Security Response

Thanks to some tips from a Dutch Profibus expert who responded to our call for help, we’ve connected a critical piece of the puzzle.

Since our discovery that Stuxnet actually modifies code on PLCs in a potential act of sabotage, we have been unable to determine what the exact purpose of Stuxnet is and what its target was.

However, we can now confirm that Stuxnet requires the industrial control system to have frequency converter drives from at least one of two specific vendors, one headquartered in Finland and the other in Tehran, Iran.  This is in addition to the previous requirements we discussed of a S7-300 CPU and a CP-342-5 Profibus communications module.

The target system would potentially look something like the diagram below:

...

Since we still haven’t had much success in determining the likely target of Stuxnet, we have decided to release at a high level the behavior of the PLC code. However, we suspect this level of detail while interesting probably still is not enough to identify the potential target.  You can find the additional information starting on page 38 of the latest revision of our paper.

Our previous call for verifiable experts in STL coding that have worked in multiple critical infrastructure industries and coded large STL programs for large industrial control systems in those multiple industries was unsuccessful.  If anyone still wishes to help, they can contact me by clicking on my name at the top to send me a private message.  

Originally this revision would have also described in more detail the remaining Task Scheduler privilege escalation vulnerability, but the vulnerability...

シマンテックは、何週間にもわたり急ピッチで Stuxnet を解析してきましたが、その結果を『W32.Stuxnet Dossier（W32.Stuxnet の調査詳細）』というホワイトペーパーにまとめることができたことを、ここにご報告いたします。ホワイトペーパーには、Stuxnet について、この夏から一連のブログで継続的にお伝えしてきた内容に加え、この脅威のコンポーネントやデータ構造に関する技術的な詳細がすべて盛り込まれ、次のような高度な情報も記載されています。

• 攻撃のシナリオと時系列
• 感染の統計
• マルウェアのアーキテクチャ
• エクスポートされた全ルーチンの説明
• インジェクション手法とウイルス対策への対抗
• RPC コンポーネント
• 感染方法
• コマンド & コントロール機能
• PLC 感染機能

このホワイトペーパーは、Virus Bulletin 2010 のカンファレンスで配布される予定ですが、こちらからもダウンロードできます。

シマンテックによる Stuxnet の調査は今年 6 月 17 日に開始されました。このときから、驚きと試行錯誤、苛立ちと検証に満ちたシマンテックセキュリティレスポンスチームの長い道のりが始まったのです。ベラルーシのセキュリティ企業である VirusBlokAda 社は、パッチの適用されていない脆弱性を突いてリムーバブルドライブに拡散する、驚くべき威力のマルウェアのサンプルを新たに発見したと発表し、多くのメディアがこのゼロデイ脆弱性を大きく取り上げました。ところが、問題はそれだけではなかったのです。その後 Stuxnet...

SMS phishing (“SMSishing”) occurs when you receive an SMS message that is purportedly sent from a reputable source, such as your bank, asking for personal details. Although SMSishing first started a few years ago, a couple of recent SMSishing attempts directed at some colleagues of mine provided a good opportunity to document the attack.

The attacks start when attackers use automated services that allow sending many SMS messages at once and send messages such as the following:

Or:

In the above two cases, the bank names and phone numbers are censored, but the messages typically follow the same pattern of specifying a bank and that there is some type of urgent need for you to contact them. When you call the number you...