O que é Stuxnet?

O Stuxnet é um worm de computador poderoso e malicioso que surgiu pela primeira vez em 2010. Ele também é o maior e mais caro desse tipo de malware. Ele explorou as vulnerabilidades de dia zero do Windows anteriormente desconhecidas para infectar sistemas de destino e se espalhar para outros sistemas. O vírus atingiu principalmente as centrífugas das instalações de enriquecimento de urânio do Irã. No entanto, os invasores cibernéticos o modificaram ao longo do tempo e o adaptaram para atingir outras instalações, como usinas de energia e tubulações de gás .

Embora nenhum país tenha admitido oficialmente a criação do Stuxnet, acredita-se amplamente que os EUA e Israel desenvolveram o worm em conjunto. Stuxnet foi o primeiro vírus a causar a destruição física de dispositivos infectados. Ele prejudicou severamente o programa nuclear do Irã, embora o malware também tenha se espalhado acidentalmente além dos limites das instalações nucleares do Irã devido à sua natureza agressiva. No entanto, não causou muitos danos a dispositivos externos fora das áreas de destino originais.

Como o Stuxnet funciona?

Stuxnet é um malware altamente sofisticado e intrusivo . No entanto, também é cuidadosamente projetado para afetar apenas alvos com configurações específicas e causar danos mínimos em outros dispositivos.

Como as instalações nucleares direcionadas estavam isoladas da rede global, o Stuxnet provavelmente foi transmitido por meio de pendrives transportados dentro dessas instalações por agentes.

Stuxnet é um malware complexo. Ele tem código para um ataque man-in-the-middle que falsifica os sinais do sensor para que um sistema alvo não seja desligado devido a um comportamento anormal. Também é incomumente grande, escrito em diferentes linguagens de programação e se espalha rapidamente.

O Stuxnet tem como alvo três camadas sistêmicas:

SO Windows

Aplicativos de software industrial Siemens PCS 7, WinCC e STEP7

Controlador lógico programável Siemens S7

O Stuxnet se infiltrou nos sistemas Windows explorando várias vulnerabilidades de dia zero, como execução remota de código. Ele empregou o compartilhamento de impressora habilitado ou a vulnerabilidade LNK/PIF executando o arquivo quando ele é exibido no Windows Explorer.

Esse malware acessa os níveis de usuário e kernel. Seus drivers de dispositivo são assinados por dois certificados públicos, então ele pode acessar os drivers do kernel sem o conhecimento dos usuários e permanecer indetectável por um longo tempo.

Depois de penetrar nos sistemas Windows, o Stuxnet infecta arquivos pertencentes aos aplicativos de software industrial da Siemens e interrompe suas comunicações. Também modifica o código em dispositivos PLC.

Stuxnet instala blocos de malware em monitores PLC. Em seguida, altera constantemente a frequência do sistema e afeta a operação dos motores alterando sua velocidade de rotação. O Stuxnet também contém um rootkit que oculta o worm dos sistemas de monitoramento.

A história do Stuxnet

O Stuxnet foi identificado e relatado em 2010, embora estivesse em desenvolvimento desde 2005. Em janeiro de 2010, inspetores que visitavam a usina de enriquecimento de urânio de Natanz notaram que suas centrífugas estavam falhando em um ritmo sem precedentes. Eles não conseguiram descobrir a causa da falha naquele momento. Após cinco meses, os pesquisadores encontraram arquivos maliciosos em um dos sistemas.

O worm começou a se espalhar por volta de março de 2010, mas a primeira variante apareceu em 2009. Em 15 de julho de 2010, a existência do worm se tornou amplamente conhecida devido a um ataque DDoS em uma lista de discussão de segurança de sistemas industriais. Esse ataque interrompeu uma fonte essencial de informações para fábricas e usinas de energia.

O Stuxnet se espalhou em duas ondas. A primeira onda foi menos visível e mais direcionada que a segunda. O Stuxnet tornou-se conhecido do público durante a segunda onda, que foi mais agressiva e difundida. O worm conseguiu infectar mais de 20.000 dispositivos em 14 instalações nucleares iranianas e arruinou cerca de 900 centrífugas.

Embora o Stuxnet não tenha causado muitos danos fora de seu alvo, ele serve como exemplo para peças posteriores de malware visando várias infraestruturas e estados-nação. As versões modificadas também visam instalações não nucleares.

Como se proteger do Stuxnet

Como mencionei acima, o Stuxnet não representa uma ameaça direta para usuários individuais, então aqui estão algumas dicas para empresas:

Isole suas redes industriais de redes comerciais em geral com firewalls para evitar a propagação de malware.

Use a lista de permissões de aplicativos para filtrar sua rede de agentes mal-intencionados.

Monitore de perto sua rede para atividades incomuns.

Mantenha políticas rígidas de mídia removível para evitar que USBs desonestos sejam conectados aos seus dispositivos.

Pratique a proteção do host desabilitando serviços desnecessários.