- Stuxnet
-
Stuxnet es un gusano informático que afecta a equipos con Windows, descubierto en junio de 2010 por VirusBlokAda, una empresa de seguridad radicada en Bielorrusia. Es el primer gusano conocido que espía y reprograma sistemas industriales,[1] en concreto sistemas SCADA de control y monitorización de procesos, pudiendo afectar a infraestructuras críticas como centrales nucleares.[2]
Stuxnet es capaz de reprogramar controladores lógicos programables y ocultar los cambios realizados.[3] También es el primer gusano conocido que incluye un rootkit para sistemas reprogramables PLC.[4]
La compañía europea de seguridad digital Kaspersky Labs describía a Stuxnet en una nota de prensa como "un prototipo funcional y aterrador de un arma cibernética que conducirá a la creación de una nueva carrera armamentística mundial". Kevin Hogan, un ejecutivo de Symantec, advirtió que el 60% de los ordenadores contaminados por el gusano se encuentran en Irán, sugiriendo que sus instalaciones industriales podrían ser su objetivo.[5] Kaspersky concluye que los ataques sólo pudieron producirse "con el apoyo de una nación soberana", conviertiendo a Irán en el primer objetivo de una guerra cibernética real.[6] [7] [8]
El objetivo más probable del gusano, según corroboran medios como BBC o el Daily Telegraph,[9] [10] pudieron ser infraestructuras de alto valor pertenecientes a Irán y con sistemas de control de Siemens. Medios como India Times apuntan que el ataque pudo haber retrasado la puesta en marcha de la planta nuclear de Bushehr.[11] Fuentes iraníes han calificado el ataque como "guerra electrónica"[12] aunque minimizan el impacto de los daños en sus instalaciones. Algunos medios como el norteamericano New York Times han atribuido su autoría a los servicios secretos estadounidenses e israelíes.[13]
Contenido
Historia
A mediados de junio de 2010 la compañía VirusBlokAda informó de su existencia, y se han fechado parte de sus componentes en junio de 2009.[3] El gusano contiene algunos elementos compilados el 3 de febrero de 2010, según indica su time stamp.[14]
Aunque el ataque inicial parece centrarse en Irán, desde entonces la infección ha ido expandiéndose por distintos países. Según la empresa de seguridad Symantec, en agosto de 2010 los principales países infectados eran los siguientes:[15]
País Número de ordenadores infectados Irán 62,867 Indonesia 13,336 India 6,552 Estados Unidos de América 2,913 Australia 2,436 Gran Bretaña 1,038 Malasia 1,013 Pakistán 993 Alemania 15 [16]
En septiembre se hizo público en el periódico New York Times que el código del gusano contiene la referencia a un archivo con nombre "Myrtus".[17] Este nombre es similar al hebreo Esther, hecho que puede entenderse como una indicación de que Israel podría estar detrás del ataque, o bien como una pista falsa de sus creadores para sembrar confusión.Método de operación
Stuxnet ataca equipos con Windows empleando cuatro vulnerabilidades de día cero de este sistema operativo, incluyendo la denominada CPLINK y otra empleada por el gusano Conficker. Su objetivo son sistemas que emplean los programas de monitorización y control industrial (SCADA) WinCC/PCS 7 de Siemens.
La diseminación inicial se hace mediante memoria USB infectadas, para luego aprovechar otros agujeros y contaminar otros equipos con WinCC conectados en red. Una vez lograda la entrada al sistema, Stuxnet emplea las contraseñas por defecto para obtener el control.[3] El fabricante, Siemens, aconseja no cambiar las contraseñas originales porque esto "podría tener impacto en el funcionamiento de la planta".[18]
La complejidad de Stuxnet es muy poco habitual en un ataque de malware. El ataque requiere conocimientos de procesos industriales y algún tipo de deseo de atacar infraestructuras industriales.[3] [1] En concreto, según la empresa Symantec, Stuxnet verifica la existencia en el objetivo de cierto número de motores variadores fabricados por dos empresas concretas, una iraní y otra finlandesa, estableciéndose rutinas distintas según la cantidad de variadores de uno y otro fabricante.[19]
El número de vulnerabildades de día cero de Windows que aprovecha Stuxnet también es poco habitual. Este tipo de errores de Windows son muy valorados por crackers y diseñadores de malware puesto que permiten acceder a sistemas incluso aunque hayan instalado todas las actualizaciones de seguridad, al no ser conocidos públicamente. Un ataque malware normal no desperdiciaría cuatro de estos errores en un solo gusano.[9]
Además, Stuxnet es extrañamente grande, ocupando medio megabyte,[20] y está escrito en distintos lenguajes de programación, incluyendo C y C++, algo que se ve con poca frecuencia en otros ataques de este tipo.[3] [1]
Stuxnet fue firmado digitalmente con dos certificados auténticos robados de autoridades de certificación. Tiene capacidad de actualización mediante P2P, lo que permite su puesta al día incluso después de que el servidor remoto de control haya sido desactivado.[20] [21]
Todas estas capacidades habrían requerido un equipo completo de programadores de distintas disciplinas, y la verificación en sistemas reales de que el malware no bloquearía los PLCs. Eric Byres, programador con años de experiencia en el mantenimiento y reparación de sistemas Siemens, declaró a Wired que escribir este software podría haber requerido meses o incluso años de trabajo si lo hubiera realizado una sola persona.[20]
Eliminación
Siemens ha puesto a disposición del público una herramienta de detección y eliminación de Stuxnet. Siemens recomienda contactar con su soporte técnico si se detecta una infección, instalar los parches de Microsoft que eliminan las vulnerabilidades de Windows y prohibir en las instalaciones industriales el uso de memorias USB ajenas o no controladas.[22]
También la empresa BitDefender ha desarrollado una herramienta gratuita para eliminar Stuxnet[1].
Especulaciones sobre el origen del ataque
Un portavoz de Siemens declaró que el gusano Stuxnet fue encontrado en 15 sistemas, cinco de los cuales eran plantas de fabricación en Alemania. Según Siemens, no se han encontrado infecciones activas y tampoco existen informes de daños causados por el gusano.[23]
Symantec afirma que la mayor parte de los equipos infectados están en Irán,[24] lo que ha dado pie a especulaciones de que el objetivo del ataque eran infraestructuras "de alto valor" en ese país,[9] incluyendo la Central Nuclear de Bushehr o el Complejo Nuclear de Natanz.[20]
Ralph Langner, un investigador alemán de seguridad informática, cree que Stuxnet es un arma diseñada "para disparar un solo tiro" y que el objetivo deseado por sus creadores fue probablemente alcanzado,[25] aunque ha admitido que esto son solo especulaciones.[20] Bruce Schneier, otro investigador en seguridad, ha calificado estas teorías como interesantes, si bien señala que existen pocos datos objetivos para fundamentarlas.[26]
Algunos especialistas (pendiente de encontrar referencias) señalaban a Israel como principal sospechoso, y en concreto a la Unidad 8200 de las Fuerzas de Defensa de Israel.
Finalmente el New York Times eliminó todo rumor o especulación confirmando que se trata de un troyano desarrollado y financiado por Israel y Estados Unidos con el fin de atacar las centrales nucleares iranies.[27]
Referencias
- ↑ a b c Robert McMillan (16 de septiembre de 2010). «Siemens: Stuxnet worm hit industrial systems». Computerworld. Consultado el 16 de septiembre de 2010.
- ↑ «Stuxnet worm hits Iran nuclear plant staff computers». BBC News.
- ↑ a b c d e Gregg Keizer (16 de septiembre de 2010). «Is Stuxnet the 'best' malware ever?». Infoworld. Consultado el 16 de septiembre de 2010.
- ↑ «Last-minute paper: An indepth look into Stuxnet». Virus Bulletin.
- ↑ http://www.reuters.com/article/idUSLDE68N1OI20100924
- ↑ http://news.scotsman.com/world/Iran-39first-victim-of-cyberwar39.6550278.jp
- ↑ http://www.pakalertpress.com/2010/09/26/iran-first-victim-of-cyberwar/
- ↑ http://www.mymacaddress.com/iran-first-victim-of-cyberwar/
- ↑ a b c Fildes, Jonathan (23-09-2010). «Stuxnet worm 'targeted high-value Iranian assets'». BBC News. Consultado el 23-09-2010.
- ↑ «Stuxnet virus: worm 'could be aimed at high-profile Iranian targets’», The Daily Telegraph, 23-09-2010. Consultado el 28-09-2010.
- ↑ «Software smart bomb fired at Iranian nuclear plant: Experts». Economictimes.indiatimes.com (24-09-2010). Consultado el 28-09-2010.
- ↑ http://www.elmundo.es/accesible/elmundo/2010/09/27/navegante/1285571297.html
- ↑ El mundo, 16 de enero de 2011: Israel y EEUU crearon el virus que dañó el programa nuclear iraní
- ↑ Aleksandr Matrosov, Eugene Rodionov, David Harley, and Juraj Malcho. «Stuxnet under the microscope» (PDF). Consultado el 24 de septiembre de 2010.
- ↑ «Factbox: What is Stuxnet?» (HTML). Consultado el 30 de septiembre de 2010.
- ↑ crve (17-09-2010). «Stuxnet also found at industrial plants in Germany». The H. Consultado el 18-09-2010.
- ↑ http://www.elpais.com/articulo/tecnologia/codigo/virus/Stuxnet/alberga/cita/biblica/elpeputec/20100930elpeputec_4/Tes
- ↑ Tom Espiner (20 de julio de 2010). «Siemens warns Stuxnet targets of password risk». cnet. Consultado el 17 de septiembre de 2010.
- ↑ Wired, Clues Suggest Stuxnet Virus Was Built for Subtle Nuclear Sabotage, accedido el 16 de noviembre de 2010]
- ↑ a b c d e Kim Ztter (23-09-2010). «Blockbuster Worm Aimed for Infrastructure, But No Proof Iran Nukes Were Target». Wired. Consultado el 24-09-2010.
- ↑ Liam O Murchu (17-09-2010). «Stuxnet P2P component». Symantec. Consultado el 24-09-2010.
- ↑ «SIMATIC WinCC / SIMATIC PCS 7: Information concerning Malware / Virus / Trojan». Siemens. Consultado el 24 de septiembre de 2010.
- ↑ crve (17 de septiembre de 2010). «Stuxnet also found at industrial plants in Germany». The H. Consultado el 18 de septiembre de 2010.
- ↑ Robert McMillan (23 de julio de 2010). «Iran was prime target of SCADA worm». Computerworld. Consultado el 17 de septiembre de 2010.
- ↑ Clayton, Mark (21-09-2010). «Stuxnet malware is 'weapon' out to destroy ... Iran's Bushehr nuclear plant?». Christian Science Monitor. Consultado el 23-09-2010.
- ↑ Bruce Schneier (22 de septiembre de 2010). «Schneier on Security: The Stuxnet Worm». Consultado el 23 de septiembre de 2010.
- ↑ http://www.elmundo.es/elmundo/2011/01/16/internacional/1295180388.html Israel y EEUU crearon el virus que dañó el programa nuclear iraní.
Enlaces externos
Categoría:- Gusanos Informáticos
Wikimedia foundation. 2010.
