استاکس نت: میادین جنگی آتی؟ یا نوعی سهل انگاری امنیتی؟

کرم استاکس نت زمانیکه مسئولان ایرانی تایید نمودند که کد های بد افزاری به اولین نیرگاه هسته ای ایران همجوم اورده اند مورد توجه قرار گرفت.

این بدافزار، که در ماه جولای مشاهده گردید، می تواند در سیستم های عملیاتی – با عنوان اسکادا SCADA – نفوذ نموده و نیروگاه ها را کنترل نماید. تقریباً 15 سیستم در کل جهان به این کرم الوده شده اند. اولین واکنش به این ترازدی در ایران این است که چنین اتفاقی نمی توانست برای کشوری بهتر از ایران اتفاق بیفتد. اما همانطور که می دانید استاکسنت می توانست شروع یک جنگ سایبری شود که ریزساخت های کلیدید را مد نظر دارد.

پرسش ها پیرامون استاکس نت زیاد است. آیای اسرائیل اقدام به تولید این ویروس کرده است؟ ایالات متحده در این زمینه نقشی داشته است؟ یا ایران نیز مانند دیگر کشورهایی که این کرم در انها دیده شده است می باشد؟ این سئوالات برای هفته ها در کانون توجه بوده و در پایان هفته بیشترین میزان توجه را جلب نموده است. در هر حال، تمام شرکت های برنامه سازی و وزارت امنیت داخلی ایالات متحده بدنبال پاسخ می باشند. به نظر می رید پنتاگون برای ماه آینده اتاق فرمان سایبری را ایجاد خواهد نمود. دیگر آژانس ها اما همچنان در معرض آسیب هستند.

اشاره به وجود عناوین متعدد خبری درباره استاکسنت لازم نیست:

• بی بی سی: کرم استاکسنت کامپیوترهای نیروگاه هسته ای ایران را مورد هجوم قرار داد
• WSJ: حملات سایبری پنتاگون، متحدان و دشمنانش را مورد آزمایش قرار می دهد
• AP: کرم های نرم افزاری کامپیوترهای نیروگاه اتمی ایران را مورد حمله قرار دادند

در اینجا به آمار داده ای گوگل درباره استاکسنت توجه می نماییم.

آنچه می بینیم منادی حملات هوایی جدید می باشد – ویروس هایی که زیرساخت های کلیدی چون شبکه های الکتریکی، نیروگاه ها و دیگر سیستم های کلیدی را مورد هجوم قرار میدهند. بعلاوه، استاکسنت انچنان برنامه ریزی شده می باشد که احتمال حمایت از جانب کشور ثالث را تقویت می کند. به نوشته سوفوس[1]:

استاکسنت قطعه ای بسیار پیچیده بدافزاری می باشد که از انواع مختلف روش هایی که سابقاً مشاده نگردیده (به عنوان مثال، استفاده از کدهای آسیب پذیر مایکروسافت) استفاده می کند.

از نظر رایان نارین که اوایل این ماه ابراز گردید:

حمله کنندگانی که در پشت حملات اخیر کرم استاکسنت قرار داشتند به منظور نفوذ به سیستم ویندوز از چهار حفره امنیتی آن استفاده نموده اند.

تهدید کلیدی بعدی بر اماده سازی استاکسنت تمرکز دارد.

همچنین مراجعه شود: آیا کشور هدف باید حمله های سایبری تلافی جویانه انجام دهد؟

تجهیزات زیمنس در مرکز و خط مقدم حملات بدافزاری بوده و این شرکت پایگاه اطلاعاتی عظیمی در زمینه دستورالعمل های مقابله ای  با ویروس دارد. استاکسنت به کامپیوترهای تحت ویندوز حمله می کند. اطلاعات ارائه شده توسط زیمنس اط 17 سپتامبر:

1. ویروس بر روی سیستم تست ایزوله شده تا بررسی های بسیار وسیعی را انجام دهد. تجزیه و تحلیل هایی که سابقا در مورد ویژگی ها و رفتارهای ویروسی در محیط های نرم افزاری صورت گرفته نشان می دهند که ما با یک هکر مواجه نیستیم بلکه با نتیجه کار گروهی از متخصصان مواجه می باشیم که نه تنها در زمینه IT تخصص دارند بلکه بر سیستم های کنترل، تولید و مهندسی صنعتی نیز مسلط می باشند.
2. تا انجا که در حال حاضر می دانیم، سیستم های کنترل صنعتی زیمنس آلوده شده اند. این تروجان زمانی فعال می شود نرم افزار  WinCC یا PCS7 نصب گردند.
3. بررسی های بعدی نشان داده اند که این ویروس می تواند از لحاظ تئوری بر فرآیند ها و عملیات های خاص در محیطی کاملاً اتوماسیون یا ساختارهای نیروگاهی تاثیر گذارده و همچنین داده ای را انتقال دهند. یعنی این بدافزار می تواند تحت شرایطی مشخص بر فرآیندهای عملیاتی در سیستم کنترل تاثیر گذارد. هرچند، این رفتار بصورت آزمایشی یا عملی تایید نگردیده است.
4. الگوی رفتاری استاکسنت نشان می دهد که این ویروس ظاهراً تنها در نیروگاه هایی با ساختاری مشخص فعال می گردد. این کرم با دقت بدنبال ایده های تکنیکی با قالب ها و الگوهای ویژه می باشد که در فرآینهای تولیدی خاص بکار برده می شوند. این الگو می تواند، به عنوان مثال، با یک بلوک داده یا دو بلوک کد محلی گردد.
5. بدین معنا که استاکسنت ظاهراً فرآیند یا نیروگاهی خاص را هدف قرار داده و منظورش برند یا فن اوری خاص یا اغلب گونه های برنامه های کاربردی صنعتی نمی باشد.
6. این نتیجه گیری با تعدادی از موردهایی که برای زیمنس آشنا هستند سازگاری دارد. جاهاییکه ویروس ها شناسایی می شوند در حالیکه فعال نگردیده اند و بدون هیچ خسارتی قابل از بین رفتن هستند. این نوع از نیروگاه های خاص از انواعی که با انان آشنایی داشته ایم نبوده اند.

اگرچه از نظر سوفوس توصیه زیمنس کامل نیست.

استاکسنت پسورد پیش فرض نرم افزار SCADA زیمنس را می داند – زیمنس به نیروگاه های تولید نیرو و تاسیسات تولیدی توصیه می نماید تا پسور پیش فرض خود را تغییر ندهند. علیرغم اینکه برای سالیان در وب پخش گردیده است.

در هر صورت، پچ KB2347290 بر روی سیستم های SCADA زیمنس آزمایش شده اند. این موضوع و بحث تقابل جاسوسی می توانند تنها پروسه های سرهم بندی سست باشند. مایکروسافت در ابتدا یک پچ اظطراری را پخش نموده و سپس گونه رسمی آنرا توزیع می کند، در حالیکه می توانست استاکسنت را زودتر نابود کند. مراجعه شود:

• بررسی موجز سه شنبه دوم ماه که مایکروسافت پچ های جدید خود را ارائه می دهد: سوء استفاده های احتمالی از حفره های امنیتی ویندوز
• حمله کنندگان استاکسنت از چهار حفره امنیتی ویندوز بهره بردند
• زمانیکه حمله جدی شد، مایکروسافت پچ اظطراری ویندوز را ارائه نمود

همینطورک

• آیای اشتراک کدهای مرجع مایکروسافت با چین و روسیه می تواند موجب ریسک امنیتی گردد؟
• محققان پیچیدگی سازمان ها امنیتی سایبری را مورد توجه قرار می دهند

منبع zdnet

[1] Sophos