В своей исчерпывающей книге о Stuxnet «Отсчет до нулевого дня» Ким Зеттер пишет: «Для поддержания этой государственной модели все должны оставаться уязвимыми, чтобы можно было атаковать единичные цели, – это сравнимо с отказом от вакцинации всего населения с целью заразить вирусом конкретных людей»[318].
Создатели Stuxnet, однако, явно полагали, что плюсов в таком подходе больше, чем минусов. После того как они разработали свое оружие, им осталось только доставить его на компьютеры, находящиеся в непосредственной близости от цели. Далее вирус распространялся от устройства к устройству и искал конфигурацию, которая подтвердила бы, что он оказался на станции в Натанзе, чтобы там он мог сбросить свою бомбу.
Stuxnet начал заражать компании, связанные с центром в Натанзе, 23 июня 2009 года[319]. Его первыми жертвами стали пять иранских предприятий, которые оказывали услуги в сфере ядерной энергетики. Чтобы Stuxnet преодолел воздушный барьер и приступил к работе, кому-нибудь из инженеров этих фирм достаточно было принести на станцию в Натанзе зараженную флешку или ноутбук и подключить устройство к системе. Оказавшись на станции, Stuxnet развернул бы свой код ровно так, как наблюдали в ходе экспериментов Ральф Лангнер и его коллеги в Германии: он стал бы внимательно проверять конфигурацию компьютеров, на которые попадал, и искать программы Siemens, а затем вычислять нужное промышленное оборудование с верными настройками.
Вирус был запрограммирован на поиск блоков, которые управляют вращением центрифуг, где происходит отделение уранового газа. Конструкция этих центрифуг устарела, поскольку Иран был отрезан от современного сообщества атомной энергетики и не имел доступа к новейшим технологиям. В связи с этим центрифуги были чрезвычайно чувствительны: один высокопоставленный иранский чиновник, работающий в сфере атомной энергетики, отметил, что в прошлом их разрывало на части просто из-за присутствия бактерий в механизме[320]. Stuxnet нацеливался на эти тонкие вращающиеся трубки и периодически разгонял их, а затем внезапно останавливал роторы.
Центрифуги должны вращаться со скоростью шестьдесят три тысячи оборотов в минуту. Любые внезапные и серьезные перемены в скорости почти наверняка должны были привести к деформации и растрескиванию их тонко настроенных компонентов, что в итоге причинило бы механизмам фатальный ущерб и вывело центрифуги из строя, поставив крест на обогащении урана на этой станции[321]. Ее сотрудники, однако, не должны были заметить никаких тревожных признаков, поскольку Stuxnet корректировал показания приборов, чтобы казалось, что не происходит ничего необычного и скорость роторов постоянна.
Постепенно Stuxnet делал свое тайное дело. В конце 2009 и начале 2010 года инспекторы МАГАТЭ стали замечать, что на станции в Натанзе под замену попадают сотни трубок – гораздо больше, чем изнашивается обычно[322]. Иран не только стремительно расходовал свои запасы запчастей для центрифуг, но и использовал драгоценный богатый ураном газ, пытаясь понять, в чем проблема.
Инициатор этой атаки калечил ключевую часть ядерной инфраструктуры Ирана, не делая ни одного выстрела, – и это, как оказалось, продолжалось уже некоторое время. Закопавшись глубже в код вируса, исследователи кибербезопасности обнаружили, что различные версии Stuxnet на протяжении нескольких лет атаковали станцию в Натанзе.
Судя по ранним версиям вируса, хакеры пробовали различные деструктивные тактики, включая создание избыточного давления в центрифугах. Но эти версии показывали и кое-что еще: в отличие от новейшей программы, они не были способны к самостоятельному распространению. Старую версию вируса необходимо было устанавливать непосредственно на компьютер, который отправлялся на станцию, о чем должно было быть известно хакерам. Это значит, что устройство «проносил» с собой один из сотрудников, имеющих доступ в ядерный центр. Кроме того, в отличие от более поздних версий, первые варианты Stuxnet активировались только при более точном совпадении заложенных в них требований с настройками системы на станции. Все перечисленное позволяло предположить, что некогда хакеры были гораздо ближе к своей цели: они знали о станции очень многое – возможно, из внутреннего источника. Как отметил Ральф Лангнер, «тот, кто снабжал их необходимой информацией, вероятно, знал и какую пиццу предпочитает местный главный инженер»[323].
Как нападающие получали эти данные? Здесь история делает поворот от чистой кибератаки к традиционному шпионажу. Через несколько лет после обнаружения Stuxnet появилась информация, что на ранних этапах разработки вируса у разведывательной службы Нидерландов был осведомитель в Иране (нидерландское правительство не давало комментариев по этому поводу). По данным журналистов, этот осведомитель основал подставную компанию, которая оказывала инженерные услуги станции в Натанзе. Начальники станции попались на крючок: шпион прошел внутрь с вирусом, подключил устройство к системе, а остальное всем уже известно[324]. Но, судя по всему, в какой-то момент хакеры лишились этого драгоценного инсайдерского доступа – и потому им пришлось создать новую версию вируса, которая распространялась автоматически, и запустить ее в одну из сотрудничающих со станцией компаний, чтобы она сама переходила с устройства на устройство, пока в конце концов не окажется на станции.
Но кто запустил эту хакерскую кампанию? Чем больше становилось известно о некогда секретной операции, тем больше подозрений падало на Америку. Многим не составило труда поверить, что США готовы задействовать свой потенциал в сфере высоких технологий, чтобы сдержать ядерные амбиции Тегерана. Когда журналисты прощупали эту историю, в правительстве США нашлось немало источников, готовых ее подтвердить, ведь американцы были очень довольны тем, что ударили по своему старому противнику. Разумеется, ни один из этих источников не сообщил ничего под запись: официально американское правительство так и не признало свою роль в атаке на иранскую ядерную отрасль. Тем не менее анонимных сводок для прессы оказалось достаточно, чтобы постепенно составить представление о происхождении Stuxnet.
Очевидно, идея запустить вирус впервые появилась в администрации Джорджа Буша-младшего. Изучив Stuxnet, исследователи обнаружили код, который, судя по некоторым признакам, был написан еще в 2005 году, всего через несколько лет после начала строительства атомной станции в Натанзе[325]. В газете The Washington Post и других изданиях сообщалось, что США вместе с Израилем разрабатывали вирус в рамках операции «Олимпийские игры». Ее продолжили и после прихода Обамы, и некоторые источники утверждают, что новый президент даже нарастил ее темпы в связи с давними опасениями Израиля из-за растущего влияния Ирана в регионе.
Зеттер пишет:
Дипломатические успехи в отношениях с Ираном были скромными, а санкции также не оказывали желаемого эффекта. Кроме того, возникали опасения, что, если США в скором времени не добьются результатов, израильтяне возьмут ситуацию в свои руки. По этим и другим причинам Обама решил не только продолжить, но и ускорить программу цифрового саботажа[326].
Как и США, Израиль никогда не давал официальных комментариев по этому вопросу.
К ноябрю 2010 года, когда исследователи кибербезопасности стали публиковать все больше информации о вирусе Stuxnet, его мишенях и влиянии, инженеры на станции в Натанзе остановили все центрифуги на шесть дней[327]. Возможно, они наконец поняли, что их компьютеры уже не первый год находятся под воздействием сложного вируса, который незаметно саботирует работу оборудования, чтобы оно никогда не функционировало должным образом. Stuxnet был настолько незаметен, что до сих пор ведутся споры о том, как оценить его влияние на иранскую программу обогащения урана. Есть свидетельства, что после обнаружения Stuxnet производство, наоборот, возросло, но высказываются и утверждения, что рост наблюдался лишь на одной-единственной линии и без вируса Иран продвинулся бы гораздо дальше, имея больше центрифуг и, следовательно, производя больше обогащенного урана[328].
На самом деле цель кампании, очевидно, изначально заключалась в том, чтобы ограничить возможности Ирана, не уничтожив при этом его потенциал. Как отмечает Лангнер, «нападающие вполне могли сломать своей жертве шею, но вместо этого предпочли периодически усиливать хватку, применяя удушающий прием»[329].
Делая свое оружие все более эффективным, создатели Stuxnet столкнулись с проблемой, которая стара, как шпионаж: проникнув в систему, они могли уничтожить ключевую часть предприятия противника, но в таком случае о проникновении стало бы известно и доступ оказался бы перекрыт. С такой же дилеммой руководители британской разведки столкнулись в ходе Второй мировой войны, когда взломали код «Энигмы» и расшифровали военные переговоры нацистов. Если бы они стали активно использовать полученные в результате этого данные, немцы поняли бы, что союзники взломали их шифр, и сменили бы форму шифрования. В конце концов создатели Stuxnet, похоже, поступили так же, как британцы: они решили использовать свои секретные инструменты, чтобы постепенно ослаблять противника, вместо того чтобы нанести ему очевидный удар.