超限戰專家:攻擊伊朗核電廠病毒 Stuxnet 與其煙幕彈 Conficker

作者：趨勢科技全球安全研究副總裁 Rik Ferguson

我剛剛讀了篇路透社的新聞報導，裡面有關於備受推崇的「超限戰專家」 – John Bumgarner談到 Conficker 是個掩蓋 Stuxnet 針對伊朗核電廠攻擊的煙霧彈。

Bumgarner聲稱，一開始的偵查階段是在2007年透過 Duqu去確認之後 Stuxnet 的攻擊目標。到了2008年11月，Conficker 開始散播全球盡可能的感染更多電腦。當這些 Conficker中毒電腦回報時，如果受害者電腦是位在特定的位置（伊朗），就會被標記起來做為以後 Stuxnet的目標。他進一步指出，Conficker 對伊朗之外的電腦並沒有造成損害，而 4 月1 日這惡名昭彰的「發動日期」（出現在2009年3月的第三個變種）是用來將 Stuxnet植入那些位於伊朗位置的目標機器內。

以下是Bumgarner用來佐證他說詞的證據，但是它們對我來說都不夠有力：

1. Stuxnet 和 Conficker 都是「前所未見的複雜」，所以他認為它們是有關連的。

2. Stuxnet和 Conficker都用一樣的系統漏洞來感染電腦（ MS08-67）

3. 沒講明的「關鍵日期」出現在沒講明的「不同版本」的 Conficker 和 Stuxnet 的時間戳記內是重疊的，也「讓他可以確認攻擊發動的日子是2009年4月1日」。
4. 2009年4月1日是伊朗伊斯蘭共和國宣布建國30週年紀念日。其他未講明的日子也和「伊朗總統內賈德說他的國家將不顧國際社會反對，繼續追求核計劃」還有「他在紐約哥倫比亞大學發表爭議性演講」等日子有關。

至於這攻擊是如何做收尾的，最終的目標機器還坐落在它該在的地方 –核電廠裡面，Bumgarner也說在這時候惡意軟體還沒有進到目標機器上。因此為了要跨過這最後一道鴻溝，Stuxnet被設計來感染隨身碟，然後期望某人會拿著曾經插入 Conficker/Stuxnet中毒電腦的隨身碟，然後將它插到位於核電廠隔離網路的機器上。走到這一步時，Bumgarner說：「這就將軍啦」。

唉，這什麼跟什麼呀！我實在沒有辦法相信這些說法。讓我列舉幾個原因

1. 如果在伊朗以外的目標都是多餘的，那為什麼第一代的 Conficker 會只排除烏克蘭的電腦？為什麼這個限制之後被拿掉？為什麼不一開始就只感染伊朗的電腦？而且說感染 Conficker 的電腦沒事也是不正確的。Conficker曾被用來派送假防毒軟體，而且它跟Waledac殭屍網路也有關係。

2. Conficker和 Stuxnet 的複雜程度出現在不同的地方。原始版本的 Conficker只用了一個已經被修補的Windows系統漏洞來散播，第二個變種加上了透過隨身碟和用常見密碼清單來做暴力密碼破解來散播，這些作法都不大複雜。這惡意軟體複雜的地方在於它會隨機產生網域來做為可能的C＆C伺服器位置。但是這些都可以很快的被反組譯和破解。而到了 Conficker的第三個變種，這些傳播方法都被拿掉了，直到第四個變種才再次加回來。Stuxnet 相較起來就複雜得多，它利用了零時差弱點攻擊，而且還需要有SCADA系統和核電廠的專業知識。

3. 關於為什麼 Stuxnet病毒的製造者也選擇用 MS08-67系統漏洞，我有一個理論。因為有強烈的事實證明它很有效，Conficker 在出現三年之後還是企業網路中最常見的病毒感染。不但你幹嘛製造兩種惡意軟體使用相同的漏洞來散播，卻還是要用其中一個來下載另外一個呢？

4. 4月1日的「發動日期」直接寫在Conficker的第三個變種的程式碼內。並不需要未講明檔案上的未講明時間戳記來告訴你。

5. 4月1日同時也是很多國家的愚人節，它也是Apple成立的日子，英國內政部重大組織犯罪署（Serious Organised Crime
Agency）成立的日子，愛爾蘭的生日，東德軍隊封鎖西柏林的日子。你知道我的意思嗎？至於什麼伊朗總統內賈德說他的國家會繼續追求核計劃，當然了，隨便任何一天也都可以掰出個對應的事件出來…

最後還有這艱難的結尾方式，依靠不知名的人，將隨身碟插到感染 Confuxnet 的電腦上，在毫無所覺的情況下再將同一個隨身碟插到核電廠的可編成控制器（PLC）上？看看我們談到的這一切「前所未有的複雜性」，這成功的機會不會太渺小了點嗎？也太靠運氣了些。

抱歉了，Bumgarner先生，它可能是真的，當然它的確可能。也可能是你被報導錯誤了，但是看看你到目前為止列出的那些證據，我就是無法接受。

如果我是一個擁有這麼多資源的政府組織，那麼我不會直接找特務拿著裝有 Stuxnet病毒的隨身碟去目標設施就好了嗎？

我知道，這篇文章並沒有出現Aliens（外星人）。

＠原文出處：Conficker, Duqu, Stuxnet, Aliens, Confuxnet!

@延伸閱讀:

Stuxnet 蠕蟲藉著USB隨身碟等感染電力公司等公共基礎建設電腦和個人電腦

資訊安全廠商趨勢科技2010 年 10 月 6 日針對一隻已經危害全球各地許多電腦、名為Stuxnet的蠕蟲惡意程式提出嚴重警訊。該惡意程式的特徵是會自動自我複製，其主要攻擊目標是例如發電廠、煉油廠中的自動化生產與控制（SCADA）系統，同時SCADA系統的主要製造商西門子公司亦已警告客戶該隻惡意程式會藉由 USB設備和網路共享進行漫延。

趨勢科技資深技術顧問簡勝財指出，這是世界上首隻攻擊西門子SIMATIC WinCC與PCS 7系統的病毒，目的在取得WinCC SQL Server登入SQL資料庫的權限。其利用了微軟所公告一可允許遠端執行程式碼的MS10-046 Windows 系統漏洞進行散佈。建議用戶盡快更新部署，若無法立即更新者，可參考微軟所提供解決方法。

簡勝財進一步表示若為趨勢科技的用戶，只要是病毒碼已經更新至7.353.00以上或在趨勢科技「主動式雲端截毒技術」(Smart Protection Network) 的保護下即能避免被攻擊。請參考：搜尋超級電腦病毒Stuxnet,搜尋結果頁面夾帶更多守株待兔惡意攻擊。提醒民眾不要隨便在網路搜尋該病毒名稱「Stuxnet」，因為發現有駭客利用搜尋引擎優化的手段，將有內含病毒的網頁連結放在檢索結果之最前面幾筆以吸引點選，除非是受信任的網站否則切勿輕易點選連結。

Stuxnet 的一系列惡意程式，已經在全球各地造成許多感染。趁著 Stuxnet 的新聞熱潮，其他的網路犯罪者也發動了一波 Black_Hat SEO 搜尋引擎毒化攻擊行動，讓 Stuxnet 搜尋結果中的一些連結指向惡意網站，這些網站有些會下載假防毒軟體( Fake AV)，有些則專門攻擊 JAVA、Flash、Windows、PDF 等等的漏洞。

Stuxnet 是一個蠕蟲型的惡意程式，可透過已感染的 USB 等可卸除式裝置進入電腦，專門攻擊 Windows Shell 當中的一個漏洞 (請參考 Microsoft 資訊安全公告 MS10-046)。此漏洞會讓惡意程式入侵一些所謂的「監控與資料擷取」(SCADA) 系統，如電力公司或能源煉解廠用來控制生產和營運的系統。

Stuxnet 的最主要目標是電力公司的 SCADA 系統，因此，SCADA 系統的主要製造商西門子 (Siemens) 已經對使用者發出此病毒的警告通知，因為它也會攻擊西門子的 WinCC 系統。

趨勢科技使用者只要是使用7.359.00 以上的病毒碼版本就能防止這項威脅，此外，也還可透過趨勢科技主動式雲端截毒服務 SPN( Smart Protection Network)的檔案信譽評等服務來防止此攻擊相關的所有惡意程式執行。

趨勢科技強烈建議所有使用者務必安裝 Microsoft 的安全更新來防堵此漏洞。至於無法立即套用修補程式的使用者，Microsoft 也提供了一個替代方案，詳情請參考這篇文章。

趨勢科技建議使用者養成下列二點習慣來防止電腦感染 Stuxnet 蠕蟲：