Възстановиха кода на Stuxnet и го качиха в GitHub

Изследовател, известен в GitHub с потребителското име Sadpainy, публикува това, което представя като реконструиран изходен код на Stuxnet — прочутото кибероръжие, което през 2010 г. саботира иранската програма за обогатяване на уран и остана в историята като първия зловреден софтуер, причинил реално физическо разрушение. Хранилището се появи в началото на седмицата, беше обсъдено в Hacker News и предизвика едновременно възхищение и сериозен скептицизъм, пише Tom’s Hardware.

Какво съдържа хранилището

Авторът описва проекта като „строго образователна и изследователска реконструкция” на червея, сглобена от години reverse engineering върху оригиналните binary файлове, открити през 2010 г. Кодът е на C и assembly, компилира се с Visual Studio и Windows Driver Kit, и според описанието работи само на Windows XP и Windows 7.

Модулите повтарят познатата от анализите архитектура на Stuxnet:

• loader/dropper (winsta.exe) и компоненти за повишаване на привилегиите;
• hook библиотеки — s7otbxdx.dll прихваща комуникацията с PLC контролерите, а втора библиотека се закача за инженерния софтуер Step 7;
• rootkit драйвери в режим на ядрото (mrxcls.sys, mrxnet.sys), които скриват файловете и мрежовата активност чрез SSDT hooking;
• атакуващият payload, който пренаписва логиката на контролера, като подменя блоковете OB1 и OB35.

README-то описва 12-степенен процес на заразяване и атака — от първоначалната инфекция през USB, през разузнаване на средата и инжектиране на DLL, до момента, в който кодът манипулира честотните преобразуватели и поврежда центрофугите. Към хранилището са приложени и PDF анализите на Symantec, а авторът изрично благодари за работата на Symantec, Kaspersky и ESET. Проектът има над 120 звезди и е под лиценз AGPLv3.

Защо Stuxnet е важен

Stuxnet не е поредният червей. Той е първият известен зловреден софтуер, проектиран да нанася физическа щета на индустриални системи за управление (ICS). Целта бяха контролерите Siemens SIMATIC S7-300 и S7-400, които управляваха центрофугите за обогатяване на уран в завода в Натанц.

Механизмът беше коварно елегантен: кодът разкарваше центрофугите през резонансни обороти, които рушат роторите, докато едновременно връщаше на операторите нормални показания на HMI екраните — така саботажът изглеждаше като случайни повреди. Според оценка на Института за наука и международна сигурност (ISIS) между ноември 2009 г. и края на януари 2010 г. атаката е повредила около 1000 центрофуги IR-1 — приблизително една десета от инсталираните в завода.

За разпространението си Stuxnet използваше четири zero-day уязвимости в Windows — рядкост, която дълго подхранваше предположенията, че зад него стоят държавни ресурси. Нито САЩ, нито Израел някога официално са поемали отговорност. Ако темата ви е интересна, книгата „Countdown to Zero Day” на Ким Зетер остава най-подробното журналистическо разследване по случая.

Автентичността под въпрос

Тук идва голямата уговорка. Мнозина в коментарите под публикацията се съмняват, че това е истинският код на Stuxnet. Единият аргумент е технически: реконструкцията съдържа буквалния низ „Stuxnet” в ключове в регистъра и на други места, докато самото име всъщност идва от комбинация на .stub и mrxnet.sys — то никога не е било явно записано в оригиналните binary файлове.

По-сериозното възражение е, че кодът е „струпан в един файл и най-вероятно не се базира на реалния зловреден софтуер”. Авторът потвърждава, че при сглобяването е ползвал големи езикови модели (LLM) — което буди подозрения, че вместо verifiable reverse engineering става дума за правдоподобно звучаща халюцинация. С други думи, най-разумно е да гледате на хранилището като на образователна възстановка по публично известните анализи, а не като на изтекъл оригинал.

Контекст

Реконструкции на Stuxnet не са новост — в GitHub от години има декомпилации и клонинги с образователна цел. Новото тук е обхватът на претенцията и вниманието, което привлече. Атаките срещу индустриалната инфраструктура остават сред най-опасните сценарии в киберсигурността, а през последните месеци видяхме и рекорден Patch Tuesday с 974 закърпени уязвимости, и критични дупки, позволяващи изпълнение на код без нито едно докосване.

Независимо дали кодът е автентичен, публикуването му е повод да си припомним колко сериозна крачка беше Stuxnet: моментът, в който софтуерът за пръв път премина от кражба на данни към физическо унищожаване на машини.