ویروس"استاکس نت"|publisher=Irinn.ir|언어=fa|확인날짜=2010년 9월 28일|보존url=https://web.archive.org/web/20130621130831/http://www.irinn.ir/Default.aspx?TabId=56&nid=193428|보존날짜=2013년 6월 21일|url-status=dead}}</ref><ref name=afp>{{웹 인용|url=https://www.google.com/hostednews/afp/article/ALeqM5jnTuOwD-HMJB9A8JQUC_-E_o2IYw|제목=Stuxnet worm rampaging through Iran: IT official|출판사=[[프랑스 통신사]]|보존url=https://web.archive.org/web/20131216115900/http://www.google.com/hostednews/afp/article/ALeqM5jnTuOwD-HMJB9A8JQUC_-E_o2IYw|보존날짜=2013년 12월 16일|언어=en|확인날짜=2016년 11월 12일|url-status=dead}}</ref><ref>{{뉴스 인용|url=http://latimesblogs.latimes.com/babylonbeyond/2010/09/israel-questions-about-the-stuxnet-attack-on-iranian-computers.html|제목=IRAN: Speculation on Israeli involvement in malware computer attack|출판사=[[로스앤젤레스 타임스]]|날짜=2010년 9월 27일|확인날짜=2010년 9월 28일|언어=en}}</ref><ref name=post>{{뉴스 인용|url=http://www.washingtonpost.com/wp-dyn/content/article/2010/09/27/AR2010092706229.html|제목=Iran struggling to contain 'foreign-made' 'Stuxnet' computer virus|출판사=워싱턴 포스트|날짜=2010년 9월 27일|accessdate=2010년 9월 28일|저자=Thomas Erdbrink, Ellem Nakashima|언어=en}}</ref>

이란 국영 정보통신 회사의 부사장 하미드 알리푸르(Hamid Alipour)에 의하면, "새로운 버전의 바이러스가 퍼짐에 따라 공격이 계속되고 있다"고 한다. 이 회사는 이란의 "중요 센터와 기구"에서 바이러스 제거가 계속되고 있으며,<ref name=afp/> "우리는 한두달 내에 이 바이러스를 뿌리뽑을 거라고 예상했지만, 제거 프로그램을 진행한 이후에도 세 가지 변종을 새로 발견했다"고 말했다.<ref name=post/>

2010년 11월 29일 [[마무드 아마디네자드]] 이란 대통령은 이란에서는 처음으로 나탄즈 시설의 원심분리기 제어 시설이 컴퓨터 바이러스로 인해 문제를 일으켰다고 언급했다. 아마디네자드 대통령은 테헤란에서 가진 기자회견에서 "전자부품에 설치된 소프트웨어로 인해 우리의 원심분리기 중 일부가 문제를 일으켰다"고 말했다.<ref>{{웹 인용|url=http://www.spiegel.de/netzwelt/gadgets/0,1518,731881,00.html|제목=Ahmadinedschad räumt Virus-Attacke ein|출판사=[[슈피겔]]|날짜=2010년 11월 29일|확인날짜=2010년 12월 29일|언어=de}}</ref><ref>{{웹 인용|url=http://www.csmonitor.com/USA/2010/1130/Stuxnet-Ahmadinejad-admits-cyberweapon-hit-Iran-nuclear-program|제목=Stuxnet: Ahmadinejad admits cyberweapon hit Iran nuclear program|출판사=크리스천 사이언스 모니터|날짜=2010년 11월 30일|확인날짜=2010년 12월 29일|언어=en}}</ref>

같은 날 두 명의 이란 핵물리학자가 테헤란에 있는 샤히드 베헤슈티 대학교 근처에서 거의 동시에 차량 폭탄 테러를 당했다. 이 공격으로 양자역학자 마지드 샤리아리(Majid Shahriari)가 사망하고, 이란 국방부 고위 공직자인 페레이둔 아바시({{llang|fa|فریدون عباسی}})가 크게 다쳤다. 《와이어드》는 스턱스넷의 배후에 있는 이들이 이란 핵 프로그램의 진행을 충분히 늦추지 못했다고 느끼고 이 암살사건을 일으켰을 것으로 추측했다.<ref name="wired1"/> 2010년 1월 테헤란 대학 교수인 핵물리학자가 유사한 폭발사건으로 사망했다.<ref name="wired1">{{웹 인용|url=http://www.wired.com/threatlevel/2010/11/stuxnet-sabotage-centrifuges/|제목=Iran: Computer Malware Sabotaged Uranium Centrifuges|출판사=[[와이어드]]|날짜=2010년 11월 29일|언어=en}}</ref> 2012년 1월 11일, 나탄즈 농축 시설 책임자 무스타파 아마디 로샨({{llang|fa|مصطفی احمدی روشن}}) 또한 샤리아리와 유사한 수법으로 살해당했다.<ref name="Fox News">http://www.foxnews.com/world/2012/01/11/report-bomb-kills-iran-university-professor/?test=latestnews</ref>

미국 과학자 연맹은 이란 농축 시설의 생산량이 2010년 동안 오히려 증가했다고 분석했다. 이 분석에 따르면 이란의 원심분리기는 작년에 비해 60% 이상 향상된 성능을 내고 있어, 이란이 무기용 우라늄을 생산하는 시간을 크게 단축시켜 줄 것으로 보인다.<ref name=FAS>{{웹 인용|저자=Monica Amarelo|url=http://www.fas.org/press/news/2011/issuebrief_iran.html|제목=New FAS Report Demonstrates Iran Improved Enrichment in 2010|출판사=[[미국 과학자 연맹]]|날짜=2011년 1월 21일|언어=en|확인날짜=2012년 2월 14일|보존url=https://web.archive.org/web/20120120012533/http://www.fas.org/press/news/2011/issuebrief_iran.html|보존날짜=2012년 1월 20일|url-status=dead}}</ref><ref name= Haaretz>{{웹 인용|url=http://www.haaretz.com/news/international/report-iran-s-nuclear-capacity-unharmed-contrary-to-u-s-assessment-1.338522 |제목= Report: Iran's nuclear capacity unharmed, contrary to U.S. assessment |출판사=하레츠 |날짜=2011년 1월 22일|언어=en}}</ref><ref>{{웹 인용|저자= Jeffrey Goldberg| url=http://www.theatlantic.com/international/archive/2011/01/report-irans-nuclear-program-going-full-speed-ahead/70031/ |제목= Report: Iran's Nuclear Program Going Full Speed Ahead |출판사=[[아틀란틱 (잡지)|아틀란틱]] |날짜=2011년 1월 22일|언어=en}}</ref> 2010년 이란의 핵 농축 능력이 증가한 것으로 보아, 스턱스넷이 실제보다 큰 피해를 입혔다고 믿게 하기 위해 이란이 잘못된 정보를 흘렸을 가능성도 있다.{{r|gross201104}}

=== 제조국에 대한 추측 ===
[[이스라엘]]과 [[미국]], 그 외에 다른 서방 국가들이 스턱스넷의 배후에 있는 것으로 지목되었다.
==== 이스라엘 ====
많은 언론들<ref name=guardian/><ref name=FP/><ref name=economist/> 과 전직 미국 국토안보부 고위 공무원인 Richard A. Falkenrath 등의 전문가들<ref name=Yahoo!>{{뉴스 인용
 |제목       = Falkenrath Says Stuxnet Virus May Have Origin in Israel: Video. Bloomberg Television
 |날짜       = 2010년 9월 24일
 |url          = http://finance.yahoo.com/video/marketnews-19148628/falkenrath-says-stuxnet-virus-may-have-origin-in-israel-video-22090127#video=22147179
 |언어       = en
 |확인날짜 = 2012년 2월 14일
 |보존url    = https://web.archive.org/web/20120303235959/http://finance.yahoo.com/video/marketnews-19148628/falkenrath-says-stuxnet-virus-may-have-origin-in-israel-video-22090127#video=22147179
 |보존날짜 = 2012년 3월 3일
 |url-status = dead
}}</ref>{{r|nyt}}은 [[이스라엘]]의 정보부대인 8200부대<ref>{{뉴스 인용
 | url=http://www.guardian.co.uk/technology/2010/sep/30/stuxnet-worm-new-era-global-cyberwar
 | 제목=Stuxnet worm heralds new era of global cyberwar
 | 출판사=가디언
 | 날짜=2010년 9월 30일
 | location=런던
 | 이름=Peter
 | 성=Beaumont
 | 언어=en
}}</ref> 가 스턱스넷에 관여했을 것으로 추측하고 있다. 이스라엘 일간지 《하레츠》의 정보 담당 기자 Yossi Melman 또한, 전직 (2011년) [[모사드]] 기관장인 메이어 데이건({{llang|he|מאיר דגן}})이 중요한 프로젝트를 맡고 있어 연임되었다고 지적하면서, 이 주장을 뒷받침하였다. 또한, 이스라엘 당국은 당초 이란이 2012년경 핵무기를 보유할 것으로 예측했으나, 이제는 2014년이나 2015년경 핵무기를 보유할 것으로 예측하고 있다고 지적하며, "그들이 애초에 생각했던 것보다 시간이 더 있다고 말하는 것을 보면, 그들은 뭔가 알고 있다"고 말했다.<ref name="NYTimes20100929" />{{r|broad20110115}} 이스라엘은 스턱스넷에 대해 공식적으로 언급한 바가 없으나, 사이버 전쟁을 국방 전략의 중요한 축으로 삼고 있다.<ref>{{뉴스 인용|저자=Dan Williams|url=http://www.alertnet.org/thenews/newsdesk/LDE68R0GB.htm|제목=Cyber takes centre stage in Israel's war strategy|출판사=로이터|날짜=2010년 9월 28일|언어=en|확인날짜=2012년 2월 14일|archive-date=2010년 10월 1일|archive-url=https://web.archive.org/web/20101001091330/http://www.alertnet.org/thenews/newsdesk/LDE68R0GB.htm|url-status=}}</ref><ref>{{뉴스 인용|저자=Antonin Gregoire|url=http://www.iloubnan.info/politics/actualite/id/52568/titre/Stuxnet,-the-real-face-of-Cyber-Warfare|제목=Stuxnet, the real face of cyber warfare|출판사=Iloubnan.info|날짜=2010년 11월 25일|언어=en|확인날짜=2012년 2월 14일|archive-date=2010년 11월 26일|archive-url=https://web.archive.org/web/20101126171827/http://iloubnan.info/politics/actualite/id/52568/titre/Stuxnet,-the-real-face-of-Cyber-Warfare|url-status=}}</ref>
[[영국]]의 [[데일리 텔레그래프]]지와 이스라엘 일간지 《하레츠》 보도에 따르면, [[이스라엘 방위군]] (IDF) 참모총장 [[가비 아슈케나지]]가 자신의 은퇴 기념식에서 자신이 참모총장으로서 수행한 성공적인 작전 중 하나로 스턱스넷을 언급하여, 이스라엘이 이 공격의 배후에 있다는 추측을 강화하였다.<ref name=retirement /><ref name="WilliamsCTelegraph">{{뉴스 인용
  | 성 = Williams
  | 이름 = Christoper
  | 제목 = Israeli security chief celebrates Stuxnet cyber attack
  | 출판사 = [[텔레그래프]]
  | location = 런던
  | 날짜 = 2011년 2월 16일
  | url = http://www.telegraph.co.uk/technology/news/8326274/Israeli-security-chief-celebrates-Stuxnet-cyber-attack.html
  | 확인날짜 =2011년 2월 23일
  | 언어=en}}
</ref>

스턱스넷이 발견되기 전인 2009년, 미국 사이버 보안 전문기관인 Cyber-Consequences Unit의 책임자 Scott Borg는, 이스라엘이 이란의 핵시설에 대한 군사적 공격보다는 사이버 공격을 선호할 것이라고 보았다.<ref name=EyesCyberwar /> 2010년 말에는 다음과 같이 언급했다. "이스라엘은 분명히 스턱스넷을 개발할 능력이 있으며, 이런 공격을 누가 수행했는지 알아낼 방법은 사실상 없으므로 부작용도 거의 없다. 따라서 스턱스넷은 이스라엘이 선호할만한 무기이다."<ref>Israel certainly has the ability to create Stuxnet and there is little downside to such an attack, because it would be virtually impossible to prove who did it. So a tool like Stuxnet is Israel's obvious weapon of choice.{{웹 인용|제목=A worm in the centrifuge: An unusually sophisticated cyber-weapon is mysterious but important|출판사=[[이코노미스트]]|날짜=2010년 9월 30일|url=http://www.economist.com/node/17147818|언어=en}}</ref> 이란의 나탄즈에서 사용되는 원심분리기는 P-1으로, 1978년 [[압둘 카디르 칸]]이 파키스탄으로 유출한 설계도 가운데 하나이다. 이란은 압둘 카디르 칸의 암시장 네트워크를 통해 이 설계도를 입수했다. 전문가들은 이스라엘이 P-1의 설계도를 입수하여 자국의 네게브 원자력 연구 센터에 설치한 후 스턱스넷을 시험한 것으로 추정한다.{{r|broad20110115}} 미국은 [[리비아]]의 핵 프로그램에서 이 장비를 입수했으며, 이를 이스라엘에 넘겼을 가능성이 있다.<ref>{{뉴스 인용|저자= David Sanger|url=http://www.nytimes.com/2010/09/26/world/middleeast/26iran.html?_r=2&src=me|제목=Iran Fights Malware Attacking Computers|출판사=뉴욕 타임스|날짜=2010년 9월 25일 | 확인날짜=2010년 9월 28일|언어=en}}</ref>{{r|broad20110115}}

==== 미국 ====
미국이 이 공격에 개입되었다는 추측도 존재한다.<ref name="us">{{뉴스 인용|url=http://www.cbsnews.com/8301-501465_162-20017507-501465.html|제목=Stuxnet Worm a U.S. Cyber-Attack on Iran Nukes?|출판사=CBS News | 이름=Tucker|성=Reals|날짜=2010년 9월 24일|언어=en}}</ref> [[조지 W. 부시|부시]] 행정부는 이란의 컴퓨터 시스템을 공격하여 핵 프로그램을 파괴하는 계획이 비밀리에 진행되고 있었다는 보고가 있다. [[위키리크스]]에서 [[케이블 게이트]]를 통해 유출시킨 외교문서 가운데는 미국 외교부가 비밀 사보타지를 통해 이란의 핵시설을 파괴할 것을 조언받는 내용이 포함되어 있다.<ref>{{뉴스 인용 |url=http://www.guardian.co.uk/world/2011/jan/18/wikileaks-us-embassy-cable-iran-nuclear |제목=WikiLeaks: US advised to sabotage Iran nuclear sites by German thinktank |저자=Halliday, Josh |출판사=가디언|날짜=2011년 1월 18일|확인날짜=2011년 1월 18일|location=런던|언어=en}}</ref> 《와이어드》는 한 기사에서 "스턱스넷은 미국이 개발한 것으로 보인다"고 주장했다.<ref>{{웹 인용
 | url=http://www.wired.com/threatlevel/2011/02/cyberwar-issues-likely-to-be-addressed-only-after-a-catastrophe
 | 제목=Cyberwar Issues Likely to Be Addressed Only After a Catastrophe
 | 날짜=2011년 2월 17일
 | 저자=Kim Zetter
 | 출판사=와이어드
 | 확인날짜=2011년 2월 18일
 | 언어=en
}}</ref> 전직 미국 정보국 공무원인 존 범가너(John Bumgarner)는 스턱스넷이 발견되고 해독되기 전에 이미 원심분리기에 대한 사이버 공격 가능성에 대해 언급했으며,<ref>
{{웹 인용
 | url=http://www.stripes.com/news/cone-of-silence-surrounds-u-s-cyberwarfare-1.158090
 | 제목=Cone of silence surrounds U.S. cyberwarfare
 | 날짜=2011년 10월 18일
 | 저자=Chris Carroll
 | 출판사=Stars and Stripes
 | 확인날짜=2011년 10월 30일
 | 언어=en
}}</ref> 국제협약을 어기고 우라늄 농축 프로그램을 진행하는 국가에 대해 이런 공격을 감행할 수 있다고 암시하여 이 주장에 신빙성을 더한다. 범가너는 또한 "사이버타지"(사이버 사보타지) 작전의 주요 타겟이 핵무기의 연료를 생산하는 원심분리기이며, 그 회전속도를 변경시켜 원심분리기를 파괴할 수 있음을 지적한다.<ref>
{{웹 인용
 |url          = http://www.crows.org/images/stories/pdf/IOI/IO%20Journal_Vol2Iss2_0210.pdf
 |제목       = Computers as Weapons of War
 |날짜       = 2010년 4월 27일
 |저자       = John Bumgarner
 |출판사    = IO Journal
 |확인날짜 = 2011년 10월 30일
 |언어       = en
 |보존url    = https://web.archive.org/web/20111219174833/http://www.crows.org/images/stories/pdf/IOI/IO%20Journal_Vol2Iss2_0210.pdf
 |보존날짜 = 2011년 12월 19일
 |url-status = dead
}}</ref> 1982년 시베리아의 가스 파이프에 큰 폭발을 일으킨 것도 [[미국 중앙 정보국]]이 [[소련]]에서 입수한 SCADA 소프트웨어를 해킹하여 일어났을 가능성도 제기되고 있다.{{r|gross201104}}

[[백악관]]의 대량살상무기 제어 담당 보좌관인 개리 사모어(Gary Samore)는 2011년 "(이란) 핵시설의 원심분리기에 문제가 생겼다는 소식에 기쁩니다. 우리 미국과 그 우방국들은 그들의 문제를 더 복잡하게 만들기 위해 최선의 노력을 기울이고 있습니다."라고 말해, 미국이 이 공격에 개입되어 있을 가능성을 시사했다.<ref>[http://www.pbs.org/wnet/need-to-know/security/video-cracking-the-code-defending-against-the-superweapons-of-the-21st-century-cyberwar/9456/ Gary Samore] 가 "민주주의 수호 재단" 주최로 2010년 12월 10일 워싱톤에서 열린 포럼에서 한 발언. PBS 프로그램인 Need to Know가 보도함.([http://www.pbs.org/wnet/need-to-know/security/video-cracking-the-code-defending-against-the-superweapons-of-the-21st-century-cyberwar/9456/ "Cracking the code: Defending against the superweapons of the 21st century cyberwar"], 4분짜리 인터뷰중 일부 발췌)</ref>

==== 다른 국가들 ====
2011년 4월 이란 정부의 조사결과는 미국과 이스라엘이 공격의 배후에 있는 것으로 결론지었다.<ref>{{웹 인용
  | 출판사 = CBS News
  | 제목 = Iran blames U.S., Israel for Stuxnet malware
  | 날짜 = 2011년 4월 16일
  | url = http://www.cbsnews.com/stories/2011/04/16/501364/main20054574.shtml
  | 확인날짜 = 2012년 1월 15일
  | 언어=en
}}</ref> 독일의 연구원 Frank Rieger는 미국과 이스라엘이 스턱스넷을 공동 개발했다는데 유럽의 세 개 정보기관이 동의했다고 밝혔다. 코드의 윈도 공격 부분과 PLC 공격 부분은 다른 스타일로 작성되어, 스턱스넷이 공동개발로 제작되었음을 짐작할 수 있다. 그러나 다른 전문가들은 미국과 이스라엘의 정보 및 군사 당국이 서로를 크게 신뢰하지 않아 공동개발의 가능성은 낮다고 생각한다.{{r|gross201104}}

[[중국]] 또한 이 공격에 참여했을 가능성이 있다고 지목되었으며,<ref>{{뉴스 인용|url=http://blogs.forbes.com/firewall/2010/12/14/stuxnets-finnish-chinese-connection/|제목=Stuxnet's Finnish-Chinese Connection|출판사=[[포브스]]|날짜=2010년 12월 14일| 2011년 4월 19일|성=Carr|이름=Jeffrey|언어=en}}</ref> 지멘스가 참여했을 가능성도 제기되었다.{{r|gross201104}}{{r|us}} 랭너는 이란의 시설이 인터넷으로 접근 불가능하므로, USB 드라이브를 통해 전염됐을 것으로 추측하고 있다.<ref name=RewritingPlaybook /><ref>{{웹 인용|url=http://www.csmonitor.com/USA/2010/0924/Stuxnet-worm-mystery-What-s-the-cyber-weapon-after|title=Stuxnet worm mystery: What's the cyber weapon after?|출판사=크리스천 사이언스 모니터|날짜=2010년 9월 24일| 확인날짜=2011년 1월 21일|성=Clayton|이름=Mark|언어=en}}</ref>

[[베를린 자유 대학교]]의 Sandro Gaycken은 이란이 단지 스턱스넷의 진짜 목표를 가리기 위한 허수아비에 지나지 않으며, 전 세계 100,000개 이상의 산업 시설을 목표로 할 수 있는 스턱스넷의 능력을 볼 때 이것은 적국이 사이버 무기에 어떻게 대항하는지 알아보기 위한 실전 테스트라고 주장한다.<ref>{{웹 인용|url=http://www.zeit.de/2010/48/Computerwurm-Stuxnet|제목=Stuxnet: Wer war's? Und wozu?|출판사=[[디 차이트]]|날짜=2010년 11월 26일|확인날짜=2011년 4월 29일|성=Gaycken|이름=Sandro|언어=de}}</ref>

== 같이 보기 ==
* [[지능형 지속 공격]]
* [[나탄즈]]
* [[프로그래머블 로직 컨트롤러]]
* [[레긴 (악성 소프트웨어)]]
== 각주 ==
{{각주|30em}}

== 외부 링크 ==
* {{위키공용분류-줄}}

{{2010년대의 해킹}}

[[분류:웜]]
[[분류:사이버 전쟁]]
[[분류:컴퓨터 접근 제어]]
[[분류:2010년 이란]]
[[분류:2010년 조선민주주의인민공화국]]
[[분류:미국-이란 관계]]
[[분류:미국-이스라엘 관계]]
[[분류:미국-조선민주주의인민공화국 관계]]
[[분류:이란-이스라엘 대리 분쟁]]
[[분류:2010년 컴퓨팅]]
[[분류:산업 컴퓨팅]]
[[분류:2010년대 해킹]]