HozzászólásA Stuxnet vírus

és az iráni atomprogram

Cserháti András főosztályvezető, Paksi Atomerőmű Zrt.

doktorandusz, ZMNE KMDI

Az információs hadviselés és a hadtudományKonferencia

2011. február 24. Budapest

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 2/9

• A visszafejtéssel fokozatosan szűkült a célterület:ázsiai ipar -> iráni nukleáris infrastruktúra -> perzsa urándúsítók

A gázcentrifugák lassú, rejtett tönkretétele és a dúsítás hatékonyságának lerontása

• Megnyilvánulások– víruskutatók -> kiberhadviselés szakértői -> (bulvár)média

• Kellő hozzáértés hiánya és/vagy hatásvadászat?– a legtöbben összemossák a dúsítóművet és az atomerőművet– sokan új Csernobilt vizionálnak

• A nukleáris szakmának is meg kell szólalnia!

• A Stuxnetlegkifinomultabb

számítógépes vírusjelentős

biztonságpolitikai esemény

korszakhatár

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 3/9

• A Stuxnet támadás rétegei

PLC technológia

S7-400 (417)

S7-300(315)

kaszkádszelepek, gázfúvók

motorokfrekvenciaváltók

urándúsítócentrifugák

kábel

WinCC Step7

Windows

fertőzöttUSB tároló

inte

rnet

háló

zat

PLCkonfigurálás

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 4/9

• S7-400 – 417-es processzor ,– akár 30 MB memória is, – csúcsmodell,– redundáns és hibatűrő

rendszerekben is alkalmazzák, – egyebek közt erőművek

turbina védelmében is.• S7-300– 315-ös processzor, – 256 kB memória– közepes, általános célú

• A támadásra használt vezérlők

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 5/9

• Centrifugák és kaszkádok

soros lánc helyett ideális kaszkád:

dúsítás (minőség)

men

nyisé

g

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 6/9

• Dúsító üzem Natanzban• Ahmadinezsad elnöki

látogatása (2008. április)• IR-1 centrifuga trend:

2007 2008 2009 2010

5

10ezer db

beszerelveUF6 feltöltés

leürítés~ 1000

leszerelés> 2000

2023.04.22. 7/9

• A 315-ös támadó kód

• Öt szakaszt váltogat ciklikusan– a leghosszabb (13-90 nap) a kiváró szakasz– a többi órás nagyságrendű

• Rongáló szakasz– a kezelőknek a korábban felvett normál üzemi

paramétereket mutatja – felpörgeti a centrifugát 1410 Hz-re majdnem törésig viszi

– lefékezi 2 Hz-re, – visszaáll a névleges frekvenciára

Cserháti A.: A Stuxnet vírus és az iráni atomprogram

2x áthajszolja a kritikus fordulatszámon

az addig szeparált UF6 újból összekeveredik

2023.04.22. 8/9

• Mi a 417-es támadó kód célja?• Bushehri Atomerőmű, K-1000-60/3000-3 turbina?

Cserháti A.: A Stuxnet vírus és az iráni atomprogram

• 417 adatszerkezete=kaszkád struktúra=kárjelentés– 6x hív egy 164-es ciklust:– 1 kaszkád: 164 centrifuga– 6x164=984 ~ 1000 gép, ennyi ürítve majd cserélve

NEM cél a turbina!

2023.04.22. 9/9

ezzel jelentősen lerontja a dúsítás hatásfokát

a bennmaradó gáz a rotorok repedéséhez vezethet, a drága gáz kiömlik

• A 417-es támadó kód

• Hipotézis és bizonyított tény határán:• Szelepeket és gázfúvókat vezérel– pl. nem engedi rotor egyensúly hiánykor az UF6 gyors leürítését

• Rejtve átrendezi a centrifugák kapcsolását a kaszkádon belül:– megváltoztatja az ideális elrendezést, – a kaszkád elejére kevesebb, a végére több centrifugát tesz.

Cserháti A.: A Stuxnet vírus és az iráni atomprogram

2023.04.22. Cserháti A.: A Stuxnet vírus és az iráni atomprogram 10/9

• Legújabb információk

• 2011. február 15. • Először 5 iráni cég fertőződött 3 menetben– perzsa irányítástechnikai gyártók beszállítói voltak• 4: 2009. júni/júli; 2 újra: 2010. márc/ápr/máj; 5.: 2010. máj

• Sok volt a csempészett eszköz a szankciók miatt – PLC-k is!– már fertőzötten kerülhettek Natanzba

• A 417-es támadó kód– valószínűleg nem is aktiválódott! • még nem volt teljesen kész?

– minden bizonnyal szelepeket zárt-nyitott volna• a 3 centrifuga ágon: bemenő, dús (előre), szegény (vissza)• több rongáló hipotézis felmerült