http://www.securitylab.ru/news/397976.php
Немецкий эксперт по киберзащите промышленных систем Ральф Лангнер выяснил, что червь Stuxnet был создан с намерением поразить конкретную цель. Лангнер предполагает, что этой целью является атомная электростанция в Бушере (Иран).

Напомним, что Stuxnet был обнаружен специалистами белорусской компании "ВирусБлокАда". Очень быстро стало понятно, что на этот раз антивирусники столкнулись с исключительно хитроумной вредоносной программой, явно созданной профессионалами.

Так, червь распространялся через флеш-накопители при помощи неизвестной ранее уязвимости Windows и, к тому же, был подписан легальной цифровой подписью известной компании (а именно, Realtek). Выяснилось также, что, несмотря на столь эффективные возможности для распространения, Stuxnet интересуется исключительно системами контроля производственными процессами (SCADA), которые работают под управлением SIMATIC WinCC корпорации Siemens.

Более пристальное изучение червя антивирусными специалистами выявило, что вредонос содержит ещё несколько эксплойтов, в том числе для так называемых уязвимостей нулевого дня. Эти уязвимости, использующиеся червём для распространения по локальным сетям, были обнаружены специалистами "Лаборатории Касперского", а также, независимо от них, экспертами Symantec. Одну из них в Microsoft уже успели устранить, выпустив соответствующую "заплатку" в начале этого месяца.

Казалось бы, все эти свойства Stuxnet свидетельствуют в пользу гипотезы о том, что речь идёт о промышленном шпионаже. Однако Лангнер недавно обнаружил в коде червя ещё один весьма примечательный фрагмент. Оказалось, что Stuxnet на самом деле интересуется не всеми подряд системами SIMATIC WinCC, а лишь той, что настроена на работу с определённым программируемым логическим контроллером (ПЛК). При обнаружении именно этого "железа" червь внедряет в него особый код.

Таким образом, очень дорогостоящий червь распространяется по многочисленным компьютерам мира с единственным намерением — найти одну конкретную цель. Очевидно, что для атакующих эта цель имеет особую важность. Очевидно и то, что с атакой долго тянуть нельзя, ведь рано или поздно червь будет обнаружен и исследован.

В связи этим Лангнер предположил, что червь уже, скорее всего, достиг цели. И высказал гипотезу, что этой целью является Бушерская АЭС в Иране. Хотя долгожданный запуск этой станции официально состоялся 21 августа, работу она так и не начала. Вскоре появились признания со стороны высокопоставленных иранских чиновников о том, что к АЭС до сих пор свозится топливо, и задержка вызвана якобы жаркими погодными условиями.

В поддержку гипотезы Лангнера говорят также несколько косвенных фактов, а именно: широкое распространение Stuxnet в Иране и близлежащих странах и игнорирование иранскими атомщиками вопросов киберзащиты. Для иллюстрации второго факта Лангнер приводит скриншот с просроченным WinCC на Бушерской АЭС, а также даёт ссылку на одну из заражённых страничек сайта российского "Атомстройэкспорта", занимавшегося постройкой реактора.

http://www.securitylab.ru/news/398046.php

Eset: Истинные цели червя Stuxnet до сих пор неясны

Компания ESET представила аналитический отчет "Stuxnet Under the Microscope". В исследовании рассмотрены технические особенности внутреннего устройства червя Win32/Stuxnet, характер его распространения, а также цели, преследуемые создателями вредоносной программы.

Червь Win32/Stuxnet был обнаружен специалистами ESET в начале июля 2010 года. В отличие от большинства вредоносных программ, которые ежедневно появляются в сети Интернет и нацелены на широкий спектр компьютеров, Win32/Stuxnet рассчитан на узкий круг корпоративных систем. Задача данного червя состоит во внедрении вредоносного функционала в промышленные информационные системы класса SCADA.

"Мы впервые столкнулись со столь хорошо спроектированной и продуманной до мелочей вредоносной программой, – говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства ESET. – Каждый нюанс работы Win32/Stuxnet преследует определенную цель. Червь располагает механизмами контроля количества заражений и самоликвидации. Атаки с использованием столь сложного ПО готовятся очень длительное время. Без всякого сомнения, Win32/Stuxnet имеет целевую направленность".

Win32/Stuxnet разработан группой высококвалифицированных специалистов, которые хорошо ориентируются в слабых местах современных средств информационной безопасности. Червь сделан таким образом, чтобы оставаться незамеченным как можно дольше. В качестве механизмов распространения вредоносная программа использует несколько серьезных уязвимостей с возможностью удаленного выполнения кода, некоторые из которых остаются незакрытыми и сегодня. Стоимость таких уязвимостей на черным рынке может достигать 10 тысяч евро за каждую. А цена уязвимости в обработке LNK/PIF-файлов (MS10-046), позволяющей червю распространяться через внешние носители, еще выше.

Некоторые компоненты Win32/Stuxnet были подписаны легальными цифровыми сертификатами компаний JMicron и Realtek. В результате, вплоть до отзыва сертификатов вредоносное ПО было способно обходить большое количество реализаций технологии защиты от внешних воздействий HIPS (Host Intrusion Prevention System).

"Одной из главных трудностей в процессе анализа стал большой объем кода, – говорит Евгений Родионов, старший специалист по анализу сложных угроз российского представительства ESET. – Только изучив устройство каждого из многочисленных компонентов червя, складывается целостная картина и понимание его возможностей. Наиболее интересной частью работы стало обнаружение незакрытых Microsoft уязвимостей, которые использовались червем в процессе заражения для локального повышения привилегий".

Также, на сайте Siemens http://automation-drives.ru/forum/viewtopic.php?t=14274
Способ лечения тут: http://support.automation.siemens.com/WW/llisapi.dll?func=cslib.csinfo&l...
Технические подробности в блоге главного антивирусного эксперта «Лаборатории Касперского» Александра Гостева http://www.securelist.com/ru/blog/34355/Mirt_i_guava_Epizod_MS10_061