Stuxnet: ανακατασκευή του malware εμφανίστηκε στο GitHub

Το Stuxnet απέκτησε μια νέα, αμφιλεγόμενη παρουσία στο GitHub: ένας ανώνυμος λογαριασμός δημοσίευσε αυτό που αποκαλεί ανακατασκευή του διαβόητου malware, του worm που σαμπόταρε φυγοκεντρητές εμπλουτισμού ουρανίου στο Ιράν. Η δημοσίευση παρουσιάστηκε αρχικά μέσω του Show HN και στη συνέχεια αναπαράχθηκε από μέσα ενημέρωσης, χωρίς όμως να σημαίνει ότι διέρρευσε ο αυθεντικός κώδικας του Stuxnet.

Το README του αποθετηρίου περιγράφει τον κώδικα ως ανακατασκευή από απομεταγλωττισμένα binaries. Αυτά τα δείγματα δεν είναι καινούργια: η εταιρεία VirusBlokAda τα εντόπισε σε μηχανήματα Ιρανού πελάτη τον Ιούνιο του 2010 και έκτοτε αποτέλεσαν τη βάση για μεγάλο μέρος της δημόσιας έρευνας γύρω από το malware.

Η διάκριση έχει ιδιαίτερη σημασία. Ο αρχικός πηγαίος κώδικας, όπως γράφτηκε από τους δημιουργούς του, δεν έχει δημοσιευτεί ποτέ. Οι αναλύσεις της Symantec, συμπεριλαμβανομένου του W32.Stuxnet Dossier, και η έρευνα του Ralph Langner βασίστηκαν στα διαθέσιμα δείγματα και στη συμπεριφορά τους σε περιβάλλοντα δοκιμών, όχι σε κάποια μεταγενέστερη διαρροή του πρωτοτύπου.

Διαβάστε επίσης: Πώς οι AI εξαπατώνται μέσω «καθαρών» GitHub αποθετηρίων.

Το Stuxnet παραμένει ξεχωριστή περίπτωση στην ιστορία του κακόβουλου λογισμικού, επειδή θεωρείται ευρέως το πρώτο software που προκάλεσε πραγματική φυσική καταστροφή. Η επίθεση φέρεται να έθεσε εκτός λειτουργίας περίπου το ένα πέμπτο των ιρανικών φυγοκεντρητών πριν εντοπιστεί, δείχνοντας ότι ένα malware μπορεί να πλήξει εξοπλισμό και υποδομές, όχι μόνο αρχεία ή λογαριασμούς.

Η συγκεκριμένη ανακατασκευή δεν είναι, πάντως, η πρώτη προσπάθεια δημοσίευσης αναγνώσιμου κώδικα C με στόχο την αναπαραγωγή τμημάτων του Stuxnet. Ο Amr Thabet είχε δημοσιεύσει decompilation του rootkit MRxNet με σημείωση copyright από το 2010 έως το 2011, ενώ ο Christian Roggia ακολούθησε με το decompilation του dropper open-myrtus, που έφερε copyright από το 2012 έως το 2014 και στη συνέχεια διακλαδώθηκε σε σειρά αποθετηρίων.

Ένα από τα στοιχεία που τροφοδοτούν την αμφισβήτηση είναι η ίδια η ονομασία. Το Stuxnet δεν ήταν πιθανότατα το όνομα που χρησιμοποιούσαν οι δημιουργοί του· η Symantec το υιοθέτησε αργότερα, έχοντας προηγουμένως χρησιμοποιήσει την ταυτότητα W32.Temphid. Αν μια υποτιθέμενη πιστή αναπαραγωγή περιλαμβάνει τη λέξη «Stuxnet» σε registry keys και άλλα σημεία του κώδικα, αυτό δημιουργεί ένα εύλογο ερώτημα για το πόσο αυθεντική είναι.

Οι αντιδράσεις στην αρχική συζήτηση είναι επίσης διχασμένες. Αρκετοί προγραμματιστές χαρακτήρισαν το υλικό «AI slop» ή fake, υποστηρίζοντας ότι συνδυάζει ήδη διαθέσιμα repositories. Το ίδιο το GitHub repo αναφέρει ότι δημιουργήθηκε για εκπαιδευτικούς σκοπούς και ότι έχει σχεδιαστεί να λειτουργεί μόνο σε Windows XP και Windows 7, χωρίς αυτό να επιβεβαιώνει την πιστότητα ή την ασφάλειά του.

Το πρακτικό ρίσκο δεν πρέπει να υποτιμηθεί. Το Stuxnet σχεδιάστηκε για να επηρεάζει φυσικό εξοπλισμό, οπότε οποιαδήποτε δοκιμή ενός αμφίβολου αντιγράφου σε πραγματικό μηχάνημα θα ήταν ιδιαίτερα κακή ιδέα. Ακόμη και σε ερευνητικό πλαίσιο, η απομόνωση σε εικονική μηχανή είναι η προφανής προφύλαξη, αν και δεν μετατρέπει αυτομάτως άγνωστο κώδικα σε ασφαλές δείγμα. Το πιο ενδιαφέρον στοιχείο της υπόθεσης δεν είναι ότι βρέθηκε ξαφνικά ο κώδικας που έγραψε η ομάδα πίσω από το Stuxnet. Είναι ότι παλιότερα δείγματα, δημόσιες αποσυμπιλήσεις και εργαλεία τεχνητής νοημοσύνης μπορούν πλέον να συνδυαστούν σε ένα αποθετήριο που μοιάζει πειστικό πριν αξιολογηθεί από ειδικούς. Μέχρι να υπάρξει ανεξάρτητη ανάλυση και δοκιμή, το υλικό του GitHub πρέπει να αντιμετωπίζεται ως μη επαληθευμένη ανακατασκευή και όχι ως αυθεντική διαρροή. Η πιο συγκεκριμένη επιβεβαιωμένη πληροφορία παραμένει ότι ο πραγματικός πηγαίος κώδικας του Stuxnet δεν έχει δημοσιευτεί.

Η σύνταξη του άρθρου υποστηρίχθηκε από εργαλεία AI και το περιεχόμενο ελέγχθηκε σύμφωνα με τη συντακτική πολιτική του TechitNews.