De Stuxnetworm is ontwikkeld om het Iraanse nucleaire programma te ontregelen en werd daarbij geholpen door een ontwerpfout in de software van Siemens. Dat concludeert de Duitse beveiligingsonderzoeker Ralph Langner. Tijdens de jaarlijkse S4 conferentie voor industriële control security (ICS) experts, gaf hij naar eigen zeggen het onomstotelijke bewijs dat Stuxnet speciaal is ontwikkeld om de uraniumverrijkingscentrale in het Iraanse Natanz aan te vallen.

"Deze gasten kenden de centrifuges beter dan de Iraniërs", aldus Langner over de Stuxnet-auteurs. "Ze weten alles. Ze weten de timing, de invoer en ze kennen het als hun broekzak." Eén van de opmerkelijke acties van de worm, was dat die de Siemens management software zo manipuleerde, dat de weergegeven uitvoer aantoonde dat alles normaal was, terwijl in werkelijkheid de centrifuges werden gesaboteerd.

Ontwerpfout
Daarvoor gebruikten de aanvallers geen complexe hack, maar een slechte ontwerpbeslissing aan de kant van Siemens, de ontwikkelaar van de Simatic software. "De leverancier in kwestie besloot om de PLC invoerproces weergave lees- en schrijfbaar te maken, in plaats van alleen leesbaar", merkte Langner op. Daardoor konden de auteurs de procesinvoer opnemen, om vervolgens opnieuw tijdens een aanval op de centrifuge af te spelen.

De Duitse onderzoeker haalde hard uit naar Siemens en het Amerikaanse ministerie van Homeland Security, die beiden de ernst van de situatie niet serieus zouden nemen. "Dit is één van de grootste problemen in ICS-veiligheid. En deze gasten nemen het niet serieus." Aanvallers hoeven helemaal geen complexe aanvallen of zero-day exploits te ontwikkelen om SCADA en ICS-systemen over te nemen, omdat deze systemen al vol ontwerpfouten zitten, aldus Langner.

"Als ik een aanvaller zou zijn, zou ik niet de moeite nemen om een buffer overflow te vinden. Ik zou gewoon voor de ontwerpfouten gaan, omdat die veel betrouwbaarder zijn te misbruiken. Op deze manier gaan de pro's te werk."