W 2010 roku światem mediów i cyberbezpieczeństwa wstrząsnęła wiadomość o odkryciu niespełna 500- ilobajtowego robaka komputerowego, który zainfekował oprogramowanie w irańskich instalacjach wzbogacania uranu w Natanz. Cyberbroń nazwana Stuxnetem, po wniknięciu do wewnętrznej, odizolowanej od Internetu sieci komputerowej, infekowała stacje robocze z systemem Windows, następnie oprogramowanie SCADA firmy Siemens służące do sterowania procesami przemysłowymi, aż w końcu modyfikowała kod sterowników PLC konkretnych urządzeń. Aby umożliwić robakowi pokonanie tzw. „szczeliny powietrznej” (ang. air gap) i wniknięcie do zamkniętego intranetu, wystarczyło, że nieświadomy pracownik podpiął do komputera zainfekowany pendrive USB. Powyższemu tematowi poświęcono tysiące stron analiz, ponieważ Stuxnet bezpowrotnie zmienił postrzeganie cyfrowych zagrożeń dla bezpieczeństwa narodowego. Udowodnił on, że współczesne ataki cybernetyczne mogą wywołać realne, fizyczne zniszczenia w świecie rzeczywistym, a potencjalny paraliż sieci elektroenergetycznych, systemów sterowania ruchem pociągów i samolotów czy awarie sieci wodociągowych mogą przynieść skutki znacznie poważniejsze niż klasyczne uderzenia militarne.
Stuxnet był kamieniem milowym w historii cyberwojny. Choć oficjalnie żadne państwo nie przyznało się do jego stworzenia, wieloletnie śledztwa dziennikarskie i analizy eksperckie jednoznacznie wskazały, że za operacją o kryptonimie Olympic Games stały służby wywiadowcze USA i Izraela. Nie był to zatem produkt zdolnych amatorów czy nastolatków, lecz efekt wielomiesięcznej pracy zespołów najlepszych inżynierów wojskowych. Wirus zrealizował swój cel: doprowadził do fizycznego zniszczenia około tysiąca irańskich wirówek uranowych, znacząco opóźniając tamtejszy program nuklearny. Niedługo potem odkryto jego bliskich krewnych, takich jak Duqu (służący do szpiegowania systemów przemysłowych), Flame (zaawansowane narzędzie cyberszpiegowskie na Bliskim Wschodzie o ogromnym, 20-megabajtowym kodzie potrafiącym infekować m.in. drukarki sieciowe) czy Gauss (zorientowany na monitorowanie operacji finansowych). Co ciekawe, w przypadku Flame’a autorzy wykorzystali genialną z programistycznego punktu widzenia technikę – wirus rozprzestrzeniał się poprzez sfałszowane mechanizmy aktualizacji systemu Windows, skutecznie oszukując ówczesne zabezpieczenia kryptograficzne Microsoftu.
Ewolucja złośliwego oprogramowania pokazuje, jak bardzo zmieniły się motywacje jego twórców – hackerów, czyli amerykańskich studentów kierunków technicznych, którzy byli rodzajem uniwersyteckich złotych rączek, potrafiących rozwiązać różnorodne wyzwania techniczne. Pierwszy cyfrowy wirus komputerowy powstał ponad pół wieku temu, w 1971 roku, na komputery DEC PDP- 10 z systemem operacyjnym Tenex. Napisany przez Boba Thomasa program o nazwie Creeper nie miał jednak wrogich zamiarów – rozprzestrzeniał się w sieci ARPANET (przodku Internetu) i wyświetlał jedynie przekorny komunikat: „Jestem Creeperem, złap mnie, jeśli potrafisz!”. W odpowiedzi na niego powstał program Reaper, będący pierwszym w historii programem antywirusowym, którego jedynym zadaniem było usuwanie Creepera. Dekadę później wirus Elk Cloner dla komputerów Apple II wywołał pierwszą masową epidemię, przenosząc się na dyskietkach. Z kolei popularne komputery osobiste klasy PC doczekały się swojego pierwszego poważnego wirusa w 1986 roku. Był to robak Brain, stworzony przez 19-letniego Pakistańczyka i jego brata, którzy w ten nietypowy sposób chcieli chronić swoje oprogramowanie przed piractwem. Dopiero z biegiem lat, wraz z popularyzacją internetu w latach 90. i dwutysięcznych, pisanie wirusów stało się domeną nastolatków szukających rozgłosu, a z czasem – zorganizowanych grup przestępczych szukających gigantycznych zysków.
Współcześnie cyberzagrożenia osiągnęły poziom, w którym tradycyjne, reaktywne skanowanie antywirusowe nie jest już wystarczające. Dzisiejsi cyberprzestępcy i grupy typu APT (zaawansowane, stałe zagrożenia wspierane przez budżety państwowe) działają w sposób niezwykle dyskretny. Aby nie wzbudzać podejrzeń administratorów, wykradzione pakiety danych są dzielone na małe porcje i maskowane jako legalny ruch sieciowy. Największym wyzwaniem staje się obecnie zabezpieczenie inteligentnych maszyn przemysłowych oraz dynamicznie rozwijającego się Internetu Rzeczy (IoT). Na rynku znajduje się mnóstwo urządzeń, głównie produkcji dalekowschodniej, których oprogramowanie sterujące jest pełne luk, a domyślne hasła dostępowe nie są zmieniane przez użytkowników. Wiele przedsiębiorstw przez lata zaniedbywało aktualizacje systemów operacyjnych w obawie przed przestojami produkcyjnymi i kosztami. Ten stan rzeczy ulega jednak drastycznej zmianie pod wpływem nowych regulacji prawnych, takich jak europejska dyrektywa NIS 2 oraz akt o cyberodporności (Cyber Resilience Act). Przepisy te nakładają na firmy surowe obowiązki w zakresie audytów, zgłaszania incydentów oraz ciągłego dbania o bezpieczeństwo cyfrowe pod groźbą wielomilionowychkar. Finansowe skutki infekcji ransomware, paraliżu linii produkcyjnych czy handlu wykradzionymi danymi na czarnym rynku potrafią zrujnować nawet największe przedsiębiorstwa, dlatego wyścig zbrojeń między ekspertami od zabezpieczeń a hakerami stale przyspiesza.
Krzysztof Hajdrowski
