搜索

[8440] 2014-11-20_震网病毒Stuxnet之子–Duqu的现身

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-11-20_震网病毒Stuxnet之子–Duqu的现身 震 网 病 毒 S t u x n e t 之 子   –   D u q u 的 现 身 p h p e r   F r e e B u f   2 0 1 4 - 1 1 - 2 0 F r e e B u f 小 科 普 ： 了 解 小 科 普 ： 了 解 S t u x n e t （ 震 网 ） 病 毒 （ 震 网 ） 病 毒 S t u x n e t 蠕 虫 病 毒 （ 震 网 ， 又 名 超 级 工 厂 病 毒 ） 是 世 界 上 首 个 专 门 针 对 工 业 控 制 系 统 编 写 的 破 坏 性 病 毒 ， 能 够 利 用 对 w i n d o w s 系 统 和 西 门 子 S I M A T I C   W i n C C 系 统 的 7 个 漏 洞 进 行 攻 击 。 特 别 是 针 对 西 门 子 公 司 的 S I M A T I C   W i n C C 监 控 与 数 据 采 集 ( S C A D A )   系 统 进 行 攻 击 ， 由 于 该 系 统 在 我 国 的 多 个 重 要 行 业 应 用 广 泛 ， 被 用 来 进 行 钢 铁 、 电 力 、 能 源 、 化 工 等 重 要 行 业 的 人 机 交 互 与 监 控 。 这 是 有 史 以 来 第 一 个 包 含 P L C   R o o t k i t 的 电 脑 蠕 虫 ， 也 是 已 知 的 第 一 个 以 关 键 工 业 基 础 设 施 为 目 标 的 蠕 虫 。 此 外 ， 该 蠕 虫 的 可 能 目 标 为 伊 朗 使 用 西 门 子 控 制 系 统 的 高 价 值 基 础 设 施 。 [ 6 ] [ 7 ] 据 报 道 ， 该 蠕 虫 病 毒 可 能 已 感 染 并 破 坏 了 伊 朗 纳 坦 兹 的 核 设 施 ， 并 最 终 使 伊 朗 的 布 什 尔 核 电 站 推 迟 启 动 。 了 解 更 多 关 于 S t u x n e t 的 内 容 ， 点 我 S t u x n e t 之 子 之 子   –   D u q u 的 现 身 的 现 身 D u q u 最 早 出 现 在 最 早 出 现 在 2 0 1 1 年 年 9 月 ， 是 继 月 ， 是 继 S t u x n e t 蠕 虫 后 最 为 恶 性 的 一 种 可 窃 取 信 息 的 蠕 虫 。 蠕 虫 后 最 为 恶 性 的 一 种 可 窃 取 信 息 的 蠕 虫 。 B o l d i z s á r   B e n c s á t h 一 边 啃 着 汉 堡 一 边 盯 着 他 的 电 脑 屏 幕 。 尽 管 在 布 达 佩 斯 技 术 和 经 济 大 学 2 0 1 1 年 秋 季 开 学 之 前 他 还 有 很 多 事 情 要 做 ， 但 是 他 仍 然 感 觉 很 快 乐 、 很 放 松 。 夏 末 的 蓝 天 白 云 和 舒 适 的 空 气 会 让 你 忘 记 冷 冽 的 秋 季 即 将 到 来 。 当 当   J ó s k a   B a r t o s （ 一 家 公 司 的 （ 一 家 公 司 的 C E O ） 给 他 打 电 话 时 ， 他 正 坐 在 布 达 佩 斯 技 术 和 经 济 大 学 加 密 和 系 统 安 全 实 验 室 ） 给 他 打 电 话 时 ， 他 正 坐 在 布 达 佩 斯 技 术 和 经 济 大 学 加 密 和 系 统 安 全 实 验 室 （ （ C r y S y S ） 的 桌 前 享 受 着 他 的 午 餐 ） 的 桌 前 享 受 着 他 的 午 餐 “ B o l d i ， 你 有 时 间 帮 我 们 点 忙 吗 ？ ” “ 和 我 们 之 前 讨 论 的 事 情 有 关 吗 ” “ 不 是 ， 是 其 他 的 事 情 ， 很 重 要 。 你 现 在 可 以 过 来 吗 ？ 不 要 告 诉 任 何 人 。 ” B e n c s á t h 狼 吞 虎 咽 的 吃 完 了 他 的 午 餐 ， 然 后 就 直 奔 向 了 J ó s k a   B a r t o s 的 公 司 。 刚 一 进 门 ， B a r t o s 就 说 ： “ 我 们 公 司 好 像 遭 到 黑 客 入 侵 了 ” 。
他 们 在 开 发 者 的 机 器 上 发 现 了 一 个 可 疑 的 文 件 ， 文 件 的 创 建 日 期 是 晚 上 没 有 人 工 作 的 时 候 。 文 件 被 加 密 和 压 缩 了 ， 他 们 在 开 发 者 的 机 器 上 发 现 了 一 个 可 疑 的 文 件 ， 文 件 的 创 建 日 期 是 晚 上 没 有 人 工 作 的 时 候 。 文 件 被 加 密 和 压 缩 了 ， 所 以 他 们 不 知 道 文 件 里 的 内 容 。 但 是 他 们 推 测 这 应 该 是 攻 击 者 从 机 器 上 拷 贝 的 并 且 打 算 之 后 再 取 走 的 数 据 。 在 调 查 所 以 他 们 不 知 道 文 件 里 的 内 容 。 但 是 他 们 推 测 这 应 该 是 攻 击 者 从 机 器 上 拷 贝 的 并 且 打 算 之 后 再 取 走 的 数 据 。 在 调 查 公 司 的 网 络 之 后 发 现 ， 还 有 一 些 其 他 的 机 器 也 出 现 了 类 似 的 情 况 。 公 司 的 网 络 之 后 发 现 ， 还 有 一 些 其 他 的 机 器 也 出 现 了 类 似 的 情 况 。 公 司 应 急 小 组 的 人 员 很 确 定 他 们 是 遭 到 了 黑 客 的 入 侵 ， 所 以 他 们 想 让 B e n c s á t h 帮 忙 查 出 黑 客 是 怎 样 入 侵 的 。 他 们 公 司 有 一 套 比 较 齐 全 的 保 护 措 施 ， 包 括 防 火 墙 、 杀 毒 软 件 、 入 侵 探 测 和 防 御 系 统 ， 但 是 现 在 还 是 被 黑 客 入 侵 了 。 B e n c s á t h 只 是 一 名 计 算 机 科 学 老 师 ， 他 之 前 也 从 未 做 过 这 类 的 工 作 。 在 实 验 室 里 他 只 是 一 名 研 究 生 顾 问 ， 为 欧 洲 联 盟 做 过 学 术 研 究 ， 偶 尔 还 做 过 一 些 清 理 或 者 重 装 系 统 的 工 作 ， 但 是 从 来 都 没 有 接 触 过 正 真 的 黑 客 入 侵 事 件 。 对 于 毫 无 经 验 的 他 来 说 ， 要 解 决 这 一 问 题 是 有 很 大 难 度 的 ， 而 且 他 还 不 能 求 救 于 同 事 。 因 为 该 公 司 是 一 家 依 赖 于 顾 客 信 任 而 运 营 的 公 司 ， 一 旦 被 顾 客 发 现 其 系 统 遭 到 黑 客 攻 击 ， 它 就 会 失 去 很 多 的 客 户 ， 公 司 就 很 难 再 经 营 下 去 了 。 初 步 分 析 初 步 分 析 应 急 小 组 和 B e n c s á t h 用 了 一 下 午 的 时 间 对 被 入 侵 的 硬 盘 进 行 了 镜 像 分 析 ， 他 们 发 现 了 一 个 记 录 密 码 和 击 键 次 数 的 恶 意 软 件 。 它 可 以 对 连 接 到 机 器 上 的 设 备 和 系 统 进 行 分 类 ， 这 样 一 来 攻 击 者 就 可 以 构 架 公 司 内 网 的 蓝 图 了 。 攻 击 者 并 没 有 利 用 恶 意 软 件 直 接 从 受 害 者 机 器 上 窃 取 数 据 ， 而 是 把 数 据 储 存 在 一 个 临 时 的 文 件 夹 内 。 在 他 们 删 除 了 其 中 的 有 一 些 敏 感 的 客 户 数 据 之 后 ， B e n c s á t h 把 镜 像 分 析 资 料 和 公 司 系 统 日 志 带 回 了 实 验 室 （ 他 还 是 没 有 对 其 同 事 透 露 任 何 信 息 ） 。 而 当 他 检 查 其 中 的 一 个 内 核 模 式 驱 动 时 ， 发 现 在 电 脑 和 诸 如 打 印 机 的 设 备 中 存 在 一 个 通 讯 程 序 。 经 调 查 得 出 该 恶 意 软 件 签 名 的 数 字 证 书 来 自 于 台 湾 的 一 家 公 司 。 B e n c s á t h 立 即 联 想 到 了 破 坏 伊 朗 铀 浓 缩 工 厂 的 立 即 联 想 到 了 破 坏 伊 朗 铀 浓 缩 工 厂 的 S t u x n e t 蠕 虫 ， 它 也 使 用 了 一 家 台 湾 公 司 的 数 字 证 书 。 不 同 的 蠕 虫 ， 它 也 使 用 了 一 家 台 湾 公 司 的 数 字 证 书 。 不 同 的 是 ， 是 ， S t u x n e t 使 用 的 是 瑞 昱 半 导 体 公 司 的 数 字 证 书 ， 而 新 发 现 的 恶 意 软 件 使 用 的 是 骅 讯 电 子 公 司 的 数 字 证 书 。 使 用 的 是 瑞 昱 半 导 体 公 司 的 数 字 证 书 ， 而 新 发 现 的 恶 意 软 件 使 用 的 是 骅 讯 电 子 公 司 的 数 字 证 书 。 D u q u 和 和 S t u x n e t 的 关 系 的 关 系 难 道 这 两 起 事 件 之 间 是 有 联 系 的 吗 ？ 应 急 小 组 成 员 把 这 两 个 恶 意 程 序 仔 细 认 真 的 对 比 之 后 发 现 ， 它 们 除 了 数 字 证 书 不 一 样 之 外 ， 其 他 的 都 一 样 。 在 发 现 了 这 些 之 后 ， 在 发 现 了 这 些 之 后 ， B e n c s á t h 立 即 给 立 即 给 B a r t o s 打 了 个 电 话 ， 请 求 让 他 实 验 室 里 的 研 究 员 也 参 与 进 来 。 因 为 这 不 再 是 一 次 打 了 个 电 话 ， 请 求 让 他 实 验 室 里 的 研 究 员 也 参 与 进 来 。 因 为 这 不 再 是 一 次 简 单 的 黑 客 入 侵 事 件 了 ， 它 可 能 会 牵 涉 到 国 际 间 的 安 全 问 题 。 简 单 的 黑 客 入 侵 事 件 了 ， 它 可 能 会 牵 涉 到 国 际 间 的 安 全 问 题 。 B e n c s á t h 搜 集 了 很 多 关 于 S t u x n e t 的 技 术 资 料 ， 当 他 读 到 S t u x n e t 隐 藏 其 代 码 的 加 密 惯 例 时 ， 他 发 现 这 两 个 应 用 程 序 使 用 的 加 密 密 钥 都 是 一 样 的 。 毫 无 疑 问 ， 这 二 者 之 间 肯 定 有 着 千 丝 万 缕 的 关 系 。 由 于 恶 意 程 序 创 建 的 临 时 文 件 都 是 以 由 于 恶 意 程 序 创 建 的 临 时 文 件 都 是 以   ~ D Q 开 头 ， 因 此 这 个 恶 意 程 序 被 命 名 为 开 头 ， 因 此 这 个 恶 意 程 序 被 命 名 为 D u q u 。 赛 门 铁 克 公 司 的 。 赛 门 铁 克 公 司 的 E r i c   C h i e n 和 其 同 和 其 同 事 在 看 到 这 一 消 息 时 都 感 到 很 兴 奋 ， 这 是 难 得 一 见 恶 意 病 毒 ， 他 们 预 言 事 在 看 到 这 一 消 息 时 都 感 到 很 兴 奋 ， 这 是 难 得 一 见 恶 意 病 毒 ， 他 们 预 言 D u q u 将 开 启 将 开 启 S t u x n e t 的 新 篇 章 。 的 新 篇 章 。
D u q u 的 特 点 的 特 点 从 本 质 上 来 说 ， 从 本 质 上 来 说 ， D u q u 是 一 种 远 程 访 问 的 木 马 或 者 是 一 种 远 程 访 问 的 木 马 或 者 R A T ， 它 有 一 个 简 单 的 后 门 可 以 为 攻 击 者 在 受 害 者 机 器 上 提 供 一 个 ， 它 有 一 个 简 单 的 后 门 可 以 为 攻 击 者 在 受 害 者 机 器 上 提 供 一 个 长 久 的 驻 足 点 。 长 久 的 驻 足 点 。 一 旦 建 立 了 后 门 ， D u q u 就 可 接 触 到 受 害 机 器 上 的 命 令 和 控 制 服 务 器 ， 然 后 攻 击 者 可 以 在 该 服 务 器 上 下 载 附 加 的 模 块 ， 以 丰 富 其 攻 击 程 序 的 功 能 ： 与 其 说 D u q u 是 一 个 间 谍 工 具 ， 还 不 如 说 它 更 像 一 个 侦 查 软 件 。 D u q u 是 有 生 命 周 期 的 ， 在 代 码 执 行 3 0 天 以 后 它 会 自 毁 并 删 除 掉 所 有 的 入 侵 痕 迹 。 D u q u 之 所 以 与 众 不 同 而 且 令 人 惊 恐 ， 是 因 为 它 的 攻 击 对 象 很 特 殊 。 数 字 证 书 是 让 互 联 网 各 项 功 能 正 常 运 行 的 核 心 环 节 ， 所 以 ， 如 果 数 字 证 书 遭 到 了 入 侵 ， 这 对 互 联 网 来 说 简 直 就 是 毁 灭 性 的 打 击 。 卡 巴 斯 基 实 验 室 的 研 究 员 也 对 这 一 恶 意 软 件 有 着 极 高 的 兴 趣 ， 他 们 认 为 D u q u 是 顶 级 程 序 员 的 作 品 ， 其 代 码 与 其 他 间 谍 和 恶 意 软 件 的 代 码 明 显 不 同 。 D u q u 还 有 一 个 很 特 殊 的 部 分 就 是 攻 击 者 在 受 害 者 机 器 上 下 载 额 外 负 载 模 块 （ 还 有 一 个 很 特 殊 的 部 分 就 是 攻 击 者 在 受 害 者 机 器 上 下 载 额 外 负 载 模 块 （ P a y l o a d ） 时 所 ） 时 所 使 用 的 组 件 。 使 用 的 组 件 。 这 个 组 件 所 使 用 的 这 个 组 件 所 使 用 的 编 程 语 言 既 不 是 编 程 语 言 既 不 是 C 语 言 也 不 是 语 言 也 不 是 C + + 语 言 ， 而 是 一 种 卡 巴 斯 基 实 验 室 研 究 员 们 从 来 没 有 语 言 ， 而 是 一 种 卡 巴 斯 基 实 验 室 研 究 员 们 从 来 没 有 见 过 的 编 程 语 言 。 见 过 的 编 程 语 言 。 D u q u 攻 击 没 有 使 用 0 d a y 漏 洞 利 用 程 序 来 帮 助 其 传 播 ， 也 不 能 像 S t u x n e t 那 样 自 动 的 传 播 。 但 是 一 旦 机 器 感 染 了 D u q u ， 攻 击 者 只 需 手 动 的 从 受 控 制 的 服 务 器 上 发 送 攻 击 指 令 ， 它 就 可 以 立 即 感 染 其 他 的 机 器 。 D u q u 执 行 的 是 系 统 性 强 且 有 条 理 的 攻 击 ， 它 甚 至 会 根 据 不 同 的 目 标 编 译 不 同 的 攻 击 文 件 ， 执 行 不 同 的 命 令 。 看 来 看 来 S t u x n e t 的 故 事 还 远 没 有 完 结 ， 的 故 事 还 远 没 有 完 结 ， D u q u 也 许 只 是 个 开 始 。 也 许 只 是 个 开 始 。 更 多 更 多 工 业 安 全 内 容 ， 请 持 续 关 注 工 业 安 全 内 容 ， 请 持 续 关 注 F r e e B u f 后 续 报 道 。 后 续 报 道 。 [ 参 考 来 源 参 考 来 源 h t t p s : / / f i r s t l o o k . o r g ， ， F r e e B u f . C O M 编 译 ， 有 删 节 ， 未 经 许 可 禁 止 转 载 编 译 ， 有 删 节 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理