Hur 30 rader kod sprängde en 27-tons generator
Ett hemligt experiment 2007 visade att hackare kunde förstöra elnätet bortom reparation – med bara en fil som inte är större än en vanlig GIF.
Tidigare i veckan släppte det amerikanska justitiedepartementet ett åtal mot en grupp hackare som kallas Sandworm. I dokumentet anklagades sex hackare som påstås arbeta för den ryska militära underrättelsetjänsten GRU för databrott kopplade till cyberattacker runt om i världen, från att sabotera vinter-OS 2018 i Korea till att sprida den mest destruktiva skadliga programvaran i ukrainsk historia.
Attacken på Ukrainas elnät 2016 verkar ha utformats inte bara för att stänga av strömmen, utan för att orsaka fysisk skada på elektrisk utrustning. Och när en cybersäkerhetsforskare vid namn Mike Assante grävde ner sig i detaljerna kring denna attack insåg han att hacket inte uppfanns av ryska hackare, utan av den amerikanska regeringen, och hade redan testats ett decennium tidigare.
WIRED publicerade en artikel med ett utdrag ur boken SANDWORM: A New Era of Cyberwarfare and the Hunt for the Kreml’s Most Dangerous Hackers, publicerad förra veckan. Vi har översatt den och inbjuder dig att läsa en fascinerande berättelse om ett av de tidigaste framgångsrika experimenten inom nätverkshackning. Idag fungerar det fortfarande som en kraftfull varning för de potentiella effekterna av cyberattacker på den fysiska världen, och en bister föraning om de kommande Sandworm- attackerna.
En kall och blåsig morgon i mars 2007 anlände Mike Assante till Idaho National Laboratory 52 miles väster om Idaho Falls, en byggnad mitt i ett enormt högt ökenlandskap täckt av snö och sagebrush. Han gick in i hallen inne i besökscentret där en liten folkmassa samlades. Teamet inkluderade tjänstemän från Department of Homeland Security, Department of Energy och North American Electric Reliability Corporation (NERC), chefer från flera elföretag runt om i landet, och andra forskare och ingenjörer som, liksom Assante, hade i uppdrag att National Laboratory för att genomföra sina dagar i fantasin om katastrofala hot mot Amerikas kritiska infrastruktur.
Längst fram i rummet fanns en rad videomonitorer och datalänkar inrättade för att vända sig mot stadionsätena i rummet, som flygledningscentralen för en raketuppskjutning. Skärmarna visade livematning från flera vinklar från den massiva dieselgeneratorn. Bilen var storleken på en skolbuss, mintgrön, en gigantisk massa stål som vägde 27 ton, ungefär samma som en M3 Bradley-tank. Det var en mil från auditoriet, i en elektrisk transformatorstation, producerade tillräckligt med elektricitet för att driva ett sjukhus eller ett krigsfartyg, och gjorde ett stadigt vrål. Värmevågor som strömmade ut från dess yta skakade horisonten i bilden av videoströmmen.
Assante och hans kolleger INL -forskare köpte en generator för 300 000 dollar från ett oljefält i Alaska. De skickade den tusentals miles till Idaho Proving Ground, en 890 kvadratkilometer stor mark där det nationella labbet upprätthöll ett stort elnät för teständamål, komplett med 100 kilometer överföringsledningar och sju elektriska transformatorstationer.
Nu när Assante hade gjort sitt jobb ordentligt, skulle de förstöra henne. Och de samlade forskarna planerade att förstöra denna mycket dyra och varaktiga mekanism, inte med något fysiskt verktyg eller vapen, utan med cirka 140 kilobyte data, en fil mindre än den genomsnittliga katt-GIF som publicerades på Twitter idag.
För tre år sedan var Assante säkerhetschef för American Electric Power ., ett allmännyttigt företag med miljontals kunder i 11 delstater från Texas till Kentucky. En före detta marinofficer som blev cybersäkerhetsingenjör, Assante var väl medveten om möjligheten av hackerattacker på elnätet. Men han blev bestört över att se att de flesta av hans kollegor inom elbranschen hade en relativt förenklad syn på detta fortfarande teoretiska och avlägsna hot. Om hackare på något sätt kom in i företagets nätverk och började öppna strömbrytare, trodde branschen vid den tiden att personalen helt enkelt kunde sparka inkräktarna från nätet och slå på strömmen igen. "Vi kunde hantera det som en storm", minns Assante sina kollegors ord. "Som det var tänkt att vara, skulle det vara som en avstängning och vi skulle återhämta oss från misslyckandet, och det var gränsen för att tänka på riskmodellen."
Men Assante, som hade en sällsynt nivå av kunskap om överhörningen mellan elektrisk nätverksarkitektur och datorsäkerhet, kom på en knepigare idé. Tänk om angripare inte bara tog över nätverksoperatörernas kontrollsystem för att vända switchar och orsaka tillfälliga strömavbrott, utan istället omprogrammerade automatiserade nätverkselement, komponenter som fattade sina egna beslut om nätverksdrift utan att kolla med någon?
Specifikt tänkte Assante på en enhet som kallas ett skyddsrelä. Skyddsreläer är utformade för att fungera som en skyddsmekanism för att skydda mot farliga fysiska förhållanden i elektriska system. Om ledningarna överhettas eller generatorn går ur synk, är det dessa skyddsreläer som upptäcker anomalien och öppnar strömbrytaren, stänger av felplatsen, sparar värdefull utrustning och till och med förhindrar bränder. Skyddsreläet fungerar som en slags livräddare för nätverket.
Men tänk om det skyddsreläet kunde förlamas – eller, ännu värre, skadas så att det skulle bli en glidbana för en angripares nyttolast?
Denna oroande fråga ställdes till Assante vid Idaho National Laboratory medan han arbetade inom elkraftsindustrin. Nu, i labbets besökscenter för testplatsen, var han och hans medingenjörer på väg att sätta sin mest onda idé i verket. Det hemliga experimentet fick ett kodnamn som skulle bli synonymt med möjligheten till digitala attacker med fysiska konsekvenser: Aurora .
Testledaren läste upp tiden: 11:33. Han kollade med säkerhetsingenjören att det inte fanns några främlingar runt labbets dieselgenerator. Han gav sedan grönt ljus till en av cybersäkerhetsforskarna vid National Laboratorys kontor i Idaho Falls att inleda attacken. Som alla äkta digitala sabotage kommer detta att utföras mil och mil bort, via Internet. Som svar skickade den simulerade hackaren ungefär trettio rader kod från sin bil till ett säkerhetsrelä kopplat till en dieselgenerator av bussstorlek.
Insidan av denna generator, fram till det ögonblick den saboterades, utförde en sorts osynlig, perfekt harmoniserad dans med det elektriska nätet som den var ansluten till. Dieselbränslet i dess kammare sprutades och exploderade med omänsklig timing för att flytta kolvar som roterade en stålstång inuti en generatormotor – hela aggregatet var känt som "primören" – cirka 600 gånger per minut. Denna rotation var genom en gummibussning utformad för att dämpa alla vibrationer, och sedan in i de elgenererande komponenterna: en hävstång lindad med koppartråd, innesluten mellan två massiva magneter, så att varje rotation inducerade en elektrisk ström i ledningarna. Snurra denna massa av sårad koppar tillräckligt snabbt,
Säkerhetsreläet kopplat till denna generator var utformat för att förhindra att det kopplas till resten av elnätet utan att först synkroniseras till den exakta rytmen: 60 hertz. Men hackaren Assante i Idaho Falls har precis programmerat om den säkerhetsenheten och vänt dess logik på huvudet.
Vid 11:33 och 23 sekunder upptäckte skyddsreläet att generatorn var perfekt synkroniserad. Men sedan gjorde hans vridna hjärna motsatsen till vad den var designad för: den öppnade en strömbrytare för att stänga av maskinen.
När generatorn kopplades bort från Idaho National Laboratorys större elnät och befriades från bördan av att dela upp det enorma systemet, började den omedelbart accelerera och snurra snabbare. Så snart säkerhetsreläet upptäckte att generatorns rotation hade ökat till att vara helt osynkroniserad med resten av nätverket, kopplade dess logik, avsiktligt omvänd av hackaren, den omedelbart till nätverksmekanismen.
I samma ögonblick som dieselgeneratorn återansluts till det större systemet, träffades den med dödlig kraft från någon annan snurrande generator i nätverket. All denna utrustning återförde den relativt lilla massan av dieselgeneratorns roterande komponenter till sin ursprungliga, lägre hastighet för att matcha grannarnas frekvenser.
På skärmarna såg den församlade publiken när den gigantiska maskinen skakade med plötslig, fruktansvärd kraft och gav ifrån sig ett ljud som whiplashes. Hela processen från det ögonblick då den skadliga koden lanserades till den första tremoren tog bara en bråkdel av en sekund.
Svarta bitar började flyga ut ur generatorns åtkomstpanel, som forskarna hade lämnat öppen för att observera dess insida. Inuti revs den svarta gummibussningen som förbinder de två halvorna av generatoraxeln isär.
Sekunder senare skakade maskinen igen när säkerhetsreläkoden upprepade sin sabotagecykel, vilket stängde av och på maskinen igen osynkroniserat. Den här gången började ett moln av grå rök välla ut ur generatorn, möjligen resultatet av att gummibitarna brann inuti den.
Trots månader av ansträngning och miljontals dollar i federala medel som han spenderade på att utveckla attacken de bevittnade, kände Assante på något sätt en viss sympati för maskinen när den slets isär från insidan. "Du börjar rota efter det som en liten motor," mindes Assante. "Jag tänkte "du klarar det!"
Bilen överlevde inte. Efter den tredje träffen släppte hon ett större moln av grå rök. Efter den fjärde nedslaget steg en svart rökstråle 10 meter ovanför bilen upp i luften.
Testledaren avslutade experimentet och kopplade bort den förstörda generatorn från elnätet för sista gången, vilket lämnade den dödligt orörlig. I en efterföljande rättsmedicinsk analys fann labbforskare att motoraxeln hade kolliderat med motorns innervägg, lämnade djupa skåror på båda sidor och fyllde maskinens inre med metallspån. På andra sidan av generatorn smälte dess ledningar och isolering och brann. Bilen förstördes.
Tystnad rådde i besökscentret efter demonstrationen. "Det var ett nyktert ögonblick", minns Assante. Ingenjörer har precis bevisat bortom allt tvivel att hackare som attackerar ett elektriskt nätverk kan gå längre än att tillfälligt störa offrets arbete: de kan skada sin mest kritiska utrustning utan reparation. "Föreställ dig vad som skulle hända med en maskin i en riktig fabrik, det skulle vara hemskt", säger Assante. "Med bara några rader kod kan du skapa förhållanden som fysiskt kan orsaka allvarliga skador på de maskiner vi litar på."
Men Assante minns också att han kände något allvarligare i ögonblicken efter Aurora-experimentet. Det fanns en känsla av att han, som Robert Oppenheimer när han tittade på det första atombombtestet vid ett annat amerikanskt nationellt laboratorium sex decennier tidigare, bevittnade födelsen av något historiskt och extremt kraftfullt.
Enligt Wired.