"Stuxnet-auteurs maakten amateuristische fouten"
De makers van de Stuxnet-worm maakten amateuristische fouten, wat aantoont dat de malware waarschijnlijk niet door een Westerse staat ontwikkeld is. Dat zei Tom Parker tijdens de Black Hat DC conferentie. Parker krijgt bijval van cryptograaf Nate Lawson. "Ik hoop echt dat het niet door de VS gemaakt is, omdat ik graag denk dat de elite ontwikkelaars van onze cyberwapens in ieder geval bekend zijn met wat Bulgaarse tieners begin jaren 1990 deden."
Zowel Parker als Lawson hebben hun twijfels over de malware die gebruikt is om de kwaadaardige lading op de computers te plaatsen. Daardoor denkt Parker dat Stuxnet mogelijk het product is van een samenwerking tussen twee verschillende groepen. De Stuxnet-code en exploits zouden door een talentvolle groep zijn ontwikkeld, terwijl een minder ervaren groep de tool voor het gebruik van de code ontwikkelde. De beveiligingsconsultant ontdekte ook verschillende andere aanwijzingen dat de code niet helemaal goed in elkaar zit, maar op bepaalde niveaus nog steeds erg effectief is.
Amateurs
Parker ontwikkelde een tool die de overeenkomsten tussen Stuxnet en andere bekende wormen vergeleek en ontdekte dat de code van een lage kwaliteit was. Lawson gaat zelfs nog een stap verder. "De auteurs zouden zich moeten schamen voor hun amateuristische aanpak om de payload te verbergen."
Zo is er geen speciale obfuscatie en de technieken die de malware gebruikt om zich voor virusscanners te verbergen verschilt niet van de andere malware die vorig jaar werd gevonden. Daarnaast zouden de ontwikkelaars volgens Lawson niet met geavanceerde technieken bekend zijn om hun doelwit te verbergen. "Wie de code ontwikkelde had waarschijnlijk haast en besloot dat het gebruik van geavanceerde technieken om de malware te verstoppen niet de kosten voor testen en ontwikkeling waard was."
Aan de hand zijn analyse stelt Parker dat Stuxnet waarschijnlijk niet door een Westerse staat is ontwikkeld. "Er ging heel veel fout. Er is teveel technische inconsistentie. Maar de kans dat de bugs zouden mislukken was klein. Het waren allemaal logische fouten met een hoge betrouwbaarheid."
Net als bij voetbal: mooi voetbal is ondergeschikt aan winnen.
Sterk staaltje superioriteits-denken :)
‘The most terrifying words in the English language are: I'm from the government and I'm here to help.’ — Ronald Reagan
Redactie: wat betekent dit?
IMHO worden veel omgevingsvariabelen niet meegenomen in bovenstaande analyse. Zo hebben SCADA systemen vaak geen virusscanner draaien, juist doordat responsetijden zo enorm belangrijk zijn. Een scanner die een vertraging van 10 seconden veroorzaakt kan in dat geval al rampzalig zijn. Misschien waren de systemen van het doel (Natanz, zoveel is jnu wel duidelijk) helemaal niet voorzien van een anti-virus programma. Lijkt mij goed mogelijk.
Daarnaast bevat de programmatuur zoveel specifieke kennis, dat het niet door een groep is gemaakt die maar wat aanrommelde. Welke talentvolle groep weet precies hoe Siemens PLC herprogrammeerd moeten worden? Welke groep weet dat er precies 984 centrifuges (of wat voor dingen het dan ook waren) onklaar gemaakt moesten worden en dat in de code wisten te verwerken? Welke groep had voldoende capaciteit om te testen met de oude centrifuges die Iran gebruikt? Wie heeft voldoende kennis om Stuxnet foutloos op het doelsysteem uit te laten voeren? Welke groep komt achter het certificaat van RealPlayer? Etc etc? Een talentvolle en minder talentvolle groep? Hou toch op.
Typisch een geval van achteraf afkraken van een stuk software dat door kenners als een van de meest geavanceerde cyberwar tools ooit wordt beschouwd. Maar goed, de heren hebben hun 15 minutes of fame weer gehad. Next.
Zo is er geen speciale obfuscatie en de technieken die de malware gebruikt om zich voor virusscanners te verbergen verschilt niet van de andere malware die vorig jaar werd gevonden. Daarnaast zouden de ontwikkelaars volgens Lawson niet met geavanceerde technieken bekend zijn om hun doelwit te verbergen. "Wie de code ontwikkelde had waarschijnlijk haast en besloot dat het gebruik van geavanceerde technieken om de malware te verstoppen niet de kosten voor testen en ontwikkeling waard was."
Die man gaat eraan voorbij dat Stuxnet pas in juli 2010 ontdekt werd en dat alles erop wijst dat de schade aan de Natanz installatie toen al was aangericht. De gebruikte AV-evasion technieken bleken dus afdoende te zijn. Target besmet zonder detectie. Als malware op grote schaal verspreid wordt, zal het vroeg of laat ontdekt worden.
Vraag 1: Heeft het gewerkt.
Antwoord 1: Ja.
Dus was het een goed product.
De partij die dit gemaakt heeft had zeer gedetaileerde kennis en was waarschijnlijk ook op de hoogte hoe de payload te verspreiden. Dan pak je het simpelste wat werkt. Als obfuscatie niet nodig is dan ga je dat ook NIET inbouwen want daarmee VERMINDER je de kan op sucses. Het is een onnodig component dat fouten kan introduceren.
Voldoet aan het KISS principe.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
