Stuxnet chỉ bị phát hiện khi đã lây lan ra hàng trăm nghìn máy tính trên khắp thế giới. Ảnh minh họa: Cyberhoot
Phiên bản Stuxnet mới nhanh chóng lây lan khắp mạng lưới của cơ sở Natanz. Tuy nhiên, bản chất hung hãn của nó đã dẫn đến những hậu quả không mong muốn: phần mềm độc hại lan rộng ra ngoài Natanz, lây nhiễm máy tính trên khắp Iran và cuối cùng là toàn cầu. Nhận ra sự lây lan không thể kiểm soát của Stuxnet, CIA đã quyết định dừng hoạt động, hy vọng rằng nó sẽ không bị phát hiện trong Natanz.
Hy vọng của họ đã bị dập tắt khi công ty an ninh mạng Symantec phát hiện ra Stuxnet và công bố báo cáo chi tiết về phần mềm độc hại này. Iran sớm nhận ra mức độ nghiêm trọng của cuộc tấn công mạng và đã có biện pháp bảo vệ chương trình hạt nhân của họ. Bất chấp những thất bại do Stuxnet gây ra, Iran vẫn tuyên bố sẽ tiếp tục tham vọng hạt nhân của mình.
Một trong những dấu hiệu đầu tiên về sự tồn tại của Stuxnet xuất hiện vào tháng 6/2010 khi một công ty an ninh mạng Belarus phát hiện ra một phần mềm độc hại bất thường trên một máy tính của Iran. Khi các chuyên gia an ninh mạng trên khắp thế giới bắt đầu phân tích mã, họ đã vô cùng kinh ngạc trước sự phức tạp và mục đích của nó.
Dấu vết của Stuxnet bắt đầu lộ tẩy khi Ulasen, người làm việc ở Viện Nghiên cứu và phát triển tại Công ty An ninh mạng VirusBlokAda tại Minsk (Belarus), nhận được một email vào ngày 17/6/2010 của một công ty Iran phàn nàn rằng, những máy tính của họ liên tục tắt máy và khởi động lại. Ulasen và một đồng nghiệp đã mất một tuần để kiểm tra những máy tính đó. Sau đó họ phát hiện ra Stuxnet. VirusBlokAda đã thông báo với các công ty khác trong ngành, trong đó có "người khổng lồ" Symantec.
Một kỹ sư tại Symantec đã phát hiện ra hai máy tính chỉ huy cuộc tấn công này. Một trong những server là ở Malaysia và một server khác ở Đan Mạch, cả hai server này đều truy cập vào được thông qua địa chỉ www.todaysfutbol.com và www.mypremierfutbol.com. Các địa chỉ này được đăng ký dưới cái tên giả, bằng thẻ tín dụng giả qua một trong những công ty đăng ký Internet lớn nhất thế giới có trụ sở tại Arizona, Mỹ. Symantec đã định tuyến lại liên lạc ra vào tại 2 server này để theo dõi hoạt động của virus.
Các chuyên gia tại các công ty an ninh mạng cuối cùng đã lần ra được Stuxnet. Ảnh minh họa: Cyberhoot
Theo phân tích, Stuxnet đã lây nhiễm vào khoảng 100.000 máy tính trên thế giới, trong đó hơn 60.000 ở Iran, hơn 10.000 ở Indonesia và hơn 5.000 máy tính ở Ấn Độ. Stuxnet được lập trình, bước đầu báo cáo server chỉ huy và điều khiển liệu một máy tính bị nhiễm virus có đang chạy Step 7 - một chương trình phần mềm công nghiệp phát triển bởi công ty Siemens hay không? Step 7 được sử dụng để chạy các máy ly tâm tại cơ sở Natanz, Iran và mọi thứ ở đây được bảo vệ ở mức an ninh quân sự. Quá trình làm giàu uranium tại đây được điều khiển bởi một hệ thống của Siemens chạy hệ điều hành Microsoft Windows.
Stuxnet lợi dụng lỗ hổng trong Windows để thao tác với hệ thống. Với lỗi lập trình này, nó có thể vào được hệ thống qua đường các ổ USB. Ngay sau khi ổ này được kết nối với một máy tính trong hệ thống, việc cài đặt của Stuxnet diễn ra một cách âm thầm. Stuxnet lúc đầu tìm kiếm các chương trình diệt virus. Nó được thiết kế để phá hỏng các chương trình này, hoặc gỡ bỏ chúng. Bước thứ hai, Stuxnet trú ẩn trong một phần của hệ điều hành quản lý USB đó, và sẽ thiết lập các đặc số kiểm tra mà mục đích để làm gì hiện còn chưa rõ.
Theo thuật ngữ của giới chuyên môn, trong hệ điều hành Windows có những lỗ hổng an ninh được gọi là lỗ hổng zero-day, là những "lỗ hổng chưa có bản vá". Việc tìm ra những lỗ hổng đó vừa là một thách thức với hacker và cũng là một mô hình kinh doanh. Thậm chí còn tồn tại chợ đen, trong đó một lỗ hổng chưa được biết đến trước đó có thể có giá 100.000 USD hoặc hơn nữa. Stuxnet khai thác ít nhất là 4 lỗ hổng an ninh như vậy.
Tác động đến Chương trình hạt nhân của Iran
Tác động của Stuxnet đến chương trình hạt nhân của Iran là rất nghiêm trọng. Đến năm 2009, Iran đã lắp đặt hơn 7.000 máy ly tâm tại Natanz, nhưng Stuxnet đã khiến khoảng 1.000 máy trong số này bị hỏng. Sự gián đoạn này buộc Iran phải tạm dừng các hoạt động làm giàu và thay thế các thiết bị bị hư hỏng, trì hoãn tham vọng hạt nhân của nước này trong nhiều tháng đến nhiều năm.
Tổng thống Iran khi đó Mahmoud Ahmadinejad giới thiệu một mẫu của máy ly tâm làm giàu uranium thế hệ thứ ba vào năm 2010. Ảnh: Getty Images
Chính phủ Iran, ban đầu không biết nguyên nhân gây ra sự cố máy ly tâm, cuối cùng đã thừa nhận bị xâm nhập mạng. Về mặt công khai, Iran đã hạ thấp tác động của Stuxnet, nhưng trong nội bộ, họ đã thúc đẩy đầu tư đáng kể vào các biện pháp an ninh mạng và phát triển các khả năng tấn công mạng.
Trong những năm tiếp theo, các vụ ám sát có chủ đích nhằm vào các nhà khoa học hạt nhân chủ chốt của Iran đã làm tê liệt thêm chương trình của họ. Các vụ đánh bom xe và các cuộc tấn công khác đã loại bỏ nhiều nhà lãnh đạo có liên quan, bao gồm cả giám đốc cơ sở Natanz.
Stuxnet không giới hạn ở Iran. Nó lan sang các quốc gia khác, bao gồm Ấn Độ, Indonesia và Pakistan, ảnh hưởng đến các hệ thống công nghiệp trên toàn thế giới. Tại Ấn Độ, một số cơ sở hạ tầng quan trọng, được báo cáo là đã lây nhiễm tới 80.000 máy tính. Một số nhà máy điện và đơn vị sản xuất cũng được phát hiện dễ bị tấn công tương tự.
Năm 2013, Ấn Độ đã thông qua Chính sách an ninh mạng quốc gia tập trung vào "bảo vệ cơ sở hạ tầng thông tin và duy trì tính bảo mật, toàn vẹn và khả dụng của thông tin trong không gian mạng". Năm sau, Trung tâm đã công bố thành lập Trung tâm bảo vệ cơ sở hạ tầng thông tin quan trọng quốc gia để bảo vệ hơn nữa không gian an ninh mạng của Ấn Độ.