rootkit.plc

Stuxnet, quando il codice diventò un'arma fisica

Scoperto nel 2010, Stuxnet fu il primo malware progettato per causare danni fisici nel mondo reale: sabotò in segreto le centrifughe dell'arricchimento nucleare iraniano. Questo pezzo lo racconta come reperto inquietante, il punto in cui il codice smise di essere solo informazione e divenne un'arma capace di distruggere la materia.

Anno: 2010
Era: 2010-2019
Linguaggio: C/C++
Reperto: ~500 KB

C/C++stuxnet.txt

se PLC controlla centrifughe:
  altera la velocita',
  falsifica i sensori,
  nascondi tutto
; danno fisico, reale

Un'arma scoperta per caso

Nel 2010 alcune società di sicurezza informatica si imbatterono in un programma malevolo come non se ne erano mai visti. Era enorme, di una complessità mostruosa, scritto con una cura e una raffinatezza che tradivano risorse e competenze fuori dalla portata dei comuni criminali informatici. Più lo analizzavano, più cresceva lo sgomento: questo software non era stato creato per rubare dati o denaro, lo scopo abituale del malware. Era stato creato per distruggere qualcosa di fisico.

Il programma fu battezzato Stuxnet, da frammenti di parole trovati nel suo codice. La sua scoperta fu in parte fortuita: era progettato per restare invisibile, per fare il suo lavoro in silenzio e non essere mai notato, ma un errore nella sua propagazione lo fece sfuggire al bersaglio previsto e diffondersi più del dovuto, finendo sotto gli occhi dei ricercatori. Senza quell'errore, forse non ne avremmo mai saputo nulla.

Ciò che gli analisti ricostruirono, pezzo dopo pezzo, aveva i contorni di un thriller geopolitico. Stuxnet non colpiva a caso: cercava un bersaglio molto specifico, e quando non lo trovava restava inerte, innocuo. Stava dando la caccia a un tipo preciso di apparecchiatura industriale, in un luogo preciso del mondo.

Il salto dal digitale al fisico

Per capire perché Stuxnet sia un reperto epocale bisogna afferrare cosa faceva. Il suo bersaglio erano i PLC, i controllori logici programmabili: piccoli computer industriali che governano i macchinari nelle fabbriche, nelle centrali, negli impianti. Sono loro a dire a un motore quanto velocemente girare, a una valvola quando aprirsi. Stuxnet era progettato per infiltrarsi in un tipo specifico di questi controllori, prodotti da Siemens, e usati in particolare per pilotare le centrifughe dell'arricchimento dell'uranio.

Il bersaglio reale, secondo le ricostruzioni, era l'impianto nucleare iraniano di Natanz. Una volta dentro, Stuxnet faceva qualcosa di diabolicamente sottile. Non distruggeva tutto in un colpo, il che avrebbe destato sospetti. Alterava di nascosto la velocità di rotazione delle centrifughe, facendole girare troppo veloci o troppo lente in modo da usurarle e danneggiarle nel tempo, lentamente, come per un guasto naturale. E mentre lo faceva, ingannava i sistemi di controllo: ai tecnici che osservavano i monitor, tutto appariva perfettamente normale. I sensori mentivano, mostrando valori regolari mentre le macchine, in realtà, si autodistruggevano.

Questo è il salto che rende Stuxnet uno spartiacque nella storia. Per la prima volta, un programma informatico usciva dal mondo dei bit per produrre danni concreti, fisici, nel mondo della materia. Non rubava informazioni, non bloccava schermi: rompeva macchinari reali, di metallo, in un edificio reale, dall'altra parte del pianeta. Il confine tra cyberspazio e mondo fisico, che si pensava netto, era stato attraversato.

La firma di uno Stato

Tutto, in Stuxnet, indicava un autore eccezionale. Sfruttava non una, ma diverse vulnerabilità sconosciute e preziosissime — le cosiddette falle zero-day, difetti mai resi pubblici, ciascuna di enorme valore. Conosceva nel dettaglio il funzionamento di specifici impianti industriali, una competenza rara e settoriale. Era costruito con una professionalità e una pazienza che richiedevano un budget e un'organizzazione da nazione, non da gruppo di criminali o attivisti.

Sebbene nessun governo abbia mai ammesso ufficialmente la paternità, l'analisi tecnica e le inchieste giornalistiche hanno indicato con forte convergenza un'operazione congiunta di Stati Uniti e Israele, concepita per rallentare il programma nucleare iraniano senza ricorrere a un bombardamento. Stuxnet era, in altre parole, un'arma di Stato: un atto di sabotaggio militare condotto interamente tramite codice, senza esplosioni, senza soldati, senza una dichiarazione di guerra.

Questo inaugurò ufficialmente un'era nuova e inquietante: quella della guerra cibernetica come strumento concreto della geopolitica. Da quel momento, gli Stati hanno apertamente investito in capacità offensive digitali, e le infrastrutture critiche di ogni paese — centrali elettriche, reti idriche, ospedali, sistemi finanziari — sono diventate potenziali bersagli di attacchi condotti con il codice. Stuxnet fu la prova che funzionava, e nessuno poté più ignorarlo.

Perché custodirlo

Stuxnet merita una teca, per quanto sinistra, perché segna una perdita d'innocenza definitiva sul potere del software. Per decenni si era pensato al codice come a qualcosa di astratto, fatto di informazione pura, i cui danni peggiori erano la perdita di dati o di denaro. Stuxnet dimostrò che il codice può uccidere macchine, e potenzialmente persone: può far esplodere una centrale, deragliare un treno, bloccare un ospedale. Il software era diventato una forza che agisce direttamente sul mondo fisico.

C'è una riflessione etica ineludibile, che questo reperto impone a chiunque programmi. Lo stesso atto — scrivere codice — che in altri reperti di questo archivio crea bellezza, gioco, conoscenza, connessione, qui crea un'arma. La tecnica è neutra; gli usi no. Stuxnet costringe a riconoscere che le competenze tecniche più sofisticate possono essere messe al servizio della distruzione, e che chi scrive software potente porta una responsabilità su come quel potere viene usato.

Custodire `rootkit.plc` significa ricordare che viviamo in un mondo in cui le righe di codice possono essere armi geopolitiche, e che le infrastrutture da cui dipendono le nostre vite sono, in fondo, computer vulnerabili. È un monito a prendere sul serio la sicurezza non come dettaglio tecnico, ma come questione che tocca la pace, la guerra e la sicurezza fisica di tutti. Il reperto più oscuro dell'archivio è anche quello che ci ricorda con più forza quanto il codice, ormai, conti davvero.

Punti chiave

Scoperto nel 2010, Stuxnet fu il primo malware progettato per causare danni fisici nel mondo reale.
Colpiva i controllori industriali (PLC) Siemens che pilotavano le centrifughe nucleari iraniane di Natanz.
Alterava di nascosto la velocità delle centrifughe danneggiandole, mentre falsificava i sensori per non destare sospetti.
Usava diverse rare falle zero-day e una conoscenza degli impianti che indicava un autore statale.
È attribuito con forte convergenza a un'operazione congiunta di Stati Uniti e Israele: un'arma di Stato fatta di codice.
Inaugurò l'era della guerra cibernetica e dimostrò che il software può distruggere il mondo fisico.