پایگاه تحلیلی "وایرد" در گزارشی مفصل، "استاکس نت" را رمزگشایی و اهداف آن را در حمله به تأسیسات هسته ای ایران بررسی کرد. در بخش اول این مقاله می خوانیم که "استاکس نت" چگونه برای اولین بار مشاهده شد و برخورد شرکت های آنتی ویروس با آن چه بود.

* مشکل در اتاق سانتریفیوژهای نیروگاه

ماه ژانویه سال 2010 بود و بازرسین آژانس بین المللی انرژی اتمی، بررسی تأسیسات غنی سازی اورانیوم "نطنز" را به پایان رسانده بودند. در همین هنگام آنان متوجه شدند که چیزی در اتاق های آبشاری، که هزاران سانتریفیوژ در آن مشغول غنی سازی اورانیوم بودند، از کار افتاده است. متخصصین نیروگاه "نطنز" با لباس ها، دستکش ها و کفش های سفید خود به سرعت در اتاق های آبشاری "پاکیزه" این طرف و آن طرف می رفتند و سانتریفیوژهای سنگین را یکی یکی در استوانه های نقره ای درخشان بیرون می بردند.

* کارکنان نیروگاه بیش از یک ماه مشغول تعویض سانتریفیوژهای نیروگاه بودند

هر بار که کارکنان نیروگاه، سانتریفیوژهای آسیب دیده و یا غیر قابل استفاده را از کار می انداختند، باید پیش از آن که آن ها را از بین ببرند، این دستگاه ها را در مکانی قرار می دادند تا آژانس بررسی کند که مواد رادیواکتیو از آن ها به بیرون نشت نکرده باشد. اکنون بیش از یک ماه بود که متخصصین نیروگاه این کار را انجام می دادند.

* تعویض سالیانه 800 سانتریفیوژ در نیروگاه به طور معمول

ایران به طور معمول سالیانه تا 10 درصد از سانتریفیوژهای خود را به علت خلل فیزیکی و یا دلایل دیگر جایگزین می کرد. از آن جایی که در آن زمان حدود 8700 سانتریفیوژ در نیروگاه "نطنز" وجود داشت، به طور عادی باید در طول سال حدود 800 عدد از آن ها جایگزین می شد.

* تعویض بین 1000 تا 2000 سانتریفیوژ معیوب در طول چند ماه

بعدها آژانس انرژی اتمی، فیلم دوربین های نظارت بر برنامه غنی سازی اورانیوم ایران را که در خارج از اتاق های آبشاری نصب شده بود، بازبینی کرد؛ مأمورین آژانس از شمردن تعداد سانتریفیوژها شگفت زده شدند. تعداد سانتریفیوژهای جایگزین شده باور نکردنی بود: تخمین های بعدی نشان داد که بین 1000 تا 2000 سانتریفیوژ تنها در طول چند ماه جایگزین شده اند. سؤال این بود: چرا؟

* مشخص بود که مشکلی در زمینه سانتریفیوژها وجود دارد

از ایران خواسته نشد تا دلیل جایگزینی سانتریفیوژها را اعلام کند و بازرسین نیز از لحاظ قانونی حق نداشتند این سؤال را بپرسند. آنان دستور داشتند بر کار ایران با مواد هسته ای نظارت کنند و نه این که اشکالات موجود در تجهیزات هسته ای این کشور را کنترل نمایند. اما مشخص بود که چیزی به سانتریفیوژها آسیب رسانده بود.

* نفوذ یک کرم رایانه ای حرفه ای و مخرب به درون سیستم های نیروگاه "نطنز"

آن چه بازرسین نمی دانستند این بود که پاسخی که به دنبال آن بودند در اطراف خودشان مخفی شده است: درون فضای دیسک ها و حافظه کامپیوترهای نیروگاه. در ژوئن 2009، فردی بدون سر و صدا یک کرم رایانه ای حرفه ای و مخرب را منتشر کرده بود. این کرم به درون کامپیوترهای ایران خزیده بود و تنها یک هدف داشت: برنامه غنی سازی اورانیوم ایران را خراب کند.

* "استاکس نت" اولین سلاح سایبری واقعی در جهان

اما این تاریخ تقریباً یک سال پیش از پی بردن بازرسین به وجود این کرم بود. ده ها محقق امنیت رایانه ای در سراسر جهان ماه ها زمان صرف یافتن پاسخ و رمزگشایی نرم افزاری کردند که پیچیده ترین برنامه مخربی است که تا کنون نوشته شده است. نرم افزاری که بالاخره به عنوان اولین سلاح سایبری واقعی در جهان، دفتر تاریخ را ورق زد.

* آلودگی رایانه یک کاربر ایرانی در سال 2010

"سرگی یولاسن" در تاریخ 17 ژوئن 2010 در دفتر کارش در بلاروس مشغول وارسی ایمیل ها بود که گزارشی توجهش را جلب کرد. رایانه یکی از کاربران ایرانی مدام ری استارت می شد: علی رغم تلاش های اپراتور برای کنترل رایانه، دستگاه پیاپی خاموش و دوباره روشن می شد. به نظر می رسید که رایانه این کاربر ویروسی شده باشد.

* تبدیل امنیت رایانه ای از یک شاخه کوچک در علوم کامپیوتر به صنعتی چند میلیارد دلاری

"یولاسن" به بخش آنتی ویروس یک شرکت کوچک امنیت رایانه ای، موسوم به "ویروس بلوک آدا" در شهر "مینسک"، پایتخت بلاروس، مراجعه کرد. امنیت رایانه ای که زمانی یک شاخه کوچک و خاص از علوم کامپیوتر بود، در طول چند دهه اخیر به صنعتی چندین میلیارد دلاری تبدیل شده است که با سیل عظیم پیشرفت حملات هکرها، ویروس ها، تروجان ها و برنامه های جاسوسی در حال رقابت است.

* مطرح شدن افراد و سازمان های فعال در زمینه امنیت رایانه ای

برترین متخصصین امنیتی مانند "بروس اشنیر"، "دن کامینسکی" و "چارلی میلر" به عنوان ستاره های راک در میان دیگر متخصصین امنیتی مطرح هستند و شرکت های برتر مانند "سیمانتک"، "مک آفی" و "کاسپرسکی" به نام هایی مشهور تبدیل شده اند که از همه چیز محافظت می کنند: از لپ تاپ های مادربزرگ گرفته تا شبکه های حساس نظامی. با این حال "ویروس بلوک آدا" نه یک ستاره راک و نه یک نام مشهور بود؛ بلکه شرکت ناشناخته ای بود که حتی در صنعت امنیت رایانه ای نیز افراد کمی نام آن را شنیده بودند. اما این وضعیت به زودی تغییر کرد.

* استفاده ویروس از "روز صفر"، قدرتمندترین سلاح هکرها

تیم تحقیقی "یولاسن" به دنبال ویروسی رفتند که رایانه مشتری شان را آلوده کرده بود و دریافتند که این ویروس از حفره امنیتی "روز صفر" برای گسترش استفاده می کند. حفره های امنیتی "روز صفر" قدرتمندترین سلاح هکرها هستند: در این روش از اشکالات موجود در نرم افزار که هنوز توسط سازنده آن و یا سازنده های آنتی ویروس شناسایی نشده است، استفاده می شود. این اشکالات همچنین بی نهایت کمیاب هستند. یافتن و استفاده از این اشکالات به مهارت و صرف زمان بسیار زیادی نیاز دارد. در میان بیش از 12 میلیون نرم افزار مخرب که هر سال محققان در زمینه آنتی ویروس ها کشف می کنند، کمتر از ده نرم افزار از حفره های "روز صفر" استفاده می کنند.

* اشکال در " ویندوز اکسپلورر" عامل کارآمدی "استاکس نت"

در این مورد، استفاده از حفره امنیتی باعث شد تا ویروس به خوبی از طریق فلش مموری از رایانه ای به رایانه دیگر منتقل شود. اشکال در فایل "LNK" " ویندوز اکسپلورر" بود: یکی از بخش های اساسی "مایکروسافت ویندوز." زمانی که فلش مموری آلوده به یک رایانه متصل می شد، "اکسپلورر" به طور خودکار آن را اسکن می کرد. همین کار باعث می شد تا کد حفره "روز صفر" فعال شده و مخفیانه یک فایل بزرگ که بخشی از آن رمزگذاری شده بود را وارد رایانه مقصد کند؛ همانند یک هواپیمای نفربر نظامی که سربازهای استتار شده را در منطقه هدف پیاده کند. با نگاهی به گذشته، این حفره بسیار واضح به نظر می آمد؛ زیرا به چنین عملکرد فراگیری حمله می کرد. همچنین محققین به زودی فهمیدند که پیشتر نیز از این حفره استفاده شده است.

* هجوم شرکت های آنتی ویروس برای گرفتن نمونه "استاکس نت"

شرکت "ویروس بلوک آدا" با "مایکروسافت" تماس گرفت تا وجود این حفره را به اطلاع این شرکت برساند. غول نرم افزاری جهان در حال آماده سازی یک پچ بود که در تاریخ 12 ژوئیه، "ویروس بلوک آدا" کشف خود را با معرفی آن در یک انجمن امنیتی به اطلاع عموم رساند. سه روز بعد، یکی از وبلاگ نویسان امنیت رایانه ای به نام "برایان کربس"، داستان این ویروس را منتشر کرد و شرکت های آنتی ویروس از سراسر جهان صف کشیدند تا نمونه این ویروس را دریافت کنند؛ "مایکروسافت" با استفاده از ترکیب نام فایل های موجود در کد این ویروس (.stub و MrxNet.sys)، نام آن را "استاکس نت" گذاشت. با شروع به کار صنعت امنیت رایانه ای و رمز گشایی و گشایش ساختار این ویروس، ارزیابی های بیشتری نیز به وجود آمد.

* "استاکس نت" برای قانونی جلوه کردن در ویندوز، تأییدیه هایی را از شرکت های دیگر دزدیده است

مشخص شد که این کد، یک سال پیش در ژوئن 2009 تولید شده است و سازنده مرموز آن در طول این مدت، این کد را به روزرسانی و اصلاح و سه نسخه از آن را منتشر کرده است. لازم به ذکر است که یکی از فایل های راه اندازی این ویروس از یکی از تأییدیه های امضا شده و معتبر استفاده می کرد که از شرکت "ریل تک" (RealTek)، از شرکت های تولید سخت افزار در "تایوان"، دزدیده شده بود. به این ترتیب ویروس باعث می شد رایانه مقصد فریب بخورد و تصور کند که این نرم افزار مخرب یک برنامه مورد اعتماد ساخته شرکت "ریل تک" است. مقامات اینترنتی "ریل تک" به سرعت این تأییدیه را باطل کردند؛ اما "استاکس نت" این بار از تأییدیه دیگری استفاده کرد که مربوط به شرکت "جی میکرون تکنولوژی" بود؛ شرکت تولید مدارهای الکترونیکی که دفتر اصلی آن (چه به طور تصادفی و چه غیر تصادفی) در همان شهرک تجاری واقع است که دفتر "ریل تک" در آن قرار دارد. آیا مهاجم ها به طور فیزیکی به درون دو شرکت راه پیدا کرده بودند و تأییدیه ها را دزدیده بودند؟ آیا از راه دور این دو شرکت را هک کرده و کلیدهای امضای تأییدیه های دیجیتال آن ها را دزدیده بودند؟ هیچ کس نمی دانست. شرکت امنیتی "ای ست" که یکی از تأییدیه ها را پیدا کرده بود در وبلاگ خود نوشت: "چنین عملیات های حرفه ای به ندرت دیده می شود. این نشان می دهد که [مهاجم ها] به منابعی بسیار بزرگ دست رسی داشته اند."

* حمله "استاکس نت" به سیستم کنترل صنعتی "استپ 7" ساخت شرکت "زیمنس"

البته "استاکس نت" از لحاظ های دیگر، بسیار معمولی و در اهداف خود قانع به نظر می رسید. متخصصین تشخیص دادند که قرار بوده است این ویروس، نرم افزار "سیماتیک وین سی سی استپ 7" را مورد هدف قرار دهد؛ یک سیستم کنترل صنعتی که توسط شرکت "زیمنس" آلمان ساخته شده است و از آن برای کنترل موتورها، شیر فلکه ها و سوئیچ ها در کارخانه های تولید مواد غذایی و خطوط مونتاژ اتومبیل تا لوله های گاز و تأسیسات پاک سازی آب استفاده می شود.

* به نظر می رسید "استاکس نت" تنها اهداف جاسوسی داشته باشد

هر چند این ویروس در نوع خود جدید بود (سیستم های کنترلی به طور معمول هدف حمله هکرها قرار نمی گیرند؛ زیرا هیچ سود واضح اقتصادی در هک کردن این سیستم ها وجود ندارد)؛ اما آن چه "استاکس نت" با سیستم های "سیماتیک" انجام داد، جدید نبود. به نظر می رسید که این ویروس تنها تنظیمات و اطلاعات طراحی را از این سیستم ها می دزدد تا به این ترتیب یکی از رقبای این شرکت بتواند از طراحی محصولات آن کپی برداری کند. "استاکس نت" مانند یکی دیگر از موارد جاسوسی صنعتی بود. شرکت های آنتی ویروس الگوی نسخه های مختلف این ویروس را به دیتابیس شناسایی خود اضافه کردند و اغلب آنان به ویروس های دیگر پرداختند. داستان "استاکس نت" می توانست همین جا به پایان برسد؛ اما تعداد کمی از محققان هنوز مایل نبودند تا جریان این ویروس را رها کنند.

* بررسی شرکت "سیمانتک" در مورد نمونه "استاکس نت"

محققان در دفترهای شرکت "سیمانتک" در اروپا و آمریکا در میان افرادی بودندکه در ماه ژوئیه کد ویروس را گرفتند و الگوهایی را برای مشترکان طراحی کردند. اما پس از این کار، ویروس به دست "لیام او مورچو" از کارکنان دفتر این شرکت در شهر "کالور" ایالت "کالیفرنیا"، رسید.

* مدیر "پاسخ های امنیتی سیمانتک" تشخیص داد که "استاکس نت" باید مورد بررسی عمیق تری قرار گیرد

"او مورچو" مرد 33 ساله ایرلندی و اسنوبردبازی است که لهجه ای آهنگین دارد و موهای قهوه ای جلوی صورتش مانند لبه های زمین اسکیت به شکل عمودی ایستاده است. او که مدیر عملیات های "پاسخ امنیتی سیمانتک" است وظیفه دارد تا تهدیدهای مهم امنیتی را بررسی و معین کند که آیا نیاز به تحلیل عمقی دارند یا خیر.

اغلب ویروس هایی که شرکت "سیمانتک" با آن ها سر و کار دارد، گونه هایی از ویروس های قبلی هستند که مقابله با آن ها دشوار نیست در بین بیش از 1 میلیون فایل ویروس که "سیمانتک" و دیگر شرکت های آنتی ویروس به طور ماهیانه دریافت می کنند، اکثر آن ها نسخه های دیگر ویروس ها و کرم هایی هستند که قبلاً شناسایی شده اند. این فایل ها به طور خودکار و بدون دخالت انسان پردازش می شوند. الگوریتم های این شرکت ها در فایل های آلوده به دنبال رشته های داده می گردند که ماهیت ویروس را معین می کنند، سپس الگوهایی را تولید و به برنامه های اسکن کننده در رایانه های مشترکین خود ارسال می کنند.

* ویروس های که از حفره صفر استفاده می کنند باید توسط انسان بررسی شوند

"استاکس نت" از حفره "روز صفر" استفاده می کرد و باید توسط انسان مورد مطالعه قرار می گرفت با این حال، ویروس هایی که از حفره های "روز صفر" استفاده می کنند، خاص هستند و به وسیله انسان بررسی می شوند. "او مورچو" ویروس "استاکس نت" را به یکی از مهندسینی داد که در زمینه "روز صفر" هیچ تجربه ای نداشت؛ وی تصور می کرد که "استاکس نت" برای آموزش دادن به این مهندس فرصت خوبی است. اما زمانی که خود او نیز به طور همزمان به بررسی کد این ویروس پرداخت، متوجه شد که این کد از آن چه او فکر می کرد بسیار پیچیده تر است.