Guerra Virtual contra Irán: ¿Que es Stuxnet?

Stuxnet es un nuevo y misterioso “gusano” informático que ha tenido un lugar en los medios desde que infecto recientemente a maquinarias relacionadas al programa nuclear iraní. El gusano, descubierto en junio por “VirusBlokAda”, una firma de seguridad Bielorusa, infecta maquinas que corren el sistema operativo Windows y que a su vez ejecutan cierto Software diseñado por la corporación alemana Siemens.

El software en cuestión es lo que se conoce como un sistema SCADA ("supervisory control and data acquisition”) y es utilizado para manejar desde sistemas de trafico hasta plantas nucleares.

Siemens sabia de la existencia de Stuxnet desde hace algún tiempo y ha seguido su propagación desde su página web. En Julio del 2010 la compañía sabia de una sola instalación industrial infectada. Para el 7 de Septiembre, 15 instalaciones habían sido infectadas en todo el mundo.

Por meses el debate sobre el virus se limito a la comunidad de “cyber seguridad”, pero una vez que comenzaron las especulaciones de que el virus fue diseñado con el fin especifico de infectar las instalaciones nucleares iraníes la noticia sobre la existencia de Stuxnet se propago, fue entonces cuando oficiales iraníes reconocieron que sus instalaciones habían sido infectadas, aunque no especificaron cuales.

Pero a pesar de la cobertura mediática que está recibiendo Stuxnet sigue siendo muy poco lo que podemos saber con certeza. Sabemos que es un malware altamente sofisticado, uno que los expertos afirman solo podría haber sido diseñado por un equipo con conocimiento intimo del software industrial. Sabemos que se propago usando unidades flash USB , ahí terminan las certezas y comienzan las preguntas:

¿Cuál era el blanco?

Aunque el gusano a afectado computadoras en Indonesia, India y Pakistán además de Irán, los analistas de seguridad que llevan meses estudiando a Stuxnet afirman que parece diseñado para un blanco muy especifico.

Según Siemens:

“El patrón de comportamiento de Stuxnet sugiere que el virus se activa únicamente en instalaciones con una configuración especifica. Busca deliberadamente por cierta constelación técnica con ciertos módulos y ciertos patrones de programas que se aplican a procesos de producción específicos”

Dos expertos Alemanes, Ralph Langner y Frank Rieger, han ofrecido teorías opuestas acerca de cuál podría ser el blanco, ambos blancos sugeridos se encuentran en Irán, al igual que la mayoría de las maquinas infectadas.

Langner cree que Stuxnet apunta a la planta de energía nuclear iraní Bushehr que se planea este funcional en unos meses. Langner argumenta que Bushers corre el software de Siemens y que contratistas Rusos habrían tenido acceso a las instalaciones y que habrían usado discos USB para montar el sistema.

Rieger por su parte, cree que Natanz, la planta iraní de enriquecimiento de uranio es un blanco más probable. No solo es una mayor amenaza de proliferación, sino que hay evidencia que sugiere que fue saboteada. También señala que es más probable que Natanz tenga el tipo de nodos idénticos, en este caso “cascadas” o grupos de centrifugas, que serian susceptibles a un ataque.

¿Quién lo hizo?

El sospechoso evidente es Israel, que tiene tanto la sofisticada tecnología como la motivación para sabotear el programa nuclear iraní que considera una amenaza de primer nivel.

Un llamativo articulo de Reuters publicado en Julio del 2009 cita a Scott Borg , experto en Cyber seguridad norteamericano especulando que Israel podría querer hacerlo, agregando “un USB contaminado sería suficiente” para causar un daño real a las instalaciones iraníes.

Otros países como Estados Unidos, China y Rusia tienen la capacidad, pero solo uno – Estados Unidos- tiene un motivo claro.

Cabe recordar que Estados unidos e Israel han reconocido públicamente que aprobaron una campaña encubierta de sabotaje y esta podría tener un componente cibernético.

¿Funciono?

¿Cómo saberlo? Los analistas llevan años especulando que las agencias de inteligencia occidentales han estado saboteando los esfuerzos iraníes de enriquecer uranio, apuntan al hecho de que el numero de centrifugas operativas ha bajado estrepitosamente el año pasado, reportes sin confirmar de accidentes nucleares, o la súbita renuncia el año pasado de Gholam Reza Aghazadeh. Cabecilla del programa nuclear Irani.

Iran niega haber encontrado problemas serios como resultado de Stuxnet y hay poca evidencia de lo contrario. Pero podrían haber asuntos que surjan mas tarde, o irán podría sencillamente estarse reservando la información.

¿Qué es lo que hace?

Lo que se ha reportado sobre esta cuestión ha sido enloquecedoramente vago. Siemens dice que Stuxnet:

“puede en teoría influenciar procesos específicos y operaciones en un entorno de automatización muy específico o plantar configuración adicional a la transmisión de datos”

pero ha sido incapaz de verificar esos hallazgos en pruebas empíricas.

Supuestamente, El gusano ha sido diseñado para enviar datos a un servidor en Malasia, que puede o no haber sido un “comando central” que podría tomar el control de componentes usados para operar y monitorear maquinaria industrial.

El consenso entre quienes estudiaron el código es que su objetivo es el sabotaje, no el simple espionaje. Pero como funciona exactamente permanece poco claro.

¿Por qué se propago tan ampliamente?

John Markoff, el reportero de tecnología del New York Times responde a esta pregunta de la siguiente manera:

“Si Stuxnet es el más reciente ejemplo de lo que un gobierno u organización puede hacer, contiene algunas deficiencias notorias. El programa ha saplicado a miles de sistemas de computadoras alrededor del mundo, y mucho de su impacto ha sido en esos sistemas, en lugar del que parece ser su blanco: el equipo iraní”

Ofrece sin embargo una teoría:

“Una posibilidad es que sencillamente no les importase. El gobierno podría haber estado tan desesperado por detener el programa nuclear iraní que la urgencia del ataque se impuso a la tradicional política de no dejar huellas, digitales o de otro tipo”

Un par de puntos sobre esto:

*Stuxnet no parece haber tenido un impacto en todos esos sistemas, por la razón previamente señalada: no apuntaba a ellos.

*Segundo, puede que los diseñadores del gusano necesitasen que se propagase por todos los sistemas iraníes para que fuese efectivo y que al hacerlo no hubiese forma de evitar que se propagase mas allá de Irán.

Finalmente, hay un cierto debate entre investigadores sobre la posibilidad de que el virus este diseñado para “caducar” en una fecha dada, supuestamente Enero 2009. En otras palabras, No se suponía que se propagase , pero de alguna forma, lo hizo de todos modos.