Desensamblando Stuxnet

Uno de los clásicos del CCC, Felix 'FX' Lindner, de Recurity Labs (aunque normalmente al CCC viene como FX de Phenoelit en su charla usaba los logos de Recurity), ha contado en una entretenida charla cómo construyó un desensamblador de código STEP7 para los PLC programables S7 de Siemens.

¿Y por qué una materia tan exótica puede ser interesante (las charlas de FX suelen ser de las que se llenan en el CCC)?

Fundamentalmente porque este código ensamblador estaba en la carga del virus Stuxnet, que es uno de los temas de moda de este congreso (en una charla que me perdí). El objetivo no se conoce del todo, pero parece ser que las centrales nucleares de Irán utilizan estos controladores... y suponemos que orderandores con SO Microsoft.

Además, el virus tenía un nivel des sofisticación elevado: utilizaba cuatro errores de Microsoft que aún no habían sido arreglados, estaba depurado de manera que no tuviese fallos (muchos virus se conforman con funcionar bien un gran porcentaje del tiempo, ya que tienen posibilidad de hacer muchos intentos), y claramente era el producto de un equipo bien coordinado (con diferentes especialidades, ya que cada fallo estaba en una parte diferente de Windows) y con conocimientos muy específicos.

Parte de la razón de la charla es que nadie tenía muy claro qué hacía el virus realmente, cosa que se pudo averiguar con el desensamblador de FX, que incluye saber que las partes del código son relativamente antiguas, y en concreto la última es del 24/9/2007, casualmente el día en que Ahmadineyad hizo un discurso muy duro en la Univesidad de Columbia...