Stuxnetは複雑かつ多様な手法を駆使し、数多くの脆弱性を悪用する。単体でこれほど巧妙で多様な仕組みを持つ攻撃は過去に例がない。StuxnetはWindowsマシンにマルウェアを感染させるために、発生当時にセキュリティパッチが未公開だった4つの脆弱性を突く。また、核関連施設で使用されている特定のバージョンやモデルの制御システムを攻撃するコードを含む、15のコンポーネントを持つ。

　さらに、自身を隠蔽する巧妙な偽装手段を幾つも備えている。この偽装手段により、目的達成に向けて準備を進めるために1年以上検出されずに潜伏できた。

　Stuxnetの攻撃は次の3段階で構成する。

1. まずWindowsマシンに感染して、ネットワーク内の他のマシンに感染を広げる
2. Windowsベースの特定の制御用ソフトウェアを検知する
3. 産業用コントローラーを制御してウラン濃縮作業を妨害する

Windowsの脆弱性を悪用、自身を隠蔽しつつ拡散

　Stuxnetは、WindowsのエクスプローラにおけるLNK形式のショートカットの脆弱性を利用し、USBメモリからイランの核施設ネットワークに侵入したと考えられている。このショートカットの脆弱性を悪用し、USBデバイスの挿入時にコードを自動実行させる。Stuxnetはこの方法で、自身のコードをWindowsマシンにコピーした。特徴的なのはそのファイルサイズ。ほとんどのマルウェアのファイルは20Kバイト以下であるのに対し、暗号化されたStuxnetのファイルは500Kバイトと比較的大きい。

　Stuxnetがワームとしての本格的な活動を開始するのはここからだ。まず、セキュリティパッチ未公開の脆弱性（ゼロデイ脆弱性）を複数利用し、感染したWindowsマシンからネットワーク内の他のマシンに感染を広げる。ここで利用されるのは、同じプリンタを共有するマシンに影響を与えるWindowsの印刷スプーラの脆弱性やWindowsのキーボードファイルの脆弱性、管理者権限を取得してマシンを完全に乗っ取ることができるタスクスケジューラファイルの脆弱性などである。

　他の多くのマルウェアとは違い、Stuxnetは電子メールやWeb経由では拡散せず、LANまたはUSBメモリ経由でのみ感染を広げる。この間、複数の手法を用いてウイルス対策ソフトウェアによる検出を免れようとする。攻撃者がある台湾企業から盗み出した、本物の電子証明書の署名が付いたデバイスドライバを利用するというのがその1つだ。また、DLL（ダイナミックリンクライブラリ）をロードする「LoadLibrary」の処理に特殊な細工をして、ウイルス対策ソフトウェアのヒューリスティック技術による検出を回避しようと試みる。

　StuxnetのDLLはHDDではなく、特定のファイル名が付与された仮想ファイルとしてメモリ上に保存される。プログラムがこのDLLをロードしようとすると、Stuxnetはそのリクエストをフックしてメモリに送信する。こうしてLoadLibraryの処理対象を巧みに変え、未知の攻撃を検知する「ヒューリスティック技術」などによる検出を免れている。

産業用機器の制御システムを狙い撃つ

　LAN内のコンピュータに感染したStuxnetは、Windowsマシン上で稼働する特定の制御用ソフトウェアを探索する。探索の手掛かりになるのは、制御用ソフトウェアとハードウェアの技術的な構成やソフトウェアのバージョンといった、Stuxnet自身が持つ詳細情報である。独電機大手Siemensの制御用ソフトウェアである「STEP 7」がLAN内に見つからなかった場合、Stuxnetは別のネットワークにアクセス可能になるまで活動を休止する。

　STEP 7が見つかると、ウイルスの実態であるペイロードの実行に移行し、暗号化された不正なDLLファイルを復号してロードする。このDLLファイルは、遠心分離機の駆動装置を制御する産業用コントローラーとSTEP 7との間でやりとりされるコマンドを傍受。傍受したコマンドを駆動装置にダメージを与えるためのコマンドに差し替える。さらに産業用コントローラーの状態監視リポートを傍受して、駆動装置の回転速度の変化が監視システムに察知されないようにリポートの内容を改変する。核関連施設のオペレータに「遠心分離機は正常に動作している」と勘違いさせるためだ。

　Stuxnetは実際にこの設計通りに動作した。その結果、多数の遠心分離機の駆動装置にダメージを与え、イランの核開発計画を遅らせた。兵器として開発されたワームが、どれだけ効果的かつ破壊的に機能するかをまざまざと見せつけたStuxnet。その存在と攻撃手法は核関連施設や発電所にとどまらず、ありとあらゆる産業施設の安全性に重大な疑問を投げかけている。