Stuxnet-virus veel ouder dan gedacht

Onderzoekers van Symantec ontdekken een oudere versie van Stuxnet, die bewijst dat de cyberaanvallen op Iran’s nucleaire programma een werk van lange adem is geweest.

Het beveiligingsbedrijf kwam dinsdag met een lijvig rapport op de proppen, waarin het de ontdekking beschrijft van ‘Stuxnet 0.5’. Deze vroegere versie van het beruchte virus bewijst dat de aanvallen op Iraanse nucleaire installaties al plaats vinden sinds 2005, en niet 2007 zoals eerder werd aangenomen.

“Er is geen echt nieuw bewijs gevonden over de mensen achter deze aanval, maar dit waren zeker geen stel hacktivisten of iemand met een bloedwraak”, zei Eric Chien, het hoofd van Symantecs Security Response Team.

[related_article id=”161920″]

Hoewel nooit bekend is geworden wie achter het Stuxnet-virus zat, wordt algemeen aangenomen dat de Israëlische en Amerikaanse regering achter de cyberaanval op het Iraanse atoomprogramma zaten. De New York Times zei destijds dat de bouw van het virus onder de regering van George W. Bush is gestart en uitgevoerd en dat onder Obama de aanvallen doorgingen. Beide landen hebben hun betrokkenheid altijd ontkend.

Stuxnet 0.5 ‘niet agressief genoeg’
Symantec noemt de vroege versie van Stuxnet een ‘missing link’ in het onderzoek, die specifiek werd gebruikt om afsluitkleppen te saboteren die een vitale rol speelden in het verrijken van uranium. Dat moest leiden tot beschadiging van de centrifuges, waardoor het hele proces in het honderd zou lopen.

“Of Stuxnet 0.5 successvol was, blijft onduidelijk, maar later versies werden ontwikkeld met een ander ‘development framework’, die agressiever te werk gingen en een andere aanvalsstrategie gebruikt die de snelheid van de centrifuges verandert”, staat in het rapport. “Dit geeft aan dat Stuxnet 0.5 niet helemaal voldeed aan ede doelen die de aanvaller er aan had gesteld”, aldus Symantec.

Het beveiligingsbedrijf sluit niet uit dat er nog oudere versies zijn van Stuxnet, dat volgens Kaspersky Labs gebaseerd is op code van het later ontdekte Flamer.

Symantec bevestigt dit nu. “Met versie 0.5 zien we Flamer-code. Dus we weten dat wanneer ze het originele Stuxnet bouwden ze Flamer als basis gebruikten. Het ging waarschijnlijk om één team dat dezelfde broncode gebruikte, waarna Stuxnet werd ontwikkeld dat de ene richting uitging, terwijl Flamer een andere richting uitging”, zegt Liam O Murchu van Symantec tegen Dark Reading.