2010年，震網(wǎng)病毒被發(fā)現(xiàn)，引起世界嘩然，在后續(xù)的10年間，陸陸續(xù)續(xù)有更多關(guān)于該病毒的背景和細(xì)節(jié)曝光。今年，《以色列時(shí)報(bào)》和《荷蘭日?qǐng)?bào)》又披露了關(guān)于此事件的更多信息，基于這些信息，我們重新梳理了震網(wǎng)病毒的來龍去脈。

伊朗自從上世紀(jì)50年代開始便有意開展核計(jì)劃，但直到本世紀(jì)初才在濃縮鈾生產(chǎn)有所突破，這得益于巴基斯坦核武器之父阿卜杜勒·卡迪爾·汗(Abdul Qadeer Khan)的幫助，此人在上世紀(jì)80年代從一家荷蘭公司竊取了離心機(jī)的設(shè)計(jì)圖紙，并賣給了伊朗。2003年，美國(guó)和英國(guó)截獲了一艘計(jì)劃向伊朗運(yùn)輸離心機(jī)的利比亞船只，其離心機(jī)采用的是德國(guó)西門子的Step-7型號(hào)。

小布什政府和奧巴馬政府認(rèn)為，如果伊朗被證實(shí)發(fā)展核武器，以色列可能會(huì)對(duì)伊朗核設(shè)施發(fā)動(dòng)空襲，進(jìn)而引起一場(chǎng)地區(qū)戰(zhàn)爭(zhēng)。之后，一個(gè)名為“奧林匹克運(yùn)動(dòng)”的計(jì)劃開始執(zhí)行，該計(jì)劃涉及五個(gè)國(guó)家的情報(bào)機(jī)構(gòu)，包括美國(guó)、以色列、荷蘭、德國(guó)以及英國(guó)，該計(jì)劃的目的是通過投放計(jì)算機(jī)病毒至伊朗的鈾濃縮基地，以破壞或推遲伊朗的核武器計(jì)劃，也被看作一種兵不血刃的方式。

計(jì)劃的核心是一款名為Stuxnet的蠕蟲病毒，中文稱為震網(wǎng)病毒，該病毒的研發(fā)始于小布什政府時(shí)期，并在奧巴馬政府期間被繼續(xù)執(zhí)行。根據(jù)卡巴斯基事后對(duì)于該病毒規(guī)模和復(fù)雜性的評(píng)估，震網(wǎng)病毒至少有10人以上的研發(fā)團(tuán)隊(duì)，歷經(jīng)2-3年研發(fā)，大約花費(fèi)10億美金。雖然美國(guó)和以色列政府都沒有正式承認(rèn)研發(fā)了此病毒，但2011年為慶祝以色列國(guó)防軍領(lǐng)導(dǎo)人加比·阿什肯納茲（Gabi Ashkenazi）退休而制作的一段視頻中，將震網(wǎng)病毒列為了他領(lǐng)導(dǎo)下的成果之一。

震網(wǎng)病毒的攻擊目標(biāo)伊朗納坦茲（Natanz）工廠（一所從2000年開始建設(shè)的鈾濃縮工廠）的Windows系統(tǒng)、Windows系統(tǒng)中控制離心機(jī)的西門子軟件以及PLC自身的嵌入式軟件，當(dāng)震網(wǎng)病毒感染一臺(tái)計(jì)算機(jī)時(shí)，它會(huì)檢查該計(jì)算機(jī)是否連接到西門子Step-7型號(hào)的可編程邏輯控制器（PLC，是計(jì)算機(jī)與工業(yè)機(jī)械交互和控制的方式）。如果沒有檢測(cè)到PLC，病毒什么也不做，如果有檢測(cè)到，那么病毒會(huì)改變PLC的編程讓離心機(jī)不規(guī)則旋轉(zhuǎn)，從而損壞離心機(jī)。同時(shí)通過控制器計(jì)算機(jī)顯示離心機(jī)一切工作正常，這就使得工作人員很難檢測(cè)或診斷出離心機(jī)的問題。

震網(wǎng)病毒被設(shè)計(jì)為可以通過U盤傳播，運(yùn)行時(shí)包括了用戶模式和內(nèi)核模式，并竊取和利用兩個(gè)臺(tái)灣設(shè)備制造商的私鑰證書來為病毒的內(nèi)核程序做數(shù)字簽名，同時(shí)利用了至少四個(gè)Windows系統(tǒng)的0-day漏洞：一個(gè)Windows快捷方式漏洞、一個(gè)打印假后臺(tái)程序漏洞、兩個(gè)特權(quán)升級(jí)漏洞、西門子PLC軟件的0-day漏洞。

為了讓震網(wǎng)病毒能夠進(jìn)入納坦茲的鈾濃縮工廠的計(jì)算機(jī)，攻擊者通過一些渠道將病毒投放到納坦茲工廠，這需要在伊朗本地的人員完成，因此荷蘭情報(bào)機(jī)構(gòu)AIVD在2005年招募了一名伊朗工程師埃里克·范·薩本（Erik van Sabben）作為間諜，此人有技術(shù)背景，在伊朗有自己的生意，社會(huì)關(guān)系強(qiáng)大，并在伊朗有自己的家人，因此是理想的間諜人選。

為了稱為納坦茲工廠的供應(yīng)商，美國(guó)和以色列成立了兩家公司嘗試成為納坦茲工廠的供應(yīng)商，其中一家成功獲得了工廠的供應(yīng)商資質(zhì)，這名伊朗工程師便以這家公司員工名義開展工作和行動(dòng)。在此期間，該工程師還向情報(bào)機(jī)構(gòu)提供了有關(guān)離心機(jī)和安裝的數(shù)據(jù)，以便病毒的研發(fā)人員能夠針對(duì)納坦茲工廠中的系統(tǒng)進(jìn)行開發(fā)。之后，震網(wǎng)病毒通過這名工程師成功完成了投放和植入，并又通過工廠內(nèi)的計(jì)算機(jī)完成了相互傳播和感染。

最先發(fā)現(xiàn)蠕蟲病毒影響的外界人士是國(guó)際原子能機(jī)構(gòu)（IAEA）的檢查人員，他們獲準(zhǔn)進(jìn)入納坦茲設(shè)施，他們的部分工作是檢查并從鈾濃縮工廠中移除受損的離心機(jī)，以確保它們不會(huì)被用于將鈾偷運(yùn)到其他地區(qū)。在納坦茲這樣規(guī)模的工廠中，每年大約有800臺(tái)離心機(jī)無法使用。但在2010年，IAEA開始注意到損壞離心機(jī)的數(shù)量異常之高，一位檢查員估計(jì)有近1000臺(tái)離心機(jī)無法使用，但I(xiàn)AEA并未意識(shí)到這種異常和病毒相關(guān)。

2010年，震網(wǎng)病毒被意外傳播到了納坦茲工廠之外的其他計(jì)算機(jī)中，當(dāng)時(shí)伊朗一個(gè)辦公室的計(jì)算機(jī)遇到重啟和藍(lán)屏死機(jī)的情況，即便重裝系統(tǒng)也無濟(jì)于事，當(dāng)?shù)氐陌踩珜＜覠o法定位問題和原因，于是聯(lián)系了遠(yuǎn)在白俄羅斯的反病毒公司工作的朋友謝爾蓋.烏拉森（Sergey Ulasen），烏拉森和他的團(tuán)隊(duì)經(jīng)過一整天排查后設(shè)法隔離了病毒，并意識(shí)到其利用的0-day漏洞之多前所未見，于是將他們的發(fā)現(xiàn)公之于眾，在安全社區(qū)進(jìn)行分享，震網(wǎng)病毒的存在最終被曝光。

荷蘭情報(bào)機(jī)構(gòu)招募的間諜工程師埃里克·范·薩本（Erik van Sabben）在計(jì)劃成功實(shí)施后成功逃離了伊朗，并在兩周后在迪拜的他家附近死于一場(chǎng)摩托車事故。

震網(wǎng)病毒在2010年被曝光時(shí)引起了媒體的廣泛關(guān)注，時(shí)至今日，它仍然是歷史上最先進(jìn)的惡意軟件之一。

這款病毒之所以廣泛被關(guān)注且影響深遠(yuǎn)，原因包括：

• 它是世界上第一個(gè)數(shù)字武器，能夠?qū)τ?jì)算機(jī)控制的設(shè)備造成物理破壞，開創(chuàng)了通過惡意軟件攻擊他國(guó)基礎(chǔ)設(shè)施的先例。

• 它在當(dāng)時(shí)被認(rèn)為是最復(fù)雜的網(wǎng)絡(luò)戰(zhàn)攻擊。

• 它毀掉了伊朗近五分之一的離心機(jī)，并導(dǎo)致1000臺(tái)離心機(jī)受損，導(dǎo)致伊朗核計(jì)劃至少推遲了2年。

• 它利用四個(gè)不同的0-day漏洞進(jìn)行攻擊，這在2010年是非常罕見的，至今仍不常見。

• 震網(wǎng)病毒的攻擊證明物理隔離的網(wǎng)絡(luò)也是可以通過U盤等人為操作無意識(shí)中被攻破。

作者：裴偉偉

2024年5月24日

洞源實(shí)驗(yàn)室?