Stuxnet es un gusano informático que se dirige a los tipos de sistemas de control industrial (ICS) que se usan comúnmente en las instalaciones de soporte de infraestructura (es decir, centrales eléctricas, instalaciones de tratamiento de agua, líneas de gas, etc.).
A menudo se dice que el gusano se descubrió por primera vez en 2009 o 2010, pero en realidad se descubrió que había atacado el programa nuclear de Irán en 2007. En aquellos días, Stuxnet se encontraba principalmente en Irán, Indonesia y la India, lo que representa más del 85%. De todas las infecciones.
Desde entonces, el gusano ha afectado a miles de computadoras en muchos países, incluso arruinando completamente algunas máquinas y eliminando una gran parte de las centrífugas nucleares de Irán.
¿Qué hace Stuxnet?
Stuxnet está diseñado para alterar los controladores lógicos programables (PLC) utilizados en esas instalaciones. En un entorno de ICS, los PLC automatizan tareas de tipo industrial, como regular el caudal para mantener los controles de presión y temperatura.
Está diseñado para propagarse solo a tres computadoras, pero cada una de ellas puede propagarse a otras tres, que es la forma en que se propaga.
Otra de sus características es propagarse a dispositivos en una red local que no está conectada a Internet. Por ejemplo, se puede mover a una computadora a través de USB pero luego propagarse a otras máquinas privadas detrás del enrutador que no están configuradas para alcanzar redes externas, lo que efectivamente hace que los dispositivos de intranet se infecten entre sí.
Inicialmente, los controladores de dispositivos de Stuxnet se firmaron digitalmente ya que fueron robados de certificados legítimos que se aplicaban a los dispositivos JMicron y Realtek, lo que permitía que se instalara fácilmente sin que el usuario tuviera ninguna indicación sospechosa. Desde entonces, sin embargo, VeriSign ha revocado los certificados.
Si el virus cae en una computadora que no tiene instalado el software de Siemens correcto, seguirá siendo inútil. Esta es una diferencia importante entre este virus y otros, ya que se construyó para un propósito extremadamente específico y no "quiere" hacer nada nefasto en otras máquinas.
¿Cómo Stuxnet Reach PLCs?
Por razones de seguridad, muchos de los dispositivos de hardware utilizados en los sistemas de control industrial no están conectados a Internet (y, a menudo, ni siquiera están conectados a ninguna red local). Para contrarrestar esto, el gusano Stuxnet incorpora varios medios sofisticados de propagación con el objetivo de llegar eventualmente e infectar los archivos de proyecto de STEP 7 utilizados para programar los dispositivos PLC.
Para propósitos de propagación inicial, el gusano se dirige a las computadoras que ejecutan los sistemas operativos Windows y generalmente lo hace a través de una unidad flash. Sin embargo, el PLC en sí no es un sistema basado en Windows, sino un dispositivo patentado en lenguaje de máquina. Por lo tanto, Stuxnet simplemente atraviesa las computadoras con Windows para llegar a los sistemas que administran los PLC, sobre los cuales procesa su carga útil.
Para reprogramar el PLC, el gusano Stuxnet busca e infecta los archivos de proyecto de STEP 7, que utilizan Siemens SIMATIC WinCC, un sistema de control de supervisión y adquisición de datos (SCADA) y un sistema de interfaz hombre-máquina (HMI) que se usa para programar los PLC.
Stuxnet contiene varias rutinas para identificar el modelo de PLC específico. Esta verificación del modelo es necesaria ya que las instrucciones a nivel de la máquina variarán en diferentes dispositivos PLC. Una vez que el dispositivo de destino ha sido identificado e infectado, Stuxnet obtiene el control para interceptar todos los datos que entran o salen del PLC, incluida la capacidad de manipular esos datos.
Nombres Stuxnet va por
A continuación, se detallan algunas formas en que su programa antivirus puede identificar el gusano Stuxnet:
- F-Secure: Trojan-Dropper: W32 / Stuxnet
- Kaspersky: Rootkit.Win32.Stuxnet.b o Rootkit.Win32.Stuxnet.a
- McAfee: Stuxnet
- normando: W32 / Stuxnet.A
- Sofos: Troj / Stuxnet-A o W32 / Stuxnet-B
- Symantec: W32.Temphid
- Trend Micro: WORM_STUXNET.A
Stuxnet también podría tener algunos "parientes" que llevan nombres como Duqu o Flame.
Cómo quitar Stuxnet
Dado que el software de Siemens es lo que se ve comprometido cuando una computadora está infectada con Stuxnet, es importante comunicarse con ellos si se sospecha una infección.
También ejecute un análisis completo del sistema con un programa antivirus como Avast o AVG, o un escáner de virus bajo demanda como Malwarebytes.
También es necesario mantener actualizado Windows, lo que puede hacer con Windows Update.
