Вычислить этот регион и даже конкретное государство, против которого была направлена атака Stuxnet, оказывается совсем несложно. Как уже говорилось, в механизм распространения червя его создателями заложен счетчик, искусственно ограничивающий ареал распространения инфекции. Согласно же данным компании Symantec, тщательно регистрирующей все известные случаи заражения компьютеров этим червем, география распространения напасти в августе 2010 года выглядела следующим образом. Иран — 62 867 инфицированных машин, Индонезия — 13 336, Индия — 6 552, США — 2 913, Австралия — 2 436, Великобритания — 1 038, Малайзия — 1 013 и Пакистан — 993.
Иначе говоря, если пересчитывать в относительных долях, а не в абсолютных цифрах, то на Иран приходится почти 70% всех зараженных систем... Ответ, как говорится, очевиден.
Ну а если цель атаки ясна, то становится намного проще ответить и на вопрос о том, кто может стоять за созданием Stuxnet. Два главных и самоочевидных политических противника Ирана — это, конечно, США и Израиль. Обе страны не только известны своей жесткой позицией относительно ядерных амбиций иранского государства, но и располагают достаточным техническим потенциалом для создания и применения кибероружия уровня Stuxnet. Но хотя эти факты помогают ощутимо сузить поиск, из них, строго говоря, совершенно не следует, что червя наверняка сделали израильтяне или американцы.
Для более весомых гипотез определенно требуются дополнительные детали. Надеяться, что такие детали или подсказки будут как-то добыты из тела препарированного червя — дело в общем-то сомнительное и безнадежное. Как свидетельствуют специалисты, авторы подобных программ могут намеренно встраивать в коды программ ложные следы и указатели, запутывающие тех, кто пытается отыскать источник.
По этой причине куда более продуктивным путем изысканий представляется — для начала — поиск конкретного объекта, против которого была направлена атака Stuxnet. Учитывая обостренную скрытность Ирана во всем, что касается его ядерной программы, сделать это тоже не так-то просто. Но кое-что все же известно.
Например, Ральф Лангнер, обильно цитировавшийся выше эксперт Siemens по безопасности промышленных систем управления, предполагает, что целью червя могла быть Бушерская АЭС. Эта десятилетиями достраиваемая электростанция является, вероятно, самым знаменитым объектом иранской ядерной программы. Лангнер же в поддержку своей гипотезы напоминает, что в минувшем августе объявленный пуск объекта в очередной раз был сорван без внятного объяснения причин, а также указывает на публиковавшийся в СМИ скриншот с экрана одного из управляющих компьютеров в Бушере. Снимок, как считается, был сделан в феврале 2009 года, отображает схему работы электростанции и свидетельствует, что для управления используются Windows и программное обеспечение Siemens. То есть компоненты именно той среды, которую атакует Stuxnet. Иных аргументов в поддержку гипотезы Лангнера, в общем-то, нет.
Куда более обоснованную и правдоподобную версию выдвинул другой немецкий специалист по компьютерной безопасности — технический директор берлинской фирмы GSMK Франк Ригер (Frank Rieger). Согласно результатам анализа Ригера, вероятной целью атаки червя была не Бушерская АЭС, как ныне предполагает большинство, а фабрика по обогащению урана в Натанзе. Этот мощно укрепленный и спрятанный глубоко под землёй завод, по свидетельствам экспертов, представляет собой намного большие риски с точки зрения производства ядерного оружия, нежели Бушерская АЭС.
В поддержку своего предположения Ригер приводит впечатляющий набор сведений из доступных ему публикаций прессы и свидетельств специалистов. Цепочка доводов начинается с анализа свойств самого червя. Хотя у антивирусных фирм нет единого мнения, когда именно Stuxnet появился (в Symantec признаки инфекции отследили лишь до января 2010, а в «Лаборатории Касперского» — до июля 2009 года), по имеющимся у немецкого эксперта данным, распространение Stuxnet происходило уже в январе 2009 года.
Полгода спустя, 17 июля 2009 года, известный сайт WikiLeaks опубликовал довольно туманную новость следующего содержания:
«Две недели тому назад один из источников, связанных с ядерной программой Ирана, конфиденциально сообщил WikiLeaks о серьезной ядерной аварии, произошедшей недавно в Натанзе. Натанз является главным объектом в иранской ядерной программе по обогащению урана. У WikiLeaks имеются основания доверять этому источнику, однако контакт с ним оказался утрачен. Обычно в WikiLeaks не принято упоминать подобного рода инциденты без дополнительных подтверждений информации. Однако сегодня, согласно сообщениям иранских СМИ и британской Би-Би-Си, Голамреза Агазаде, глава IAEO или Иранской организации по атомной энергии, ушел в отставку при загадочных обстоятельствах. Согласно этим сообщениям, вопрос об отставке был поднят двадцать дней назад.»
Последующая перекрестная сверка этих сведений с информацией из архивов новостного агентства Ирана ISNA подтверждает, что Агазаде действительно ушел с поста главы Организации по атомной энергии Ирана именно тогда. При этом, согласно официальным данным, предоставляемым IAEO в контролирующие структуры, количество функционирующих центрифуг в Натанзе существенно (на несколько тысяч) упало в то же время, когда WikiLeaks сообщила о серьезной аварии на объекте.
Наконец, по совсем уж интересному совпадению, примерно тогда же, 7 июля 2009 года, израильский новостной сайт ynet-news.com, связанный с известной и хорошо информированной газетой Yediot Ahronot, опубликовал материал о возможной кибервойне Израиля против иранской ядерной программы. Содержащиеся в этом материале сведения настолько любопытны, что имеет смысл привести наиболее содержательный фрагмент публикации в дословном пересказе.
Как рассказывает безымянный автор этой статьи, в конце девяностых годов компьютерный специалист из Shin Bet, израильской спецслужбы внутренней безопасности, хакнул компьютер-мейнфрейм, управляющий работой крупного топливного склада Пи-Глилот к северу от Тель-Авива. Поначалу это компьютерное проникновение мыслилось спецслужбой как своего рода дежурная проверка средств охраны на стратегически важном объекте. Но затем, по зрелом размышлении над важностью достигнутого результата, это также указало израильтянам на огромный потенциал подобных хайтек-проникновений, обеспечивающих пути к реально серьезным диверсиям.
«Попав однажды внутрь компьютерной системы Pi Glilot, мы неожиданно обнаружили, что — не говоря уже о доступе к секретным данным — мы можем также устроить преднамеренные взрывы, просто перепрограммируя подачу топлива в трубопроводах», — поделился воспоминаниями один из ветеранов тех памятных учений в спецслужбе Шин-Бет.
С этого знаменательного момента, собственно, и принято отсчитывать историю израильской кибервоенной программы, которая ныне, десятилетие спустя, рассматривается независимыми экспертами как наиболее вероятное направление усилий Израиля по обузданию ядерных амбиций его архипротивника Ирана.
По свидетельству осведомленных в этих делах источников, привлекательность кибератак особо возросла по тем причинам, что, с одной стороны, возможности Израиля для обычных авиаударов по удаленным и укрепленным атомным объектам Ирана существенно ограничены, а с другой стороны — главный союзник, США, ныне явно не желает ввязываться в еще одну открытую войну на Ближнем Востоке. Если же цитировать одного из недавно ушедших в отставку руководителей сил безопасности Израиля, то избранная стратегия звучит так: «Мы пришли к выводу, что для достижения наших целей ключевая уязвимость Ирана — в его компьютерных сетях... Поэтому мы стали действовать соответствующим образом».
Кибервоенные подразделения структурно упрятаны глубоко внутри разведывательных спецслужб Израиля, которые имеют богатейший опыт в традиционных методах саботажа и диверсий, а их операции тщательно прикрыты официальным режимом секретности и цензурой. Эти силы могут привлекать для своей работы самые ценные технологические достижения коммерческих фирм Израиля, многие из которых входят в число мировых хайтек-лидеров, а в руководстве которых зачастую сидят ветераны элитных компьютерных подразделений военной разведки.
Как охарактеризовал данную ситуацию Скотт Борг (Scott Borg), директор американской фирмы US Cyber Consequences Unit, консультирующей вашингтонские правительственные ведомства по вопросам кибербезопасности, «Если судить по моим контактам с израильскими специалистами на разнообразных международных форумах, Израиль сегодня вполне определенно располагает продвинутыми возможностями для кибератак».
Когда его попросили — чисто гипотетически — описать возможные сценарии атак Израиля против Ирана через компьютерные сети, Борг заметил, что вредоносное ПО, к примеру, можно было бы встроить в систему для того, чтобы нарушить, захватить или вообще уничтожить управление каких-нибудь критически важных объектов вроде заводов по обогащению урана.
