Stuxnet là gì?

Stuxnet là một loại sâu máy tính độc hại, đã trở nên nổi tiếng sau khi nó khiến các cơ sở hạt nhân của Iran bị tê liệt. Nó được phát hiện lần đầu tiên vào tháng 6/2010.

Ông Jerome Segura, Giám đốc cấp cao tại công ty bảo mậtMalwarebytes, nhấn mạnh: "Rất ít phần mềm độc hại thu hút được sự chú ý trên toàn cầu như Stuxnet".

Ngày nay, Stuxnet vẫn còn là nỗi ám ảnh kinh hoàng với Internet toàn cầu. 

Hầu hết hacker sử dụng Stuxnet để khai thác các lỗ hổng zero-day của hệ điều hành Windows. Nhưng thay vì chỉ chiếm đoạt máy tính mục tiêu hoặc đánh cắp thông tin từ chúng, Stuxnet thoát khỏi thế giới số để phá hủy vật lý các thiết bị mà máy tính kiểm soát.

Stuxnet tấn công cơ sở hạt nhân của Iran thế nào?

Trở lại năm 2010, lần đầu tiên người ta biết tới sự tồn tại của Stuxnet là khi các thanh tra viên của Cơ quan Năng lượng Nguyên tử quốc tế (IAEA) phát hiện nhiều máy ly tâm của nhà máy Natanz (Iran) bị trục trặc.

Thời điểm bấy giờ, các thanh tra viên và quan chức Iran đều không thể hiểu nổi tại sao loạt thiết bị đáng tin cậy do hãng Siemens sản xuất, được thiết kế để làm giàu uranium cung cấp năng lượng cho các lò phản ứng hạt nhân, lại cùng lúc gặp phải trục trặc như vậy.

Điều đáng nói là các cơ sở hạt nhân của Iran vốn dĩ được cách ly hoàn toàn. Nghĩa là nó không được kết nối với mạng nội bộ hoặc Internet.

Khi một nhóm an ninh bảo mật từ Belarus đến để điều tra sự việc, họ phát hiện nguyên nhân đến từ các máy tính vận hành hệ thống, đã khiến máy ly tâm hoạt động sai.

Đứng sau nó là do một phần mềm mã độc cực kỳ phức tạp, dường như đã bắt đầu quá trình lây lan thông qua cổng kết nối USB. Mã độc này nhanh chóng lây nhiễm các bộ điều khiển logic lập trình (PLC) điều khiển các máy ly tâm, rồi ngầm phá hoại chúng.  

Để hiểu rõ hơn về sự tác động của Stuxnet, cần biết rằng máy ly tâm ở cơ sở hạt nhân của Iran đều được thiết lập để quay với tốc độ cực nhanh, từ đó tạo ra lực lớn hơn nhiều lần so với trọng lực để tách các nguyên tố khỏi uranium. 

Tuy nhiên Stuxnet sau khi xâm nhập vào hệ thống, đóng các van thoát trên một số máy ly tâm ngẫu nhiên, để khí lọt vào song không thể thoát ra. Điều này nhằm tăng áp lực bên trong máy ly tâm, gây thiệt hại về thời gian và lãng phí khí.

Điều nguy hiểm ở đây là Stuxnet đã "nằm vùng" trong suốt nhiều tuần, đồng thời liên tục làm chậm nhịp của các máy ly tâm về mức tiêu chuẩn sau khi tăng tốc chúng trong quãng ngắn. Điều này khiến hoạt động của nó trở nên khó bị phát hiện.

Ngoài ra, Stuxnet cũng gửi tín hiệu cảm biến để kiểm soát quy trình công nghiệp, nhằm che giấu sự hiện diện và hoạt động của nó trên hệ thống.

Ngay cả sau khi đã được phát hiện, phần mềm này vẫn tiếp tục lan rộng hơn nữa, khiến các nhà nghiên cứu gọi nó là một loại vũ khí, chứ không chỉ đơn thuần là đoạn mã độc thông thường. Stuxnet, "vũ khí kỹ thuật số đầu tiên trên thế giới" ra đời kể từ đó.

Vì sao Stuxnet nguy hiểm?

Trong nhiều tài liệu, người ta gọi Stuxnet là virus máy tính, nhưng khái niệm này chưa hoàn chỉnh. Theo định nghĩa của các công ty bảo mật, an ninh mạng, Stuxnet là một sâu máy tính.

Mặc dù cả virus và sâu máy tính đều là loại phần mềm độc hại có thể làm hỏng tệp tin trên thiết bị, nhưng sâu máy tính có thể tinh vi hơn rất nhiều. 

Trước hết, không giống như virus, sâu không yêu cầu tương tác của con người để kích hoạt. Thay vào đó, nó tự động lan truyền, đôi khi là rất nhanh sau khi xâm nhập vào hệ thống.

Bên cạnh việc xóa dữ liệu, sâu máy tính có thể làm quá tải mạng, tiêu tốn băng thông, mở "cửa hậu" (backdoor), làm giảm dung lượng ổ cứng và thả các phần mềm độc hại nguy hiểm khác như rootkit, phần mềm gián điệp và phần mềm mã hóa tống tiền.

Các chuyên gia gọi Stuxnet là một đoạn mã cực kỳ phức tạp và sẽ vô cùng nguy hiểm nếu coi nhẹ tác động của nó. Trong sự việc năm 2010, Stuxnet đã làm suy yếu gần 1.000 máy ly tâm của Iran. 

Để đưa Stuxnet đến các máy mục tiêu, trước tiên những kẻ tấn công sẽ lây nhiễm mã độc ở các máy tính thuộc 5 công ty bên ngoài, được cho là có liên quan theo một cách nào đó đến chương trình hạt nhân. 

Mục đích là biến mỗi "bệnh nhân số 0" thành một vật chủ mang mầm bệnh, từ đó phát tán và vận chuyển vũ khí bên trong các USB vào cơ sở được bảo vệ và các máy tính Siemens.

Lúc bấy giờ, Stuxnet nguy hiểm ở chỗ, không một hệ thống bảo mật nào "quét" được sự tồn tại của phần mềm này. Trong ghi chép của cơ sở hạt nhân tại Iran, không có dấu hiệu nào cho thấy họ tìm thấy sự tồn tại của mã độc, cũng như giải quyết được nó.

Tuy vậy theo các chuyên gia, chỉ có USB là phương pháp lây lan chính của Stuxnet. Điều này được chứng minh sau khi các nhà nghiên cứu sử dụng DVD hoặc CD để chuyển các tệp tin, mọi thứ đều ổn.

Một báo cáo từ Hà Lan cho biết một hacker Hà Lan đã đóng vai trò chủ chốt trong cuộc tấn công bằng Stuxnet khét tiếng vào cơ sở hạt nhân của Iran, sau đó vô tình phát tán ra thế giới bên ngoài.

Sau vụ tấn công lịch sử, Stuxnet đã lây nhiễm 30.000 tài sản CNTT trên khắp Iran, và sau đó được phát hiện ở Đức, Pháp, Ấn Độ và Indonesia, làm tăng số lượng tài sản bị xâm phạm lên con số 45.000.

Song song với các cuộc tấn công mạng lúc bấy giờ, phương thức hoạt động của Stuxnet cũng tạo tiền đề cho các cuộc tấn công nguy hiểm khác sau này. 

Vào năm 2015, các nhà nghiên cứu người Đức đã tạo ra một loại sâu máy tính khác, được gọi là PLC Blaster, có khả năng nhắm mục tiêu vào thế hệ PLC Siemens S7 series, bằng cách sử dụng một phần phương thức hoạt động của Stuxnet.

Tổ chức an ninh mạng Stormshield cho biết: "Một kịch bản giống như Stuxnet vẫn có thể xảy ra vào năm 2024 vì nguyên tắc vẫn như vậy: Luôn có, đã có và sẽ luôn có các lỗ hổng Zero-Day cho phép tội phạm mạng có lợi thế tấn công".

"Để ứng phó với những cuộc tấn công này, các nhà quản lý hệ thống cần luôn tỉnh táo, đồng thời tập trung vào những biện pháp bảo mật mới, hướng đến phát hiện lỗ hổng, quản lý bản vá, phân đoạn mạng, đào tạo kỹ sư an ninh mạng…"