搜索

[8878] 2015-04-28_揭秘：名震天下的震网病毒（Stuxnet）是如何被发现的？

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2015-04-28_揭秘：名震天下的震网病毒（Stuxnet）是如何被发现的？ 揭 秘 ： 名 震 天 下 的 震 网 病 毒 （ S t u x n e t ） 是 如 何 被 发 现 的 ？ F r e e B u f   2 0 1 5 - 0 4 - 2 8 微 信 号 ： 微 信 号 ： f r e e b u f 研 究 人 员 最 新 透 露 ， 原 本 应 长 期 潜 伏 在 计 算 机 控 制 系 统 中 的 震 网 （ 研 究 人 员 最 新 透 露 ， 原 本 应 长 期 潜 伏 在 计 算 机 控 制 系 统 中 的 震 网 （ S t u x n e t ） 病 毒 ， 最 终 ） 病 毒 ， 最 终 “ 暴 露 身 份 暴 露 身 份 ” 居 然 是 因 为 一 个 居 然 是 因 为 一 个 低 级 失 误 低 级 失 误 — — 一 个 编 程 错 误 使 其 能 够 扩 散 到 一 个 编 程 错 误 使 其 能 够 扩 散 到   “ 古 老 的 古 老 的 ” W i n d o w s （ （ W i n d o w s   9 5 和 和 9 8 ） 系 统 ， 而 震 网 病 毒 本 身 并 不 支 持 这 ） 系 统 ， 而 震 网 病 毒 本 身 并 不 支 持 这 些 操 作 系 统 。 些 操 作 系 统 。 F r e e B u f 百 科 ： 震 网 病 毒 百 科 ： 震 网 病 毒 震 网 （ S t u x n e t ） ， 又 称 作 超 级 工 厂 ， 是 一 种 W i n d o w s 平 台 上 的 计 算 机 蠕 虫 ， 这 是 有 史 以 来 第 一 个 包 含 P L C   R o o t k i t 的 电 脑 蠕 虫 ， 也 是 已 知 的 第 一 个 以 关 键 工 业 基 础 设 施 为 目 标 的 蠕 虫 。 如 此 强 大 的 病 毒 怎 么 会 被 发 现 的 ？ 如 此 强 大 的 病 毒 怎 么 会 被 发 现 的 ？ 据 恶 意 软 件 研 究 者 T i l l m a n n   W e r n e r 和 F e l i x   L e d e r 介 绍 称 ， 这 个 狡 猾 无 比 的 网 络 间 谍 工 具 — — 震 网 病 毒 延 缓 了 伊 朗 的 核 项 目 长 达 两 年 （ 就 算 是 同 时 毁 掉 所 有 的 离 心 机 也 不 会 产 生 如 此 长 的 延 期 ！ 就 算 是 同 时 毁 掉 所 有 的 离 心 机 也 不 会 产 生 如 此 长 的 延 期 ！ ） — — 最 终 是 因 为 一 段 问 题 代 码 而 暴 露 了 。 设 计 者 希 望 震 网 保 持 “ 低 调 ” 从 而 不 被 伊 朗 的 人 发 现 ， 否 则 它 就 要 破 坏 计 算 机 系 统 。 然 而 ， 一 个 编 程 错 误 导 致 它 可 以 蔓 延 到 并 不 支 持 的 低 版 本 W i n d o w s 系 统 的 电 脑 中 ， 导 致 系 统 崩 溃 。 而 那 些 在 这 场 网 络 战 中 “ 牺 牲 ” 的 蓝 色 电 脑 屏 幕 则 引 起 了 伊 朗 N a t a n z 核 试 验 室 的 怀 疑 。 L e d e r 在 R S A 会 议 上 表 示 ： 由 于 震 网 不 支 持 w i n   9 5 和 w i n   9 8 ， 因 此 震 网 蠕 虫 会 在 摧 毁 这 两 个 系 统 时 自 行 毁 灭 。 不 幸 的 是 ， 有 人 某 天 在 编 程 震 网 的 时 候 心 情 很 糟 糕 ， 因 此 错 误 地 将 a n d 和 o r 字 符 交 换 ， 导 致 程 序 能 够 蔓 延 到 任 何 版 本 的 W i n d o w s 系 统 中 ， 甚 至 是 它 并 不 支 持 的 版 本 。 当 你 在 一 项 任 务 中 花 费 了 几 年 的 时 间 ， 却 因 为 一 次 远 程 攻 击 系 统 ， 突 然 在 几 分 钟 之 内 你 就 暴 露 了 。 这 感 觉 应 该 很 不 好 … … 然 而 震 网 在 被 发 现 之 前 能 够 成 功 地 破 坏 了 伊 朗 铀 浓 缩 离 心 机 ， 可 能 因 为 震 网 蠕 虫 之 前 没 找 到 装 有 W i n d o w s 老 版 本 的 计 算 机 ， 或
者 是 因 为 伊 朗 的 科 学 家 们 已 经 习 惯 了 W i n d o w s   9 5 和 W i n d o w s   9 8 出 现 蓝 屏 的 情 况 。 别 急 ， 还 有 其 他 亮 点 别 急 ， 还 有 其 他 亮 点 虽 然 震 网 是 最 复 杂 的 恶 意 病 毒 ， 但 是 W e r n e r 和 L e d e r 表 示 两 人 找 到 了 其 中 的 漏 洞 。 C o n f i c k e r 蠕 虫 中 的 一 个 错 误 编 程 缩 减 震 网 蠕 虫 的 潜 在 受 害 者 库 ， 同 样 降 低 了 其 攻 击 性 。 C o n f i c k e r 蠕 虫 是 以 微 软 的 w i n d o w s 操 作 系 统 为 攻 击 目 标 的 计 算 机 蠕 虫 病 毒 。 几 乎 每 个 人 都 可 能 被 感 染 。 由 于 一 个 随 机 生 成 地 址 的 漏 洞 导 致 它 只 能 扫 描 全 部 I P v 4 地 址 的 四 分 之 一 。 它 的 随 机 数 函 数 可 以 输 入 1 5 比 特 位 整 数 — — 从 0 到 0 x 7 f f f （ 即 0 到 R A N D _ M A X ） — — 然 后 函 数 被 调 两 次 来 产 生 一 个 3 2 比 特 位 的 I P v 4 地 址 。 实 际 上 是 产 生 了 一 个 3 0 比 特 位 的 整 数 ， 遗 漏 了 I P v 4 空 间 的 组 块 。 “ 如 果 你 连 续 攻 击 受 害 者 ， 就 很 容 易 被 检 查 出 来 ， 所 以 这 些 家 伙 聪 明 了 一 些 ， 选 择 了 随 机 地 址 。 有 趣 的 是 R A N D _ M A X 只 有 1 5 比 特 位 ， 这 就 意 味 着 C o n f l i c k e r 产 一 个 I P 地 址 就 调 用 了 两 次 函 数 ， 只 得 到 了 3 0 个 随 意 比 特 位 。 因 此 它 智 能 扫 描 四 分 之 一 而 不 是 整 个 互 联 网 。 ” W e r n e r 说 。 企 业 安 全 人 员 或 许 会 感 谢 这 个 的 让 用 户 躲 过 一 劫 的 蠕 虫 漏 洞 ， 然 而 还 有 更 多 蠕 虫 漏 洞 的 案 例 ： 企 业 安 全 人 员 或 许 会 感 谢 这 个 的 让 用 户 躲 过 一 劫 的 蠕 虫 漏 洞 ， 然 而 还 有 更 多 蠕 虫 漏 洞 的 案 例 ： 风 暴 蠕 虫 是 一 种 受 远 程 控 制 的 僵 尸 计 算 机 （ 或 直 译 机 器 人 网 络 ） 组 成 的 网 络 。 截 至 2 0 0 7 年 9 月 为 止 ， 风 暴 僵 尸 网 络 至 少 藏 身 于 1 百 万 到 5 千 万 台 计 算 机 系 统 里 某 处 默 默 运 行 。 而 在 0 7 年 风 暴 蠕 虫 达 到 顶 峰 后 ， 便 因 网 络 检 测 系 统 针 对 其 作 者 在 两 个 版 本 w i n d o w s 中 的 错 误 拼 写 “ w i n d o s s ” 而 受 到 遏 制 数 量 削 减 。 E n e r g e t i c   B e a r ， 又 名 “ 蜻 蜓 ” 的 俄 罗 斯 黑 客 组 织 使 用 一 种 复 杂 的 网 络 武 器 ， 已 经 使 1 0 0 0 多 家 欧 洲 和 北 美 能 源 公 司 受 损 ， 与 震 网 相 似 ， 这 种 网 络 武 器 可 以 使 黑 客 们 访 问 到 能 源 部 门 的 控 制 系 统 。 而 这 样 影 响 巨 大 的 网 络 武 器 也 成 为 了 W e r n e r 和 L e d e r 手 中 的 玩 具 ， 他 们 发 现 了 如 何 从 电 脑 高 速 缓 冲 存 储 器 中 获 取 私 人 以 及 公 共 密 钥 ， 从 而 得 以 自 由 访 问 受 害 者 列 表 ， 甚 至 了 解 其 未 来 的 突 围 细 节 。 演 讲 中 的 疑 点 演 讲 中 的 疑 点 W e r n e r 和 L e d e r 的 演 讲 P P T 请 点 击 最 下 方 的 “ 阅 读 原 文 ” 下 载
可 我 们 注 意 到 会 议 幻 灯 片 显 示 震 网 的 分 解 并 不 支 持 可 我 们 注 意 到 会 议 幻 灯 片 显 示 震 网 的 分 解 并 不 支 持 W e r n e r 和 和 L e d e r 上 文 关 于 震 网 病 毒 和 上 文 关 于 震 网 病 毒 和 W i n d o w s   9 x 的 说 法 ： 因 为 会 议 的 说 法 ： 因 为 会 议 上 展 示 的 代 码 实 际 上 会 阻 止 在 上 展 示 的 代 码 实 际 上 会 阻 止 在 w i n 9 5 和 和 9 8 上 安 装 恶 意 软 件 ， 而 非 允 许 。 上 安 装 恶 意 软 件 ， 而 非 允 许 。 两 人 可 能 无 意 使 用 了 一 个 修 复 版 本 的 震 网 来 进 行 过 程 展 示 ， 而 不 是 他 们 以 前 研 究 时 经 历 的 逆 向 工 程 。 又 或 许 是 他 们 从 蠕 虫 的 另 一 个 部 分 截 取 的 代 码 是 正 确 ， 而 会 上 其 他 部 分 是 蠕 虫 存 在 其 二 人 描 述 的 缺 陷 。 问 题 在 于 这 部 分 的 C ， 来 源 于 震 网 蠕 虫 的 x 8 6 执 行 指 令 ： 演 讲 人 说 这 种 情 况 下 . . . . . . 总 在 W i n d o w s   9 x 、 X P 、 2 0 0 x 、 V i s t a 和 7 中 正 常 ， 但 这 里 . . . . . . 因 为 d w P l a t f o r m I d 是 1 ， 所 以 在 W i n d o w s   9 5 和 9 8 中 一 直 为 错 误 ， V E R _ P L A T F O R M _ W I N 3 2 _ N T 定 义 为 2 。 因 此 ， 根 据 以 上 代 码 I n s t a l l （ ） 将 永 不 能 调 用 W i n d o w s   9 x 系 统 。 * 参 考 来 源 ： t h e r e g i s t e r ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理