Лента: Общество

Компьютерный вирус "Стакснет" /Stuxnet/, который был обнаружен на компьютерах сотрудников иранской АЭС в Бушере, стал первой из существующих вредоносных программ, способной инфицировать системы управления промышленных предприятий. Сложность вируса также делает его единственным в своем роде: многочисленные эксперты в один голос утверждают, что они впервые сталкиваются с чем-либо подобным. Впрочем, как отмечается в докладе компании "Симантек", американского производителя антивирусных программ, лишь время покажет, станет ли "Стакснет" прародителем нового поколения вирусов, конечной целью которых будет вывод из строя не компьютерных систем, а непосредственно объектов в физическом мире, или останется "диковинкой" из числа тех, что появляются раз в десятилетие.

Ведущие компании из разных стран, специализирующиеся на информационной безопасности и противодействии вирусам, уже несколько месяцев изучают "Стакснет" и распространяют многостраничные отчеты, посвященные принципам его работы. Однако до сих пор не найдены ответы на вопросы о том, кто, зачем и когда разработал эту уникальную программу-червя, появление которой СМИ в последние недели все чаще связывают с иранской ядерной программой. О том, действительно ли был "Стакснет" создан для того, чтобы саботировать работу бушерской АЭС или других промышленных предприятий Ирана, приходится судить преимущественно по косвенным фактам.

Впервые об обнаружении данного вируса 17 июня 2010 года сообщила белорусская компания "ВирусБлокАда", специализирующаяся на создании программного обеспечения /ПО/, предназначенного для защиты от атак хакеров. Однако ряд сведений говорит о том, что распространение "Стакснет" началось гораздо раньше. Так, в докладе "Симантек", говорится о том, что одна из ранних версий вируса, в которой отсутствовал ряд свойств, выявленных в более поздних вариантах "Стакснет", была датирована июнем предыдущего года. Некоторые эксперты даже утверждают, что атака должна была уже достичь своей цели к январю 2009 года. Это дало ряду специалистов повод высказать предположение о том, что конечной целью вируса могла быть не сама иранская АЭС /или не только она/, а комбинат по обогащению урана в Натанзе.

Этой точки зрения придерживается, в частности, Франк Ригер из немецкой фирмы "Джи-эс-эм-кей криптофон", разрабатывающей решения по обеспечению безопасности данных на мобильных устройствах и шифрованию голосовых переговоров. В статье, опубликованной немецкой газетой "Франкфуртер альгемайне цайтунг", Ригер ссылается на сообщения, появившиеся на сайте организации "Викиликс", специализирующейся на "утечках" секретной информации. Так, "Викиликс" пишет, что в начала июля 2009 года "источник, близкий к иранской программе ядерных исследований, на условиях конфиденциальности сообщил нам, что на заводе в Натанзе произошла серьезная авария, которая держится в секрете". "У "Викиликс" есть основания доверять данному источнику, хотя контакт с ним впоследствии был утерян, – говорится в сообщении организации. – Как правило, мы не публикуем подобную информацию, если она не получает дополнительного подтверждения, однако, согласно сообщениям иранского информационного агентства ИСНА и британской вещательной корпорации Би-би-си, 19 июля 2009 глава Организации по атомной энергии Ирана /ОАЭИ/ Голям Реза Агазеде подал в отставку".

При этом, в статистических сообщениях ОАЭИ, относящихся к указанному периоду, отмечается существенное уменьшение до этого неуклонно увеличивавшегося числа действующих центрифуг на предприятии в Натанзе в период с мая по ноябрь 2009 года. Последний факт может свидетельствовать о не получившем официального подтверждения техническом сбое на комбинате, так как установка центрифуг – долгий и кропотливый процесс. Смонтированная установка должна в течение длительного периода времени /до года/ находиться в вакууме, чтобы в процессе ее работы могло быть получено ядерное топливо высокой степени чистоты, однако если что-то пойдет не так, то процесс придется повторить. Тем не менее, уменьшение количества центрифуг может говорить и о проведении работ по обслуживанию части оборудования. Однако даже если на заводе действительно произошел сбой, это еще не подтверждает версии о том, что в нем повинен вирус.

Еще одно сообщение о задержках в ходе работ по осуществлению ядерной программы ИРИ поступило относительно недавно. Пуск бушерской АЭС, который сначала был запланирован на март 2010 года, был сперва отложен до 21 августа, затем до октября, а на прошлой неделе нынешний глава ОАЭИ Али Акбар Салехи заявил агентству ИСНА, что "сердце станции забьется к началу ноября". При этом в понедельник, 4 октября, Салехи выступил с пояснениями, отметив, что к сообщениям о распространении вируса "Стакснет" в Иране задержка не имеет никакого отношения. "Перед загрузкой в реактор ядерного топлива в резервуаре при реакторе была обнаружена небольшая течь, которая уже заделана. Это и отложило на несколько дней процесс загрузки топлива, предшествующий запуску реактора", – цитирует Салехи другое иранское агентство – ИРНА.

При этом, сведения о том, какова была цель, которую должен /или должен был/ в конечном итоге поразить вирус, содержатся в самой программе. Как отмечает Ральф Лангнер, специалист по информационной безопасности из Германии, целью "червя" является лишь одно конкретное предприятие, структура которого прописана в коде вируса, что позволяет ему, собрав соответствующие сведения, "убедиться" в том, что он попал именно туда, куда задумывал его создатель.

Вирус проникает в системы диспетчерского контроля и сбора данных /SCADA/. Именно анализируя их структуру, как по отпечаткам пальцев, вирус может установить, что достиг цели. Таким образом, принцип распространения вируса довольно примечателен. В то время как целью большинства вредоносного ПО является поражение как можно большего числа машин и нанесение максимального вреда /выведением из строя компонентов операционной системы/, "Стакснет" не должен причинять значительного беспокойства сотрудникам всех пораженных предприятий.

Тем не менее, сверить схемы оборудования, специфицированные в коде вируса, с теми, что применяются на иранских ядерных объектах, по понятным причинам, вряд ли удастся. Однако если целью "Стакснет" все же являлась АЭС в Бушере или комбинат в Натанзе, встает вопрос о том, откуда авторам вируса стала известна схема организации SCADA на одном из данных предприятий.

Тот факт, что вирус может собирать различные сведения о новой "среде обитания" и обмениваться информацией с удаленным сервером, ранее приводил экспертов к выводу о том, что его главная цель – промышленный шпионаж. Однако для осуществления основной миссии "Стакснет" не требуется выход в Интернет, тем более, что в закрытых внутренних сетях большинства предприятий, где существуют требования повышенной безопасности, доступ во всемирную сеть попросту отсутствует. Вирус может действовать автономно – распространяться по внутренней сети и заражать съемные носители информации /так называемые "флэшки"/. Именно таким образом он мог попасть в систему бушерской АЭС, если бы один из сотрудников станции, чей персональный компьютер был заражен, подключил бы зараженный носитель к одному из компьютеров станции /данное действие, впрочем, явилось бы вопиющим нарушением правил обеспечения безопасности на таком объекте/.

Попадая в целевую систему, "Стакснет" вмешивается в работу одного из компонентов SCADA – программируемого логического контроллера /PLC/, используемого для автоматизации промышленных процессов. К какому именно эффекту приводят команды, которые "Стакснет" отдает системам управления предприятия, можно только догадываться, однако на прошедшей 29 сентября в канадском Ванкувере конференции "Вайрус бьюллетин 2010" сотрудник компании "Симантек" Лиам О'Мурку продемонстрировал работу вируса на простом примере. Зрители могли наблюдать, как логический контроллер подключенный к простому насосу, регулирует давление газа в надутом воздушном шарике, не давая ему лопнуть. Однако после заражения "Стакснет" ограничения на подачу воздуха были сняты, в результате чего шарик с громким хлопком взорвался. По словам О'Мурку, именно способность вируса влиять на работу промышленных механизмов, в чем раньше вирусы "замечены не были", и вызывает у специалистов наибольшую тревогу.

Следует, впрочем, отметить, что "Стакснет" может перепрограммировать лишь PLC производства немецкой компании "Сименс". Речь идет об оборудовании отнюдь не последнего поколения, в то время как на современных высокотехнологичных производствах применяются более новые и более дорогие решения. Используется ли на иранских ядерных объектах оборудование "Сименс", достоверно не известно, однако именно эта компания начала работы по сооружению АЭС в Бушере в 1974 году, после чего они были надолго заморожены после исламской революции 1979 года в стране. Строительством нынешней АЭС занималась российская госкорпорация "Росатом", однако "Сименс" в последние годы осуществляла поставки своих технологических решений в Иран, что не исключает теоретической возможности их использования в Бушере или Натанзе.

География распространения вируса также наводит на определенные мысли. Согласно отчету за август текущего года словацкой компании "И-эс-и-ти", работающей на рынке защиты информации и разработки антивирусов, на Иран приходится 52,17 проц. случаев заражения, 17,4 проц. – на Индонезию, 11,7 проц. – на Индию. По сообщению компании "Сименс", вирус был обнаружен в компьютерных системах 14 промышленных предприятий Германии, однако никакого вреда он не нанес и в производственный цикл не вмешивался. Эти данные были опубликованы многими СМИ, однако и они не дают возможности окончательно связать "Стакснет" конкретно с Ираном. Данные, собранными разными компаниями, сильно расходятся, в основном из-за того, что преимущественно учитываются случаи обнаружения вируса на компьютерах, оснащенных антивирусным ПО соответствующей фирмы. Кроме того, не существует подобных сведений за более долгий период, прошедший с момента появления вируса. Тем не менее, службы компьютерной безопасности Ирана сообщили как минимум о 30 тыс. зараженных машин в стране. Данные цифры, возможно, не позволяют поставить Иран на первое место среди стран, где зарегистрирован "Стакснет", однако дают основания говорить о том, что в ИРИ этот вирус никак не редкость.

Что касается создателей вируса, то анализ кода программы, проведенный на данный момент, не выявил каких- либо однозначных "персональных" или "национальных" штрихов в почерке людей, занимавшихся его программированием. Единственной зацепкой являются слова "мирт" /myrtus/ и "гуава" /дерево семейства миртовые/, являющиеся названиями директории и файла в коде программы. Эти слова могут быть ссылкой на имя супруги персидского царя Артаксеркса – Эсфири, которая также пользовалась именем Хадасса, что на иврите означает "мирт". В ветхозаветной Книге Эсфирь, описывается, как царица помешала планам персов "убить, погубить и истребить всех иудеев". Данная аналогия позволила некоторым газетным обозревателям прийти к выводу о том, что разработкой вируса занимались специалисты израильских спецслужб, неоднократно заявлявших о том, что бушерская АЭС является для них приоритетной целью. Хотя убедительность такого "доказательства", по крайней мере, весьма сомнительна, проводимые Израилем военные операции действительно нередко называются в честь событий или героев Ветхого Завета. Кроме того, эксперты сходятся во мнении, что создать
"Стакснет" не мог хакер-одиночка, так как похищение сертификатов безопасности, тщательное тестирование программы, многоуровневое шифрование и проработка различных сценариев заражения с запасными вариантами потребовали бы слишком много усилий. В компании "Симантек" отмечают, что разработка программы подобного уровня могла быть проделана лишь командой высококлассных специалистов при весьма существенной финансовой поддержке, вплоть до государственной. Впрочем, иранские СМИ 2 октября цитировали слова министра информации ИРИ /руководителя иранских спецслужб/, Хейдара Мослехи, заявившего, что власти Ирана "задержали нескольких западных шпионов", которые могли способствовать распространению вируса в стране. Таким образом, вскоре Иран сможет озвучить свою версию того, кем и с какой целью был разработан "Стакснет", которая пополнит ряды существующих теорий.

На данном этапе изучения вируса и обстоятельств его распространения возникает больше вопросов, чем ответов. Однако эксперты сходятся во мнении, что сам факт появления такой программы, даже если она пока не нанесла значительного вреда, может стать основой для создании оружия нового поколения, которое будет применяться в "кибервойнах" между различными государствами. Кроме того, уже в ближайшие месяцы ожидается появление вирусов, которые для проникновения на компьютеры будут использовать те же уязвимые места операционной системы "Майкрософт Уиндоус" /большинство из них до сих пор не закрыты/, что и "Стакснет", однако, скорее всего, будут значительно более простыми и преследовать более "приземленные" цели – такие, как похищение личной информации, а также номеров и паролей банковских карт. Как стало известно корр. ИТАР-ТАСС, весной будущего года масштабный аналитический доклад, посвященный проблемам "киберконфликтов", в котором значительное внимание будет посвящено прецеденту вируса "Стакснет", планирует опубликовать Лондонский международный институт стратегических исследований.


Источник: По материалам ИТАР-ТАСС
При полном или частичном использовании данного материала ссылка на rodon.org обязательна.