Siber güvenlik dünyasının önemli kilometre taşlarından biri olan ve ilk kez fiziksel hasara yol açtığı bilinen Stuxnet zararlısının kaynak kodu, gizemli bir güvenlik araştırmacısı tarafından tersine mühendislikle çözülerek GitHub'da yayınlandı. Bu gelişme, teknoloji ve siber güvenlik meraklıları arasında büyük yankı uyandırdı.
2010'ların başlarında dünya gündemine oturan Stuxnet, özellikle İran'ın nükleer tesislerini hedef almasıyla tanınıyordu. Zararlı yazılımın, endüstriyel kontrol sistemlerini manipüle ederek fiziksel hasara neden olduğu ilk dijital solucan olarak kayıtlara geçti. Bilinmeyen bir güvenlik araştırmacısı, bu karmaşık zararlının tüm sırlarını ortaya çıkararak kaynak kodunu kamuoyuyla paylaştı.
Stuxnet'in asıl hedefinin, İran'ın Natanz nükleer zenginleştirme tesislerinde kullanıldığı iddia edilen Siemens marka endüstriyel kontrolcüler olduğu düşünülüyor. Zararlı, hedef tesise ulaştığında, endüstriyel santrifüjlerin frekans dönüştürücülerini ustaca manipüle ederek rotorlara zarar veriyor, aynı zamanda tesis personelini normal çalışma raporlarıyla aldatıyordu.
GitHub'da yayınlanan kaynak kodu deposu, ilgilenen teknoloji meraklılarının Stuxnet'in çalışma prensiplerini detaylı bir şekilde inceleyebilmeleri için derleme talimatlarını da içeriyor. Bu incelemeler için Windows XP veya Windows 7 sanal makine kullanılması ve güvenlik nedeniyle herhangi bir ağ bağlantısının yapılandırılmaması öneriliyor. Zararlının yayılma mekanizmalarının yanı sıra, yükünün tam etkilerini görmek için ilgili Siemens yazılımına ve hatta ideal olarak donanımına erişim gerekebileceği belirtiliyor. Ancak endüstriyel ölçekli santrifüjlere erişimin sıradan teknoloji meraklıları için pek mümkün olmadığı da ekleniyor.
Stuxnet'in o dönemdeki yayılma yöntemleri oldukça karmaşıktı. Birincil enfeksiyon vektörü, Windows kısayolları ve autorun.inf dosyaları içeren USB belleklerdi. Bu bellekler takıldığında, sürücünün içeriği görüntülenmesi bile, sıfır gün (zero-day) bir zafiyet sayesinde anında enfeksiyona neden olabiliyordu.
Daha sonra enfekte olan sistemler, bir yazıcı paylaşan herhangi bir makineye sistem dosyaları yazılmasını sağlayan sıfır gün bir Windows Baskı Biriktiricisi (Print Spooler) zafiyeti aracılığıyla ağ üzerinden zararlıyı daha da yaymaya çalışıyordu. Ayrıca erişilebilir ağ paylaşımlarına kendini kopyalıyordu. Windows sürücü imza denetimlerinden kaçmak için Stuxnet, Realtek ve JMicron'dan çalınan iki dijital sertifika kullanıyordu.
Zararlı, Siemens yazılımlarına WinCC SQL Server veritabanı aracılığıyla enjekte oluyor ve mühendislerin açtığında otomatik olarak çalışan Step 7 proje dosyalarına kodunu gömüyordu. Bu dosyaların birden fazla mühendisle paylaşılması muhtemel olduğu için, bu yöntem ağ paylaşım kontrolüne ihtiyaç duymayan mükemmel bir iç enfeksiyon vektörü oluşturuyordu.
Son adım olarak ise, gerçek santrifüjlerle iletişim kuran DLL'yi devralarak, bu makinelerin programlanabilir mantık denetleyicilerine (PLC) zararlı kodu enjekte ederek rotorlarla gizlice oynamayı başardı.
Stuxnet, ABD ve İsrail arasındaki, İran'ın nükleer silah geliştirme ilerlemesini yavaşlatmayı amaçlayan iddia edilen koordineli bir çaba olan "Operation Olympic Games" (Olimpiyat Oyunları Operasyonu) kapsamında yer alıyordu. Bu girişim, hem Bush hem de Obama yönetimleri döneminde yürütülmüş ve İsrail'in İran'a yönelik kendi önleyici saldırısını caydırma yolu olarak görülüyordu. Yazılımın Pentagon ve İsrail'in 8200. Birimi tarafından geliştirildiği ve Natanz tesisindeki santrifüjlerin yaklaşık %10'unu ciddi şekilde zarar vererek devre dışı bıraktığı rapor edildi.
Ancak zararlı, bulunduğu ortamı yeterince kontrol etmemesi ve yerel ağ ortamından çıktığını fark etmemesi gibi ciddi bir hataya sahipti. Mühendisler dizüstü bilgisayarlarını eve götürdüklerinde, zararlı geniş internet ortamına yayıldı. Bu durum, dünya genelindeki güvenlik araştırmacılarının dikkatini çekerek kapsamlı bir soruşturmayı başlattı. Neyse ki, zararlının 24 Haziran 2012 için belirlenmiş, koduna gömülü bir kendini imha tarihi vardı.
