ستوكسنت

ستوكسنت هو دودة حاسوبية خبيثة تم اكتشافها لأول مرة في 17 يونيو 2010 ^{[ 2 ]} ، ويُعتقد أنها كانت قيد التطوير منذ عام 2005 على الأقل. تستهدف ستوكسنت أنظمة التحكم الإشرافي وجمع البيانات (SCADA)، ويُعتقد أنها مسؤولة عن إلحاق أضرار جسيمة بالبرنامج النووي الإيراني بعد تثبيتها لأول مرة على جهاز حاسوب في منشأة نطنز النووية عام 2009. ^{[ 3 ] [ 4 ]} على الرغم من أن الولايات المتحدة وإسرائيل لم تُعلنا مسؤوليتهما صراحةً، إلا أن العديد من المؤسسات الإخبارية المستقلة تزعم أن ستوكسنت سلاح إلكتروني تم بناؤه بشكل مشترك بين البلدين في جهد تعاوني يُعرف باسم عملية الألعاب الأولمبية . ^{[ 5 ] [ 6 ] [ 7 ]} بدأ البرنامج خلال إدارة بوش ، وتوسع بسرعة خلال الأشهر الأولى من رئاسة باراك أوباما . ^{[ 8 ]}

يستهدف برنامج ستوكسنت تحديدًا وحدات التحكم المنطقية القابلة للبرمجة (PLCs)، التي تُتيح أتمتة العمليات الكهروميكانيكية، مثل تلك المستخدمة في التحكم بالآلات والعمليات الصناعية، بما في ذلك أجهزة الطرد المركزي الغازية لفصل المواد النووية. يستغل ستوكسنت أربع ثغرات أمنية غير معروفة في هذه الأنظمة، ^{[ 9 ]} ويعمل عن طريق استهداف الأجهزة التي تستخدم نظام التشغيل مايكروسوفت ويندوز والشبكات، ثم البحث عن برنامج سيمنز ستيب 7. وتشير التقارير إلى أن ستوكسنت اخترق وحدات التحكم المنطقية القابلة للبرمجة الإيرانية، وجمع معلومات عن الأنظمة الصناعية، وتسبب في تمزق أجهزة الطرد المركزي سريعة الدوران. ^{[ 3 ]} لا يقتصر تصميم ستوكسنت وبنيته على مجال محدد، ويمكن تعديله ليصبح منصة لمهاجمة أنظمة سكادا ووحدات التحكم المنطقية القابلة للبرمجة الحديثة (مثل خطوط تجميع المصانع أو محطات الطاقة)، ​​والتي يقع معظمها في أوروبا واليابان والولايات المتحدة. ^{[ 10 ]} وتشير التقارير إلى أن ستوكسنت دمر ما يقرب من خُمس أجهزة الطرد المركزي النووية الإيرانية . ^{[ 11 ]} استهدف الفيروس أنظمة التحكم الصناعية، فأصاب أكثر من 200 ألف جهاز كمبيوتر وتسبب في تلف مادي لألف آلة. ^{[ 12 ]}

يتكون برنامج ستوكسنت الخبيث من ثلاثة مكونات: دودة تُنفذ جميع الإجراءات المتعلقة بالحمولة الرئيسية للهجوم ، وملف ربط يُنفذ تلقائيًا النسخ المنتشرة من الدودة، ومكون روتكيت مسؤول عن إخفاء جميع الملفات والعمليات الخبيثة لمنع اكتشاف ستوكسنت. ^{[ 13 ]} عادةً ما يتم إدخاله إلى بيئة الهدف عبر ذاكرة فلاش USB مصابة ، متجاوزًا بذلك أي فجوة لاسلكية . ثم تنتشر الدودة عبر الشبكة، باحثةً عن برنامج Siemens Step7 على أجهزة الكمبيوتر التي تتحكم في وحدة تحكم منطقية قابلة للبرمجة (PLC). في حال عدم توفر أي من الشرطين، يصبح ستوكسنت كامنًا داخل الكمبيوتر. أما إذا تحقق الشرطان معًا، فيُدخل ستوكسنت مكون الروتكيت المصاب إلى وحدة التحكم المنطقية القابلة للبرمجة وبرنامج Step7، مُعدلاً الشفرة البرمجية ومُصدرًا أوامر غير متوقعة إلى وحدة التحكم المنطقية القابلة للبرمجة، بينما يُعيد حلقة من قيم نظام التشغيل العادية إلى المستخدمين. ^{[ 14 ] [ 15 ]}

انتشر فيروس ستوكسنت، الذي اكتشفه سيرجي أولاسين من شركة مكافحة الفيروسات البيلاروسية VirusBlokAda ، في البداية عبر نظام التشغيل مايكروسوفت ويندوز ، واستهدف أنظمة التحكم الصناعية لشركة سيمنز . ورغم أنها ليست المرة الأولى التي يستهدف فيها المخترقون الأنظمة الصناعية، ^{[ 16 ]} وليست أول عملية حرب إلكترونية متعمدة معروفة للعامة ، إلا أنها أول برمجية خبيثة مكتشفة تتجسس على الأنظمة الصناعية وتخترقها، ^{[ 17 ]} وأول برمجية خبيثة تتضمن برنامجًا خبيثًا خفيًا لوحدة التحكم المنطقية القابلة للبرمجة (PLC) . ^{[ 18 ] [ 19 ]}

ينتشر الفيروس في البداية بشكل عشوائي، ولكنه يتضمن حمولة برمجية خبيثة متخصصة للغاية مصممة لاستهداف أنظمة التحكم الإشرافي وجمع البيانات (SCADA) من سيمنز فقط، والمُهيأة للتحكم في عمليات صناعية محددة ومراقبتها. ^{[ 20 ] [ 21 ]} يصيب فيروس ستوكسنت وحدات التحكم المنطقية القابلة للبرمجة (PLCs) عن طريق التلاعب بتطبيق Step-7 المستخدم لإعادة برمجة هذه الأجهزة. ^{[ 22 ] [ 23 ]}

استهدفت نسخ مختلفة من فيروس ستوكسنت خمس منظمات إيرانية، ^{[ 24 ]} مع ترجيح واسع النطاق أن يكون الهدف هو البنية التحتية لتخصيب اليورانيوم في إيران ؛ ^{[ 23 ] [ 25 ] [ 26 ]} أشارت شركة سيمانتك في أغسطس 2010 إلى أن 60% من أجهزة الكمبيوتر المصابة في جميع أنحاء العالم كانت في إيران. ^{[ 27 ]} صرحت شركة سيمنز بأن الفيروس لم يُلحق أي ضرر بعملائها، ^{[ 17 ]} لكن البرنامج النووي الإيراني، الذي يستخدم معدات سيمنز المحظورة التي تم شراؤها سرًا، تضرر من ستوكسنت. ^{[ 28 ] [ 29 ] [ 30 ]} خلص مختبر كاسبرسكي إلى أن الهجوم المتطور لا يمكن أن يكون قد نُفذ إلا " بدعم من دولة ". ^{[ 31 ]} عندما سُئل ميكو هيبونين ، كبير الباحثين في شركة إف-سكيور ، عما إذا كان هناك دعم محتمل من دولة، وافق على ذلك: "هذا ما يبدو عليه الأمر، نعم". ^{[ 32 ]}

في مايو/أيار 2011، استشهد برنامج " نيد تو نو " على قناة PBS بتصريحٍ لغاري سامور ، منسق البيت الأبيض لشؤون الحد من التسلح وأسلحة الدمار الشامل ، قال فيه: "يسعدنا أنهم [الإيرانيون] يواجهون مشاكل مع جهاز الطرد المركزي الخاص بهم، وأننا - الولايات المتحدة وحلفاؤها - نبذل قصارى جهدنا لضمان تعقيد الأمور بالنسبة لهم"، في إشارةٍ ضمنية إلى تورط الولايات المتحدة في برنامج ستوكسنت. ^{[ 33 ]} ووفقًا لصحيفة "ديلي تلغراف " ، تضمن عرضٌ تقديمي عُرض في حفل تقاعد رئيس أركان جيش الدفاع الإسرائيلي ، غابي أشكنازي ، إشاراتٍ إلى ستوكسنت كأحد نجاحاته العملياتية كرئيسٍ للأركان. ^{[ 34 ]}  

في الأول من يونيو 2012، ذكرت مقالة في صحيفة نيويورك تايمز أن ستوكسنت كان جزءًا من عملية استخباراتية أمريكية وإسرائيلية تسمى عملية الألعاب الأولمبية ، والتي وضعتها وكالة الأمن القومي في عهد الرئيس جورج دبليو بوش ونُفذت في عهد الرئيس باراك أوباما . ^{[ 35 ]}

في 24 يوليو 2012، ذكر مقال بقلم كريس ماتيسزيك من CNET ^{[ 36 ]} أن منظمة الطاقة الذرية الإيرانية أرسلت بريدًا إلكترونيًا إلى كبير مسؤولي الأبحاث في F-Secure ميكو هيبونين للإبلاغ عن حالة جديدة من البرامج الضارة.

في 25 ديسمبر/كانون الأول 2012، أعلنت وكالة أنباء إيرانية شبه رسمية عن هجوم إلكتروني شنّه برنامج ستوكسنت الخبيث، وهذه المرة على منشآت صناعية في المنطقة الجنوبية من البلاد. وكان البرنامج قد استهدف محطة توليد كهرباء وبعض المنشآت الصناعية الأخرى في محافظة هرمزجان عام 2012. ^{[ 37 ]}

بحسب يوجين كاسبرسكي ، أصاب الفيروس أيضاً محطة طاقة نووية في روسيا. لكن كاسبرسكي أشار إلى أنه بما أن المحطة غير متصلة بشبكة الإنترنت العامة، فمن المفترض أن يظل النظام آمناً. ^{[ 38 ]}

تم اكتشاف الدودة لأول مرة من قبل شركة الأمن VirusBlokAda في منتصف يونيو 2010. ^{[ 22 ]} وكان منشور الصحفي برايان كريبس على مدونته بتاريخ 15 يوليو 2010 أول تقرير واسع الانتشار حول الدودة. ^{[ 39 ] [ 40 ]} وكان الاسم الأصلي الذي أطلقته VirusBlokAda هو "Rootkit.Tmphider"؛ ^{[ 41 ]} إلا أن شركة Symantec أطلقت عليها اسم "W32.Temphid"، ثم غيرته لاحقًا إلى "W32.Stuxnet". ^{[ 42 ]} واسمها الحالي مشتق من مجموعة من الكلمات المفتاحية الموجودة في البرنامج ("stub" و"mrxnet.sys"). ^{[ 43 ] [ 44 ]} ويُعزى توقيت اكتشافها إلى انتشار الفيروس عن طريق الخطأ خارج نطاق هدفه المقصود نتيجة خطأ برمجي حدث أثناء تحديث. ربما تسبب هذا في انتشار الدودة إلى جهاز كمبيوتر أحد المهندسين المتصل بأجهزة الطرد المركزي، ثم انتشرت بشكل أكبر عندما اتصل المهندس لاحقًا بالإنترنت في المنزل. ^{[ 35 ]}

قدّر خبراء مختبر كاسبرسكي في البداية أن فيروس ستوكسنت بدأ بالانتشار في مارس أو أبريل 2010، ^{[ 45 ]} لكن أول نسخة منه ظهرت في يونيو 2009. ^{[ 22 ]} وفي 15 يوليو 2010، وهو اليوم الذي أصبح فيه وجود الفيروس معروفًا على نطاق واسع، استهدف هجوم حجب الخدمة الموزع خوادم قائمتين بريديتين رائدتين في مجال أمن الأنظمة الصناعية. هذا الهجوم، الذي انطلق من مصدر مجهول ولكنه يُحتمل أن يكون مرتبطًا بستوكسنت، عطّل إحدى القائمتين، مما أدى إلى انقطاع مصدر معلومات رئيسي لمحطات الطاقة والمصانع. ^{[ 40 ]} وفي سياق منفصل، كشف باحثون في سيمانتك عن نسخة من فيروس ستوكسنت الحاسوبي استُخدمت لمهاجمة البرنامج النووي الإيراني في نوفمبر 2007، مع وجود أدلة تشير إلى أنه كان قيد التطوير منذ عام 2005، عندما كانت إيران لا تزال تُنشئ منشأة تخصيب اليورانيوم . ^{[ 46 ]}

ظهرت النسخة الثانية، مع تحسينات كبيرة، في مارس 2010، ويُقال إن ذلك كان بسبب مخاوف من عدم انتشار ستوكسنت بالسرعة الكافية. تلتها نسخة ثالثة، مع تحسينات طفيفة، في أبريل 2010. ^{[ 40 ]} يحتوي الفيروس على مكون يحمل طابعًا زمنيًا للبناء من 3 فبراير 2010. ^{[ 47 ]} في 25 نوفمبر 2010، أفادت قناة سكاي نيوز في المملكة المتحدة بتلقيها معلومات من مصدر مجهول في منظمة أمن معلومات غير مُحددة، تزعم أن ستوكسنت، أو نسخة معدلة من الفيروس، قد تم تداولها في السوق السوداء . ^{[ 48 ]}

في عام 2015، أفادت شركة كاسبرسكي لاب بأن مجموعة إيكويشن استخدمت اثنين من نفس هجمات اليوم الصفر قبل استخدامها في ستوكسنت، وذلك في برمجية خبيثة أخرى تُدعى fanny.bmp. ^{[ 49 ] [ 50 ]} وأشارت كاسبرسكي لاب إلى أن "الاستخدام المماثل لكلا الثغرتين معًا في ديدان حاسوبية مختلفة، وفي نفس الفترة الزمنية تقريبًا، يُشير إلى أن مجموعة إيكويشن ومطوري ستوكسنت إما جهة واحدة أو يعملون معًا بشكل وثيق". ^{[ 51 ]}

في عام ٢٠١٩، قدّم الباحثان خوان أندريس غيريرو-سعد وسيلاس كاتلر من شركة كرونيكل نتائج تشير إلى تعاون أربع منصات برمجيات خبيثة على الأقل تابعة لجهات تهديد مختلفة في تطوير نسخ مختلفة من ستوكسنت. ^{[ ٥٢ ] [ ٥٣ ]} أُطلق على هذا التعاون اسم "غوسيب غيرل"، وهو اسم مُشتق من مجموعة تهديد ذُكرت في شرائح سرية تابعة لمركز هندسة البرمجيات الحاسوبية (CSE) وتضمّ فليم. ^{[ ٥٤ ]} وُصفت غوسيب غيرل بأنها مظلة تعاونية تشمل مجموعة إكويشن ، وفليم ، ودوكو ، وفلاورشوب (المعروفة أيضًا باسم "قطة شيشاير"). ^{[ ٥٥ ] [ ٥٦ ] [ ٥٧ ]}

في عام 2020، قدم الباحث فاكوندو مونيوز نتائج تشير إلى احتمال تعاون مجموعة إيكويشن مع مطوري ستوكسنت في عام 2009 من خلال توفير ثغرة أمنية واحدة على الأقل من نوع "يوم الصفر" ^{[ 58 ]} ، وثغرة أخرى من عام 2008 ^{[ 59 ]} استُخدمت بنشاط من قِبل دودة كونفيكر الحاسوبية وقراصنة صينيين. ^{[ 60 ]} وفي عام 2017، سربت مجموعة من القراصنة تُعرف باسم "ذا شادو بروكرز" مجموعة من الأدوات المنسوبة إلى مجموعة إيكويشن، بما في ذلك إصدارات جديدة من كلتا الثغرتين اللتين جُمعتا في عام 2010. وأظهر تحليل البيانات المسربة تداخلًا كبيرًا في الشيفرة البرمجية، حيث طُوّرت كلتا ثغرات ستوكسنت وثغرات مجموعة إيكويشن باستخدام مجموعة من المكتبات تُسمى "إطار عمل تطوير الثغرات"، والتي سربتها أيضًا مجموعة "ذا شادو بروكرز".

أظهرت دراسة أجرتها شركة سيمانتك حول انتشار فيروس ستوكسنت أن الدول الرئيسية المتضررة في الأيام الأولى للعدوى كانت إيران وإندونيسيا والهند: ^{[ 61 ]}

أُفيد بأن إيران عززت قدراتها في مجال الحرب السيبرانية عقب هجوم ستوكسنت، ويُشتبه في قيامها بهجمات انتقامية. ^{[ 62 ] [ 63 ]} وتشمل هذه الهجمات هجمات على بنوك أمريكية في حملة عملية أبابيل 2012-2013، ^{[ 64 ]} وهجوم شامون عام 2012 على شركة أرامكو السعودية العملاقة للنفط، ^{[ 65 ] [ 66 ]} والهجوم الذي استهدف شركة لاس فيغاس ساندز عام 2014. ^{[ 67 ] [ 68 ]}

على عكس معظم البرامج الضارة، لا يُلحق ستوكسنت ضررًا يُذكر بأجهزة الكمبيوتر والشبكات التي لا تستوفي متطلبات تكوين محددة؛ "لقد حرص المهاجمون بشدة على التأكد من إصابة أهدافهم المحددة فقط  ... لقد كانت مهمة قناص ماهر ." ^{[ 69 ]} ورغم أن الدودة تنتشر على نطاق واسع، إلا أنها تُعطّل نفسها إذا لم يتم العثور على برامج سيمنز على أجهزة الكمبيوتر المصابة، وتحتوي على إجراءات وقائية لمنع كل جهاز كمبيوتر مصاب من نشر الدودة إلى أكثر من ثلاثة أجهزة أخرى، ولحذف نفسها في 24 يونيو 2012. ^{[ 40 ]}

يحتوي برنامج ستوكسنت الخبيث، من بين أمور أخرى، على شفرة لهجوم الوسيط ، حيث يقوم بتزييف إشارات مستشعرات التحكم في العمليات الصناعية، مما يمنع النظام المصاب من التوقف عند اكتشاف سلوك غير طبيعي. ^{[ 40 ] [ 69 ] [ 70 ]} يُعد هذا التعقيد غير معتاد في البرامج الخبيثة . يتكون البرنامج من هجوم متعدد الطبقات يستهدف ثلاثة أنظمة مختلفة:

1. نظام التشغيل ويندوز ،
2. تطبيقات برمجية صناعية من سيمنز، تشمل PCS 7 و WinCC وSTEP7، تعمل على نظام التشغيل ويندوز.
3. وحدة تحكم منطقية قابلة للبرمجة واحدة أو أكثر من طراز Siemens S7.

الخطوة 7: إصابة البرامج

بحسب الباحث رالف لانجنر، ^{[ 80 ] [ 81 ]} بمجرد تثبيته على نظام ويندوز، يُصيب ستوكسنت ملفات المشاريع التابعة لبرنامج التحكم SCADA من سيمنز WinCC / PCS 7 ^{[ 82 ]} (الخطوة  7)، ويُعطّل مكتبة اتصالات رئيسية في WinCC s7otbxdx.dll. يؤدي ذلك إلى اعتراض الاتصالات بين برنامج WinCC الذي يعمل على ويندوز وأجهزة PLC المستهدفة من سيمنز، عند توصيلهما عبر كابل بيانات. يستطيع البرنامج الخبيث تعديل الشفرة على أجهزة PLC دون أن يُكتشف، وبالتالي إخفاء وجوده عن WinCC إذا حاول برنامج التحكم قراءة كتلة ذاكرة مصابة من نظام PLC. ^{[ 75 ]}

كما استغل البرنامج الخبيث ثغرة أمنية غير معروفة في برنامج قاعدة بيانات WinCC/SCADA على شكل كلمة مرور مُضمنة في الكود البرمجي. ^{[ 83 ]}

عدوى PLC

تستهدف حمولة Stuxnet فقط تكوينات SCADA التي تستوفي المعايير التي تمت برمجتها لتحديدها. ^{[ 40 ]}

يتطلب برنامج Stuxnet ربط نظام فرعي محدد بنظام التحكم Siemens S7-300 المستهدف: محركات التردد المتغير (محركات محول التردد) ووحداتها المرتبطة. وهو يستهدف أنظمة PLC المزودة بمحركات تردد متغير من شركتين محددتين: Vacon الفنلندية وFararo Paya الإيرانية. ^{[ 84 ]} علاوة على ذلك، يراقب تردد المحركات المتصلة، ولا يهاجم إلا الأنظمة التي تدور بتردد يتراوح بين 807 هرتز و1210 هرتز. وهذا تردد أعلى بكثير من التردد الذي تعمل به المحركات عادةً في معظم التطبيقات الصناعية، باستثناء أجهزة الطرد المركزي الغازية . ^{[ 84 ]} يقوم Stuxnet بتثبيت برمجيات خبيثة في وحدة الذاكرة DB890 الخاصة بنظام PLC، والتي تراقب ناقل رسائل Profibus الخاص بالنظام. ^{[ 75 ]} عند استيفاء معايير محددة، يقوم البرنامج بتعديل التردد دوريًا إلى 1410 هرتز، ثم إلى 2 هرتز، ثم إلى 1064 هرتز، مما يؤثر على تشغيل المحركات المتصلة بتغيير سرعة دورانها. ^{[ 84 ]} كما يقوم بتثبيت برنامج خبيث من نوع "روتكيت" - وهي أول حالة موثقة من نوعها على هذه المنصة - لإخفاء البرمجيات الخبيثة على النظام وإخفاء تغييرات سرعة الدوران عن أنظمة المراقبة.       

أصدرت شركة سيمنز أداةً للكشف عن فيروس ستوكسنت وإزالته. وتوصي سيمنز بالتواصل مع خدمة دعم العملاء في حال اكتشاف أي إصابة، كما تنصح بتثبيت تحديثات مايكروسوفت لمعالجة الثغرات الأمنية ومنع استخدام ذاكرات فلاش USB من جهات خارجية . ^{[ 85 ]} وتنصح سيمنز أيضًا بتحديث كلمات المرور فورًا. ^{[ 86 ]}

قد تُعقّد قدرة الدودة على إعادة برمجة وحدات التحكم المنطقية القابلة للبرمجة الخارجية عملية إزالتها. ويحذر ليام أومورتشو من شركة سيمانتك من أن إصلاح أنظمة ويندوز قد لا يحل المشكلة تمامًا؛ وقد يكون من الضروري إجراء تدقيق شامل لوحدات التحكم المنطقية القابلة للبرمجة. وعلى الرغم من التكهنات بأن الإزالة غير الصحيحة للدودة قد تُسبب ضررًا، ^{[ 17 ]} أفادت شركة سيمنز أنه في الأشهر الأربعة الأولى منذ اكتشافها، تمت إزالة البرمجية الخبيثة بنجاح من أنظمة 22 عميلًا دون أي آثار سلبية. ^{[ 85 ] [ 87 ]}

إن منع الحوادث الأمنية لأنظمة التحكم، ^{[ 88 ]} مثل تلك الناجمة عن العدوى الفيروسية مثل Stuxnet، هو موضوع يتم تناوله في كل من القطاعين العام والخاص.

تتولى شعبة الأمن السيبراني الوطني التابعة لوزارة الأمن الداخلي الأمريكية إدارة برنامج أمن أنظمة التحكم. ^{[ 89 ]} يدير البرنامج فريقًا متخصصًا للاستجابة لحالات الطوارئ الحاسوبية يُسمى فريق الاستجابة لحالات الطوارئ السيبرانية لأنظمة التحكم الصناعية ، ويعقد مؤتمرًا نصف سنوي (ICSJWG )، ويقدم التدريب، وينشر الممارسات الموصى بها، ويوفر أداة للتقييم الذاتي. وكجزء من خطة وزارة الأمن الداخلي لتحسين أمن الحاسوب الأمريكي، تعاونت الوزارة مع مختبر أيداهو الوطني (INL) في عام 2008 مع شركة سيمنز لتحديد الثغرات الأمنية في نظام التحكم بالعمليات 7 ( PCS 7) وبرنامجه Step 7، وهما من أكثر أنظمة الشركة استخدامًا. وفي يوليو 2008، أعلن مختبر أيداهو الوطني وشركة سيمنز علنًا عن وجود ثغرات في نظام التحكم خلال مؤتمر في شيكاغو؛ واستغل فيروس ستوكسنت هذه الثغرات في عام 2009. ^{[ 69 ]}

نشرت العديد من المنظمات الصناعية ^{[ 90 ] [ 91 ]} والجمعيات المهنية ^{[ 92 ] [ 93 ]} معايير وإرشادات لأفضل الممارسات، تُقدّم توجيهات وإرشادات لمستخدمي أنظمة التحكم حول كيفية إنشاء برنامج لإدارة أمن أنظمة التحكم . وتتمثل الفرضية الأساسية المشتركة بين جميع هذه الوثائق في أن الوقاية تتطلب نهجًا متعدد الطبقات، يُعرف غالبًا باسم "الدفاع المتعمق" ^{[ 94 ]} . وتشمل هذه الطبقات السياسات والإجراءات، والتوعية والتدريب، وتجزئة الشبكة ، وإجراءات التحكم في الوصول ، وإجراءات الأمن المادي ، وتحصين النظام (مثل إدارة التحديثات ) ، ومراقبة النظام، وبرامج مكافحة الفيروسات، ونظام منع الاختراق (IPS). كما توصي جميع المعايير وأفضل الممارسات بالبدء بتحليل المخاطر وتقييم أمن نظام التحكم ^{[ 95 ] [ 96 ] .}

قد يكون برنامج ستوكسنت أكبر وأغلى مشروع تطوير برمجيات خبيثة في التاريخ. ^{[ 40 ]} كان تطوير قدراته يتطلب فريقًا من المبرمجين الأكفاء، ومعرفة متعمقة بالعمليات الصناعية ، واهتمامًا بمهاجمة البنية التحتية الصناعية. ^{[ 17 ] [ 22 ]} صرّح إريك بايرز، الذي يمتلك سنوات من الخبرة في صيانة أنظمة سيمنز وإصلاح أعطالها، لمجلة وايرد أن كتابة الشفرة البرمجية كانت ستستغرق شهورًا عديدة، إن لم تكن سنوات. ^{[ 73 ]} تُقدّر سيمانتك أن المجموعة التي طورت ستوكسنت كانت ستتألف من خمسة إلى ثلاثين شخصًا، وأن التحضير لها استغرق ستة أشهر. ^{[ 97 ] [ 40 ]} زعمت كل من صحيفة الغارديان ، وهيئة الإذاعة البريطانية (بي بي سي) ، وصحيفة نيويورك تايمز، أن خبراء (لم يُكشف عن أسمائهم) يدرسون ستوكسنت يعتقدون أن تعقيد الشفرة البرمجية يشير إلى أن دولةً ما فقط هي من تمتلك القدرة على إنتاجها. ^{[ 25 ] [ 97 ] [ 98 ]} تشير آلية التدمير الذاتي وغيرها من وسائل الحماية في الشيفرة إلى أن حكومة غربية كانت مسؤولة، أو على الأقل لا تزال مسؤولة، عن تطويرها. ^{[ 40 ]} مع ذلك، استنكر خبير أمن البرمجيات بروس شناير في البداية التغطية الإعلامية لفيروس ستوكسنت عام 2010، واصفًا إياها بالمبالغة، ومؤكدًا أنها كانت مبنية بالكامل تقريبًا على التكهنات. ^{[ 99 ]} لكن بعد بحث لاحق، صرّح شناير عام 2012 قائلًا: "يمكننا الآن ربط ستوكسنت بشكل قاطع بهيكل جهاز الطرد المركزي في مختبر نطنز لتخصيب اليورانيوم في إيران". ^{[ 100 ]}

في أواخر ديسمبر/كانون الأول 2008، سافر المهندس الهولندي إريك فان سابين إلى إيران، بزعم التسلل إلى منشأة نطنز النووية لصالح المخابرات الهولندية وزرع معدات مصابة بفيروس ستوكسنت. ^{[ 101 ] [ 102 ]} توفي بعد أسبوعين من هجوم ستوكسنت عن عمر يناهز 36 عامًا في حادث دراجة نارية فردي على ما يبدو في دبي . ^{[ 103 ]}

إيران كهدف

Ralph Langner, the researcher who identified that Stuxnet infected PLCs,^[23] first speculated publicly in September 2010 that the malware was of Israeli origin, and that it targeted Iranian nuclear facilities.^[104] However Langner more recently, at a TED conference, recorded in February 2011, stated that "My opinion is that the Mossad is involved, but that the leading force is not Israel. The leading force behind Stuxnet is the cyber superpower – there is only one; and that's the United States."^[105] Kevin Hogan, Senior Director of Security Response at Symantec, reported that most infected systems were in Iran (about 60%),^[106] which has led to speculation that it may have been deliberately targeting "high-value infrastructure" in Iran^[25] including either the Bushehr Nuclear Power Plant or the Natanz nuclear facility.^{[73][107][108]} Langner called the malware "a one-shot weapon" and said that the intended target was probably hit,^[109] although he admitted this was speculation.^[73] Another German researcher and spokesman of the German-based Chaos Computer Club, Frank Rieger, was the first to speculate that Natanz was the target.^[40]

Natanz nuclear facilities

بحسب صحيفة هآرتس الإسرائيلية ، في سبتمبر/أيلول 2010، ازداد اقتناع خبراء الشؤون الإيرانية ومتخصصي أمن الحاسوب بأن برنامج ستوكسنت الخبيث كان يهدف إلى " تخريب منشأة تخصيب اليورانيوم في نطنز ، حيث انخفضت الطاقة التشغيلية لأجهزة الطرد المركزي بنسبة 30% خلال العام الماضي". ^{[ 110 ]} وفي 23 نوفمبر/تشرين الثاني 2010، أُعلن عن توقف تخصيب اليورانيوم في نطنز عدة مرات بسبب سلسلة من المشاكل التقنية الكبيرة. ^{[ 111 ]} ووقع "حادث نووي خطير" (يُفترض أنه إغلاق بعض أجهزة الطرد المركزي ^{[ 112 ]} ) في الموقع خلال النصف الأول من عام 2009، ويُعتقد أنه أجبر غلام رضا آغازاده ، رئيس منظمة الطاقة الذرية الإيرانية ، على الاستقالة. ^{[ 113 ]} تُظهر إحصائيات نشرها اتحاد العلماء الأمريكيين (FAS) أن عدد أجهزة الطرد المركزي للتخصيب العاملة في إيران انخفض بشكلٍ غامض من حوالي 4700 إلى حوالي 3900 جهاز، بدءًا من نفس الفترة الزمنية التي أشار إليها موقع ويكيليكس بشأن الحادث النووي. ^{[ 114 ]} ويشير معهد العلوم والأمن الدولي (ISIS)، في تقرير نُشر في ديسمبر 2010، إلى أن فيروس ستوكسنت يُعد تفسيرًا معقولًا للأضرار الظاهرة ^{[ 115 ]} في نطنز، وربما يكون قد دمّر ما يصل إلى 1000 جهاز طرد مركزي (10%) في الفترة ما بين نوفمبر 2009 وأواخر يناير 2010. ويخلص الباحثون إلى ما يلي: 

يبدو أن الهجمات مصممة لإجبار دوار جهاز الطرد المركزي على تغيير سرعته، برفعها أولًا ثم خفضها، على الأرجح بهدف إحداث اهتزازات أو تشوهات مفرطة من شأنها تدمير الجهاز. إذا كان هدف ستوكسنت هو تدمير جميع أجهزة الطرد المركزي في محطة تخصيب الوقود النووي بسرعة، فقد فشل. أما إذا كان الهدف هو تدمير عدد محدود من أجهزة الطرد المركزي وإعاقة تقدم إيران في تشغيل المحطة، مع صعوبة اكتشافها، فقد يكون نجح، ولو مؤقتًا. ^{[ 115 ]}

ويشير تقرير معهد العلوم والأمن الدولي (داعش) كذلك إلى أن السلطات الإيرانية حاولت إخفاء العطل من خلال تركيب أجهزة طرد مركزي جديدة على نطاق واسع. ^{[ 115 ] [ 116 ]}

عملت الدودة أولًا عن طريق التسبب في زيادة سرعة جهاز الطرد المركزي الإيراني المصاب من طراز IR-1 من سرعته التشغيلية الطبيعية البالغة 1064 هرتز إلى 1410 هرتز لمدة 15 دقيقة قبل أن تعود إلى ترددها الطبيعي. بعد 27 يومًا، عادت الدودة للنشاط، فأبطأت سرعة أجهزة الطرد المركزي المصابة إلى بضع مئات من الهرتز لمدة 50 دقيقة كاملة. تسببت الضغوط الناتجة عن السرعات المفرطة، ثم الأبطأ، في تمدد أنابيب الطرد المركزي المصنوعة من الألومنيوم، مما أدى في كثير من الأحيان إلى تلامس أجزاء من أجهزة الطرد المركزي مع بعضها البعض بشكل كافٍ لتدمير الجهاز. ^{[ 117 ]}

بحسب صحيفة واشنطن بوست ، رصدت كاميرات الوكالة الدولية للطاقة الذرية المثبتة في منشأة نطنز عملية تفكيك وإزالة مفاجئة لما يقارب 900 إلى 1000 جهاز طرد مركزي خلال الفترة التي يُزعم أن فيروس ستوكسنت كان نشطًا فيها. إلا أن الفنيين الإيرانيين تمكنوا من إعادة تركيب أجهزة الطرد المركزي بسرعة، وخلص التقرير إلى أن تخصيب اليورانيوم لم يتأثر إلا لفترة وجيزة. ^{[ 118 ]}

في 15 فبراير 2011، أصدر معهد العلوم والأمن الدولي تقريراً خلص إلى ما يلي:

بافتراض أن إيران ستتوخى الحذر، فمن غير المرجح أن يدمر ستوكسنت المزيد من أجهزة الطرد المركزي في مصنع نطنز. ويبدو أن إيران قد نظفت أنظمة التحكم لديها من البرمجيات الخبيثة. ولمنع إعادة الإصابة، سيتعين على إيران توخي الحذر الشديد نظرًا لوجود ستوكسنت في العديد من أجهزة الكمبيوتر في إيران. وعلى الرغم من أن ستوكسنت يبدو مصممًا لتدمير أجهزة الطرد المركزي في منشأة نطنز، إلا أن التدمير لم يكن شاملاً بأي حال من الأحوال. علاوة على ذلك، لم يُخفض ستوكسنت إنتاج اليورانيوم منخفض التخصيب خلال عام 2010. كان من الممكن أن تكون كميات اليورانيوم منخفض التخصيب أكبر، وقد يكون ستوكسنت سببًا رئيسيًا في عدم زيادتها بشكل ملحوظ. ومع ذلك، لا تزال هناك تساؤلات مهمة حول سبب تدمير ستوكسنت لألف جهاز طرد مركزي فقط. ومن الملاحظات أن تدمير أجهزة الطرد المركزي باستخدام الهجمات الإلكترونية قد يكون أصعب مما يُعتقد غالبًا. ^{[ 119 ]}

رد الفعل الإيراني

أفادت وكالة أسوشيتد برس بأن وكالة أنباء الطلاب الإيرانية شبه الرسمية أصدرت بيانًا في 24 سبتمبر/أيلول 2010، ذكرت فيه أن خبراء من منظمة الطاقة الذرية الإيرانية اجتمعوا في الأسبوع السابق لمناقشة كيفية إزالة برنامج ستوكسنت الخبيث من أنظمتهم. ^{[ 21 ]} ووفقًا لمحللين، مثل ديفيد أولبرايت ، كانت وكالات الاستخبارات الغربية تحاول تخريب البرنامج النووي الإيراني منذ فترة. ^{[ 120 ] [ 121 ]}

صرح رئيس محطة بوشهر للطاقة النووية لوكالة رويترز بأن أجهزة الكمبيوتر الشخصية لموظفي المحطة فقط هي التي أصيبت بفيروس ستوكسنت، ونقلت صحيفة إيران ديلي الحكومية عن رضا تقيبور ، وزير الاتصالات الإيراني، قوله إن الفيروس لم يتسبب في "أضرار جسيمة للأنظمة الحكومية". ^{[ 98 ]} وصرح محمود ليائي، مدير مجلس تكنولوجيا المعلومات في وزارة الصناعة والمناجم الإيرانية، قائلاً: " لقد شُنّت حرب إلكترونية  ضد إيران ... صُمم هذا الفيروس الحاسوبي لنقل بيانات خطوط الإنتاج من مصانعنا إلى مواقع خارج إيران". ^{[ 122 ]}

استجابةً للعدوى، شكّلت إيران فريقًا لمكافحتها. ومع تأثر أكثر من 30 ألف عنوان IP في إيران، صرّح مسؤول بأن العدوى تنتشر بسرعة في البلاد، وأن قدرة فيروس ستوكسنت على التحوّر قد تفاقمت. وقد أنشأت إيران أنظمتها الخاصة لتنظيف العدوى، ونصحت بعدم استخدام برنامج سيمنز سكادا لمكافحة الفيروسات، لاشتباه احتوائه على شفرة مضمنة تُحدّث ستوكسنت بدلًا من إزالته. ^{[ 123 ] [ 124 ] [ 125 ] [ 126 ]}

بحسب حامد علي بور، نائب رئيس شركة تكنولوجيا المعلومات الحكومية الإيرانية، "لا يزال الهجوم مستمرًا، وتنتشر نسخ جديدة من هذا الفيروس". وأفاد بأن شركته بدأت عملية تطهير "المراكز والمنظمات الحساسة" في إيران. ^{[ 124 ]} وأضاف لوكالة أنباء الجمهورية الإسلامية في 27 سبتمبر/أيلول 2010: "كنا نتوقع أن نتمكن من القضاء على الفيروس في غضون شهر إلى شهرين، لكن الفيروس غير مستقر، ومنذ أن بدأنا عملية التطهير، انتشرت ثلاث نسخ جديدة منه". ^{[ 126 ]}

في 29 نوفمبر/تشرين الثاني 2010، صرّح الرئيس الإيراني محمود أحمدي نجاد لأول مرة بأن فيروسًا حاسوبيًا تسبب في مشاكل في وحدة التحكم الخاصة بأجهزة الطرد المركزي في منشآت نطنز. ووفقًا لوكالة رويترز ، قال للصحفيين في مؤتمر صحفي في طهران: "لقد نجحوا في إحداث مشاكل في عدد محدود من أجهزة الطرد المركزي لدينا من خلال برنامج قاموا بتثبيته في الأجزاء الإلكترونية". ^{[ 127 ] [ 128 ]}

في اليوم نفسه، استُهدف عالمان نوويان إيرانيان في هجومين منفصلين، لكنهما متزامنان تقريبًا، بسيارتين مفخختين قرب جامعة شهيد بهشتي في طهران. قُتل ماجد شهرياري ، عالم الفيزياء الكمية ، وأُصيب فريدون عباسي ، مسؤول رفيع المستوى في وزارة الدفاع، بجروح خطيرة. تكهّنت مجلة Wired بأن الاغتيالات قد تشير إلى أن من يقف وراء ستوكسنت شعر بأن ذلك لم يكن كافيًا لوقف البرنامج النووي. ^{[ 129 ]} وأشارت المقالة نفسها في Wired إلى احتمال وقوف الحكومة الإيرانية وراء الاغتيالات. ^{[ 129 ]} في يناير/كانون الثاني 2010، قُتل عالم نووي إيراني آخر، أستاذ فيزياء في جامعة طهران ، في انفجار مماثل. ^{[ 129 ]} في 11 يناير/كانون الثاني 2012، قُتل مصطفى أحمدي روشن ، مدير منشأة نطنز لتخصيب اليورانيوم، في هجوم مشابه جدًا للهجوم الذي أودى بحياة شهرياري. ^{[ 130 ]}

أظهر تحليلٌ أجرته هيئة التحليلات الخارجية الإيرانية (FAS) أن قدرة إيران على تخصيب اليورانيوم قد ازدادت خلال عام 2010. وأشارت الدراسة إلى أن أداء أجهزة الطرد المركزي الإيرانية تحسّن بنسبة 60% مقارنةً بالعام السابق، مما سيقلل بشكلٍ كبير من الوقت اللازم لطهران لإنتاج اليورانيوم اللازم لصنع القنابل. وقد راجع مسؤولٌ في الوكالة الدولية للطاقة الذرية تقرير هيئة التحليلات الخارجية الإيرانية، وأقرّ صحة الدراسة. ^{[ 131 ] [ 132 ] [ 133 ]}

أفاد مسؤولون أوروبيون وأمريكيون، إلى جانب خبراء من القطاع الخاص، لوكالة رويترز أن المهندسين الإيرانيين نجحوا في تحييد فيروس ستوكسنت وتطهير الجهاز النووي لبلادهم. ^{[ 134 ]}

بالنظر إلى نمو قدرة إيران على تخصيب اليورانيوم في عام 2010، فمن المحتمل أن تكون إيران قد نشرت معلومات مضللة عمداً لجعل مبتكري فيروس ستوكسنت يعتقدون أن الفيروس كان أكثر نجاحاً في تعطيل البرنامج النووي الإيراني مما كان عليه في الواقع. ^{[ 40 ]}

إسرائيل

^{تشير تقارير إعلامية متعددة [ 97 ] [ 112 ] [ 137 ]} وخبراء مثل ريتشارد أ. فالكنراث ، المدير السابق للسياسات والخطط في مكتب الأمن الداخلي الأمريكي ، إلى أن إسرائيل ، عبر الوحدة 8200 ، ^{[ 135 ] [ 136 ]} هي الدولة التي تقف وراء فيروس ستوكسنت. ^{[ 138 ] [ 98 ]} كما يشتبه يوسي ميلمان، الذي يغطي أخبار الاستخبارات في صحيفة هآرتس الإسرائيلية ومؤلف كتاب عن الاستخبارات الإسرائيلية، في تورط إسرائيل، مشيرًا إلى أن مئير داغان ، الرئيس السابق (حتى عام 2011) لجهاز المخابرات الإسرائيلي (الموساد )، مُدِّدت ولايته في عام 2009 بسبب مشاركته المزعومة في مشاريع مهمة. بالإضافة إلى ذلك، في عام 2010، توقعت إسرائيل أن تمتلك إيران سلاحًا نوويًا في عام 2014 أو 2015 - أي بعد ثلاث سنوات على الأقل من التقديرات السابقة - دون الحاجة إلى هجوم عسكري إسرائيلي على المنشآت النووية الإيرانية. وأضاف: "يبدو أنهم يعلمون شيئًا ما، وأن لديهم وقتًا أطول مما كان يُعتقد في البداية". ^{[ 29 ] [ 69 ]} لم تُعلّق إسرائيل علنًا على هجوم ستوكسنت، لكنها أكدت في عام 2010 أن الحرب السيبرانية أصبحت من بين ركائز عقيدتها الدفاعية، مع إنشاء وحدة استخبارات عسكرية لمتابعة الخيارات الدفاعية والهجومية على حد سواء. ^{[ 139 ] [ 140 ] [ 141 ]} وعندما سُئل بعض المسؤولين الإسرائيليين عما إذا كانت إسرائيل وراء الفيروس في خريف عام 2010، ارتسمت على وجوههم ابتسامات عريضة، مما زاد من التكهنات بأن الحكومة الإسرائيلية متورطة في نشأته. ^{[ 142 ]} كما ابتسم غاري سامور، مستشار الرئيس الأمريكي، عند ذكر ستوكسنت، ^{[ 69 ]} على الرغم من أن مسؤولين أمريكيين أشاروا إلى أن الفيروس نشأ في الخارج. ^{[ 142 ]} وفقًا لصحيفة التلغراف ، ذكرت صحيفة هآرتس الإسرائيلية أنه تم عرض مقطع فيديو في حفل تقاعد غابي أشكنازي ، رئيس أركان جيش الدفاع الإسرائيلي المتقاعد ، احتفالًا بنجاحاته العملياتية، وتضمن إشارات إلى ستوكسنت، مما عزز الادعاءات بأن قوات الأمن الإسرائيلية كانت مسؤولة عن ذلك. ^{[ 143 ]}  

في عام 2009، أي قبل عام من اكتشاف ستوكسنت، أشار سكوت بورغ من وحدة العواقب السيبرانية الأمريكية (US-CCU) ^{[ 144 ]} إلى أن إسرائيل قد تُفضّل شنّ هجوم سيبراني على ضرب المنشآت النووية الإيرانية بدلاً من توجيه ضربة عسكرية. ^{[ 121 ]} وفي أواخر عام 2010، صرّح بورغ قائلاً: "إسرائيل لديها بالتأكيد القدرة على إنشاء ستوكسنت، ولا توجد مخاطر تُذكر لمثل هذا الهجوم، إذ يكاد يكون من المستحيل إثبات هوية منفّذه. لذا، تُعدّ أداة مثل ستوكسنت السلاح الأمثل لإسرائيل". ^{[ 145 ]} تستخدم إيران أجهزة الطرد المركزي P-1 في نطنز، وهو التصميم الذي سرقه عبد القدير خان عام 1976 ونقله إلى باكستان. وقد باعت شبكته غير القانونية لترويج الأسلحة النووية أجهزة P-1، من بين عملاء آخرين، لإيران. ويعتقد الخبراء أن إسرائيل حصلت أيضاً بطريقة ما على أجهزة P-1 واختبرت ستوكسنت عليها، وهي أجهزة مُثبّتة في منشأة ديمونا التي تُعدّ جزءاً من برنامجها النووي . ^{[ 69 ]} قد تكون المعدات من الولايات المتحدة، التي تلقت طائرات P-1 من البرنامج النووي الليبي السابق . ^{[ 146 ] [ 69 ]}

وقد أشار البعض إلى عدة أدلة في الشفرة، مثل إشارة خفية إلى كلمة " ميرتوس" (MYRTUS )، التي يُعتقد أنها تشير إلى الاسم اللاتيني لشجرة الآس ، والتي تُسمى بالعبرية "هداسا" . هداسا هو الاسم الأصلي للملكة إستير ، ملكة بلاد فارس اليهودية السابقة . ^{[ 147 ] [ 148 ]} مع ذلك، قد يكون المقصود بكلمة "ميرتوس" مجرد سوء فهم لمكونات نظام التحكم الإشرافي وجمع البيانات (SCADA) المعروفة باسم وحدات التحكم الطرفية عن بُعد ( RTUs )، وأن هذه الإشارة هي في الواقع "وحدات التحكم الطرفية عن بُعد الخاصة بي" (My RTUs)، وهي ميزة إدارية في نظام SCADA. ^{[ 149 ]} كذلك، يظهر الرقم 19790509 مرة واحدة في الشفرة، وقد يشير إلى تاريخ 9 مايو 1979 ، وهو اليوم الذي أُعدم فيه حبيب الغانيان ، وهو يهودي فارسي، في طهران . ^{[ 75 ] [ 150 ] [ 151 ]} يظهر تاريخ آخر في الشفرة وهو "24 سبتمبر 2007"، وهو اليوم الذي ألقى فيه الرئيس الإيراني محمود أحمدي نجاد خطابًا في جامعة كولومبيا ، وأدلى بتصريحات شكك فيها بصحة المحرقة . [ ^{40 ] هذه} البيانات ليست قاطعة، إذ كما أشارت سيمانتك، "سيكون لدى المهاجمين رغبة طبيعية في توريط طرف آخر". ^{[ 75 ]}

الولايات المتحدة

وردت تقارير عديدة حول تورط الولايات المتحدة وتعاونها مع إسرائيل، ^{[ 152 ] [ 153 ]} حيث ذكر أحد التقارير أنه "لا شك تقريبًا في أن الولايات المتحدة لعبت دورًا في ابتكار الفيروس". ^{[ 40 ]} وأُفيد بأن الولايات المتحدة، في إطار أحد أكثر برامجها سرية، والذي بدأته إدارة بوش وسرّعت وتيرته إدارة أوباما ، ^{[ 154 ]} سعت إلى تدمير البرنامج النووي الإيراني بأساليب مبتكرة، مثل تقويض أنظمة الحاسوب الإيرانية. وكشفت برقية دبلوماسية مسربة كيف نُصحت الولايات المتحدة باستهداف القدرات النووية الإيرانية من خلال "التخريب السري". ^{[ 155 ]} ونسبت مقالة في صحيفة نيويورك تايمز في يناير 2009 الفضل إلى برنامج لم يُحدد حينها في منع هجوم عسكري إسرائيلي على إيران، حيث ركزت بعض الجهود على طرق زعزعة استقرار أجهزة الطرد المركزي. ^{[ 156 ]} وزعمت مقالة في مجلة وايرد أن ستوكسنت "يُعتقد أن الولايات المتحدة هي من ابتكرته". ^{[ 157 ]} تكهن المؤرخ الهولندي بيتر كوب بأن عمليات الوصول المصممة خصيصًا ربما تكون قد طورت ستوكسنت، وربما بالتعاون مع إسرائيل. ^{[ 158 ]}

إن حقيقة أن جون بومغارنر، ضابط المخابرات السابق وعضو وحدة العواقب السيبرانية الأمريكية، قد نشر مقالاً قبل اكتشاف أو فك شفرة ستوكسنت، يُفصّل فيه ضربة سيبرانية استراتيجية على أجهزة الطرد المركزي ^{[ 159 ]} ، ويُشير إلى جواز شنّ هجمات سيبرانية ضد الدول التي تُشغّل برامج تخصيب اليورانيوم التي تنتهك المعاهدات الدولية، تُضفي بعض المصداقية على هذه الادعاءات. وأشار بومغارنر إلى أن أجهزة الطرد المركزي المستخدمة في معالجة وقود الأسلحة النووية تُعدّ هدفاً رئيسياً لعمليات الهجوم السيبراني ، وأنه يُمكن جعلها تُدمّر نفسها عن طريق التلاعب بسرعات دورانها. ^{[ 160 ]}

في مقابلة أجرتها معه قناة " 60 دقيقة" في مارس/آذار 2012، نفى الجنرال المتقاعد في سلاح الجو الأمريكي، مايكل هايدن - الذي شغل منصب مدير كل من وكالة الاستخبارات المركزية ووكالة الأمن القومي - معرفته بهوية مبتكري برنامج ستوكسنت الخبيث، لكنه أشار إلى أنه يعتقد أنها كانت "فكرة جيدة"، إلا أنها تنطوي على جانب سلبي يتمثل في أنها شرّعت استخدام أسلحة إلكترونية متطورة مصممة لإلحاق أضرار مادية. وقال هايدن: "هناك من يستطيع الاطلاع على هذا ... وربما حتى محاولة تسخيره لأغراضه الخاصة". وفي التقرير نفسه، أشار شون ماكغورك، المسؤول السابق عن الأمن السيبراني في وزارة الأمن الداخلي، إلى أنه بات بالإمكان الآن تحميل شفرة ستوكسنت المصدرية عبر الإنترنت وتعديلها لتوجيهها نحو أنظمة مستهدفة جديدة. وفي حديثه عن مبتكري ستوكسنت، قال: "لقد فتحوا الباب. لقد أظهروا القدرة ... إنه أمر لا يمكن التراجع عنه". ^{[ 161 ]}    

جهد مشترك ودول وأهداف أخرى

في أبريل/نيسان 2011، صرّح المسؤول الحكومي الإيراني غلام رضا جلالي بأن تحقيقًا قد خلص إلى أن الولايات المتحدة وإسرائيل كانتا وراء هجوم ستوكسنت. ^{[ 162 ]} وذكر فرانك ريغر أن وكالات الاستخبارات في ثلاث دول أوروبية اتفقت على أن ستوكسنت كان جهدًا مشتركًا بين الولايات المتحدة وإسرائيل. ويختلف رمز برنامج حقن ويندوز وحمولة PLC في الأسلوب، مما يُرجّح وجود تعاون بينهما. ويعتقد خبراء آخرون أن التعاون الأمريكي الإسرائيلي غير مرجح لأن "مستوى الثقة بين أجهزة الاستخبارات والجيش في البلدين ليس عاليًا". ^{[ 40 ]}

ذكرت مقالة في مجلة Wired عن الجنرال الأمريكي كيث ب. ألكسندر : "لقد شن هو ومحاربوه الإلكترونيون هجومهم الأول بالفعل. تم إنشاء وتطوير السلاح الإلكتروني الذي عُرف باسم ستوكسنت من قبل وكالة الأمن القومي بالتعاون مع وكالة المخابرات المركزية والمخابرات الإسرائيلية في منتصف العقد الأول من القرن الحادي والعشرين." ^{[ 163 ]}

تُعدّ الصين [ ^{164 ]} والأردن وفرنسا من الاحتمالات الأخرى، وربما شاركت شركة سيمنز أيضًا. ^{[ 40 ] [ 152 ]} تكهّن لانجنر بأنّ العدوى ربما انتشرت من ذاكرات فلاش USB تابعة لمتعاقدين روس، نظرًا لعدم إمكانية الوصول إلى الأهداف الإيرانية عبر الإنترنت. ^{[ 23 ] [ 165 ] في} عام 2019، أفيد بأنّ جاسوسًا إيرانيًا يعمل لصالح المخابرات الهولندية بتحريض من إسرائيل ووكالة المخابرات المركزية الأمريكية قام بزرع فيروس ستوكسنت باستخدام ذاكرة فلاش USB أو أقنع شخصًا آخر يعمل في منشأة نطنز بالقيام بذلك. ^{[ 166 ] [ 167 ]}

جادل ساندرو جايكن من جامعة برلين الحرة بأن الهجوم على إيران كان خدعة لصرف الانتباه عن الهدف الحقيقي لبرنامج ستوكسنت. ووفقًا له، فإن انتشاره الواسع في أكثر من 100 ألف مصنع حول العالم يشير إلى اختبار ميداني لسلاح سيبراني في بيئات أمنية مختلفة، لاختبار جاهزيتها وقدرتها على الصمود وردود أفعالها، وهي جميعها معلومات بالغة الأهمية لوحدة الحرب السيبرانية. ^{[ 168 ]}

نفت المملكة المتحدة أي تورط لها في ابتكار الدودة. ^{[ 169 ]}

في يوليو 2013، زعم إدوارد سنودن أن برنامج ستوكسنت تم تطويره بشكل تعاوني بين الولايات المتحدة وإسرائيل. ^{[ 170 ]}

منذ عام 2010، حظي فيروس ستوكسنت وتداعياته بتغطية إعلامية دولية واسعة. في تعليقات مبكرة، أشارت مجلة الإيكونوميست إلى أن ستوكسنت "نوع جديد من الهجمات الإلكترونية". ^{[ 180 ]} وفي 8 يوليو/تموز 2011، نشرت مجلة وايرد مقالًا يشرح بالتفصيل كيف تمكن خبراء أمن الشبكات من فك شفرة أصول ستوكسنت. في ذلك المقال، زعمت كيم زيتر أن "نسبة التكلفة إلى الفائدة من ستوكسنت لا تزال موضع تساؤل". ^{[ 181 ]} ركز المعلقون اللاحقون على الأهمية الاستراتيجية لستوكسنت كسلاح إلكتروني. بعد مقال وايرد، وصف هولجر ستارك ستوكسنت بأنه "أول سلاح رقمي ذو أهمية جيوسياسية، ويمكنه تغيير طريقة خوض الحروب". ^{[ 182 ]} في الوقت نفسه، أشار إيدي والش إلى ستوكسنت بأنه "أحدث تهديد غير متكافئ عالي التقنية في العالم". ^{[ 183 ]} ​​في نهاية المطاف، يزعم البعض أن "التغطية الإعلامية الواسعة التي حظي بها برنامج ستوكسنت لم تكن سوى دعاية للثغرات التي تستغلها مختلف جماعات الجرائم الإلكترونية". ^{[ 184 ]} مع أن هذا قد يكون صحيحاً، إلا أن التغطية الإعلامية قد زادت أيضاً من الوعي بمخاطر الأمن السيبراني.

يتناول الفيلم الوثائقي "زيرو دايز" للمخرج أليكس جيبني ، الصادر عام ٢٠١٦ ، ظاهرة ستوكسنت. ^{[ ١٨٥ ]} ثغرة اليوم الصفر ( أو ثغرة صفر) هي ثغرة في برمجيات الحاسوب غير معروفة أو غير معالجة من قِبل الجهات المعنية (بما في ذلك مُورّد البرنامج المستهدف). إلى حين معالجة هذه الثغرة، يستطيع المخترقون استغلالها للتأثير سلبًا على برامج الحاسوب، أو البيانات، أو أجهزة حاسوب إضافية، أو الشبكة.

في عام 2016، كُشف النقاب عن أن الجنرال جيمس كارترايت ، القائد السابق للقيادة الاستراتيجية الأمريكية، قد سرب معلومات تتعلق ببرنامج ستوكسنت الخبيث. وقد أقر لاحقًا بذنبه في الكذب على عملاء مكتب التحقيقات الفيدرالي الذين كانوا يحققون في التسريب. ^{[ 186 ] [ 187 ]} وفي 17 يناير 2017، منحه الرئيس أوباما عفوًا كاملًا في هذه القضية، وبذلك أُلغي سجله الجنائي.

تتناول حلقة بودكاست " يوميات الشبكة المظلمة " بعنوان "ستوكسنت " موضوع ستوكسنت مع الضيفة كيم زيتر ، وتشير إلى كتاب " العد التنازلي إلى يوم الصفر" . ^{[ 188 ]}

إلى جانب الفيلم الوثائقي المذكور آنفاً لأليكس جيبني بعنوان Zero Days (2016)، والذي يتناول البرمجيات الخبيثة والحرب الإلكترونية المحيطة بها، تشمل الأعمال الأخرى التي تشير إلى Stuxnet ما يلي:

• في مسلسل Castle ، الموسم الثامن، الحلقة 18 "Backstabber"، تم الكشف عن أن Stuxnet قد تم إنشاؤه (بشكل خيالي) بواسطة MI6 ، وتم استخدام نسخة منه لإسقاط شبكة الكهرباء في لندن.
• "حصان طروادة" رواية من تأليف مارك روسينوفيتش ، كاتب برامج ويندوز وروائي . تدور أحداثها حول فيروس ستوكسنت، الذي يُعدّ محور القصة الرئيسي، ومحاولة إيران تجاوزه.
• في فيلم Ghost in the Shell: Arise ، Stuxnet هو نوع فيروس الكمبيوتر الذي أصاب كوساناغي ومانامورا مما سمح بزرع ذكريات زائفة.
• في يوليو 2017، أصدر MRSA ( مات زو ) أغنية بعنوان "Stuxnet" من خلال شركة Hospital Records .
• في لعبة الفيديو "توم كلانسي سبلينتر سيل: بلاك ليست" الصادرة عن شركة يوبيسوفت عام 2013 ، يستخدم بطل اللعبة، سام فيشر، مقرًا متنقلًا محمولًا جوًا ("بالادين")، والذي يُقال في إحدى مراحل طور القصة أنه استُهدف بفيروس شبيه بفيروس ستوكسنت، مما تسبب في تعطل أنظمته وانحراف الطائرة نحو المحيط، وكان سيتحطم لولا تدخل فيشر. ^{[ 189 ]}
• في فيلم مايكل مان "بلاك هات" لعام 2015 ، فإن الشفرة التي ظهرت على أنها تنتمي إلى فيروس استخدمه أحد المتسللين للتسبب في انفجار مضخات التبريد في محطة نووية في تشاي وان، هونغ كونغ، هي في الواقع شفرة تم فك تجميعها لفيروس ستوكسنت.
• في الحلقة الثالثة من مسلسل "ستار تريك: ديسكفري " ، بعنوان " السياق للملوك "، يتعرف الشخصيات على جزء من الشفرة البرمجية باعتبارها جزءًا من نظام نقل تجريبي. الشفرة المعروضة هي شفرة مُفككة من برنامج ستوكسنت. ^{[ 190 ]} يظهر جزء كبير من الشفرة نفسها في حلقة "باير" من مسلسل "ذا إكسبانس "، ولكن هذه المرة كتمثيل مرئي لثغرة تشخيصية تخترق برنامج التحكم في الصواريخ النووية.