>> פרשת תולעת המחשב סטוקסנט (stuxnet) שפגעה בעשרות אלפי מחשבים ברחבי העולם, ובעיקר באיראן, הובילה כמה מומחי מחשוב להסיק כי מדובר בתולעת מחשב שמאחוריה עומד גוף גדול ועשיר, אולי אף מדינה.
באופן טבעי, האצבעות הופנו לעבר ישראל. גם כיום, כמה שבועות לאחר שהתפוצצה הפרשה בתקשורת, טרם ברור מי עומד מאחוריה ואם ישראל מעורבת בעניין.
לכאורה יש כמה סימנים לקשר ישראלי. שלושה חוקרים מחברת אבטחת המידע סימנטק הציגו בשבוע שעבר חוות דעת הכוללת ניסיון ליצור קשר ישראלי. החוקרים גילו כי בתוך שכבות הקוד של הווירוס מצויה התניה כי אם הערך בקוד התוכנה סטוקסנט שווה למספר 19790509 תולעת המחשב מפסיקה את פעולתה ולא פוגעת במחשב היעד. כך יודעת התולעת אם מחשב כבר הודבק או לא.
החוקרים מאמינים שהערך המספרי של קוד ההגנה מייצג את התאריך 9 במאי 1979. ב-computerworld מספרים כי לתאריך זה משמעות יהודית-ישראלית. חביב אלגאהנייאן (habib elghanian), איש עסקים יהודי מוכר וידוע בקהילה האיראנית הואשם בריגול למען ישראל והוצא להורג על ידי שלטונות איראן באותו יום. רמיזה אחרת נוגעת למשמעות שמו של אחד הקבצים בקוד הווירוס המכונה "מירטוס" - צמח ההדס, שהיה גם שמה הנוסף של המלכה אסתר - הדסה. חייבים לומר כי סימנים אלה נראים די קלושים.
"הימים חולפים והחגיגה עוברת"
שי בליצבלאו, מנכ"ל מגלן-טכנולוגיות הגנת מידע, מומחה בינלאומי ללוחמת מחשבים ומודיעין רשת, התפרסם באחרונה בתקשורת הישראלית אחרי שטען כי הפרסום שישראל עומדת מאחורי תולעת המחשב הוא לא יותר מסיפור בדיוני. "הימים חולפים והחגיגה עוברת, וכך נראה כי חלפה לה תהילת העולם של תולעת המחשבים סטוקסנט. היא היתה ונותרה קוד מחשב עוין מתוחכם, חדשני למדי ועשוי בקפדנות תוך השקעת מחשבה, זמן פיתוח וככל הנראה גם יחסי ציבור מצוינים.
מעבדת מגלן שבחנה לעומק את הקוד, המבנה הטכני, ואופי הפעולה של תולעת הסטוקסנט משוכנעת כי לא מדינה בעלת יכולות לוחמת מחשבים מתקדמות עומדת מאחורי הפיתוח ההתקפי, או לכל הפחות לא גורם בטחוני מערבי. "התולעת חסרה רכיבים מודיעינים רבים ומודולי תקיפה לוגית קלאסיים צבאיים. הפצתה בסקלה כה רחבה ובלתי נשלטת הפכה את אפשרות הסרתה והשמדתה לפשוטה ומהירה", אומר בליצבלאו. "אם היה זה קוד עוין ממוקד, לא כל כך גנרי, ובוודאי מבית היוצר של גוף ביטחון מערבי, ספק אם היה ניתן כה בנקל לכתוב חתימת אנטי וירוס קלה להסרה. קוד עוין מעולם לוחמת המידע היה עובר שיכפול ושינוי קוד, למשל, כל כמה שניות, ונעלם מהרדאר אנו מכנים זאת בעגה המקצועית צביעת קוד".
"פיתוח הווירוס דרש עבודה מאומצת"
מנגד, מומחים אחרים סוברים כי מאחורי פיתוח הקוד הזדוני עמד גוף גדול בעל מטרות מדיניות צבאיות ולא כמה האקרים חובבים. רפי איבגי, מנכ"ל חברת דיפנסיה, לשעבר חייל ביחידת 8200, אומר כי הייחודיות במקרה של תולעת סטוקסנט היא שזאת הפעם הראשונה שתולעת מחשב נתגלתה במתקן גרעיני. איבגי מציין גם כי זאת התולעת הראשונה שתוקפת מערכות - scada מערכות שליטה, בקרה וניהול של תשתיות לאומיות.
"אני מעריך שמדינה עומדת מאחורי תולעת המחשב. כשמדובר בטכנולוגיות גרעיניות האינטרס הכלכלי ברמת מידע, גניבה וסחיטה באמצעות שליטה מרוחקת על מתקן גרעיני הוא עצום ועלול למשוך גורם המסוגל לממן פעילות כזו", אומר איבגי. "פיתוח של וירוס בסדר גודל כזה דורש עבודה מאומצת של עשרות רבות של אנשי פיתוח עם התמחויות שונות למשך זמן של שנה עד חמש שנים".
אבי ויסמן, יועץ אקדמי של הטכניון ללימודי אבטחת מידע ולוחמת מידע ויו"ר הפורום הישראלי לאבטחת מידע טוען כי "מישהו ידע שלאיראן יש במחשבים של מפעלי הגרעין והכורים שלה תוכנות שליטה ובקרה scada של סימנס. מדובר במערכת ששולטת באופן ממוחשב על תהליכי ייצור שונים, לעתים של רכיבים לתעשיית הגרעין ולתעשיות הביטחוניות. תקלה בביצוע הוראות אוטומטיות של המחשב עלולה להביא לנזקים ואף לאסונות כבדים. תולעת סטוקסנט נבנתה באופן שיאפשר לה להדביק כל מחשב נושא windows xp או ויסטה או 7 windows, אבל היא תוקפת ומזיקה כמעט רק לאפליקציות scada של סימנס שיושבת על מערכות ההפעלה אלה.
"לתולעת אין רכיבי 'איסוף מידע', אלא רכיבי נזק. היא מסוגלת לגרום למחשב 'לזייף' פקודה של מערכת השליטה ולגרום לצינורות או למכונות שונות לפעול באופן הרסני", אומר וייסמן. "למשל, להורות על סגירת זרימה מים, לגרום למכונה לייצר רכיבים פגומים, או לגרום להיצף, התפוצצות מאגרים או דוודים, או לחמם יתר על המידה, כל זאת תוך אספקת משובים מזוייפים לכח האדם המשגיח על צגי מערכת הבקרה. כדי לפתח תולעת מסוג זה נדרש מאמץ שערכו הכספי נאמד בסכומים שבין מיליון ל-10 מיליון דולר. תולעת כזו אינה יכולה להיות מפותחת כתרגיל אתגרי על ידי האקר או קבוצת האקרים מזדמנת אלא על ידי ארגון בעל אינטרס שיכול לאמוד עלות מול תועלת".
ויסמן מאמין שתולעת סטוקסנט מהווה קפיצת מדרגה משמעותית בעולם לוחמת המידע. "היא כבר לא סתם 'קוד עוין', אלא 'רובוט עוין' בעל פונקציונאליות עשירה מאוד יחסית לגודלו. אנו צפויים מעתה למלחמות מידע ברמה שלא תפחת מרמתה של תוכנה זדונית זו, ובכל שנה התולעים יהיו מתוחכמות, עשירות ואלימות יותר".
מה היא תולעת מחשב?
>> תולעת היא קוד מחשב. תוכנה שמנצלת חולשות במערכת המיחשוב וחודרת מערכות אבטחה כדי לדלות מידע או לגרום לנזק.
לאחר שהתולעת חדרה למחשבים אפשר לעשות אתה כמה שימושים. למשל, להתקין סוסים טרויאנים המספקים מידע מודיעיני רב. כשתולעת מחשב פוגעת ביעד, הקובץ הזדוני מנסה לבצע שתי פעולות אופייניות. הוא מנסה לגרום להתפשטות התולעת למחשבים נוספים והוא מנסה "להזריק" או לבצע מניפולציה של קוד תוכנה זדוני נוסף כדי לדלות מידע או לשלוט על המחשב שנפגע.
אבי ויסמן סבור כי התולעת סטוקסנט התפשטה באמצעות דיסק און קי ולא באמצעות הדבקה אינטרנטית, ומכאן שמפתחיה ידעו שהיעדים שלה לא מחוברים לאינטרנט.
המשמעות היא שנדרשה מעורבות אנושית כדי "להדביק" את מחשבי היעד המוגנים בתוך מתחמי הפיתוח האיראניים. ייתכן שהגורם האנושי המעורב בהדבקה ידע על תפקידו כמדביק, וייתכן שלא ידע שהוא נשא של התולעת. דוגמא לאדם כזה: טכנאי של סימנס, או כל חברה אחרת המעורבת בעשייה התעשייתית השוטפת.
ברוכים הבאים למלחמת הסייבר הבאה
מאת גיא גרימלנד
10.10.2010 / 7:04