stuxnet病毒事件 《连线》：历史上威胁性最大的恶意软件——Stuxnet的发现(2)

这引起了OMurchu的极大兴趣。他第一次接触恶意程序是在1996年，某大学生制造了一个针对校内网的病毒，上百台终端受到感染，学生在登录前必须回答10个问题。所有人都被激怒了除了OMurchu，他着迷于这段代码并开始深入研究。他的基因天生就喜欢解构。从小就不同于别的小孩，不是着迷于玩玩具车，而是拆开研究齿轮是怎么运作的。

大学毕业后，他开始为一家公司服务，测试国家互联网电话亭，由于成功攻破系统，他被留用。2002他任职于一家反病毒公司，不久被赛门铁克吞并，办公地点前迁移到现在的地方。

成百上千的恶意程序OMurchu只要粗略一看代码片段马上知道是什么——键盘记录、银行木马，以及是否简单散漫的组合或者是用心的组织和改造构成的。Stuxnet明显属于后一种，它包含了多个组件，并被划分到不同的区域以使其易于根据需求调整功能。

最突出的一点是这个恶意程序隐藏其功能的方式。通常，windows应用程序的功能是从保存在硬盘上的DLL文件中导出运行。恶意程序采用同样的方式，反病毒软件会以此检测病毒存在。然而，Stuxnet保存其解密的DLL文件在内存中，以特定名称的虚拟文件存在。然后，它重编制WindowsAPI——介于操作系统和应用程序的接口。因而，每当程序调用特定名称功能时都会从内存中获取而不是从硬盘。Stuxnet本质上是创建了影子文件并不会保存在硬盘上，因而几乎不会被发现。

OMurchu在其职业生涯中从未见如此的技术，“即便是我所见的最复杂、最先进威胁也无法达到这种水平”。至此，所有线索显示Stuxnet相当，OMurchu仅完成了500k中前5k的分析工作，如此的工作需要一个团队完成，但问题，他们能做到么？

没人会责怪他们就此收手Stuxnet的事，因为反病毒公司的主要职责是发现并停止恶意程序的传播和破坏。至于，研究恶意程序会做什么重要性放在次要位置。

基于为客户负责的原则，赛门铁克并未放弃进一步研究。更重要的是，代码的复杂度远超软件，对于OMurchu它更像是刺激的谜题，他想解开它。

最后，在完成对代码的初步评估后，将更新发给了位于东京的研发中心，赛门铁克在美国、日本、欧洲拥有实验室，这样对于重要的威胁可以确保持续跟踪，类似于接力赛。此时加入分析团队的有东京的技术总监EricChien和巴黎的高级工程师NicolasFalliere。他们判断一旦某台机器受到感染，它就会返回消息给在马来西亚和丹麦的服务器，报告被感染机器的系统信息，包括主机的内外网IP，主机名，操作系统版本以及是否安装了step7软件。这些命令控制服务器使得攻击者可以更新感染计算机上的病毒版本甚至安装更多的恶意文件。

域名服务提供商已经拦截了这些反馈信息，阻止传递信息给攻击者。赛门铁克有个好主意，他们说服提供商将信息重定向到特定跟踪服务器——无底洞。然后，反病毒公司就获得的被感染服务器的信息报告，并将他们跟其他安全公司共享。

无底洞建立好的一周时间内，收到了38000台服务器的信息分布在超过几十个国家。不久数量将超过100000，Stuxnet的传播速度很快，尽管反病毒公司已经发布了病毒的签名防范。当Chien和OMurchu分析收感染的地区分布式，奇怪的事情发生了。380000台机器中220000在伊朗，印尼位居第二约6700台，印度约3700台。美国少于400台。其中，只有极少数装有step7软件，217台在伊朗，美国有16台。

这次传播模式与以往几次病毒爆发有很大不同，伊朗从未达到如此程度。通常美国和韩国是病毒爆发最大的受害者，因为这两个国家拥有最多的互联网用户。即便在中东地区爆发的病毒传染伊朗也未达到如此高。很明显伊朗是Stuxnet传播的重灾区。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-32886-2.html