Pinligt: Stuxnet fløj under sikkerhedsfirmaers radar et helt år

Proaktiv beskyttelsessoftware og hvidlister.

It-sikkerhedsindustriens mange anprisninger af egne produkter viste sig ikke at hjælpe med computerormen Stuxnet, der først blev opdaget i sommers. Ormen er målrettet de såkaldte SCADA-systemer til industristyring, og den har sat en ny standard for malware.

Ikke alene er Stuxnet uhyre avanceret skruet sammen, det er også lykkedes for bagmændene at holde den under anti-virusfirmaernes radarer i mindst et år, og det er for dårligt, mener den finske sikkerhedsekspert Mikko Hypponen fra F-Secure.

»Antivirus firmaer og sikkerhedsindustrien bør opdage malware, meget hurtigere end i dette tilfælde. Det er faktisk ret pinligt for sikkerhedsvirksomheder så som vores eget,« siger han til Version2.dk

SCADA-ormen blev først endeligt registreret af sikkerhedsbranchen omkring juli i år, men ifølge en rapport fra sikkerhedsvirksomheden Symantec, så er malwaren på det tidspunkt mindst et år gammel.

Forklaringen på, hvorfor den ikke blev opdaget tidligere er ifølge Mikko Hypponen blandt andet, at flere af Stuxnets komponenter var signerede med gyldige certifikater af flere omgang - i første omgang fra Realtek Technologies. Det skal ses i lyset af den voldsomt voksende mængde malware, som tvinger sikkerhedsindustrien til at lave beskyttelsesforanstaltninger, som automatisk blåstempler eksempelvis programmer, der er signerede med gyldige certifikater.

»Så det er sandsynligvis derfor, at selv antivirusleverandører, som opsnappede filen i deres automatiserede systemer, fik den kategoriseret som 'ren' eller 'sandsynligvis ren' i stedet for 'sandsynligvis inficeret',« siger han.

Udover certifikaterne, så er Stuxnet også en stor fil på over 1,5 MB, hvor flere dele er kodet i høj-niveau programmeringssprog, så den til forveksling har lignet et ufarligt program, påpeger Mikko Hypponen.

»Og det er undskyldningen. Det er ikke en god undskyldning, vi skulle have gjort vores arbejde bedre. Men det er den undskyldning, vi har,« siger han.

Endeligt er han ikke i tvivl om, at dem, der står bag Stuxnet, har haft rig lejlighed for at teste malwaren op imod gængse sikkerhedsprodukter for at sikre, at den ikke ville blive opdaget.

»Og hvis den blev opdaget, har de ændret på den, indtil den ikke længere blev det,« siger han og tilføjer:

»Og det er den fordel, angriberne har. De har ubegrænset tid til at skabe og teste deres malware og sikre sig, at den kan forbigå hvilken som helst beskyttelse på markedet.«