Inleiding
We schrijven juli 2010. Een beveiligingsbedrijf uit Wit-Rusland krijgt een malware-sample binnen - hoe, dat is nog steeds niet helemaal duidelijk - en ontdekt dat de malware het certificaat van het bedrijf Realtek gebruikt om zich voor te doen als legitieme software. De malware blijkt een zero day te bevatten. Een zero day is een beveiligingsprobleem in software dat nog niet aan het licht is gekomen, waardoor kwaadwillenden er ongemerkt en zonder enige hinder gebruik van kunnen maken. Zero days zijn zeldzaam en gaan op de zwarte markt voor veel geld van de hand.
De software blijkt zichzelf te hebben verspreid over meer dan 16.000 systemen, waarvan het overgrote deel in India, Iran en Indonesië staat. Het virus zou zich richten op scada-systemen van Siemens. Uiteindelijk bleek dat het niet één, maar wel vijf zero days bevatte.
Het ontdekte virus, dat van Kaspersky de naam 'Stuxnet' meekreeg, was geen gewoon stukje malware. Het was ook nooit bedoeld om in de buitenwereld te komen. Stuxnet was, voor zover we nu weten, een digitaal oorlogswapen.
Scada-systeem van Siemens
Digitale oorlog
Digitale oorlogsvoering, ook wel enigszins retro aangeduid met de term 'cyberwarfare', is geen theoretisch concept. Het Stuxnet-virus, evenals het verwante Duqu en de verre neef Flame, is daar het levende bewijs van. Alle drie de virussen zouden zijn bedoeld om Iraanse nucleaire installaties te ontregelen. Daarmee zou het kernwapenprogramma dat het land volgens sommigen heeft, moeten worden ontregeld. Iran houdt zelf overigens vol dat zijn nucleaire programma enkel op energieopwekking is gericht en alleen vreedzame doeleinden heeft.
Frequentieregelaars
Stuxnet zoekt in een netwerk naar Siemens-frequentieregelaars en als het die vindt, probeert het die te saboteren. Er zijn aanwijzingen dat dat is gelukt en dat Iraanse wetenschappers met hun handen in het haar zaten omdat ze niet wisten waarom hun frequentieregelaars gebreken vertoonden.
Enige tijd na de ontdekking van Stuxnet en van een tweede, verder geëvolueerde versie van Stuxnet werd Duqu ontdekt, een virus dat van dezelfde bron als Stuxnet afkomstig zou zijn, maar zich niet richtte op sabotage. In plaats daarvan had Duqu als opdracht om informatie te verzamelen voor nieuwe aanvallen.
Onlangs voegde zich een derde virus bij dit tweetal. Flame is totaal anders van opzet dan Stuxnet en Duqu, maar zou eveneens zijn gericht tegen Iran en zijn ontwikkeld door de Verenigde Staten en Israël. Ook zou één component uit de eerste Stuxnet-versie afkomstig zijn uit Flame.
De Israëlische noch de Amerikaanse overheid heeft ooit haar betrokkenheid met Stuxnet, Duqu of Flame bevestigd. Toch wordt over het algemeen aangenomen dat deze landen achter de aanvallen zitten. Zij zouden de malware op nog onbekende wijze de uraniumverrijkingsfabriek in het Iraanse Natanz hebben weten binnen te sluizen.
Het is in elk geval zeer waarschijnlijk dat er een of meer landen achter de virussen zitten. De tijd, het geld en de moeite die in de malware zijn gestoken, zijn ongekend. Het feit dat Stuxnet vijf verschillende zero days bevatte om zijn werk te doen, illustreert dat, want die zijn zoals gezegd stuk voor stuk veel geld waard op de zwarte markt. Een land zou die kosten makkelijker kunnen dragen dan een particuliere aanvaller.
Ook zijn de zero day-exploits 'fantastisch geschreven', zegt Roel Schouwenberg, beveiligingsexpert bij Kaspersky. "Het zit technisch erg goed in elkaar", vindt hij. "Elke zero day in Stuxnet heeft bovendien zijn specifieke nut." Zo was de eerst ontdekte zero day bedoeld om de malware zich via usb-sticks te laten verspreiden, met behulp van een kwetsbaarheid in de manier waarop Windows omgaat met shortcuts. Een andere zero day zorgde ervoor dat de systeemrechten van een gebruiker werden opgehoogd.
Beveiliging bij de uraniumverrijkingsfabriek in Natanz
"Als we kijken naar de kwaliteit van de code van iets als Duqu en die van een gemiddelde aanval op een bedrijf, is er een fors verschil", zegt Schouwenberg. Duqu is helemaal in-house ontwikkeld; bij aanvallen zouden gratis tools worden gebruikt. "Het was een operatie die verschillende jaren besloeg en met een miljoenenbudget", aldus Schouwenberg. Bovendien is Stuxnet waarschijnlijk getest in een nagebouwde versie van een deel van de uraniumverrijkingsfabriek in Natanz. "Dat zal niet goedkoop zijn geweest", denkt Schouwenberg.
Te land, ter zee en op het internet
Stuxnet, Flame en Duqu zijn goede voorbeelden van digitale oorlogvoering of op zijn minst digitale sabotage, maar het zijn niet de enige voorbeelden van overheden die de meer duistere kanten van ict benutten om bepaalde doelen te verwezenlijken. Tweeënhalf jaar geleden kwam Google bijvoorbeeld in het nieuws omdat het de Chinese overheid verantwoordelijk achtte voor hackaanvallen op zijn servers, waarbij toegang tot Gmail-accounts van mensenrechtenactivisten werd bemachtigd. Ook wordt vermoed dat het de Chinese overheid was die opdracht gaf tot hacks waarbij terabytes aan informatie over de werking van de Joint Strike Fighter werd buitgemaakt. Hetzelfde geldt voor het jarenlang digitaal bespioneren van westerse energiebedrijven.
De Chinese overheid wordt toch al bekritiseerd omdat zij veelvuldig systemen in andere landen zou aanvallen, van zowel overheden als bedrijven. Er is echter nauwelijks bewijs voor die claim, net zo min als er sluitend bewijs is dat de Verenigde Staten of Israël achter de Stuxnet-achtige virussen zitten.
Dat is het lastige van digitale aanvallen; het is vrijwel onmogelijk om de oorsprong ervan aan te wijzen. Het is bovendien eenvoudig om valse aanwijzingen achter te laten, bijvoorbeeld door een server in een ander land te gebruiken om een aanval te lanceren.
Platform
Landen mogen dan niet staan te springen om te bekennen dat ze een bepaalde aanval hebben uitgevoerd; van de Verenigde Staten is in elk geval bekend dat het leger zich op het digitale terrein begeeft. Het Amerikaanse leger beschouwt het internet gewoon als een platform voor aanvallen, net zoals zee, land en lucht dat zijn.
Ook niet-militaire onderdelen van de overheid, zoals de veiligheidsdiensten, houden zich bezig met digitale aanvallen. Vermoed wordt dat Stuxnet, Duqu en Flame niet van het leger, maar van inlichtingendiensten afkomstig zijn. Een oud-directeur van de Amerikaanse inlichtingendienst NSA bevestigde begin dit jaar dat de Amerikaanse overheid zich met digitale aanvallen bezighoudt.
In Nederland wil het leger zich ook op het digitale terrein begeven, zo maakte minister van Defensie Hans Hillen onlangs bekend. Tijdens een toespraak noemde Hillen 'cyber' het 'vijfde domein voor militair optreden'. Hij noemt het zowel een wapen als een 'inlichtingeninstrument'. Het leger moet wat Hillen betreft 'ook in het digitale domein offensief kunnen optreden'. "Het uitschakelen van een tegenstander blijft de bijzondere taak van de krijgsmacht. Ook in het digitale domein", aldus Hillen.
Terroristen
Digitale oorlogvoering is natuurlijk niet enkel interessant voor overheden, maar bijvoorbeeld ook voor terroristische groeperingen. Beveiligingsonderzoeker Mikko Hypponen van F-Secure stelde onlangs bij een presentatie op de RSA Conference in San Francisco dat die groeperingen vooralsnog geen groot digitaal gevaar vormen. Hoewel de technische expertise van terroristen niet moet worden onderschat, houden ze zich nu nog vooral bezig met defacements, aldus Hypponen. Daarbij worden voorpagina's van websites verminkt of vervangen door een eigen boodschap. Hypponen tekent echter aan dat dit snel kan veranderen.
De Nederlandse overheid denkt ook dat terroristen op dit moment nog geen grote schade via computernetwerken kunnen aanrichten. "Terroristen hebben weliswaar de intentie om grootschalige verstoring of ontwrichting te veroorzaken, maar vooralsnog zijn er geen aanwijzingen dat zij de capaciteiten hebben en dat deze dreiging heel groot is", schrijft de overheid in een analyse. Niet iedereen is het daarmee eens. Volgens een oud-adviseur van de Amerikaanse regering op het gebied van binnenlandse veiligheid, kunnen hackers 'pijpleidingen laten ontploffen, treinen laten ontsporen of bijvoorbeeld te veel elektriciteit door het lichtnet laten lopen.'
Zorgen
Doordat er geen duidelijk beeld bestaat van de omvang van 'digitale oorlogvoering', is het moeilijk vast te stellen of we ons er zorgen over moeten maken. Wordt het nu een stuk eenvoudiger om bedrijven en overheden te bespioneren en sabotage te plegen? Dat is moeilijk te beantwoorden.
Wellicht heeft 'cyberwarfare' een positieve bijwerking: afname van het aantal gewapende conflicten. Volgens Richard Clarke, oud-topfunctionaris van het Witte Huis, die veel met zowel traditionele als 'nieuwe' vormen van dreigingen te maken had, is het goed mogelijk dat traditionele vormen van oorlog soms zullen worden ingeruild voor digitale aanvallen.
:strip_exif()/u/6307/husky_icoon.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/333656/walt.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/313604/Lucky.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/158964/784621_50x50_v2.jpg?f=community){kind=small}
:strip_icc():strip_exif()/u/285051/teaglass_tweakers.jpg?f=community){kind=small}
/u/39500/BoGy_4_Tweakers_60.png?f=community){kind=small}
:strip_icc():strip_exif()/u/58077/crop5821c9a80f8d9.jpeg?f=community){kind=small}
/u/99142/crop62758e978b3e3_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/34345/crop604df19f86683.jpg?f=community){kind=small}
/u/209583/crop58335a7e6f752_cropped.png?f=community){kind=small}
/u/442932/crop5c6ad26fd2e6b.png?f=community){kind=small}
:strip_exif()/u/54992/idlogo_anim.gif?f=community){kind=small}
:strip_icc():strip_exif()/u/48567/viribox_60x60.jpg?f=community){kind=small}