Investigador publica código reconstruido de Stuxnet en GitHub
Un analista de seguridad ha revertido el código fuente del famoso gusano Stuxnet y lo ha puesto a disposición del público con instrucciones de compilación.
Un investigador independiente ha subido a GitHub una reconstrucción completa del código fuente de Stuxnet, el malware que en 2010 atacó las centrifugadoras de la planta nuclear de Natanz. El repositorio incluye scripts de compilación, una máquina virtual de Windows XP/7 preparada para ejecutar el binario y una lista de dependencias, entre ellas el software de Siemens necesario para observar el comportamiento del payload.
El proyecto requiere aislar la VM de cualquier red, ya que el worm explota vulnerabilidades de bajo nivel y podría propagarse si se conecta a un entorno real. La publicación permite a investigadores reproducir la cadena de infección: la infección por USB con autorun.inf, la explotación de una vulnerabilidad del spooler de impresión y la copia a recursos compartidos de red. También se documenta el uso de dos certificados robados de Realtek y JMicron para evadir la firma de drivers, y el método de inyección en proyectos Step 7 y bases de datos WinCC SQL Server.
El código muestra cómo Stuxnet toma control del DLL que comunica con los PLC de Siemens y altera la frecuencia de los convertidores, dañando discretamente los rotores de las centrifugadoras. Aunque la publicación es educativa, el autor advierte que la ejecución del payload sin el hardware apropiado solo demostrará la lógica de manipulación, no el daño físico real.
Stuxnet se vinculó a la operación olímpica, un esfuerzo conjunto de EE. UU. e Israel para frenar el programa nuclear iraní. Según informes, el worm destruyó alrededor del 10 % de las centrifugadoras de Natanz antes de autodestruirse el 24 de junio de 2012. La nueva disponibilidad del código permite a la comunidad analizar con detalle los mecanismos de ataque y reforzar defensas contra amenazas similares.
Esta publicación no incluye una demo funcional, pero abre la puerta a pruebas controladas en entornos aislados. Los equipos de seguridad pueden usarla para validar detecciones de firmas, evaluar la efectividad de la segmentación de red y actualizar sus reglas de filtrado de USB y spooler. La comunidad deberá vigilar posibles forks que añadan mejoras o que intenten recompilar el binario para versiones más recientes de Windows.
En definitiva, la puesta a disposición del código fuente de Stuxnet brinda una valiosa referencia histórica y un laboratorio práctico para profesionales de ciberseguridad que buscan entender cómo un malware puede cruzar la frontera entre el ciberespacio y el daño físico.
