O que é o Stuxnet?
O Stuxnet é um worm de computador originalmente destinado às instalações nucleares do Irã. Desde então, sofreu mutações e se espalhou para outras instalações industriais e de produção de energia. The original Stuxnet malware attack targeted the programmable logic controllers (PLCs) used to automate machine processes. Ele capturou a atenção da mídia depois de ser descoberto em 2010 por ter sido o primeiro vírus conhecido capaz de incapacitar hardware e porque parecia ter sido criado pela Agência de Segurança Nacional dos EUA, pela CIA e pela inteligência israelense.
O que o worm Stuxnet fez?
O Stuxnet supostamente destruiu várias centrífugas na instalação de enriquecimento de urânio de Natanz, no Irã, fazendo com que elas queimassem. Com o tempo, outros grupos modificaram o vírus para visar instalações como estações de tratamento de água, usinas de energia e linhas de gás.
O Stuxnet era um worm de várias partes que viajava em pendrives e se espalhava por computadores com o Microsoft Windows. O vírus vasculhava cada PC infectado em busca de sinais do software Siemens Step 7, que os computadores industriais atuando como CLPs usam para automatizar e monitorar equipamentos eletromecânicos. Depois de encontrar um computador CLP, o ataque de malware atualizava seu código pela internet e começava a enviar instruções indutoras de danos ao equipamento eletromecânico controlado pelo PC. Ao mesmo tempo, o vírus enviava feedback falso para o controlador principal. Quem monitorasse o equipamento não teria indícios do problema até que o equipamento começasse a se autodestruir.
O legado do Stuxnet
Embora os fabricantes do Stuxnet supostamente o tenham programado para expirar em junho de 2012, e a Siemens tenha emitido correções para seu software CLP, o legado do Stuxnet continua vivo em outros ataques de malware baseados no código original. Esses “filhos do Stuxnet” incluem:
- Duqu (2011). Baseado no código do Stuxnet, o Duqu foi projetado para registrar pressionamentos de teclas e extrair dados de instalações industriais, presumivelmente para lançar um ataque posterior.
- Flame (2012). O Flame, assim como o Stuxnet, viajava via pendrive. O Flame era um spyware sofisticado que gravava conversas do Skype, registrava pressionamentos de teclas e coletava capturas de tela, entre outras atividades. Ele tinha como alvo organizações governamentais e educacionais e alguns indivíduos, principalmente no Irã e em outros países do Oriente Médio.
- Havex (2013). A intenção do Havex era reunir informações de empresas de energia, aviação, defesa, farmacêutica e outras. O malware Havex teve como alvo principalmente organizações dos EUA, da Europa e do Canadá.
- Industroyer (2016). Esse visava instalações de energia. Ele é creditado como responsável por causar uma queda de energia na Ucrânia em dezembro de 2016.
- Triton (2017). Esse teve como alvo os sistemas de segurança de uma usina petroquímica no Oriente Médio, levantando preocupações sobre a intenção dos criadores do malware de causar danos físicos aos trabalhadores.
- Mais recente (2018). Um vírus não identificado com características do Stuxnet teria atingido uma infraestrutura de rede não especificada no Irã em outubro de 2018.
Embora os usuários comuns de computador tenham poucos motivos para se preocupar com esses ataques de malware baseados no Stuxnet, eles são claramente uma grande ameaça para uma série de indústrias críticas, incluindo as de produção de energia, redes elétricas e defesa. Embora a extorsão seja um objetivo comum dos criadores de vírus, a família de vírus Stuxnet parece mais interessada em atacar a infraestrutura.
Como proteger redes industriais contra ataques de malware
Boas práticas de segurança de TI são sempre úteis na prevenção de ataques de malware. Essas práticas incluem patches e atualizações regulares, senhas fortes, gerenciamento de senhas e software de identificação e autenticação. Duas práticas importantes que podem ter ajudado a proteger contra o Stuxnet são a varredura de vírus (ou banimento) de todos os pendrives e outras mídias portáteis; e o software de segurança de terminais para interceptar malware antes que ele possa viajar pela rede. Outras práticas para proteger redes industriais contra ataques incluem:
- Separar as redes industriais das redes comerciais gerais com firewalls e uma zona desmilitarizada (DMZ)
- Monitorar de perto máquinas que automatizam processos industriais
- Usar listas brancas de aplicativos
- Monitorar e registrar todas as atividades na rede
- Implementar forte segurança física para acesso a redes industriais, incluindo leitores de cartão e câmeras de vigilância
Finalmente, as organizações devem desenvolver um plano de resposta a incidentes para reagir rapidamente a problemas e restaurar sistemas rapidamente. Train employees using simulated events and create a culture of security awareness.