Veel van de beveiligingslekken die de Stuxnetworm gebruikte om de Iraanse uraniumverrijkingscentrale in Natanz te ontregelen, zijn nog altijd niet gepatcht. Dat zegt de Duitse beveiligingsonderzoeker Ralph Langner. Volgens de Duitser heeft Microsoft inmiddels alle kwetsbaarheden verholpen, maar geldt dat niet voor de problemen in de Siemens software.

Langner merkt op dat de media zich vooral op de Windows-lekken richtte, maar dat er in totaal vier soorten exploits zijn toegepast. Na exploits voor kwetsbaarheden in Windows, die nu zijn gepatcht, gaat het ook om lekken in de Windows applicatie, controller en het fysieke proces. Stuxnet gebruikte twee exploits tegen de Siemens Siemens Simatic Manager en Siemens WinCC SCADA applicatie, en controller exploits gericht tegen de Siemens S70-300 en 400 controllers.

Wat betreft de aanval tegen het fysieke proces, was deze alleen voor een specifieke configuratie ontwikkeld. "Dit is code op applicatieniveau, die specifiek ontworpen is om IR-1 centrifuges te beschadigen", zegt Langner. De Duitser benadrukt dat ook deze code voor andere doelwitten is te gebruiken, omdat mogelijke aanvallers zo kunnen zien hoe ze machines die variabele frequency drives gebruiken door het veroorzaken van mechanische stress kunnen beschadigen.

Atoombom
Langner waarschuwt verder voor copycats, die een soortgelijke worm ontwikkelen. "Er is gezegd omdat Stuxnet zo complex is, er dezelfde middelen nodig zijn om een soortgelijk wapen te produceren. Dat is helaas complete onzin." De Duitser vergelijkt het eerste cyberwapen met de eerste atoombom. "Om de atoombom te bouwen was er een genie zoals Oppenheimer en de middel van het Manhattan project nodig. Om het ontwerp te kopiëren, is alleen een aantal engineers nodig, en geen genie."

Ook Stuxnet is door één of twee genieën ontwikkeld, denkt Langner. "Het begrijpen en kopiëren van het ontwerp is door doorsnee engineers te doen. Erger nog, het ontwerp en productieproces is in een softwaretool te verpakken, waardoor immorele idioten en genieën zeer agressieve cyberwapens kunnen configureren."