Stuxnet

Wat is Stuxnet?

Stuxnet is een computerworm die Siemens-PLC’s herprogrammeerde om de uraniumcentrifuges in de Iraanse verrijkingsfabriek in Natanz te saboteren, en daarmee het eerste bekende digitale wapen dat fysieke schade aan een industriële installatie veroorzaakte. De malware werd in juni 2010 ontdekt door het Wit-Russische antivirusbedrijf VirusBlokAda, maar was toen al jaren actief. De naam komt van twee trefwoorden in de code: .stub en mrxnet.sys. Voor iedereen die met industriële besturingssystemen werkt, is Stuxnet het schoolvoorbeeld van wat er gebeurt als een aanvaller de procesbesturing zelf overneemt.

Stuxnet markeert het begin van het “cyber-fysieke tijdperk”, waarin digitale aanvallen directe impact hebben op fysieke processen.

🕰️ Hoe verliep de Stuxnet-aanval in de tijd?

Stuxnet was geen eenmalige actie, maar een campagne van jaren met meerdere versies:

Eind september 2010 telde Symantec ongeveer 100.000 besmette computers in meer dan 155 landen, waarvan circa 60% in Iran. De infecties zijn terug te voeren op vijf organisaties met een vestiging in Iran, waarschijnlijk toeleveranciers en contractors van het nucleaire programma. Via hun laptops en USB-sticks bereikte de worm de afgeschermde installatie.

🔧 Hoe werkte Stuxnet technisch?

Stuxnet combineerde een ongekend aantal technieken in één pakket van ongeveer een halve megabyte:

• Vier zero-days in Windows - een fout in de verwerking van snelkoppelingen (MS10-046), een fout in de printspooler (MS10-061) en twee kwetsbaarheden voor het verhogen van rechten (MS10-073 in de toetsenbordindeling van win32k.sys en MS10-092 in de Taakplanner). Daarnaast misbruikte de worm de oudere fout MS08-067, die ook door Conficker werd gebruikt.
• Gestolen certificaten - de stuurprogramma’s waren ondertekend met privésleutels van de Taiwanese bedrijven Realtek en JMicron. Windows vertrouwde de drivers daardoor als legitieme software, wat code signing als enige vertrouwensanker onderuit haalde.
• Verspreiding via USB en projectbestanden - de worm kopieerde zichzelf naar USB-sticks, netwerkshares en Step 7-projectbestanden (.s7p). Zo sprong hij over de air gap heen, zonder dat er ooit een internetverbinding met de fabriek nodig was.
• Misbruik van WinCC - een hardgecodeerd wachtwoord van de WinCC-database werd gebruikt om andere SCADA-servers te besmetten.
• Een PLC-rootkit - op het engineeringstation verving Stuxnet de Step 7-communicatiebibliotheek s7otbxdx.dll. Elke lees- of schrijfactie naar de PLC liep daardoor via de aanvaller, die zijn eigen codeblokken in de PLC zette en ze verborg voor de engineer die het programma uitlas.
• Vingerafdruk van het doel - de sabotagecode werd alleen actief op een S7-315-2-CPU met Profibus-communicatieprocessors (CP 342-5) die frequentieregelaars van Vacon (Finland) of Fararo Paya (Iran) aanstuurden. Op alle andere systemen deed Stuxnet niets schadelijks.

Belangrijk detail: Stuxnet veranderde niet de firmware van de PLC, maar de applicatielogica (de organisatieblokken OB1 en OB35). Dat maakt de aanval relevant voor elke installatie waar projectbestanden en engineeringsoftware onvoldoende zijn beschermd.

🏭 Hoe saboteerde Stuxnet de centrifuges?

De versie 1.x richtte zich op de motoren van de centrifuges. Normaal draaiden de frequentieregelaars tussen 807 en 1.210 Hz, met 1.064 Hz als nominale snelheid voor de IR-1-centrifuge. Stuxnet observeerde eerst ongeveer dertien dagen het proces en verhoogde dan de frequentie zo’n vijftien minuten naar 1.410 Hz, waarna die terugging naar 1.064 Hz. Ongeveer 27 dagen later volgde de tegenovergestelde stap: een setpoint van 2 Hz, waardoor de rotoren circa vijftig minuten lang sterk afremden, voordat de frequentie weer naar 1.064 Hz ging en de cyclus opnieuw begon. Die extreme versnelling en vertraging belastten de rotoren mechanisch, waardoor centrifuges eerder uitvielen, zonder dat het op een duidelijke aanval leek.

De oudere versie 0.5 koos een andere route: op S7-417-CPU’s van het cascadebeveiligingssysteem sloot de code kleppen, zodat de druk in de centrifuges opliep. Tijdens die aanval speelde Stuxnet eerder opgenomen, normale meetwaarden af naar de bediening, een klassieke replay-aanval. Operators op de HMI zagen dus een rustig proces terwijl de installatie werd beschadigd.

🧠 Waarom was Stuxnet uniek?

Stuxnet verschilt op drie punten van gewone malware:

• Doelgerichtheid - de aanvallers kenden het exacte procesontwerp: type CPU, aantal regelaars per Profibus-segment, merken en frequentiebereik. Dat vraagt kennis van de installatie en vermoedelijk een testopstelling met echte centrifuges.
• Sabotage in plaats van diefstal - het doel was niet data, maar een fysiek proces vertragen terwijl het slachtoffer de oorzaak bij techniek of materiaal zocht.
• Middelen van een staat - vier zero-days, gestolen certificaten en jaren voorbereiding wijzen op een statelijke actor. Grote media schrijven de operatie, met codenaam Olympic Games, toe aan de Verenigde Staten en Israël. Beide landen hebben dat nooit officieel bevestigd.

Er is ook een Nederlandse kant. Volgens onderzoeksjournalistiek uit 2019 en 2024 hielp de Nederlandse inlichtingendienst bij het binnenbrengen van de malware, onder meer via een Nederlandse ingenieur die in Iran werkte. Ook dat is nooit officieel bevestigd.

🔄 Welke aanvallen volgden na Stuxnet?

Stuxnet wordt nog steeds gezien als blauwdruk voor OT-aanvallen. Sommige opvolgers delen code, andere alleen de aanpak:

Deze aanvallen richten zich op energie, water, olie en gas en andere kritieke infrastructuur. Het patroon is steeds hetzelfde: toegang via IT, kennis van het proces, en manipulatie van de besturing.

🔐 Welke lessen trekt u uit Stuxnet?

Stuxnet laat zien dat een air gap alleen geen beveiliging is. Maatregelen die direct uit de aanval volgen:

🧭 Hoe vertaalt u Stuxnet naar uw eigen installatie?

Een praktische aanpak in vijf stappen:

1. Breng de engineeringketen in kaart - welke laptops, engineeringstations en projectbestanden kunnen PLC-logica wijzigen, en wie heeft toegang?
2. Beperk verwisselbare media - alleen gescande en geregistreerde USB-sticks, bij voorkeur een vast scanstation bij de ingang van de OT-omgeving.
3. Bewaak de integriteit van PLC-code - vergelijk het programma in de PLC periodiek met een goedgekeurde referentie en zet de sleutelschakelaar van de CPU waar mogelijk op RUN in plaats van een programmeerstand.
4. Segmenteer volgens IEC 62443 - scheid engineering-, SCADA- en kantoornetwerk in zones met gecontroleerde conduits, conform het Purdue Model.
5. Ontwerp voor het ergste geval - zorg dat een gemanipuleerde besturing geen onveilige toestand kan bereiken, bijvoorbeeld met een onafhankelijk SIS of mechanische toerentalbegrenzing.

In Nederland is dit geen vrijblijvende oefening meer. De Cyberbeveiligingswet (de Nederlandse invulling van NIS2) geldt sinds 15 augustus 2026 en verplicht essentiële en belangrijke entiteiten tot risicobeheer, ook voor OT. Leveranciers en contractors vallen daarbij expliciet onder de ketenrisico’s, precies de route die Stuxnet gebruikte.

❓ Veelgestelde vragen

Wanneer werd Stuxnet ontdekt?

Stuxnet werd in juni 2010 ontdekt door het Wit-Russische bedrijf VirusBlokAda. Latere analyse liet zien dat een eerdere versie, Stuxnet 0.5, al in november 2007 actief was en dat de infrastructuur in 2005 werd opgezet.

Hoeveel schade richtte Stuxnet aan?

Stuxnet besmette rond de 100.000 computers, maar richtte alleen schade aan in de Iraanse verrijkingsfabriek in Natanz. Schattingen gaan uit van ongeveer 1.000 vervangen centrifuges tussen eind 2009 en begin 2010, zo’n tien procent van de geïnstalleerde capaciteit.

Is Stuxnet nog steeds gevaarlijk?

Stuxnet zelf is niet meer gevaarlijk: de worm stopte met verspreiden op 24 juni 2012 en de misbruikte Windows-lekken zijn gepatcht. De aanpak is wel nog steeds actueel, want aanvallers gebruiken dezelfde ideeën van PLC-manipulatie en misleiding van operators in nieuwere malware.

Waren andere bedrijven dan Iran slachtoffer van Stuxnet?

Stuxnet besmette computers in meer dan 155 landen, en Siemens trof de worm in de eerste maanden aan bij ruim twintig klanten. Daar richtte Stuxnet geen schade aan, omdat de specifieke combinatie van PLC, Profibus-kaarten en frequentieregelaars ontbrak.

Kan een air gap een aanval zoals Stuxnet tegenhouden?

Een air gap alleen kan een aanval zoals Stuxnet niet tegenhouden, omdat de worm zich via USB-sticks en Step 7-projectbestanden van contractors verspreidde. Bescherming vraagt aanvullend om mediabeleid, controle van engineeringstations en bewaking van PLC-code.

Wie zat er achter Stuxnet?

Stuxnet wordt in media en onderzoek toegeschreven aan een gezamenlijke operatie van de Verenigde Staten en Israël, met de codenaam Olympic Games. Geen van beide landen heeft dit officieel erkend, en ook een gerapporteerde Nederlandse rol is nooit bevestigd.

📌 Samengevat

Stuxnet bewees dat een cyberaanval een fysiek proces kan saboteren door PLC-logica te wijzigen en operators tegelijk normale waarden te tonen. De worm sprong via USB en projectbestanden over de air gap, gebruikte vier zero-days en gestolen certificaten, en is daarmee de basis voor hoe OT-beveiliging vandaag wordt ingericht: segmentatie, mediacontrole, integriteit van PLC-code en ontwerpen voor het ergste geval.