侵权投诉
搜索
更多>> 热门搜索:
订阅
纠错
加入自媒体

新型国家网战:“震网病毒”背后看不见的交锋

2015-03-05 09:47
安娜PARKER
关注

  当伊朗核工厂在跌跌撞撞中挣扎的同时,信息安全界发现了另一件看似不相关的事件。2010年6月,白俄罗斯的一家安全公司VirusBlokAda受邀为一些伊朗客户检查系统,调查他们电脑的死机和重启问题。技术人员在客户电脑中发现了一种新的蠕虫病毒。根据病毒代码中出现的特征字“stux”,新病毒被命名为“震网病毒(stuxnet)”,并加入到公共病毒库,公布给业界人士研究。

  起初,研究人员以为,这不过是千万种流行病毒中的一种。世界上每天都有新病毒产生,大部分都是青少年的恶作剧,少部分则是犯罪分子用来盗取个人信息的工具,震网病毒也许只是其中之一。但进一步的深入研究却让他们瞠口结舌:震网的复杂度远远出乎人们的意料,它是当时所发现的最精妙、最复杂的病毒,没有之一。

  首先,它利用了4个Windows零日漏洞。零日漏洞是指软件中刚刚被发现、还没有被公开或者没有被修补的漏洞。零日漏洞可以大大提高电脑入侵的成功率,具有巨大的经济价值,在黑市上,一个零日漏洞通常可以卖到几十万美元。即使是犯罪集团的职业黑客,也不会奢侈到在一个病毒中同时用上4个零日漏洞。仅此一点,就可以看出该病毒的开发者不是一般黑客,它具备强大的经济实力。并且,开发者对于攻击目标怀有志在必得的决心,因此才会同时用上多个零日漏洞,确保一击得手。

  其次,它具备超强的USB传播能力。传统病毒主要是通过网络传播,而震网病毒大大增强了通过USB接口传播的能力,它会自动感染任何接入的U盘。在病毒开发者眼中,似乎病毒的传播环境不是真正的互联网,而是一个网络连接受到限制的地方,因此需要靠USB口来扩充传播途径。

  最奇怪的是,病毒中居然还含有两个针对西门子工控软件漏洞的攻击,这在当时的病毒中是绝无仅有的。从互联网的角度来看,工业控制是一种恐龙式的技术,古老的通信方式、隔绝的网络连接、庞大的系统规模、缓慢的技术变革,这些都让工控系统看上去跟互联网截然不同。此前从没人想过,在互联网上泛滥的病毒,也可以应用到工业系统中去。

  因为震网病毒,伊朗核计划至少推迟了两年多

  震网病毒引起了信息安全界的极大兴趣,随着更多专家投入到对它的分析,它的面纱渐渐揭开——它跟以往流行的病毒完全不一样,这是世界上第一例针对工控系统的病毒!

  说得再精准一点,它是专门针对伊朗纳坦兹核工厂量身定做的病毒武器。

  举个例子。研究人员在病毒代码中发现一个数组,用以描述离心机的级联方式,数组的最后几位是:20,24,20,16,12,8,4。

  把上面那张总统视察图的左下角放大,可以看到在图片最下方,红色箭头所指的位置有一排灰色小柱子。这些小柱子把上面的绿色小点分为若干块,从右往左数,每块含有的列数分别是1,2,3,4,5,6,5。每列包含有4个离心机,因此,从这张图可以看出,纳坦兹核工厂的离心机级联方式,从左往右正是20,24,20,16,12,8,4,与震网病毒的描述完全相同!

  由此可见,震网是有备而来。其开发团队里不仅有软件和网络专家,还有工业控制和核武器的专家,并且通过某种秘密途径,他们还事先掌握了纳坦兹的设计图纸。它背后的力量绝不是一般网络犯罪组织可以比拟的。

  震网病毒的攻击方式也非常狡猾。当它渗透进入核工厂,它本可以制造一起轻易的工业灾难,一举摧毁整个工厂。但它却没有马上发作,而是悄悄地潜伏下来,每隔一个月才攻击一次。攻击期间,它会首先修改西门子工控系统的数据,让离心机看上去运转正常。但背地里,它却大幅提高离心机的转速,迫使其在临界速度以上运转,从而迅速毁坏一台离心机。

  这时候,如果走到那台遭受攻击的离心机旁边,会听到机器转动声的明显异常,它的声音频率比正常状态要高得多。但工厂内有几百台离心机在同时运行,巨大的背景噪声往往会掩盖单台离心机的问题,不仔细听根本注意不到。更何况由于背景噪声太大,工程师都是带着耳罩进入车间,根本无法辨别那点细小的差别。他们一般还是从控制系统的屏幕上监控工厂状态,而震网病毒早已控制了监控系统,呈现给操作人员的,是一切正常的运行状态。

  这是一种更加高明的战术,它使得伊朗人疲于奔命。崭新的离心机装进工厂,没用多久便告损坏,日常的生产工作变成了不停地更换离心机,纳坦兹核工厂始终无法形成稳定的浓缩铀生产能力。伊朗人更换了数批工程师,却一直找不到问题原因,震网病毒的隐蔽性太强(即使是今天,震网病毒已经暴露了数年之后,最新的Windows仍然会把它当作合法程序),他们从没发现工厂早已被病毒入侵,仍然一味地认定是离心机的质量问题,白白损失了几年时光。

  研究人员认为,由于震网病毒,伊朗核计划至少推迟了两年多。

<上一页  1  2  3  4  下一页>  
声明: 本文由入驻维科号的作者撰写,观点仅代表作者本人,不代表OFweek立场。如有侵权或其他问题,请联系举报。

发表评论

0条评论,0人参与

请输入评论内容...

请输入评论/评论长度6~500个字

您提交的评论过于频繁,请输入验证码继续

暂无评论

暂无评论

文章纠错
x
*文字标题:
*纠错内容:
联系邮箱:
*验 证 码:

粤公网安备 44030502002758号