Stuxnet

Stuxnet on Windows-spesifinen tietokonemato, jonka raportoi ensimmäisenä kesäkuussa 2010 valkovenäläinen turvallisuusyritys VirusBlokAda. Se on ensimmäinen mato, joka vakoilee ja uudelleenohjelmoi teollisuusjärjestelmiä.

Mato tuli suureen tietoisuuteen, kun maailmalla levisi tieto, että mato oli päässyt Iranin ydinlaitoksiin saastuneessa USB-muistitikussa. Iran on pidättänyt joukon venäläisiä teknikkoja, jotka olivat rakentamassa Bušehrin ydinvoimalaitosta. Iran on uhannut syypäiksi epäilemiään Yhdysvaltoja ja Israelia kostoiskulla, jotka se toteuttaisi perinteisen sodankäynnin keinoin. Tietoturva-asiantuntijoiden mukaan Stuxnetin koodi on hyvin taitavasti tehty ja se on voittoa tavoittelematon, joten sen taustalla on suurella todennäköisyydellä valtio tai valtioita.

Vuonna 2012 heinäkuun 1. päivän artikkeli New York Timesissa kertoi, että Stuxnet on osa Yhdysvaltain ja Israelin tiedusteluoperaatiota nimeltä "Operaatio Olympialaiset", joka sai alkunsa presidentti George W. Bushin aikaan ja jota laajennettiin presidentti Barack Obaman valtakaudella. Edward Snowden vahvisti heinäkuussa 2013, että Stuxnet oli Yhdysvaltojen ja Israelin yhteistyössä kehittämä.

Toiminta

Stuxnetin pääsy Iranin Natanzin rikastuslaitoksen järjestelmään tapahtui luultavasti muistitikuilla, koska tietokoneita ei ollut kytketty turvallisuussyistä Internetiin. Mato hyökkäsi Windows-käyttöjärjestelmää vastaan hyödyntäen neljää haavoittuvuutta, joista kaksi oli ennalta tuntemattomia ns. nollapäivähaavoittuvuuksia.

Kaksi palvelinta, toinen Tanskassa ja toinen Malesiassa, oli luotu madon päivitystä ja hallinnointia varten, ja ne mahdollistivat myös teollisuusvakoilun madon pystyessä lähettämään tietojaan takaisin palvelimille. Kun mato paljastui, joutuivat tietoturvayritysten sivut verkkohyökkäysten kohteeksi ja madon levittäjä ehti hävittää jäljet itsestään. Mato hyödynsi tulostinpalveluita ja muun muassa RPC-protokollaa sekä muutti Siemensin teollisuuskoneohjaimen koodia aiheuttaakseen vahinkoa tuotantoprosessille.

Stuxnetin oletettu synty

Matoa pidetään asiantuntijoiden mukaan Israelin ja Yhdysvaltojen yhteishankkeena, jota valmisteltiin kaksi vuotta ja joka on George W. Bushin ja Obaman hyväksymä. Hankkeen taustalla oli tarve löytää ei-sotilaallinen tapa jarruttaa tai estää Iranin väitetty halu rakentaa ydinase. Mato oli ennalta laajalti testattu Israelin salaisessa Dimonan ydinkeskuksessa, jonne oli luotu Iranin uraanirikastamojen sentrifugeja jäljittelevä laitteistokokonaisuus. Madon kohteena oli Siemensin toimittama sentrifugien ohjauslogiikka ja madon toiminta-ajatuksena oli sabotoida laitteisto ajamalla sentrifugit niiden toimintarajojen yli. Madon saastuttamat ohjaustietokoneet lähettivät virheelliset ohjearvot suomalaisen Vaconin valmistamille taajuusmuuttajille, jotka saamiensa ohjearvojen mukaisesti vuorostaan syöttivät tehoa sentrifugien moottoreille, saaden ne pyörimään väärällä nopeudella. Edward Snowden vahvisti heinäkuussa 2013, että Stuxnet oli Yhdysvaltojen ja Israelin yhteistyössä kehittämä.

Turvallisuustutkijat olivat aikaisemmin uskoneet madon kehittyneen Kiinassa, jossa sijaitsee Vaconin taajuusmuuttajatehdas. Kiinalaisviranomaisten tiedettiin kuulustelleen muutamia Vaconin työntekijöitä ja takavarikoineen heiltä paljon taajuusmuuttajiin liittyvää aineistoa. Mahdollista motiivia Kiinan osallistumiseen ei löydetty.

Koodista tehtyjä havaintoja

Stuxnetin koodissa on hakemistopolku, jonka nimi sisältää sanan "Myrtus", suomeksi myrtti. Tämä on tulkittu viittaukseksi raamatun Esterin kirjaan. Ester tunnetaan raamatussa myös nimellä Hadassa, joka on latinaksi myrtus. Tätä on pidetty ovelana symbolisena sanaleikkinä, joka viittaa erääseen Esterin kirjan kohtaan. Siinä persialaiset hautovat juutalaisten tuhoamista, mutta juutalaiset tekevät Esterin ansiosta aikeet torsoksi hyökkäämällä itse persialaisten kimppuun. Kun Stuxnet onnistuu lamauttamaan saastuttamansa isäntäkoneen, se lyö koneeseen digitaalisen leiman 19790509. Tämä tarkoittaa ehkä päivämäärää, mutta numerosarjaa on tulkittu kahdella tavalla. Yhden tulkinnan mukaan kyseessä on jonkun syntymäpäivä, ehkäpä jonkun Stuxnetin koodanneista henkilöistä. Toisen tulkinnan mukaan 9.5.1979 viittaa päivään, jolloin Iranin islamilainen tasavalta hirtti vakoilusta syytetyn juutalaisen Habib Elghanianin.

Katso myös
Duqu – Vuonna 2011 löydetty tietokonemato, jonka uskotaan olevan läheistä sukua Stuxnetille.
NSA – Yhdysvaltain kansallinen turvallisuusvirasto.
Yksikkö 8200 – Israelin signaalitiedusteluun erikoistunut tiedustelupalvelu.

Lähteet
 Suomen kuvalehti 22.10.2010, s. 22-23

Viitteet

Aiheesta muualla 
 To Kill a Centrifuge – Ralph Langner (PDF) 

 

Informaatiosodankäynti
Haittaohjelmat
Teollisuus
Tietokonemadot
Vakoilu
Tietoturva
Tietoverkkojen tietoturva
2010-luvun tekniikka
Tietotekniikkarikollisuus
Iran