stuxnet病毒事件 《连线》：历史上威胁性最大的恶意软件——Stuxnet的发现(7)

恶意程序从那时开始进化。微软的通用软件拓展了海量和多变的病毒，随着互联网发展使得瞬间传播上百万email病毒和网络蠕虫成为可能。避开恶意程序的本质不谈，十几年来制造恶意程序的编制者的目的始终是一个——名声和荣誉。好的病毒代码会赢得朋友的欢呼。

当电子商务开始浮出水面时事情发生转变，黑客们通过代码实现商业利益目标——窃取数据，网上银行密码以及商业机密。最近，攻击演进成为高级长期威胁，有资助背景的攻击者，耐心的逐步潜伏到网络中，几个月或者几年默默窃取，源代码以及其他的敏感数据。

Stuxnet与以往的都不同，不是恶意病毒的演进，而是革命性的。那些创造如此复杂的蠕虫病毒在网际间无声无息的游走以寻找攻击目标的想法是“跨越性的”，超越了研究者们的想象。“可能在我工作的后20年都没机会遇到这种项目了”O Murchu说道。

九月底，赛门铁克逐步构建出Stuxnet的目标特征。

Falliere逆向工程了病毒攻击PLC的代码，并掌握了它重置连接到控制器设备的某些数据。但他没法知道这些篡改的数据会造成什么结果。就像在黑夜中追踪飞行而不知道它会打到哪里。

他们已经发现Stuxnet的目标系统使用现场总线通信。同样也关注到病毒在搜寻特定的数据——2C CB 0001，作为判断目标PLC的特征。他们有种直觉这可能是某中Step7软件分配给某种硬件的id，因此，他们建立了Step7PLC的模拟环境，测试各种硬件。最终发现是来自于某个现场总线的网卡。

然而仍有两个数字没有被解开—9500h and7050h，既没有出现在现场模拟环境也没有从google上查到。直到2010年11月有了突破。

研究者们将问题发布到博客寻求有现场总线开发经验和关键架构知识的人的帮助。随后，某个荷兰的程序员作了回应。回信的大部分都是研究者们已知的，除了其中一行。stuxnet病毒事件每个现场总线组件拥有一个2字节长的标识。Chien马上意识到那两个数字可能是生产商ID。

Chien和OMurchu查找了现场总线的文献，在一个PDF上列举的网卡组成设备的清单。清单末尾显示了那两个神秘的数字，是两种频率转换器的生产厂ID。第一个9500h指向芬兰的VaconNX转换器，第二个7050h指向未清楚标明的伊朗生产的转换器。

频率转换器用来控制高速电机的速度，如机床的转子。增加驱动的频率就会提高转子的转速。文档中他们还发现了频率控制命令，同样也存在Stuxnet里。

基于代码中包含的信息，Stuxnet瞄准的是拥有33个或以上的频率转换器，并且频率范围在807Hz and1,210Hz之间的设施。它会在系统中潜伏两周时间实施侦查，然后安静并即时的启动攻击：在15分钟内升高频率到1,410Hz，在恢复到正常频率前会保持27天，之后再次攻击将频率在50分钟内降至2HZ，并再维持27天。依次循环，往复攻击，如此极大的频率变化暗示着Stuxnet打算破坏在频率转换器另一端的东西，无论它是什么。

Chien在网上作了调查，发现在600HZ及以上的频率转换器由国家核管理委员会严格控制出口。

“我们意识到，等等，在这种频率，可能被用来作铀浓缩”Chien回忆道。Langner冒风险作了假设，现在我们有了充分的证据支持他。

“在这点上，我们丝毫没有收到影响，事实上背后有着很大的地缘在运作”，Chien说：“我们在考虑清楚，是否真得要把我的名字写到工作中么”。

当他们到达研究工作的里程碑的时候，讨论过是否需要匿名发布这些信息还是需要保留其中一部分。但最后，他们倾向于全盘公布，考虑到人们可以更好的受到保护并防止模仿者的跟风。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-32886-7.html