第一章震网病毒背景

2006年，伊朗重启核计划，在纳坦兹建立核工厂，安装大量离心机生产浓缩铀。2010年1月，联合国负责核查伊朗核设施的国际原子能机构（IAEA）发现纳坦兹核工厂出现问题，原本预期使用寿命10年的IR-1型离心机大规模故障，但是谁都说不清楚到底是什么原因导致的。

伊朗纳坦兹核工厂伊朗纳坦兹核工厂

2010年6月，白俄罗斯一家小型反病毒公司VirusBlockAda的技术负责人舍基·乌尔森（Sergey Ulasen），在分析伊朗计划上上的恶意文件时，发现该恶意文件异常复杂，不仅有效利用了"内核极"后门来躲过反病毒引擎的扫描，还利用了多个"零日漏洞"（zero-day）来突破Windows系统，但是由于力不从心，没有完全破译该恶意代码。2010年7月12日，乌尔森将该发现发布在一个英文安全论坛上。

舍基·乌尔森（SergeyUlasen）

全球安全业界开始对这个病毒进行分析和破译。同时，微软将该病毒命名为：震网（Stuxnet）。通过分析发现，该病毒的隐蔽性、先进性和复杂性远远超过人们的想象。

据国外一些报道称，该病毒是由美国和以色列的程序员共同编写，其中攻击的西门子工控系统的技术规范由德国提供，西门子工控系统被广泛应用于伊朗核设施中。在以色列的迪莫诺，构建了西门子控制器和IR-1型离心机的试验系统，对该病毒进行了测试，英国政府也参与了试验，试验完成后，荷兰情报人员作为离心机的技术咨询工程师，将病毒植入到核设施中。

震网病毒主要是通过改变离心机的转速，来破坏离心机，并影响生产的浓缩铀质量。

离心机被故障

震网病毒原本的设计是定向攻击，作为网络武器来使用，算是APT攻击的鼻祖。之所以被发现，是因为开发震网病毒的程序员在编程的时候，错误的将and和or用错，导致病毒可以感染任何版本的Windows系统，最终在2010年6月被捕获。

第二章震网病毒逆向深入分析【个人原创分析，非授权请勿转载】

震网病毒结构与运行流程

震网病毒主要包含6个文件，4个快捷方式图标文件，利用LNK漏洞从U盘自动感染计算机，两个tmp文件，用于初始化和安装震网病毒。

震网病毒共利用了7个漏洞，其中4个0 Day漏洞:

CVE-2008-4250(MS-08-067)-Windows Server Service NetPathCanonicalize()
CVE-2010-2772 WinCC default password
CVE-2012-3015 Step 7 Insecure Library Loading
CVE-2010-2568(MS-10-046)-Windows Shell LNK Vulnerability (O day)
CVE-2010-2743(MS-10-073)-Win32K.sys Local Privilege Escalation (O day)
CVE-2010-3888(MS-10-092) Task Scheduler vulnerability (O day)
CVE-2010-2729(MS-10-061)-Windows Print Spooler Service Remote Code Execution (O day)

震网病毒隐藏在U盘中，当U盘插入到计算机上时，利用LNK漏洞会自动感染Windows系统，感染执行后，通过Ring3 Hook Ntdll实现在内存中加载~WTR4141.tmp文件，Ring3 Hook Kernel32、Ntdll实现*.tmp和*.lnk文件隐藏。进而通过内存LoadLibrary加载~WTR4132.tmp文件，提取出核心的Main.dll，在内存中加密、脱壳、加载Main.dll，初始化安装震网病毒，注入进程、注册服务，释放资源文件，最终震网病毒以服务运行。服务运行时，会攻击西门子WinCC工控系统软件，通过该软件最终攻击PLC，让离心机异常工作，导致离心机快速故障。

Call#15初始化安装Stuxnet

当Main.dll被加载的时候，导出表#15第一个被调用。#15主要负责检查Stuxnet是否运行在一个合适的系统中，检测当前系统是否已被感染，把当前进程权限提升到系统权限，检测系统中安装的杀毒软件版本，选择把DLL注入到哪个进程中；把DLL注入到选择的进程中，然后调用#16。

#15的第一个任务是检查配置数据(configuration data)是否是最新的。配置数据可以被存储到两个位置。Stuxnet检查最新的配置数据并且执行。然后Stuxnet检查是否运行在一个32位的系统中，如果运行在64位系统中则退出，同时也检查操作系统的版本，Stuxnet只能运行在以下版本的操作系统中：

Win2K
WinXP
Windows 2003
Vista
Windows Server 2008
Windows 7
Windows Server 2008 R2

接着检查当前进程是否具有Administrator权限，如果没有则会利用0-day漏洞提升运行权限。如果当前操作系统是Windows Vista、Windows 7、Windows Server 2008 R2，则利用Task Scheduler Escalation of Privilege来提升权限；如果操作系统是Windows XP、Win2K则利用Windows Win32k.sys Local Privilege Escalation(MS10-073)漏洞提升权限。

如果代码运行成功，如果利用win32k.sys漏洞，主DLL文件作为一个新进程运行，如利用Task Scheduler，主dll运行在csrss.exe进程中。

Win32k.sys漏洞利用的代码在资源文件#250中，当导出表#15运行检查都通过后，#16运行。#16是Stuxnet的主安装程序。它检查日期和操作系统的版本，解密、创建并安装rootkit文件和注册表项；并把自己注入到services.exe中，以便感染移动存储设备；把自己注入到Step7的进程中感染所有的Step7工程；建立全局互斥量(mutexes)用于不同组件之间的通信；连接RPC服务器。

Call#16安装Stuxnet

#16首先检查配置数据是否有效，然后检查注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\MS-DOS Emulation中的NTVDM TRACE值是否是19790509，如果是则退出。该项应该是是否允许感染的标识。然后读取配置数据中的日期(配置数据偏移0x8c处)和当前系统日期对比，如果当前日期比配置数据中的时间晚，则退出；配置数据中的日期是2012-6-24。

Stuxnet的各个组件之间的通信采用全局互斥信号量，当在Windows Xp中时调用SetSecurityDescriptorDacl创建这些互斥信号量；在Windows Vista、Windows 7和WindowsServer2008中调用SetSecurityDescriptorSacl创建，用此方法可以降低系统完整性检测，保证代码写操作被拒绝。

然后Stuxnet创建3个加密的文件，这些文件来自.stub节。然后将他们保存到磁盘。

Ø Stuxnet主要攻击载荷文件保存为Oem7a.pnf；

Ø 一个90个字节的数据被保存到%SystemDrive%\inf\mdmeric3.PNF中；

Ø 配置数据被拷贝到%SystemDrive%\inf\mdmcpq3.PNF中；

Ø 一个日志文件被拷贝到%SystemDrive%\inf\oem6C.PNF中；

接着Stuxnet检查系统时间，确保它在2012年6月24号以前。然后通过读取存并解密储到硬盘中的版本信息，来检查自己和保存到磁盘上的加密代码是否是最新的。此功能是通过#6实现的。

版本检查通过后，Stuxnet从资源文件中(#201、#242)释放、解码并将内容写2个文件中：Mrxnet.sys和Mrxcls.sys；它们是两个驱动文件：一个用于Stuxnet的加载点(Load point)，另一个用于隐藏磁盘中恶意文件。并且这两个文件的时间和系统目录中的其他文件时间一致，以免引起怀疑；然后创建注册表项指向这两个驱动文件，将它们注册为服务项，以便开机的时候就启动这2个服务。一旦Stuxnet创建的这个Rootkit正确安装后，会产生一些全局信号量，表明安装成功。

Stuxnet接着采用另外的2个导入函数（exports）继续完成安装和感染（infection）过程。

(1)然后把payload .dll注入到services.exe中并且调用#32(感染可移动存储设备和启动RPC服务)；

(2)把payload .dll注入到Step7的进程：S7tgtopx.exe中并且调用#2(用于感染Step7工程文件)，为使这一步成功，Stuxnet可能需要杀掉explorer.exe和S7tgtopx.exe进程，如果他们在运行中的话。

Stuxnet的通过上述的两种payload .dll注入和创建的服务及驱动文件运行起来。

Stuxnet将等待一段短暂时间后才试图连接RPC服务(#32开启的)，将调用0号函数检查连接是否成功并且调用9号函数接收一些数据存储到oem6c.pnf中。

至此，所有默认的传播方式和攻击载荷已经被激活。