Een Nederlandse Profibus-expert heeft een zeer belangrijk onderdeel van de "Stuxnet-puzzel" opgelost. De niet bij naam genoemde expert reageerde op een oproep van Symantec om met het ontcijferen van de code te helpen. Het lukte de virusbestrijder maar niet om het doel van de worm te achterhalen. Stuxnet wijzigde op besmette systemen de programmable logic controller (PLC), vermoedelijk om het te besturen systeem te saboteren.

Door hulp van de Nederlander staat nu vast dat Stuxnet alleen werkt als de industriële controlesystemen over 'frequency converter drives' van tenminste één van twee specifieke leveranciers beschikken. Eén van deze leveranciers bevindt zich in Finland, de ander in Teheran, Iran. Een frequency converter drive is een voeding die de frequentie van de output kan aanpassen, die weer de snelheid van de motor aanstuurt. Hoe hoger de frequentie, hoe hoger de snelheid van de motor.

Sabotage
Stuxnet wijzigt voor korte perioden de output frequenties en dus de snelheid van de motoren. "Het aanpassen van de snelheid van de motoren saboteert de normale werking van het industriële controle proces", zegt Eric Chien van Symantec.

De motoren waar Stuxnet naar zoekt hebben een frequentie van tussen de 807Hz en 1210Hz. De worm verandert de snelheid eerst in 1410Hz, dan naar 2Hz en dan weer naar 1064Hz. Zodoende kan het systeem niet meer naar behoren werken, merkt Chien op. Dankzij de Nederlandse expert is de werking van de worm nu volledig in kaart gebracht.