Che cos'è Stuxnet?
Stuxnet è un worm informatico originariamente mirato agli impianti nucleari iraniani. Da allora è mutato e si è diffuso ad altri impianti industriali e di produzione energetica. The original Stuxnet malware attack targeted the programmable logic controllers (PLCs) used to automate machine processes. Dopo la sua scoperta nel 2010, generò notevole attenzione da parte dei media perché era il primo virus noto in grado di paralizzare l'hardware e perché apparentemente era stato creato dall'Agenzia per la Sicurezza Nazionale degli Stati Uniti, dalla CIA e dai servizi segreti israeliani.
Cosa fece il worm Stuxnet?
Secondo quanto riferito, Stuxnet bruciò numerose centrifughe nell'impianto di arricchimento dell'uranio di Natanz, in Iran, causandone la distruzione. Nel corso del tempo altri gruppi hanno modificato il virus per colpire strutture come impianti di trattamento delle acque, centrali elettriche e gasdotti.
Stuxnet era un worm in più parti che viaggiava sulle chiavette USB e si diffondeva attraverso i computer Microsoft Windows. Il virus cercava in ogni PC infettato i segni del software Siemens Step 7, utilizzato dai computer industriali che fungono da PLC per automatizzare e monitorare le apparecchiature elettromeccaniche. Dopo aver trovato un computer PLC, il malware aggiornava il proprio codice tramite Internet e iniziava a inviare istruzioni dannose alle apparecchiature elettromeccaniche controllate dal computer stesso. Contemporaneamente il virus inviava un falso segnale al controllore principale. Chiunque stesse monitorando l'apparecchiatura non avrebbe avuto alcuna indicazione di un problema fino a quando l'apparecchiatura non avesse iniziato ad autodistruggersi.
L'eredità di Stuxnet
Sebbene i creatori di Stuxnet ne avessero programmato la scadenza a giugno 2012 e Siemens abbia rilasciato delle correzioni per il suo software PLC, l'eredità di Stuxnet sopravvive in altri attacchi di malware basati sul codice originale. I "figli di Stuxnet" includono:
- Duqu (2011). Basato sul codice di Stuxnet, Duqu è stato concepito per registrare le battute sulla tastiera ed estrarre i dati da strutture industriali, presumibilmente per lanciare un attacco successivo.
- Flame (2012). Flame, come Stuxnet, viaggiava tramite le chiavette USB. Flame era un sofisticato spyware che registrava le conversazioni su Skype, le battute sulla tastiera e le schermate, fra le altre attività. Prendeva di mira organizzazioni governative ed educative e alcuni individui privati, principalmente in Iran e in altri paesi del Medio Oriente.
- Havex (2013). L'intenzione di Havex era quella di raccogliere informazioni da aziende energetiche, aeronautiche, della difesa e farmaceutiche, tra le altre. Il malware Havex ha preso di mira principalmente organizzazioni statunitensi, europee e canadesi.
- Industroyer (2016). Prendeva di mira gli impianti energetici. Gli è stata attribuita l'interruzione di corrente in Ucraina del dicembre 2016.
- Triton (2017). Ha colpito i sistemi di sicurezza di un impianto petrolchimico in Medio Oriente, sollevando il dubbio che gli autori del malware volessero causare infortuni ai lavoratori.
- Il più recente (2018). Un virus senza nome con le caratteristiche di Stuxnet avrebbe colpito in Iran un'infrastruttura di rete non specificata nell'ottobre 2018.
Sebbene i normali utenti di computer abbiano pochi motivi per preoccuparsi di questi attacchi malware basati su Stuxnet, essi rappresentano chiaramente una grave minaccia per una serie di settori essenziali, tra cui la produzione energetica, le reti elettriche e la difesa. Benché l'estorsione sia un obiettivo comune dei creatori di virus, la famiglia di Stuxnet sembra essere più interessata ad attaccare le infrastrutture.
Come proteggere le reti industriali dagli attacchi del malware
Le buone pratiche di sicurezza IT sono sempre utili per prevenire gli attacchi del malware: patch e aggiornamenti regolari, password sicure e gestite, software di identificazione e autenticazione. Due pratiche importanti che avrebbero contribuito a proteggersi da Stuxnet sono: la scansione antivirus (o il divieto) di tutte le chiavette USB e altri supporti portatili; un software di sicurezza degli endpoint per intercettare il malware prima che potesse viaggiare sulla rete. Altre pratiche per proteggere le reti industriali dagli attacchi includono quanto segue:
- Separare le reti industriali dalle reti aziendali generiche con firewall e una zona demilitarizzata (DMZ)
- Monitorare da vicino i computer che automatizzano i processi industriali
- Usare una whitelist delle applicazioni
- Monitorare e registrare tutte le attività sulla rete
- Mettere in atto una solida sicurezza fisica per l'accesso alle reti industriali, inclusi i lettori di schede e le telecamere di sorveglianza.
Infine, le organizzazioni dovrebbero sviluppare un piano di risposta agli eventi per reagire rapidamente ai problemi e ripristinare velocemente i sistemi, Train employees using simulated events and create a culture of security awareness.