Stuxnet fue un virus informático que se descubrió en 2010 por la firma de ciberseguridad bielorrusa VirusBlokAda, pero que se sospecha que estuvo activo desde al menos 2005. Su objetivo fue sabotear las centrifugadoras Zippe de Irán para el enriquecimiento de uranio. Aunque existen fuertes indicios de que se trató de un ataque clandestino conjunto de Estados Unidos e Israel, ninguno de estos países ha admitido responsabilidades, y las evidencias sólidas parecen provenir siempre de entidades enemigas. (Un caso de «no tengo pruebas pero tampoco dudas»)

El virus parece atacar específicamente sistemas SCADA (sistemas de supervisión, control y adquisición de datos) diseñados por Siemens, concretamente el modelo PSC7 con sistemas de control WinCC. Se trata de unos sistemas empotrados basados en Windows que controlaban las centrifugadoras usadas en las instalaciones de Natanz, que estaban fuertemente armadas y plagadas de armamento antiaéreo.

Lógicamente, unas instalaciones secretas estratégicas para Irán no venían en la guía telefónica ni tenían un centro de visitantes. De hecho, estaban fuertemente custodiadas a una profundidad de 40 metros bajo tierra, protegidas por más de 7 metros de hormigón¹. Naturalmente, como en toda instalación crítica, existe una política llamada air-gap (hueco de aire), es decir, una desconexión total de cualquier red de información del exterior. ¿Cómo se ataca una instalación así?

El ataque

La información que se tiene de una potencia enemiga suele venir principalmente de fotos de satélite, de modo que, al tratarse de unas instalaciones subterráneas secretas, poco se puede conocer de los detalles de sus sistemas informáticos. Irán está bajo un embargo estadounidense de armamento y tecnología desde la revolución islámica en 1979, de modo que la única forma de adquirir estos sistemas es el contrabando. Identificados por inteligencia los sistemas objetivos, Stuxnet fue programado para este fin.

¿Pero cómo introducir un virus en un sistema físicamente desconectado? Al parecer la idea más plausible fue alguien conectase un pendrive USB. Pero uno no simplemente entra caminando en Natanz. Según Mark Clayton², el vector con más posibilidades fue la entrada y salida de contratistas rusos. También indica que pudo ser Rusia quien introdujo los sistemas de control de Siemens. Kim Zetter y Huib Modderkolk de Yahoo! News³ informaron en 2019 que el agente pudo ser un topo holandés a instancias más que probables de la inteligencia americana e israelí. Daan Goodin de Ars Technica⁴⁵en 2012 declaró que el autor habría sido un agente doble iraní.

¿Quién o quiénes?

La práctica totalidad de informes apuntan a que los autores de los ataques fueron las fuerzas de inteligencias norteamericanas e israelíes. David E. Sanger del New York Times⁶ escribió en 2012 un artículo que revelaba que el presidente Obama ordenó acelerar la iniciativa de ciber-armas iniciada por la administración de George Bush, a instancias del General James Cartwright, llamada furtivamente «Operación Juegos Olímpicos.»

En 2013 se publicó en Wbur de Boston⁷ que un exvicepresidente del Estado Mayor Conjunto (el propio Cartwright) estuvo bajo investigación por presuntamente filtrar información secreta sobre los ciberataques en el marco de la operación Juegos Olímpicos bajo la administración Obama. Fue acusado de comportamiento indebido con una asistente en 2011, pero fue finalmente exonerado. Más tarde en 2016, en otro juicio⁸, se declaró culpable de mentir al FBI en relación con las filtraciones, aunque nunca se le llegó a acusar de ser el autor de las mismas. Fue condenado, aunque recibió el perdón presidencial de Barack Obama y se le restituyó en 2017.

Por su parte, Israel fue señalado en 2012 como coautor de los ataques por el New York Times en otro artículo de Sanger⁹.  En un paper de Security and Defense¹⁰ se concluyó que «La Operación Juegos Olímpicos fue una acción cuidadosamente planificada y sofisticada de las agencias de inteligencia de Estados Unidos e Israel en el ciberespacio», y que «[e]sto fue posible gracias a la combinación de capacidades e inteligencia de Estados Unidos e Israel».

Esta fuerza conjunta, denominada Equation Group, fue la que supuestamente planeó y ejecutó el ataque, según Forbes¹¹. El grupo Kaspersky cifra que los posibles ataques podrían ascender a unos 400¹², que tras catorce años fue identificado por agentes chinos¹³. De hecho, un grupo de hackers denominado Shadow Brookers  expuso en 2016 algunas de las ciberarmas utilizadas por Equation, información que tristemente fue utilizada en el ciberataque a nivel mundial Wannacry, el destructivo ransomware que se llevó por delante al Servicio de Salud Británico, entre otros. The Telegraph en 2011 informó¹⁴ que, en un vídeo mostrado en la jubilación del general Gabi Ashkenazi se hicieron referencias a sus éxitos operativos, haciendo mención a Stuxnet. En 2012 fue Wikileaks quien dio los indicios más sólidos de la autoría del virus¹⁵, publicando emails de la contratista STRATFOR, discutiendo sobre la publicación de información en el Times.

Sobre el virus

La primera vez que fue detectado por VirusBlokAda, en Junio de 2010, fue llamado Rootkit.Tmphider. Symantec, no obstante, lo llamó inicialmente W32.Temphid, cambiándolo a W32.Stuxnet más tarde¹⁶. Esto vino de la contracción de la palabra stub (esbozo), encontrada en el código del virus, y mrxnet.sys, uno de los ficheros que creaba¹⁷. El virus, si no desata su payload (carga útil o mecanismo dañino), tiene un comportamiento poco dañino: funciona como un gusano que se transmite al menos tres veces y luego se autoelimina¹⁸. Esto permite una propagación sin que se su reacción en cadena se descontrole. Su efecto dañino requiere que se detecten ciertas condiciones muy específicas, a saber: uno o más PLC S7 de Siemens funcionando en WinCC.

Es entonces cuando entran varias variables en juego: la primera es un exploit 0day de Windows (es decir, un modo de hackeo no divulgado) que permitía infectar una máquina con sólo abrir una unidad USB. Esto desencadenaba un proceso a nivel de rootkit (un proceso que se ejecuta por encima de todos los demás), otro exploit en la base de datos del software de control y al menos tres capas importantes: Una en el propio Windows, otra que infectaría a WinCC y otra para los propios PLC. Esta complejidad es muy inusual para un virus, que suelen ser diseñados de forma de infección generalista y no tan específica. Además, es igualmente inusual la cantidad de vulnerabilidades no divulgadas que explotaban, que son un recurso altamente codiciado por los hackers que programan software pernicioso¹⁹. Todo ello además, firmado con claves robadas a dos firmas de hardware en Taiwán²⁰.

El virus detectaba dichas centrifugadoras por la velocidad angular de las mismas, una velocidad inusualmente alta para el resto de procesos industriales. Cuando su víctima ha sido detectada emplea una técnica llamada man-in-the-middle, es decir, se coloca entre las señales de control y el software, y mientras engaña al software de control para asegurarle que todo va bien, emite órdenes alteradas al dispositivo. En este caso, las centrifugadoras de Natanz, a las que hacía girar más rápido de lo normal²¹ y luego más lento, durante un breve lapso. Las vibraciones resultantes no serían percibidas, pero acabarían dañando la maquinaria.

Repercusiones

El Washington Post informó²² que, a través de las cámaras de la Agencia Internacional para la Energía Nuclear, se evidenciaron que al menos 1000 centrifugadoras fueron reemplazadas en la época en que Stuxnet estuvo activo, aunque asímismo informa que el reemplazo fue rápido y que el proceso de enriquecimiento de uranio no se vio sustancialmente alterado. El periódico israelí Haaretz informó, no obstante, que un 30% de la actividad se habría visto afectada, y que se tuvieron que hacer paradas debido a que el virus hubiera dejado inoperativas demasiadas centrifugadoras.²³.

Sea como fuere, WikiLeaks informó²⁴ que la Organización para la Energía Nuclear en Irán habría obligado a renunciar a su jefe, Gholam Reza Aghazadeh, por «serios incidentes nucleares».  The Economist, en septiembre de 2010, relacionó²⁵ rápidamente el ciberataque con el virus Stuxnet.

Fue en 2010 también cuando el presidente de la República de Irán, Mahmoud Ahmadinejad, admitió que el país había sido víctima de ciberataques por parte de las potencias occidentales²⁶. Ese mismo día, dos científicos nucleares fueron emboscados y trágicamente asesinados, siendo gravemente herido un tercero²⁷. El presidente señaló que habrían sido asesinados por el «régimen sionista», y por su parte el Washington Post especularía²⁸con que pudieron haber sido asesinados por su propio país.

Palabras finales

He tratado ser tan neutral como me ha sido posible en este artículo, e incluido tantas fuentes como me he podido. Cabe aún hacerse preguntas: ¿Fue Natanz el objetivo real del virus o fue el terreno de prueba para objetivos más valiosos? ¿Existen ataques de guerra electrónica clandestinos en la actualidad de los que no tenemos noticia? En todo caso, parece que este es sólo el principio²⁹.

Referencias

La entrada La increíble historia del virus Stuxnet se publicó primero en Detrás del último no va nadie.