stuxnet病毒事件 《连线》：历史上威胁性最大的恶意软件——Stuxnet的发现(4)

打印缓冲漏洞也在2009年4月发现，在一本波兰的安全杂志上刊登了该缺陷的细节甚至提供一段远程攻击用的源代码。然而，微软从未知道这些，因此也从未打过补丁。

甚至，硬编程的西门子密码也被揭示过。2008年4月，某个署名为Cyber的将此发布在德国和的西门子产品的技术论坛上。

Stuxnet的创造者是从2008年Zlob爆发的时候收集并集成在他们程序中并希望微软不会打补丁？抑或是从Zlob的发明者手中买取（一般认为是东欧黑客），零日漏洞在黑市上的卖价可以高达5万到50万美金。其他的几个漏洞也是这样发现的么？

赛门铁克中心坐落在卡尔佛市，一座高耸入云的写字楼里，威胁智能分析小组就工作在一座看上去像草覆盖的山形建筑的3重安全门后，为的是建立隔离网络环境。房间里没有植物，墙上没有照片，没有员工休息的娱乐设施。这里也没有互联网，只有赛门铁克独有的红网——让研究人员观察释放恶意程序造成的恶果。任何媒介都不允许带出房间，以防止在内网以及互联网上传播。

工作在这种类似于生化隔离实验室的网络模拟环境充满了复杂因素，当调查Stuxnet情况时Chien 和 OMurchu需要到工作室外的服务器机房，用笔记本连上互联网。

在Stuxnet被揭示的前几周内，Chien 和 OMurchu解开其传播的方式，但并不知道为什么被制造出来。秘密被隐藏在其复杂的数据段，逆向工作交给了Falliere，28岁的法国人

Falliere发现了其由3个主要部分组成，15个组件，都被加密封装起来，就像套娃。Stuxnet会根据需求解压某个模块当其发现可被感染的机器时。

除此之外Stuxnet还有一个扩展的配置文件——mdmcpq3.pnf，攻击者可以调整以控制整个代码。例如，传播多久，每次攻击的间隔。他们发现了一个重要时间2012年7月24日，每次Stuxnet发作，它会检查机器的系统时间，如果超过了这个设定时间，它就被关闭。据此推断，这应该是病毒达到它所有的目标的时间。

Stuxnet最重要的部分就是其恶意的数据段，一旦其发现感染的系统上装有Setp7软件，它就会下载解压一个DLL文件。该文件假扮成合法的DLL文件s7otbxdx.dll——包含了Setp7软件的通用功能点。

Step7软件拥有有好的windows人机界面，实现监控程序逻辑控制器——PLC。PLC本质上是台小型的计算机，一块吐司的大小，控制这从自动装配线到化工管道上的电机。给PLC编程和通信的时候，工人们只需将安装Step7的windows机器连到PLC上发送命令和接收数据。

这就是Stuxnet的DLL文件下手的地方，它会拦截从Step7到PLC的命令并将它替换成恶意的指令。同时，Stuxnet另一方面又阻断了从系统上生成的自动告警，掩盖从PLC到Step7系统的运行状态报告，剔除其中任何可疑命令的迹象。工人们监控PLC运行时仅显示合法的命令，就像好莱坞大片里珠宝盗贼向监控摄像中插入循环的视频，安全人员看到是虚假的安全情景。

所有这些恶意命令的注入和掩盖都是源于其当初的设计——并非是某种软件，而是达到物理上的破坏。

研究人员震惊了，这是第一次有人用代码去实现现实世界的物理破坏。好莱坞有过类似情节的片子，但是没有人料到真有其事。

8月6日赛门铁克在博客上发布了Stuxnet是针对西门子控制系统的PLC模块通过注入恶意代码发起攻击。

为说明Stuxnet的破坏性，研究者引用了经常谈起的1982年CIA数字化攻击了西伯利亚的输油管，造成的相当于广岛的五分之一大小。这个从未证实的故事里说，美国发现正在窃取她得技术，因此CIA通过向从加拿大公司购买的油泵操作软件中植入逻辑。软件被应用于国内的油气传输管道，开始的时候工作正常，但到了预编制的时间，恶意程序发生作用使管道内的压力陡然升高，之大以至于被卫星发现。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-32886-4.html