震網病毒

震網病毒又名Stuxnet病毒，是一個席捲全球工業界的病毒。

震網（Stuxnet）病毒於2010年6月首次被檢測出來，是第一個專門定向攻擊真實世界中基礎（能源）設施的“蠕蟲”病毒，比如核電站，水壩，國家電網。網際網路安全專家對此表示擔心。

作為世界上首個網路“超級破壞性武器”，Stuxnet的計算機病毒已經感染了全球超過 45000個網路，伊朗遭到的攻擊最為嚴重，60%的個人電腦感染了這種病毒。計算機安防專家認為，該病毒是有史以來最高端的“蠕蟲”病毒。蠕蟲是一種典型的計算機病毒，它能自我複製，並將副本通過網路傳輸，任何一台個人電腦只要和染毒電腦相連，就會被感染。

基本介紹

• 中文名：震網病毒
• 外文名：Stuxnet
• 別稱：Stuxnet病毒
• 對象：全球工業界
• 發現時間：2010年6月
• 類型：蠕蟲病毒
• 最嚴重國家：伊朗

概念

震網（Stuxnet），指一種蠕蟲病毒。它的複雜程度遠超一般電腦黑客的能力。這種震網（Stuxnet）病毒於2010年6月首次被檢測出來，是第一個專門定向攻擊真實世界中基礎（能源）設施的“蠕蟲”病毒，比如核電站，水壩，國家電網。網際網路安全專家對此表示擔心。

“震網”病毒利用了微軟視窗作業系統之前未被發現的4個漏洞。通常意義上的犯罪性黑客會利用這些漏洞盜取銀行和信用卡信息來獲取非法收入。而“震網”病毒不像一些惡意軟體那樣可以賺錢，它需要花錢研製。這是專家們相信“震網”病毒出自情報部門的一個原因。

據全球最大網路保全公司賽門鐵克（Symantec）和微軟（Microsoft）公司的研究，近60%的感染髮生在伊朗，其次為印尼（約20%）和印度（約10%）， 亞塞拜然、美國與巴基斯坦等地亦有小量個案。

由於“震網”感染的重災區集中在伊朗境內。美國和以色列因此被懷疑是“震網”的發明人。

震網

這種新病毒採取了多種先進技術，因此具有極強的隱身和破壞力。只要電腦操作員將被病毒感染的隨身碟插入USB接口，這種病毒就會在神不知鬼不覺的情況下(不會有任何其他操作要求或者提示出現)取得一些工業用電腦系統的控制權。

發現歷史

2010年6月，“震網”病毒首次被發現，它被稱為有史以來最複雜的網路武器，因為它悄然襲擊伊朗核設施的手法極其陰險。

2010年9月，瑞星公司監測到這個席捲全球工業界的病毒已經入侵中國。瑞星反病毒專家警告說，我國許多大型重要企業在安全制度上存在缺失，可能促進Stuxnet病毒在企業中的大規模傳播。

2010年12月15日，一位德國計算機高級顧問表示，“震網”計算機病毒令德黑蘭的核計畫拖後了兩年。這個惡意軟體2010年一再以伊朗核設施為目標，通過滲透進“視窗”（Windows）作業系統，並對其進行重新編程而造成破壞。

2011年1月26日，俄羅斯常駐北約代表羅戈津表示，這種病毒可能給伊朗布希爾核電站造成嚴重影響，導致有毒的放射性物質泄漏，其危害將不亞於1986年發生的車諾比核電站事故。

2012年6月1日的美國《紐約時報》報導，揭露“震網”病毒起源於2006年前後由美國前總統小布希啟動的“奧運會計畫”。2008年，歐巴馬上任後下令加速該計畫。

震網傳播

2013年3月，中國解放軍報報導，美國曾利用“震網”蠕蟲病毒攻擊伊朗的鈾濃縮設備，已經造成伊朗核電站推遲發電，目前國內已有近500萬網民、及多個行業的領軍企業遭此病毒攻擊。 這種病毒可能是新時期電子戰爭中的一種武器。震網病毒，截止2011年，感染了全球超過45000個網路，60%的個人電腦感染了這種病毒。

特點

與傳統的電腦病毒相比，“震網”病毒不會通過竊取個人隱私信息牟利。

由於它的打擊對象是全球各地的重要目標，因此被一些專家定性為全球首個投入實戰舞台的“網路武器”。

無需藉助網路連線進行傳播。這種病毒可以破壞世界各國的化工、發電和電力傳輸企業所使用的核心生產控制電腦軟體，並且代替其對工廠其他電腦“發號施令”。

極具毒性和破壞力。“震網”代碼非常精密，主要有兩個功能，一是使伊朗的離心機運行失控，二是掩蓋發生故障的情況，“謊報軍情”，以“正常運轉”記錄回傳給管理部門，造成決策的誤判。在2011年2月的攻擊中，伊朗納坦茲鈾濃縮基地至少有1/5的離心機因感染該病毒而被迫關閉。

“震網”定向明確，具有精確制導的“網路飛彈”能力。它是專門針對工業控制系統編寫的惡意病毒，能夠利用Windows系統和西門子SIMATICWinCC系統的多個漏洞進行攻擊，不再以刺探情報為己任，而是能根據指令，定向破壞伊朗離心機等要害目標。

“震網”採取了多種先進技術，具有極強的隱身性。它打擊的對象是西門子公司的SIMATICWinCC監控與數據採集 （SCADA）系統。儘管這些系統都是獨立與網路而自成體系運行，也即“離線”操作的，但只要操作員將被病毒感染的隨身碟插入該系統USB接口，這種病毒就會在神不知鬼不覺的情況下 （不會有任何其他操作要求或者提示出現）取得該系統的控制權。

“震網”病毒結構非常複雜，計算機安全專家在對軟體進行反編譯後發現，它不可能是黑客所為，應該是一個“受國家資助的高級團隊研發的結晶”。美國《紐約時報》稱，美國和以色列情治單位合作製造出“震網”病毒。

深度分析

第一章

2010年10月，國內外多家媒體相繼報導了Stuxnet蠕蟲對西門子公司的數據採集與監控系統SIMATIC WinCC進行攻擊的事件，稱其為“超級病毒”、“超級工廠病毒”，並形容成“超級武器”、“潘多拉的魔盒”。

Stuxnet蠕蟲（俗稱“震網”、“雙子”）在2010年7月開始爆發。它利用了微軟作業系統中至少4個漏洞，其中有3個全新的零日漏洞；偽造驅動程式的數字簽名；通過一套完整的入侵和傳播流程，突破工業專用區域網路的物理限制；利用WinCC系統的2個漏洞，對其開展破壞性攻擊。它是第一個直接破壞現實世界中工業基礎設施的惡意代碼。據賽門鐵克公司的統計，截止到2010年09月全球已有約45000個網路被該蠕蟲感染，其中60%的受害主機位於伊朗境內。伊朗政府已經確認該國的布希爾核電站遭到Stuxnet蠕蟲的攻擊。

安天實驗室於7月15日捕獲到Stuxnet蠕蟲的第一個變種，在第一時間展開分析，發布了分析報告及防範措施，並對其持續跟蹤。截止至本報告發布，安天已經累計捕獲13個變種、600多個不同哈希值的樣本實體。

第二章

2.1 運行環境

Stuxnet蠕蟲在以下作業系統中可以激活運行：

• Windows 2000、Windows Server 2000
• Windows XP、Windows Server 2003
• Windows Vista
• Windows 7、Windows Server 2008

當它發現自己運行在非Windows NT系列作業系統中，即刻退出。

被攻擊的軟體系統包括：

• SIMATIC WinCC 7.0
• SIMATIC WinCC 6.2

但不排除其他版本存在這一問題的可能。

2.2 本地行為

樣本被激活後，典型的運行流程如圖1 所示。

樣本首先判斷當前作業系統類型，如果是Windows 9X/ME，就直接退出。

接下來載入一個主要的DLL模組，後續的行為都將在這個DLL中進行。為了躲避查殺，樣本並不將DLL模組釋放為磁碟檔案然後載入，而是直接拷貝到記憶體中，然後模擬DLL的載入過程。

具體而言，樣本先申請足夠的記憶體空間，然後hookntdll.dll導出的6個系統函式：

1. ZwMapViewOfSection
2. ZwCreateSection
3. ZwOpenFile
4. ZwClose
5. ZwQueryAttributesFile
6. ZwQuerySection

為此，樣本先修改ntdll.dll檔案記憶體映像中PE頭的保護屬性，然後將偏移0x40處的無用數據改寫為跳轉代碼，用以實現hook。

進而，樣本就可以使用ZwCreateSection在記憶體空間中創建一個新的PE節，並將要載入的DLL模組拷貝到其中，最後使用LoadLibraryW來獲取模組句柄。

圖1 樣本的典型運行流程

此後，樣本跳轉到被載入的DLL中執行，衍生下列檔案：

%System32%\drivers\mrxcls.sys %System32%\drivers\mrxnet.sys%Windir%\inf\oem7A.PNF%Windir%\inf\mdmeric3.PNF %Windir%\inf\mdmcpq3.PNF%Windir%\inf\oem6C.PNF 　其中有兩個驅動程式mrxcls.sys和mrxnet.sys，分別被註冊成名為MRXCLS和MRXNET的系統服務，實現開機自啟動。這兩個驅動程式都使用了Rootkit技術，並有數字簽名。

mrxcls.sys負責查找主機中安裝的WinCC系統，並進行攻擊。具體地說，它監控系統進程的鏡像載入操作，將存儲在%Windir%\inf\oem7A.PNF中的一個模組注入到services.exe、S7tgtopx.exe、CCProjectMgr.exe三個進程中，後兩者是WinCC系統運行時的進程。

mrxnet.sys通過修改一些核心調用來隱藏被拷貝到隨身碟的lnk檔案和DLL檔案（圖2 ）。

圖2驅動程式隱藏某些lnk檔案

圖3 樣本的多種傳播方式

2.3 傳播方式　Stuxnet蠕蟲的攻擊目標是SIMATIC WinCC軟體。後者主要用於工業控制系統的數據採集與監控，一般部署在專用的內部區域網路中，並與外部網際網路實行物理上的隔離。為了實現攻擊，Stuxnet蠕蟲採取多種手段進行滲透和傳播，如圖3所示。

整體的傳播思路是：首先感染外部主機；然後感染隨身碟，利用捷徑檔案解析漏洞，傳播到內部網路；在區域網路中，通過捷徑解析漏洞、RPC遠程執行漏洞、印表機後台程式服務漏洞，實現聯網主機之間的傳播；最後抵達安裝了WinCC軟體的主機，展開攻擊。

2.3.1. 捷徑檔案解析漏洞（MS10-046）

這個漏洞利用Windows在解析捷徑檔案（例如.lnk檔案）時的系統機制缺陷，使系統載入攻擊者指定的DLL檔案，從而觸發攻擊行為。具體而言，Windows在顯示捷徑檔案時，會根據檔案中的信息尋找它所需的圖示資源，並將其作為檔案的圖示展現給用戶。如果圖示資源在一個DLL檔案中，系統就會載入這個DLL檔案。攻擊者可以構造這樣一個捷徑檔案，使系統載入指定的DLL檔案，從而執行其中的惡意代碼。捷徑檔案的顯示是系統自動執行，無需用戶互動，因此漏洞的利用效果很好。

Stuxnet蠕蟲搜尋計算機中的可移動存儲設備（圖4）。一旦發現，就將捷徑檔案和DLL檔案拷貝到其中（圖5）。如果用戶將這個設備再插入到內部網路中的計算機上使用，就會觸發漏洞，從而實現所謂的“擺渡”攻擊，即利用移動存儲設備對物理隔離網路的滲入。

圖4 查找隨身碟

拷貝到隨身碟的DLL檔案有兩個：~wtr4132.tmp和~wtr4141.tmp。後者Hook了kernel32.dll和ntdll.dll中的下列導出函式：

FindFirstFileW FindNextFileW FindFirstFileExWNtQueryDirectoryFile ZwQueryDirectoryFile 實現對隨身碟中lnk檔案和DLL檔案的隱藏。因此，Stuxnet一共使用了兩種措施（核心態驅動程式、用戶態Hook API）來實現對隨身碟檔案的隱藏，使攻擊過程很難被用戶發覺，也能一定程度上躲避防毒軟體的掃描。

圖5 拷貝檔案到隨身碟

2.3.2. RPC遠程執行漏洞（MS08-067）與提升許可權漏洞

這是2008年爆發的最嚴重的一個微軟作業系統漏洞，具有利用簡單、波及範圍廣、危害程度高等特點。

圖6 發動RPC攻擊

具體而言，存在此漏洞的系統收到精心構造的RPC請求時，可能允許遠程執行代碼。在Windows 2000、Windows XP和Windows Server 2003系統中，利用這一漏洞，攻擊者可以通過惡意構造的網路包直接發起攻擊，無需通過認證地運行任意代碼，並且獲取完整的許可權。因此該漏洞常被蠕蟲用於大規模的傳播和攻擊。

Stuxnet蠕蟲利用這個漏洞實現在內部區域網路中的傳播（圖6）。利用這一漏洞時，如果許可權不夠導致失敗，還會使用一個尚未公開的漏洞來提升自身許可權（圖1），然後再次嘗試攻擊。截止本報告發布，微軟尚未給出該提權漏洞的解決方案。

2.3.3. 印表機後台程式服務漏洞（MS10-061）

這是一個零日漏洞，首先發現於Stuxnet蠕蟲中。

Windows列印後台程式沒有合理地設定用戶許可權。攻擊者可以通過提交精心構造的列印請求，將檔案傳送到暴露了列印後台程式接口的主機的%System32%目錄中。成功利用這個漏洞可以以系統許可權執行任意代碼，從而實現傳播和攻擊。

圖7 利用列印服務漏洞

Stuxnet蠕蟲利用這個漏洞實現在內部區域網路中的傳播。如圖7所示，它向目標主機傳送兩個檔案：winsta.exe、sysnullevnt.mof。後者是微軟的一種託管對象格式（MOF）檔案，在一些特定事件驅動下，它將驅使winsta.exe被執行。

2.3.4.核心模式驅動程式（MS10-073）

2.3.5.任務計畫程式漏洞（MS10-092）

2.4 攻擊行為

Stuxnet蠕蟲查詢兩個註冊表鍵來判斷主機中是否安裝WinCC系統（圖8）：

HKLM\SOFTWARE\SIEMENS\WinCC\Setup

HKLM\SOFTWARE\SIEMENS\STEP7

圖8 查詢註冊表，判斷是否安裝WinCC

一旦發現WinCC系統，就利用其中的兩個漏洞展開攻擊：

一是WinCC系統中存在一個硬編碼漏洞，保存了訪問資料庫的默認賬戶名和密碼，Stuxnet利用這一漏洞嘗試訪問該系統的SQL資料庫（圖9）。

二是在WinCC需要使用的Step7工程中，在打開工程檔案時，存在DLL載入策略上的缺陷，從而導致一種類似於“DLL預載入攻擊”的利用方式。最終，Stuxnet通過替換Step7軟體中的s7otbxdx.dll，實現對一些查詢、讀取函式的Hook。

圖9 查詢WinCC的資料庫

2.5 樣本檔案的衍生關係

本節綜合介紹樣本在上述複製、傳播、攻擊過程中，各檔案的衍生關係。

如圖10所示。樣本的來源有多種可能。

對原始樣本、通過RPC漏洞或列印服務漏洞傳播的樣本，都是exe檔案，它在自己的.stud節中隱形載入模組，名為“kernel32.dll.aslr.<隨機數字>.dll”。

對隨身碟傳播的樣本，當系統顯示捷徑檔案時觸發漏洞，載入~wtr4141.tmp檔案，後者載入一個名為“shell32.dll.aslr.<隨機數字>.dll”的模組，這個模組將另一個檔案~wtr4132.tmp載入為“kernel32.dll.aslr.<隨機數字>.dll”。

圖10 樣本檔案衍生的關係

模組“kernel32.dll.aslr.<隨機數字>.dll”將啟動後續的大部分操作，它導出了22個函式來完成惡意代碼的主要功能；在其資源節中，包含了一些要衍生的檔案，它們以加密的形式被保存。

其中，第16號導出函式用於衍生本地檔案，包括資源編號201的mrxcls.sys和編號242的mrxnet.sys兩個驅動程式，以及4個.pnf檔案。

第17號導出函式用於攻擊WinCC系統的第二個漏洞，它釋放一個s7otbxdx.dll，而將WinCC系統中的同名檔案修改為s7otbxsx.dll，並對這個檔案的導出函式進行一次封裝，從而實現Hook。

第19號導出函式負責利用捷徑解析漏洞進行傳播。它釋放多個lnk檔案和兩個擴展名為tmp的檔案。

第22號導出函式負責利用RPC漏洞和列印服務漏洞進行傳播。它釋放的檔案中，資源編號221的檔案用於RPC攻擊、編號222的檔案用於列印服務攻擊、編號250的檔案用於提權。

第三章

3.1 抵禦本次攻擊

西門子公司對此次攻擊事件給出了一個解決方案，連結地址見附錄。下面根據我們的分析結果，給出更具體的措施。

1.使用相關專殺工具或手工清除Stuxnet蠕蟲

手工清除的步驟為：

1. 使用Atool管理工具，結束系統中的父進程不是winlogon.exe的所有lsass.exe進程；
2. 強行刪除下列衍生檔案：
   %System32%\drivers\mrxcls.sys
   %System32%\drivers\mrxnet.sys
   %Windir%\inf\oem7A.PNF
   %Windir%\inf\mdmeric3.PNF
   %Windir%\inf\mdmcpq3.PNF
   %Windir%\inf\oem6C.PNF
3. 刪除下列註冊表項：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNET

2. 安裝被利用漏洞的系統補丁

安裝微軟提供的下列補丁檔案：

• RPC遠程執行漏洞（MS08-067）
• 捷徑檔案解析漏洞（MS10-046）
• 印表機後台程式服務漏洞（MS10-061）
• 核心模式驅動程式漏洞（MS10-073）
• 任務計畫程式程式漏洞（MS10-092）

3. 安裝軟體補丁

安裝西門子發布的WinCC系統安全更新補丁，地址見附錄。

3.2 安全建議

此次攻擊事件凸顯了兩個問題：

1. 即便是物理隔離的專用區域網路，也並非牢不可破；
2. 專用的軟體系統，包括工業控制系統，也有可能被攻擊。

因此，我們對有關部門和企業提出下列安全建議：

加強主機（尤其是區域網路主機）的安全防範，即便是物理隔離的計算機也要及時更新作業系統補丁，建立完善的安全策略；

安裝安全防護軟體，包括反病毒軟體和防火牆，並及時更新病毒資料庫；

建立軟體安全意識，對企業中的核心計算機，隨時跟蹤所用軟體的安全問題，及時更新存在漏洞的軟體；

進一步加強企業區域網路安全建設，尤其重視網路服務的安全性，關閉主機中不必要的網路服務連線埠；

所有軟體和網路服務均不啟用弱口令和默認口令；

加強對可移動存儲設備的安全管理，關閉計算機的自動播放功能，使用可移動設備前先進行病毒掃描，為移動設備建立病毒免疫，使用硬體式隨身碟病毒查殺工具。

第四章

相比以往的安全事件，此次攻擊呈現出許多新的手段和特點，值得我們特別關注。

4.1 專門攻擊工業系統

Stuxnet蠕蟲的攻擊目標直指西門子公司的SIMATIC WinCC系統。這是一款數據採集與監視控制（SCADA）系統，被廣泛用於鋼鐵、汽車、電力、運輸、水利、化工、石油等核心工業領域，特別是國家基礎設施工程；它運行於Windows平台，常被部署在與外界隔離的專用區域網路中。

一般情況下，蠕蟲的攻擊價值在於其傳播範圍的廣闊性、攻擊目標的普遍性。此次攻擊與此截然相反，最終目標既不在開放主機之上，也不是通用軟體。無論是要滲透到內部網路，還是挖掘大型專用軟體的漏洞，都非尋常攻擊所能做到。這也表明攻擊的意圖十分明確，是一次精心謀劃的攻擊。

4.2 利用多個零日漏洞

Stuxnet蠕蟲利用了微軟作業系統的下列漏洞：

• RPC遠程執行漏洞（MS08-067）
• 捷徑檔案解析漏洞（MS10-046）
• 印表機後台程式服務漏洞（MS10-061）
• 核心模式驅動程式漏洞（MS10-073）
• 任務計畫程式程式漏洞（MS10-092）

後四個漏洞都是在Stuxnet中首次被使用，是真正的零日漏洞。如此大規模的使用多種零日漏洞，並不多見。

這些漏洞並非隨意挑選。從蠕蟲的傳播方式來看，每一種漏洞都發揮了獨特的作用。比如基於自動播放功的隨身碟病毒被絕大部分防毒軟體防禦的現狀下，就使用捷徑漏洞實現隨身碟傳播。

另一方面，在安天捕獲的樣本中，有一部分實體的時間戳是2010年3月。這意味著至少在3月份，上述零日漏洞就已經被攻擊者掌握。但直到7月份大規模爆發，漏洞才首次披露出來。這期間要控制漏洞不泄露，有一定難度。

4.3 使用數字簽名

Stuxnet在運行後，釋放兩個驅動檔案：

%System32%\drivers\mrxcls.sys

%System32%\drivers\mrxnet.sys

這兩個驅動檔案偽裝RealTek的數字簽名（圖7）以躲避防毒軟體的查殺。目前，這一簽名的數字證書已經被頒發機構吊銷，無法再通過線上驗證，但目前反病毒產品大多使用靜態方法判定執行檔是否帶有數字簽名，因此有可能被欺騙。圖11 Stuxnet偽造的數字簽名

4.4 明確的攻擊目標

根據賽門鐵克公司的統計，7月份，伊朗感染Stuxnet蠕蟲的主機只占25%，到9月下旬，這一比例達到60%。

WinCC被伊朗廣泛使用於基礎國防設施中。9月27日，伊朗國家通訊社向外界證實該國的第一座核電站“布希爾核電站”已經遭到攻擊。據了解，該核電站原計畫於2010年8月開始正式運行。因此，此次攻擊具有明確的地域性和目的性。

第五章

5.1 工業系統安全將面臨嚴峻挑戰

在我國，WinCC已被廣泛套用於很多重要行業，一旦受到攻擊，可能造成相關企業的設施運行異常，甚至造成商業資料失竊、停工停產等嚴重事故。

對於Stuxnet蠕蟲的出現，我們並未感到十分意外。早在去年，安天就接受用戶委託，對化工行業儀表的安全性展開過研究，情況不容樂觀。

工業控制網路，包括工業乙太網，以及現場匯流排控制系統早已在工業企業中套用多年，目前在電力、鋼鐵、化工等大型重化工業企業中，工業乙太網、DCS（集散控制系統）、現場匯流排等技術早已滲透到控制系統的方方面面。工業控制網路的核心現在都是工控PC，大多數同樣基於Windows-Intel平台，工業乙太網與民用乙太網在技術上並無本質差異，現場匯流排技術更是將單片機/嵌入式系統套用到了每一個控制儀表上。工業控制網路除了可能遭到與攻擊民用/商用網路手段相同的攻擊，例如通過區域網路傳播的惡意代碼之外，還可能遭到針對現場匯流排的專門攻擊，不可輕視。

針對民用/商用計算機和網路的攻擊，目前多以獲取經濟利益為主要目標，但針對工業控制網路和現場匯流排的攻擊，可能破壞企業重要裝置和設備的正常測控，由此引起的後果可能是災難性的。以化工行業為例，針對工業控制網路的攻擊可能破壞反應器的正常溫度/壓力測控，導致反應器超溫/超壓，最終就會導致沖料、起火甚至爆炸等災難性事故，還可能造成次生災害和人道主義災難。因此，這種襲擊工業網路的惡意代碼一般帶有信息武器的性質，目標是對重要工業企業的正常生產進行干擾甚至嚴重破壞，其背景一般不是個人或者普通地下黑客組織。

目前，工業乙太網和現場匯流排標準均為公開標準，熟悉工控系統的程式設計師開發針對性的惡意攻擊代碼並不存在很高的技術門檻。因此，對下列可能的工業網路安全薄弱點進行增強和防護是十分必要的：

1. 基於Windows-Intel平台的工控PC和工業乙太網，可能遭到與攻擊民用/商用PC和網路手段相同的攻擊，例如通過隨身碟傳播惡意代碼和網路蠕蟲，這次的Stuxnet病毒就是一個典型的例子。
2. DCS和現場匯流排控制系統中的組態軟體（測控軟體的核心），目前其產品，特別是行業產品被少數公司所壟斷，例如電力行業常用的西門子SIMATIC WinCC，石化行業常用的浙大中控等。針對組態軟體的攻擊會從根本上破壞測控體系，Stuxnet病毒的攻擊目標正是WinCC系統。
3. 基於RS-485匯流排以及光纖物理層的現場匯流排，例如PROFIBUS和MODBUS（串列鏈路協定），其安全性相對較好；但短程無線網路，特別是不使用Zigbee等通用短程無線協定（有一定的安全性），而使用自定義專用協定的短程無線通信測控儀表，安全性較差。特別是國內一些小企業生產的“無線感測器”等測控儀表，其無線通信部分採用通用2.4GHz短程無線通信晶片，連基本的加密通信都沒有使用，可以說毫無安全性可言，極易遭到竊聽和攻擊，如果使用，將成為現場匯流排中極易被攻擊的薄弱點。

工業控制網路通常是獨立網路，相對民用/商用網路而言，數據傳輸量相對較少，但對其實時性和可靠性的要求卻很高，因而出現問題的後果相當嚴重。

傳統工業網路的安全相對信息網路來說，一直是憑藉區域網路隔離，而疏於防範。因此，針對工業系統的安全檢查和防範加固迫在眉睫。

展望和思考

在傳統工業與信息技術的融合不斷加深、傳統工業體系的安全核心從物理安全向信息安全轉移的趨勢和背景下，此次Stuxnet蠕蟲攻擊事件尤為值得我們進一步思考。

這是一次極為不同尋常的攻擊，其具體體現是：

• 傳統的惡意代碼追求影響範圍的廣泛性，而這次攻擊極富目的性；
• 傳統的攻擊大都利用通用軟體的漏洞，而這次攻擊則完全針對行業專用軟體；
• 這次攻擊使用了多個全新的零日漏洞進行全方位攻擊，這是傳統攻擊難以企及的；
• 這次攻擊通過恰當的漏洞順利滲透到內部專用網路中，這也正是傳統攻擊的弱項；

從時間、技術、手段、目的、攻擊行為等多方面來看，完全可以認為發起此次攻擊的不是一般的攻擊者或組織。

因此，這次攻擊中所採用的多個新漏洞和傳播手段，將在接下來很長一段時間內給新的攻擊提供最直接的動力。而更大的影響是，事件中顯露出來的攻擊思路和攻擊視野會帶來長久的示範效應。它給攻擊者、安全研究人員、企業管理者帶來的更多是一種安全觀念和安全意識上的衝擊。一些傳統的認識已經略顯陳舊，誰能在這一次觀念和意識賽跑中認識得更清、看得更遠，誰就能在未來一段時間內保持優勢。

至少有以下兩種新的攻擊趨勢值得特別關註：

1. 針對行業專用軟體的漏洞挖掘和攻擊，特別是上升到國家戰略層面的關鍵行業和敏感行業。安天實驗室在2013年年初發布的《多家企業網路入侵事件傳言的同源木馬樣本分析報告》中就明確指出：“目前的漏洞分析挖掘的注意點已經不集中於主流廠商，而開始普遍擴散”。另一方面，這些攻擊雖然針對軟體，但並不一定是利用軟體本身的缺陷，安全是一個全方位的問題，攻擊可能來自於任何一個角度。
2. 針對企業內部網路，特別是物理隔離的內部專用網路的攻擊。這類網路具有較高的安全要求，也更具攻擊價值。一般通過隨身碟等可移動存儲設備滲入這類網路的方法是感染式病毒、欺騙、自動播放（Autorun.inf）等。本次出現的捷徑檔案解析漏洞，為此類攻擊提供了一種更有效的方法。此外，這種內部網路也將因為本次事件而被攻擊者關注和研究，不能排除出現新的攻擊方式的可能。

基於上述認識，建議有關部門和企業以此次攻擊事件為鑑，進一步加強信息網路和計算機設備的安全管理、制定完善的安全管理方案、形成合理的安全策略、提高安全意識，與安全廠商一同構建堅實的防線，抵禦安全威脅。

專家稱其高端性顯示攻擊應為國家行為

一些專家認為，Stuxnet病毒是專門設計來攻擊伊朗重要工業設施的，包括上個月竣工的布希爾核電站。它在入侵一台個人電腦後，會尋找廣泛用於控制工業系統如工廠、發電站自動運行的一種西門子軟體。它通過對軟體重新編程實施攻擊，給機器編一個新程式，或輸入潛伏極大風險的指令。專家指出，病毒能控制關鍵過程並開啟一連串執行程式，最終導致整個系統自我毀滅。

2008年，“震網”病毒攻擊就開始奏效，伊朗核計畫被顯著拖延。根據電腦安全公司賽門鐵克公司的一份詳細報告，到2010年9月29日為止，“震網”病毒在世界範圍內感染了10萬台主機，其中有6萬台位於伊朗，之後伊朗採取了行動，從而無法評估後來的數據。伊朗半官方的通訊社報導稱，這種代號為“震網”的“電腦蠕蟲”病毒很可能是伊朗的敵人專門為破壞布希爾核電站而“量身定做”的。（2010年9月30日《中國青年報》）

根據科學和國際安全研究所的統計，位於納坦茲的大約8000台離心機里有1000台已在2009年底和2010年初被換掉。國際原子能機構說，伊朗在2010年11月中旬暫停了納坦茲的鈾濃縮活動，因為離心機發生技術故障。

2013年3月，中國解放軍報再次披露，美國曾利用“震網”蠕蟲病毒攻擊伊朗的鈾濃縮設備。

卡巴斯基的高級安防研究員戴維·愛姆說，Stuxnet與其它病毒的不同之處，就在於它瞄準的是現實世界。他們公司已經和微軟聯手，查找程式中的編碼漏洞，防止新病毒找到它。

愛姆說，通常的大部分病毒像個大口徑短槍到處開火，而Stuxnet像個狙擊手，只瞄準特定的系統。一旦它們發現了編碼缺陷，就好比找到了房子上的天窗，然後用一把羊頭鎬撬開一個更大的洞。Stuxnet被設計出來，純粹就是為了搞破壞。

德國網路安全研究員拉爾夫·朗納（Ralph Langner）已經破解了Stuxnet的編碼，並將之公布於眾。他堅信Stuxnet被設計出來，就是為了尋找基礎設施並破壞其關鍵部分。他說，這是一種百分之百直接面向現實世界中工業程式的網路攻擊。它絕非所謂的間諜病毒，而是純粹的破壞病毒。

朗納說，Stuxnet病毒的高端性，意味著只有一個“國家”才能把它開發出來。根據我們所掌握的計算機法醫方面證據，它的意圖很明顯，就是執行破壞性攻擊，毀掉大量的內部信息。這並非某個坐在父母家裡的地下室里的駭客能幹得出來的，這種攻擊的來源指向的是一個國家。Stuxnet很可能已經攻擊了它的目標，只不過我們還沒有接到訊息而已。

近日，某國內知名安全公司監測到一個席捲全球工業界的病毒已經入侵我國，這種名為Stuxnet的蠕蟲病毒已經造成伊朗核電站推遲發電，目前國內已有近 500萬網民、及多個行業的領軍企業遭此病毒攻擊。某國內知名安全軟體公司反病毒專家警告說，我們許多大型重要企業在安全制度上存在缺失，可能促進Stuxnet病毒在企業中的大規模傳播。

某國內知名安全軟體公司專家表示，這是世界上首個專門針對工業控制系統編寫的破壞性病毒，它同時利用包括MS10-046、MS10-061、MS08-067等 7個最新漏洞進行攻擊。這7個漏洞中，有5個是針對windows系統，2個是針對西門子SIMATIC WinCC系統。另外在關於微軟的5個漏洞中，目前有兩個本地提權漏洞仍未修復。

病毒肆虐將影響我國眾多企業

該病毒通過偽裝RealTek 與JMicron兩大公司的數字簽名，從而順利繞過安全產品的檢測。從編寫手法上看，該病毒還有很大的改進餘地，將來很可能出現同樣原理的複雜病毒。

據某國內知名安全軟體公司技術部門分析，Stuxnet病毒專門針對西門子公司的SIMATIC WinCC監控與數據採集 (SCADA) 系統進行攻擊，由於該系統在我國的多個重要行業套用廣泛，被用來進行鋼鐵、電力、能源、化工等重要行業的人機互動與監控，一旦攻擊成功，則可能造成使用這些企業運行異常，甚至造成商業資料失竊、停工停產等嚴重事故。

該病毒主要通過隨身碟和區域網路進行傳播，由於安裝SIMATIC WinCC系統的電腦一般會與網際網路物理隔絕，因此黑客特意強化了病毒的隨身碟傳播能力。如果企業沒有針對隨身碟等可移動設備進行嚴格管理，導致有人在區域網路內使用了帶毒隨身碟，則整個網路都會被感染。

Stuxnet病毒被多國安全專家形容為全球首個“超級工廠病毒”。截至目前，Stuxnet病毒已經感染了全球超過 45000個網路，伊朗、印尼、美國、台灣等多地均不能倖免，其中，以伊朗遭到的攻擊最為嚴重，60%的個人電腦感染了這種病毒。

據悉，早在今年7月，某國內知名安全軟體公司就監測到了Stuxnet的出現，一直進行跟蹤並積極研發出了解決方案，某國內知名安全軟體公司安全專家提醒廣大政府及企業級用戶：一定要嚴格限制隨身碟在密級網路中的套用，如果必須使用的，則應該建立使用登記和責任追究制度。另外，某國內知名安全軟體公司防毒軟體網路版也針對此病毒，提供了完善的隨身碟病毒預防、網路內安全管理、惡性病毒掃描.

作為安全廠商，安天呼籲各兄弟廠商一起共建良好的行業環境，不斷促進安全技術的良性發展。同時，安天也期盼公眾和用戶能夠對信息安全給予更多的關注。安天堅信保障公眾和社會的安全是一家安全廠商義不容辭的使命，但在現階段僅靠廠商的力量尚不足以解決目前的所有問題。只有各方齊心協力，才能迎來一個更加美好的世界。