Ketika itu Jumat malam di akhir bulan Agustus, dan O Murchu sedang merayakan ulang tahunnya yang ke-33 di sebuah bar terbuka di atas Hotel Erwin yang menghadap ke Samudera Pasifik di Venice, California. Dia menikmati bir dan koktail bersama keluarga dan kolega. Di dekatnya, kru reality show stasiun TV tengah memfilmkan pasangan yang akan melewati gerakan canggung sebuah kencan “privat.”
Kelompok O Murchu sudah berada di tempat tersebut selama tiga jam ketika Chien muncul sekitar jam sembilan malam. Meskipun, pikiran Chien tidak berada di pesta itu. Dia ingin menunjukkan sesuatu kepada O Murchu, tapi dia enggan membawa pekerjaan ke tempat itu.
“Aku akan menunjukkan padamu sesuatu, tapi kemudian kita tak akan membicarakannya sepanjang malam,” katanya kepada O Murchu. Dia mengeluarkan BlackBerry-nya dan menunjukkan e-mail yang baru saja dia terima. Dalam e-mail itu, peneliti keamanan yang lain mengatakan bahwa ada banyak lagi zero-day yang tersembunyi di dalam Stuxnet.
O Murchu menatap Chien. Mereka telah membedah Stuxnet selama lebih dari sebulan dan melihat petunjuk keberadaan exploit lain di dalamnya, tapi mereka tidak menemukannya. E-mail tersebut tidak menjelaskan secara detail, tapi sekadar dugaan bahwa kemungkinan ada lebih banyak zero-day di dalam genggamannya sudah cukup menyulut semangat bersaing O Murchu.
"Sudah cukup,” katanya. “Aku tak akan minum lagi malam ini.”
Keesokan paginya, hari Sabtu, O Murchu kembali bekerja menggali lebih dalam kode tersebut, fokus pada bagian yang digunakan Stuxnet untuk menyebarkan diri, dan menguji dan mendokumentasikan temuannya. Dia istirahat saat menjelang sore hari dan mengirimkan catatanya kepada Chien, yang terus bekerja sepanjang malam. Pada akhir pekan, mereka telah menemukan tiga lagi zero-day yang menakjubkan.
Selain kerentanan LNK, Stuxnet juga memanfaatkan kerapuhan print spooler di komputer Windows untuk menyebar di seluruh komputer yang menggunakan printer yang sama. Zero-day ketiga dan keempat menyerang kerapuhan keamanan dalam keyboard file dan Task Scheduler Windows untuk meningkatkan keleluasaan penyerang terhadap komputer korban dan memberi mereka kendali sepenuhnya. Selain itu, Stuxnet memanfaatkan kerentanan password statis yang telah di-hard-code oleh Siemens ke dalam perangkat lunak Step7. Stuxnet menggunakan password itu untuk mengakses dan menginfeksi server yang menjadi basis data, dan dari sana menginfeksi komputer lain yang terhubung dengan server tersebut.
Para penyerang itu dengan kejam ingin menyebarkan malware mereka, tapi dengan cara terbatas yang aneh. Tak seperti kebanyakan malware yang menggunakan e-mail atau situs berbahaya untuk menginfeksi banyak korban pada waktu yang bersamaan, tidak ada Stuxnet yang memanfaatkan internet; semuanya menyebar melalui local area networks. Ada satu Stuxnet utama yang menyebar dari satu fasilitas ke fasilitas lainnya, dan di dalam drive USB terinfeksi yang diselundupkan ke dalam fasilitas di kantong seseorang.
Kelihatannya para penyerang menargetkan sistem yang mereka ketahui tak terhubung dengan internet. Dan mengingat bahwa mereka menggunakan empat zero-day melakukannya, targetnya pasti bernilai tinggi.
Ini adalah metode penyerangan yang kotor dan tidak akurat -sedikit mirip dengan menginfeksi salah satu istri Osama bin Laden dengan virus langka, sambil berharap dia akan menularkannya ke pemimpin Al Qaeda itu. Virus tersebut pasti akan menginfeksi orang lain di luar target, meningkatkan peluang rencana itu akan terungkap.
Inilah yang persis terjadi dengan Stuxnet. Peneliti Symantec menemukan bahwa setiap contoh worm mengandung nama domain dan tanda waktu dari tiap sistem yang diinfeksinya. Hal ini memungkinkan para peneliti melacak kembali seluruh infeksi ke komputer yang menjadi sumber awal infeksi.
Mereka menemukan bahwa para penyerang memfokuskan serangan mereka pada komputer di lima organisasi di Iran yang dipercaya akan mejadi pintu menuju target yang mereka cari. Kelima organisasi itu diserang berulang kali dalam waktu yang berbeda-beda di bulan Juni dan Juli 2009 dan terjadi lagi pada bulan Maret, April dan Mei 2010. Tapi karena keberadaan exploit zero-day di dalamnya, Stuxnet menyebar di luar organisasi ini, menginfeksi tempat lainnya.
Symantec melaporkan zero-day tambahan yang mereka temukan dalam kode tersebut kepada Microsoft dan perusahaan antivirus lainnya, yang kemudian memeriksa arsip malware mereka untuk melihat apakah ada sesuatu yang mirip exploit tersebut pernah muncul sebelumnya.
Luar biasa, mereka menemukan bahwa exploit LNK yang menyerang kerapuhan yang sama di Windows Explorer pernah muncul pada November 2008. Kerapuhan Windows Explorer digunakan untuk menyebarkan sebuah varian Zlob, sejenis Trojan horses yang meng-install adware (advertising-supported software) dan bakcdoors berbahaya di komputer yang terinfeksi.
Varian Zlob telah ditangkap oleh perusahaan antivirus secara otomatis melalui sistem pelaporan malware dari komputer pelanggan, tapi exploit zero-day di dalamnya luput dari perhatian ketika itu. Setelah kemunculan pertamanya, exploit zero-day sempat menghilang sampai muncul kembali dalam Stuxnet.
Sebenarnya exploit terhadap kerapuhan keamanan print spooler sebelumnya sudah pernah diungkap. Pada tahun 2009, majalah keamanan di Polandia menerbitkan artikel yang menjelaskan kerentanan tersebut dan bahkan menyediakan source code exploit yang berfungsi untuk menyerang print spooler dari jauh. Namun, Microsoft tak pernah mengetahui ini, dan dengan demikian tak pernah memperbaikinya.
Bahkan password basis data (database) hard-coded Siemens sudah pernah diekspos sebelumnya. Pada tahun 2008, seseorang menggunakan nama “Cyber” mempostingnya secara online ke forum yang didedikasikan khusus untuk produk Siemens di Jerman dan Rusia.
Apakah para pencipta Stuxnet, atau seseorang yang bekerja dengan mereka, telah melihat exploit LNK pada tahun 2008 dan mengumpulkannya untuk digunakan dalam serangan mereka, berharap Microsoft tak pernah menutupi kerapuhan Windows? Atau apakah mereka telah membelinya dari pencipta Zlob (yang dipercaya merupakan hacker kriminal dari Eropa Timur) di pasar gelap exploit, dimana zero-day bisa dijual seharga USD50.000 sampai USD500.000? Apakah mereka menemukan kerentanan yang lain dengan cara yang sama?
(Gambar ini menunjukkan mesin pemutar (sentrifugal) pengaya uranium di reaktor Natanz. Panah merah menunjukkan rotor berputar yang hendak disabotase Stuxnet.)
Kantor Symantec di Culver City tergolong luas, sejuk, dengan langit-langit tinggi yang terlihat seperti sesuatu dari film The Island. Suara tumit sepatu terdengar jelas ketika pengunjung menginjak ubin lebar berwarna gelap, sementara tangga ke lantai atas didesain agar pembangkit listrik dan sistem ventilasi tersembunyi di bawahnya. Bangunan seluas 497.000 kaki per segi itu juga mengantongi sertifikat ramah lingkungan, dengan dinding terluar sebagian besar terbuat dari kaca agar penghuni bisa melihat pemandangan atau, pemandangan lain di lingkungan membosankan di dekat bandara Los Angeles ini.
Threat Intelligence Team berada di balik tiga pintu pengamanan sekaligus dalam sebuah ruang dingin yang dilengkapi ruang kecil dan layar besar yang menghadap ke bukit berumput yang tertutup pohon, yang merupakan taman yang sengaja dibangun untuk menghadirkan suasan alami. Tak ada tanaman di ruangan tesebut, tak ada gambar di dinding, tak ada tanda game konyol yang dimainkan pekerja untuk mengusir kebosanan. Tak ada juga akses internet, hanya jaringan terisolasi Symantec –di mana peneliti membiarkan malware masuk untuk meneliti kerusakan yang ditimbulkannya. Perangkat removable media juga dilarang masuk ke ruangan ini, untuk menghindari menyebarnya malware ke jaringan bisnis Symantec dan ke internet.
Bekerja di laboratorium yang amat ketat seperti ini penuh dengan kerumitan. Ketika meneliti Stuxnet secara online, Chien dan O Murchu harus pergi ke ruang penyimpanan server di luar kantor, dimana mereka punya laptop yang terhubung ke internet.
Seminggu pertama setelah Stuxnet ditemukan, Chien dan O Murchu telah mengungkap metode infeksinya, tapi mereka belum tahu mengapa Stuxnet dibuat, atau apa yang dilakukannya selain menyebar. Rahasia itu tersimpan di dalam muatannya yang rumit. Tugas untuk me-reverse-engineering bagian kode ini diserahkan kepada Nicolas Falliere, pria 28 tahun asal Perancis.
Falliere adalah seorang pemalu, bersuara lembut dan terlihat lebih cocok menjadi DJ musik di club underground Paris daripada meneliti setumpuk kode selama perjalanan di atas Metro. Chien merekrutnya begitu lulus kuliah pada tahun 2006. Dia khusus membidangi analisis mendalam terhadap sebuah ancaman, dan mengasah kemampuannya dalam reverse-engineering (reverse-engineering adalah proses menemukan prinsip-prinsip teknologi dari suatu perangkat, objek, atau sistem melalui analisis struktur, fungsi, dan operasinya) sewaktu remaja ketika memecahkan file Crackme – game kode yang ditulis programmer satu sama lain untuk menguji kemampuan reverse-engineering mereka.
Falliere menentukan bahwa Stuxnet memiliki tiga bagian utama dan 15 komponen, seluruhnya dikemas dalam lapisan enkripsi mirip boneka Rusia. Stuxnet mengurai dan mengekstraksi tiap komponen sesuai kebutuhan, tergantung dari kondisi yang dijumpainya di mesin yang terinfeksi.
Selain itu, Stuxnet juga memiliki konfigurasi file yang luas -mdmcpq3.pnf- yang dilengkapi lebih dari 400 menu yang bisa diubah pembuatnya untuk mengendalikan segala aspek dari kode, seperti berapa lama ia harus menyebar, dan berapa lama setiap exploit harus bekerja. Di sinilah para peneliti menemukan tanggal berakhirnya, yakni 24 Juni 2012. Tiap kali Stuxnet akan mulai bekerja di mesin yang ia infeksi, ia akan mengecek tanggal di mesin tersebut; jika lebih lambat dari tanggal di dalam file konfigurasi, Stuxnet akan mati. Diduga ini merupakan kerangka waktu dimana Stuxnet diharapkan telah mencapai semua tujuannya.
Namun, bagian terpenting Stuxnet adalah muatannya yang berbahaya. Jika Stuxnet menentukan bahwa sistem yang terinfeksi memiliki perangkat lunak Siemens Step7, malware tersebut akan mengurai dan memasukkan file DLL ke dalam mesin. File DLL ini kemudian menyamar sebagai file DLL -s7otbxdx.dll- yang berfungsi sebagai tempat penyimpanan fungsi yang digunakan oleh bagian-bagian Step7.
Step7 memiliki antar muka berbasis Windows yang bagus untuk pemrograman dan monitoring perangkat yang disebut Programmable Logic Controller. PLCs pada dasarnya adalah komputer mungil, umumnya seukuran pemanggang roti, yang mengendalikan semuanya mulai dari motor dalam pabrik perakitan kemasan sampai katup penting dalam jaringan pipa gas. Untuk berkomunikasi dan memprogram PLC, pekerja pabrik memasukkan mesin Windows Step7 mereka ke dalam PLC dan mengirimkan perintah atau menerima data laporan.
Nah, dari sinilah file DLL berbahaya Stuxnet masuk. Falliere menemukan bahwa Stuxnet akan menyadap perintah yang datang dari perangkat lunak Step7 ke PLC dan menggantinya dengan perintah jahatnya sendiri.
Pada saat yang sama, bagian lain dari Stuxnet menonaktifkan seluruh alarm otomatis yang mungkin mati di dalam sistem akibat perintah berbahaya. Stuxnet juga menutupi apa yang terjadi di PLC dengan menyadap status laporan yang dikirim dari PLC ke mesin Step7, dan menghapus semua tanda perintah berbahaya. Walhasil, para pekerja yang mengawasi PLC dari mesin Step7 hanya akan melihat perintah yang sah di perangkat –seperti film pencurian Hollywood dimana pencuri menyisipkan video klip ke kamera pengintai sehingga penjaga yang melihat monitor hanya melihat gambar yang tak berbahaya bukan gambar penjahat yang tengah beraksi.
Fakta bahwa Stuxnet menyuntikkan perintah ke dalam PLC dan menutupi bahwa telah melakukan hal itu merupakan bukti bahwa Stuxnet sengaja dirancang, bukan untuk spionase seperti yang dipercayai semua orang, tapi untuk sabotase fisik. Para peneliti tercengang. Inilah untuk pertama kalinya orang melihat langsung kode digital digunakan untuk merusak sesuatu secara fisik di dunia nyata. Hollywood telah membayangkan hal seperti itu sebelumnya dalam film Die Hard. Kini realitas sudah berhasil mewujudkan fantasi.
"Kami mengharapkan sesuatu yang menjadi spionase, kami mengharapkan sesuatu untuk mencuri nomor kartu kredit; itulah yang kami hadapi setiap hari,”kata Chien. “Tapi kami tak mengharapkan hal seperti ini.”
Pada 6 Agustus, Symantec menerbitkan posting di blog menyampaikan bahwa Stuxnet adalah serangan yang bertujuan membajak Programmable Logic Controller di sistem Siemens dengan menginjeksi kode berbahaya.
Untuk menggambarkan kemampuan merusak Stuxnet, para peneliti merujuk serangan digital CIA pada 1982 yang sering dikutip terhadap jaringan pipa Siberia yang mengakibatkan ledakan berkekuatan seperlima bom atom yang diledakkan di Hiroshima. Menurut cerita yang tak pernah dibuktikan, Amerika Serikat menemukan bahwa Rusia mencuri data teknologi Amerika Serikat. Jadi CIA sengaja memasukkan logic bomb ke dalam perangkat lunak yang diketahui CIA telah dibeli Rusia dari perusahaan Kanada untuk mengoperasikan pompa dan katup pada pipa gas alam mereka. Pada awalnya peralatan tersebut bekerja dengan baik, tapi pada titik yang telah diprogram, menyebabkan katup di dalam pipa rusak, membuat tekanan meningkat yang meledak menjadi bola api sangat besar sehingga bisa ditangkap satelit yang mengorbit.
Bukti bahwa Stuxnet mensabotase PLC adalah sebuah terbososan besar. Tapi ada satu masalah: tak satu pun peneliti Symantec yang tahu banyak tentang PLC untuk mencari tahu apa sebenarnya yang dilakukan Stuxnet terhadapnya. PLC menggunakan bahasa pemrograman unik, STL, yang mungkin juga asing bagi peneliti antivirus yang ahli dalam program Windows dan bahasa perakitan PC. Di blog mereka, Symantec meminta siapa saja yang tahu tentang PLC dan STL untuk menghubungi mereka. Tapi tak ada yang menanggapi.
Dua minggu setelah Symantec menerbitkan posting tersebut, trafik dari mesin yang terinfeksi di Iran tiba-tiba tak lagi melapor ke sinkhole Symantec. Iran telah mulai memblokir koneksi ke luar dari mesin yang terinfeksi. Seseorang di Iran tak ingin ada yang tahu mesin mana yang terinfeksi, atau bisa mengakses mesin tersebut melalui Stuxnet.
Chien berharap ketika mereka menerbitkan postingan, peneliti lain akan mengikutinya dengan informasi yang lebih lanjut. Umumnya, ketika mereka menganalisa malware baru, pesaing mereka menganalisanya secara bersamaan, dan mereka akan berlomba mempublikasikan penemuan mereka lebih dahulu. Karya duplikasi dijadikan sebagai peer-review (penilaian sejawat) internal untuk membantu verifikasi ketepatan temuan masing-masing perusahaan. Tapi kali ini tak ada tanda bahwa peneliti lain secara serius menggali kode tersebut.
“Kita berbicara tentang meledakkan sesuatu! Kata Chien baru-baru ini, yang masih heran karena Stuxnet tampaknya tidak menarik buat peneliti. Sebaliknya, menurut Chien, mereka justru “diam seperti jangkrik.”
