震网病毒(Stuxnet)揭秘

震网事件始末

2006年，美国军方和情报官员向当时的美国总统提交了一个对伊朗发动网络攻击的提案，名为Olympic Games计划，随即美国和以色列联合开发Stuxnet病毒，翻译为震网病毒，随后，美以开始利用四个微软0day漏洞对伊朗核设施进行长期而隐蔽的破坏行动。

2010年3月，震网病毒通过各种途径疯狂传播，在感染伊朗将近 20 万台计算机后，持续向全球扩散。在安全研究员对其进行深入分析后，发现元凶是美国与以色列。

2010 年 6 月 17 日，白俄罗斯一家小公司 VirusBlockAda 的安全研究人员发现一种能感染可移动存储设备的恶意软件，Stuxnet逐渐被世界安全研究人员了解到。

2010年7月，“震网”（Stuxnet）蠕虫攻击事件，引发了国际主流安全厂商和安全研究者的全面关注，卡巴斯基、赛门铁克、安天等安全厂商，Ralph Langne等著名安全研究者，以及多国的应急组织和研究机构，都投入到了全面的分析接力中。

2010 年 11 月，伊朗总统艾哈迈迪内贾德公开承认，一种计算机病毒对“我国（核）离心机中为数不多的几台机制造了一些问题。”

2010年11月20日，为了规避美国的网络攻击，伊朗纳坦兹的技术人员全面暂停了工厂的铀浓缩活动。

2010年11月22日，伊朗所有离心机都停止了运转。

最终这场针对伊朗的网络攻击的大量细节被呈现出来：

这是一起经过长期规划准备和入侵潜伏作业；
借助高度复杂的恶意代码和多个零日漏洞作为攻击武器；
以铀离心机为攻击目标；
以造成超压导致离心机批量损坏和改变离心机转数导致铀无法满足武器要求为致效机理，以阻断伊朗核武器进程为目的的攻击。

荷兰秘密特工协助美以用Stuxnet攻击伊朗设施的揭秘

多年来，一个持久的谜团围绕着针对伊朗核计划的Stuxnet病毒攻击：美国和以色列是如何在高度安全的铀浓缩工厂将其恶意软件带入（离网管理的）其计算机系统的？

根据雅虎新闻的消息人士透露，攻击实施的关键是将装有震网病毒的U盘带入伊朗核工厂得以在内部攻击。而将病毒U盘带入伊朗核设施的实际上是荷兰情报人员。该情报人员是在美国中央情报局和以色列情报机构摩萨德的要求下招募的内部特工。

荷兰《大众日报》(de Volkskrant)历经两年调查证实了这个消息：荷兰国情报部门招募了一名在伊朗做生意的荷兰工程师，通过控制水泵的PLC单片机在伊朗核设施内部署了臭名昭著的 Stuxnet 蠕虫。

Stuxnet 蠕虫被设计用于破坏核设施内铀浓缩离心机使用的工控系统。因为伊朗纳坦兹（核电站）的西门子控制系统不会连接外网，所以Stuxnet 蠕虫的工程师设计了通过优盘传播的病毒形式，之后由荷兰特工通过将USB插入控制系统的办法直接安装恶意代码，还有种说法是通过感染了工厂运维工程师的系统，然后工程师在编程时无意中运行了Stuxnet。Stuxnet内嵌的攻击代码旨在关闭随机数量的离心机上的出口阀门，这样气体就会进入它们但却无法排出，这是为了提高离心机内部的压力并随着时间的推移而造成损坏；也有说法是攻击代码改变离心机旋转的速度，或者将它们加速到超过它们设计旋转和减速的水平，目的是破坏离心机并破坏浓缩过程的效率引发核电站崩溃。

现在来看，荷兰《大众日报》的调查结果颇有007系列小说的传奇色彩：荷兰情报和安全总局（类似美国的CIA）招募了时年 36 岁的荷兰公民 Erik van Sabben，他当时在迪拜的一家重型运输公司工作。在美国和以色列情报机构对荷兰的授意之下，van Sabben 于 2005 年被情报机构招募。van Sabben 之所以被选中是因为他非常适合这项工作，他是一名资深工程师，在伊朗做生意，重要的是还娶了一名伊朗女子。

Stuxnet 蠕虫在这位荷兰籍工程师的日常工作中，通过优盘，秘密安装在了核设施中的水泵工控系统芯片中。美国CIA 局长 Michael Hayden接受 《大众日报》的采访中表示：该行动属于机密信息，因此无法确认 Stuxnet 蠕虫确实是通过水泵传播的。但Hayden 披露了一个有价值的信息线索：Stuxnet 的开发成本在 10-20 亿美元之间。

玩过单片机的都知道，如果对工厂设备的布局、使用和这套系统的运行周期等情况不了解是不可能开发出有针对性的攻击病毒的，根据卡巴斯基的报告，该病毒有五个版本光针对工厂plc的攻击方式就有两个版本。如果不是间谍提供了关键信息，开发人员是难以编写如此有针对性的攻击性病毒的。这个病毒对离心机、阀门的数量和plc的具体型号都判断的如此精准，可见间谍渗透的破坏性有多强。

震网事件反思

Stuxnet 是网络武器针对工业设备的首件案例。Stuxnet 成功地影响了武器研制的方向：计算机打开后甚至无意见插入一个优盘，竟然会对真实世界（机器运转）造成破坏。 Stuxnet 清楚地展示，网络攻击武器在军事行动中能发挥重要作用。

Stuxnet 事件证明物理隔离的系统是也不是绝对安全的。安全系统的管理者是活生生的人，相比技术层次的防范、物理层的隔绝，社交工程学层次的攻击更隐蔽、更难防范。

网络空间已经渗透入生活的方方面面，发动网络攻击对现实社会的影响巨大。一枪一炮或许威力有限，但是对信息社会来说，信息类攻击的损失无可估量，国家安全重于泰山。