stuxnet病毒事件 《连线》：历史上威胁性最大的恶意软件——Stuxnet的发现(3)

复杂的代码、窃取的证书以及伊朗成为重灾区，种种现象暗示这Stuxnet可能是出于某种网络军队之手，美国网军成为头号嫌疑。

如此，赛门铁克公司的无底洞服务器可能闯下大祸。通过拦截攻击者期望获取的数据，这些研究人员冒着篡改扰乱US隐秘行动的风险。在被询问是否会有所担心时，Chien回答到“对于我们没有好人和坏人”，他沉思后继续“好，那些坏人是指通过恶意程序实现有预谋或无预谋的结果”。

无论这些“坏人”是否是美国或者其盟友，网络攻击造成上千相关系统的破坏，赛门铁克无意为此隐瞒而获取爱国主义感。“我们并非为国家所有”Chien说，“我们是国际性的公司，仅为客户负责”。

但是没有人知道Stuxnet究竟想干什么。“有段时间我们曾考虑可能是伊朗没有最新的防毒软件造成其受到大面积感染，但如果它发生在美国，包括水处理站、机车控制系统任何东西都有可能被感染”Chien最近回电，“因此，我们实际上正在努力，全力的寻找究竟它想作什么”。

二

8月下旬某个周末的晚上OMurchu正在庆祝自己33岁生日，在加利福尼亚的Erwin酒店，远眺太平洋和家人朋友一起品尝啤酒、。当Chien来到派对时，派对开始不到3小时，Chien有些东西要给他看，但他决定不会再去工作。

“我给你看样东西，但我们不会在剩下的时间内讨论这件事”，Chien告诉OMurchu，他拿出黑莓手机上面显示了一封信，内容是另一个技术人员发现在Stuxnet中包含多个零日漏洞。

OMurchu看着Chien，他们在Stuxnet上投入了一个月之久，曾经发现可能有多个暗藏的漏洞攻击，但核实信息将他们放走。这封信的细节不够清晰，但单那条存在多个零日漏洞就已紧紧抓住OMurchu的心。“就是它了”，他说：“今晚我不多喝了”。

星期六清早，他回到办公室开始挖掘代码，集中在病毒传播的部分，测试和记录他的发现，下午休息时他将给Chien发信，然后Chien将继续工作到夜晚。直到周六晚上他们发现了至少3处零日漏洞。

除了Windows的LNK文件漏洞，Stuxnet还利用了打印机缓冲缺陷，使得病毒能同一共享打印机下的计算机传播。第3和4个漏洞是利用了键盘文件和任务计划文件实现攻击者对计算机控制。同时，Stuxnet还能偷取Step7在硬件中固化的静态密码，并由此获取对其数据服务器的连接，通过感染服务节点进一步传播给其他的机器。

攻击者无情且不遗余力的企图传播恶意程序，但又是通过一个奇怪的有限的途径。不同于其他恶意程序通过email和恶意网站去发布病毒。Stuxnet并未使用互联网作为传播途径，它的传播范围仅限于局域网内部。其中最主要的传播方式是通过受感染的U盘，藏在某人的口袋里偷运到目的设施内部。

这表明攻击者明确被攻击目标是与互联网隔离的，同时使用4个零日漏洞攻击表明目标说明价值很高。

这是一种粗糙且不精确的攻击方式，有点像给本的某个妻子注射病毒，希望她能传染给头目，这注定是会传染给其他人，并且剧情还会被发现。Stuxnet的确就是这样的。赛门铁克研究人员检查了每个受感染系统返回的域名信息和时间戳，以使他们能够回溯到病毒传播的源头服务器。他们发现攻击者集中攻击了5个他们认为是其目标入口机构网关服务器的计算机。这5个机构分别受到重复攻击在09年7月，10年的3月4月和5月。

赛门铁克将后续的漏洞报告给微软公司以及其他的安全软件公司用以检查他们的恶意程序中是否出现过这些漏洞。

值得注意的是，他们发现在2008年11月发生过使用LNK漏洞攻击windowsExplorer，用来传播Zlob木马，一种木马程序在感染计算机上安装广告和恶意后门。通过更新反病毒软件的病毒库可以将Zlob木马甄别删除，但是该零日漏洞却被别有意识的无视了，之后的再次发现就是在出现Stuxnet后了。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-32886-3.html