// COMPUTERBASE — CYBERSECURITY
Cyberwaffe Stuxnet: Forscher rekonstruiert den Quellcode 16 Jahre später
Stuxnet gilt als Meilenstein der IT-Sicherheitsgeschichte: Der 2010 entdeckte Wurm manipulierte gezielt Industrieanlagen und verursachte damit physischen Schaden. Nun hat ein Sicherheitsforscher den Code der Schadsoftware auf Basis bekannter Binärdateien rekonstruiert und auf GitHub veröffentlicht.
Bei dem auf GitHub veröffentlichten Projekt handelt es sich ausdrücklich nicht um den bislang unbekannten Original-Quellcode von Stuxnet. Der Entwickler beschreibt das Repository vielmehr als „reconstructed source code“, der aus dekompilierten Binärdateien hervorgegangen sei. Ziel sei es, die ursprüngliche Logik und die Angriffswege in einer besser lesbaren Form für Forschung und Ausbildung nachvollziehbar zu machen.
Das Repository enthält dazu zahlreiche in C rekonstruierte Bestandteile des Schädlings sowie technische Erläuterungen zur Architektur. Dokumentiert werden unter anderem die Verbreitung über USB-Datenträger und Netzwerke, die Manipulation der Kommunikation mit Siemens Step 7 sowie Rootkit-Komponenten, mit denen sich Stuxnet auf befallenen Systemen versteckte. Der Autor betont, dass das Projekt ausschließlich für Forschung, Malware-Analyse und defensive Sicherheitsarbeit gedacht sei.
Die Rekonstruktion macht Stuxnet damit wesentlich einfacher lesbar als die ursprünglichen Binärdateien. Vollständig mit dem einst von den Entwicklern geschriebenen Quelltext gleichsetzen lässt sie sich jedoch nicht. Namen von Variablen, Kommentare oder ursprüngliche Projektstrukturen lassen sich aus kompilierten Programmen beispielsweise nicht ohne Weiteres zurückgewinnen.
Stuxnet wurde 2010 öffentlich bekannt und unterschied sich grundlegend von vielen bis dahin bekannten Computerschädlingen. Statt Daten zu stehlen oder Rechner lediglich außer Gefecht zu setzen, suchte der Wurm gezielt nach Systemen mit Siemens WinCC und Step 7. Über diese Software konnte er speicherprogrammierbare Steuerungen von SCADA-Systemen, sogenannte PLCs beziehungsweise SPS, manipulieren.
Das Ziel waren letztlich Anlagen zur Urananreicherung im iranischen Natanz. Analysen von Symantec zeigten später, dass Stuxnet in die Steuerung der dort eingesetzten Zentrifugen eingriff. Dabei wurden unter anderem Betriebsparameter verändert, um die Maschinen außerhalb ihres normalen Arbeitsbereichs zu betreiben und so zu beschädigen. Symantec konnte später auch eine ältere Stuxnet-Version analysieren, die Ventile der Urananreicherungsanlage manipulierte.
Außergewöhnlich war auch der Aufwand hinter dem Angriff. Die Schadsoftware kombinierte mehrere damals unbekannte Windows-Sicherheitslücken mit gestohlenen digitalen Zertifikaten und speziell auf die Siemens-Technik zugeschnittenem Code. ICS-CERT dokumentierte unter anderem vier Zero-Day-Lücken sowie mehrere Wege, über die sich Stuxnet verbreiten konnte.
Die Redaktion berichtete bereits im September 2010 über Stuxnet. Schon damals deuteten die außergewöhnliche Komplexität und die sehr konkrete Zielauswahl darauf hin, dass hinter dem Schädling kein gewöhnlicher Cyberkrimineller stand.
Mehr als 16 Jahre nach seiner Entdeckung ist Stuxnet technisch längst überholt. Die von ihm ausgenutzten Windows-Lücken wurden geschlossen und auch die damaligen Zielsysteme entsprechen nicht mehr dem Stand aktueller Industrieanlagen. Interessant bleibt der Wurm dennoch, weil er exemplarisch zeigte, dass Schadsoftware nicht auf digitale Schäden beschränkt sein muss.
Genau hier setzt die Rekonstruktion an. Sicherheitsforscher können die damalige Architektur nun in vergleichsweise gut lesbarem Code untersuchen, ohne sich ausschließlich durch Maschinencode und dekompilierte Fragmente arbeiten zu müssen. Aus einer der berühmtesten Cyberwaffen der Computergeschichte wird damit zunehmend auch ein öffentlich zugängliches Lehrstück für die Absicherung kritischer Infrastruktur.