stuxnet病毒事件 《连线》：历史上威胁性最大的恶意软件——Stuxnet的发现

释放了某种复杂而致命的蠕虫病毒，其目的只有一个，就是破坏该国的铀浓缩进程阻止内贾德获得。

2010年6月17日Ulasen在他的办公室浏览邮件，一封信吸引了他，一个伊朗客户的电脑发生了重启循环，人工干预任然无效，显然是受到了病毒的感染。Ulasen领导一家小型的反病毒软件公司在明斯克。计算机安全产品作为计算机科学的旁支在近10年内成长为万亿美元的产业，伴随着黑客攻击，病毒，木马程序等的爆发式增长。这家小公司在其行业中几乎没有名气，不像赛门铁克、卡巴斯基等知名公司，但这次情况不一样了。Ulasen研发团队追踪到了感染他们客户的病毒，初步判读其利用了“zero-day”零日漏洞，零日漏洞是黑客世界最有力的武器：他们通过寻找软件弱点，生产厂商和反病毒厂商都不知道的缺陷。每年超过1千2百万的恶意程序被反病毒公司发现，只有不到10个使用零日漏洞。

这个案例中病毒通过巧妙的通过U盘来传播，利用了windows系统的LNK文件的缺陷。当被感染的U盘插入计算机，系统扫描盘内容时，后门代码被激活偷偷下载一个大的加密文件到计算机，就像通过运输机向敌方战区投送伪装士兵。

回头看这是个巧妙的漏洞利用，同时研究人员很快发现这个漏洞已经被利用过。VirusBlokAda联系了微软公司报告系统漏洞。7月12日当这个软件巨人着手准备补丁时，这家小公司开始走向公众，他们的发现被发表到安全论坛。3天后，安全博主BrianKerbs讲述了该故事，全球的反病毒软件公司开始争夺该恶意代码样例——微软起名为Stuxnet（从代码中发现的.stub和MrxNet.sys文件名的组合）。

随着软件安全机构组织的全倾全力解密和重构Stuxnet，更多浮出水面。

事实证明这段代码早在一年前就被启动，而且神秘始作俑者已经将其不断改进更新，释放了大约3个不同的版本。值得注意的是，其中一个病毒的驱动文件使用了安全证书，该证书是从的硬件生产厂商RealTek半导体盗取，为的是欺骗系统使之将其判为可信任的RealTek程序。该证书很快被弃用，随后另一个驱动文件被发现使用了第二证书，该证书是从与RealTek同属一个软件园的JMicon科技中偷取的。攻击者是闯入厂区偷取证书还是通过远程黑客偷取的方法，没人知道。

“从未见过如此的操作”ESET某安全公司在博客上记录，“这表明他有极好信息资源”。

从另一方面看，Stuxnet看上去是有规划，并非野心勃勃。专家确定这些病毒仅是针对Siemens WinCCStep7软件设计，德国西门公司的一个工控软件，通过其编制程序控制驱动电机、阀门、开关，涵盖从食品工业、自动化装配线到石油管道和水处理工厂。

控制系统并非传统黑客攻击的目标，因其不能带来明显的经济收益，而Step7软件并非新的东西。表面上看它仅是去窃取系统配置和设计数据，更像是某种工业活动。

对Stuxnet的分析到这里可以结束，但是仍有几个人不愿放手。

OMurchu，33岁爱尔兰人，赛门铁克回馈部经理，工作是复查重大的恶意程序威胁程度，决定是否需要作深度分析。每月超过百万计的恶意文件其中绝大部分是已知的病毒和蠕虫。这些都由自动程序处理，搜索算法查找文件中的异常代码或者行为定义恶意程序，然后产生并公布签名到客户的病毒扫描器上。

然而，恶意程序中包含零日漏洞的必须通过手工检查，OMurchu将Stuxnet转给一个无此经验的工程师想借此锻炼新人。但同时他也被这段代码吸引住了，这比他预期的要复杂的多。通过多层掩饰将零日漏洞代码隐蔽起来，分析挖掘需要大量的工作。而且软件相当大，500k字节，一般的程序只限于10k到15k。通常大型的恶意程序包含图形文件，譬如伪造的银行登录界面。但是Stuxnet里没有图形文件，看上去是密集和高效数据命令的组合。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-32886-1.html