Dünyanın ilk endüstüriyel sistemlere saldıran virüsü ve dünyanın ilk plc rootkitidir. Amerika ve İsrail’in ortak projesi olan bu virüs’ün geliştirilmesinin 5 yıllık bir süreyi kapladığı iddia edilmektedir. Geliştirilmeye başlandığında geliştirici dahi projenin amacını bilmiyorlardı. Bu virüsün diğer virüslerden en büyük farkı fiziksel zarar verebiliyor. Bulaştığı tesisteki pompaları patlatabiliyor. Virüsün isminin duyulduğu olay ise İran Natanz ve Buşehr nükleer santralinde meydana gelen saldırıdır. Bu virüsün bulaşması bir usb sayesinde gerçekleşiyor. Saldırı sonrasında selden gelen sular nükleer santral’in soğutma sistemini devre dışı bıraktı ve soğutulamayan reaktör aşırı derecede ısındı ve patladı. Ünlü olayan kısa özeti budur.
PLC (Programmable Logic Controoler – Programlanabilir Mantıksal Denetleyici) Nedir?
Aslında elektronik tüm sistemler plc ler tarıfından kontrol ediliyor. Programlanabilir küçük yongalardır. Bilgisayarlardan daha basittirler. Örneğin çamaşır makinesinin, bulaşık makinesinin progrramlanabilir işlemlerini bu cihaz yürütür yada Natanz nükleer tesisinteki pompaların ısı belli bir seviyeye çıkınca soğutmasını bu programlanabilir yongalar ayarlıyor. Bir örnek daha verecek olursak trafik lambalarının içlerindede bunlardan bulunur. Zaman ayarlı programlanır ve işleyişe koyulurlar. Konu ile ilgili en basit anlatımını size sunmaya çalıştım:).
STUXNET öncelikle bilgisayarqa bulaşır. Bilgisayara bulaştıkdan sonra bilgisayarda Siemens’in step7 yazılımını ararıyor. Step7 yazılımı scada dediğimiz plc leri tümden kontrol eden bir ana sistemdir. Ana sisteme girer ve step7 yazılımını çökertir. Daha sonra su pompaları gibi sistemleri normal çalışma frekanslarının daha üzerine çıkartarak patlatıyor. Yani su pompaları hızlanarak patkayana kadar devam ediyor.
STUXNET virüsünün tespit edilmesi ise bilgisayarına virüs bulaşan mühendis evine gittiğinde bu bilgisayarı internete bağlıyor. İnternete bağlanan cihazdaki STUXNET virüsü geliştiricileri tarafından güncelleniyor ve buda virüste bir buga neden oluyor. Bununla birlikte virüsün “Virüs Bloack Ada” isimli Belaruslu (Beyaz Rusya) bir güvenlik şirketi tespit ediyor. Daha sonra Kaspersky ve Symantec virüsün isimlendirmesi konusunda çaba gösteriyorlar. Sonunda Symantec bu yeni ve tarihte önemli bir nokta oluşturan virüse STUXNET ismi veriyor. STUXNET ismi’de virüsün içerisindeki hem kullanılan bazlı kelimelerden hemde virüsün kullandığı bir sürücüden geliyor.
Burdaki ilginç olaylardan bir tanesininde sahibi Siemens oluyor. Haliyle Siemens cihazı hacklendiği için gözler Siemens’e çevriliyor fakat Siemens’in açıklaması hepimizi güldürüyor. Siemens hiçbir müşterisinin hacklenmediği şeklinde açıklama veriyor. Yani İran Siemens müşterisi değilse İrans bu cihazları el altından kimden ve nasıl ele geçirdi sorusu geliryor. İran’ın ambargo sebebiyle bu cihazlara erişmek için belli zaafiyetlere göz yummuş olabileceğini öğrenmiş oluyoruz. Daha sonra Siemens virüsün 22 müşterisine bulaştığını ve bu virüsü tüm yongalardan temizlediklerini, temizlerkende dikkatli olunmasını, temizleme işleminde yongaların zarar görebileceğini açıklıyorlar.
StuxNet’in belirlenememesinin en büyük nedenlerinden birisi tamamen yasal bir program gibi geliştirilmiş olmasıdır. StuxNet standart virüsler gibi kb ler sevisinde değildi. StuxNet, virüslerin sahip olduğu özelliklere de sahip değildi. Bunlardan ilk başta gelen özellik ise StuxNet’in kullanıldığı sürücülerin tamamen yasal bir şekilde imzalanmış olmasıydı. Bunun anlamı kullanıcıya hiçbir popup çıkarmadan ve hiçbir izin istemeden bilgisayra kurulabilmesidir. İmzalar ise Realteck ve Jemicron’dan çalınmıştır. Tayvand’a bağlı bu firmalardan sürücüler çalınmıştır.
İşin en keyifli yerine gelirsek:) virüs ortaya çıktığı zaman dünyanın farklı yerlerindeki bilgisayarlardan iki tane endistrüyel güvenlik konusunda mailing yapan sunucuya saldırı başlıyor. Bu sunuculara yapılan DDOS saldırısı sonucunda bir sunuculardan bir tanesi çökertiliyor. Virüsler hakkında kullanıcıları bilgilendiren bu sunucuların çökmesiyle StuxNet ile ilgili olası bilgi paylaşımınında önüne geçilmiş olunuyor. Virüsün boyutu ise ise 500kb civarında. Virüs olamayacak kadar büyük. Daha sonra virüsü güncelleyen sunucular ise malezyada ve danımarkada olduğu tespit ediliyor.
StuxNet ile ilgili en önemli bir diğer konu ise içerisinde dört adet birden zeroday açığını birden barındırıyor olmasıdır.
