震网(Stuxnet)病毒深度解析:首个攻击真实世界基础设施的病毒

Posted 华为云开发者联盟

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了震网(Stuxnet)病毒深度解析:首个攻击真实世界基础设施的病毒相关的知识,希望对你有一定的参考价值。

摘要:震网病毒主要是通过改变离心机的转速,来破坏离心机,并影响生产的浓缩铀质量。

本文分享自华为云社区《【安全技术】震网(Stuxnet)病毒深度解析:首个攻击真实世界基础设施的病毒(1)【原创分析】》,作者:云存储开发者支持团队 。

第一章 震网病毒背景【源自网络】

2006年,伊朗重启核计划,在纳坦兹建立核工厂,安装大量离心机生产浓缩铀。2010年1月,联合国负责核查伊朗核设施的国际原子能机构(IAEA)发现纳坦兹核工厂出现问题,原本预期使用寿命10年的IR-1型离心机大规模故障,但是谁都说不清楚到底是什么原因导致的。

伊朗纳坦兹核工厂

2010年6月,白俄罗斯一家小型反病毒公司VirusBlockAda的技术负责人舍基·乌尔森(Sergey Ulasen),在分析伊朗计划上上的恶意文件时,发现该恶意文件异常复杂,不仅有效利用了"内核极"后门来躲过反病毒引擎的扫描,还利用了多个"零日漏洞"(zero-day) 来突破Windows系统,但是由于力不从心,没有完全破译该恶意代码。2010年7月12日,乌尔森将该发现发布在一个英文安全论坛上。

舍基·乌尔森(SergeyUlasen)

全球安全业界开始对这个病毒进行分析和破译。同时,微软将该病毒命名为:震网(Stuxnet)。通过分析发现,该病毒的隐蔽性、先进性和复杂性远远超过人们的想象。

据国外一些报道称,该病毒是由美国和以色列的程序员共同编写,其中攻击的西门子工控系统的技术规范由德国提供,西门子工控系统被广泛应用于伊朗核设施中。在以色列的迪莫诺,构建了西门子控制器和IR-1型离心机的试验系统,对该病毒进行了测试,英国政府也参与了试验,试验完成后,荷兰情报人员作为离心机的技术咨询工程师,将病毒植入到核设施中。

震网病毒主要是通过改变离心机的转速,来破坏离心机,并影响生产的浓缩铀质量。

离心机被故障

震网病毒原本的设计是定向攻击,作为网络武器来使用,算是APT攻击的鼻祖。之所以被发现,是因为开发震网病毒的程序员在编程的时候,错误的将and和or用错,导致病毒可以感染任何版本的Windows系统,最终在2010年6月被捕获。

第二章 震网病毒逆向深入分析【个人原创分析,非授权请勿转载】

震网病毒结构与运行流程

震网病毒主要包含6个文件,4个快捷方式图标文件,利用LNK漏洞从U盘自动感染计算机,两个tmp文件,用于初始化和安装震网病毒。

震网病毒共利用了7个漏洞,其中4个0 Day漏洞:

CVE-2008-4250(MS-08-067)-Windows Server Service NetPathCanonicalize()

CVE-2010-2772 WinCC default password

CVE-2012-3015 Step 7 Insecure Library Loading

CVE-2010-2568(MS-10-046)-Windows Shell LNK Vulnerability (O day)

CVE-2010-2743(MS-10-073)-Win32K.sys Local Privilege Escalation (O day)

CVE-2010-3888(MS-10-092) Task Scheduler vulnerability (O day)

CVE-2010-2729(MS-10-061)-Windows Print Spooler Service Remote Code Execution (O day)

震网病毒隐藏在U盘中,当U盘插入到计算机上时,利用LNK漏洞会自动感染Windows系统,感染执行后,通过Ring3 Hook Ntdll实现在内存中加载~WTR4141.tmp文件,Ring3 Hook Kernel32、Ntdll实现*.tmp和*.lnk文件隐藏。进而通过内存LoadLibrary加载~WTR4132.tmp文件,提取出核心的Main.dll,在内存中加密、脱壳、加载Main.dll,初始化安装震网病毒,注入进程、注册服务,释放资源文件,最终震网病毒以服务运行。服务运行时,会攻击西门子WinCC工控系统软件,通过该软件最终攻击PLC,让离心机异常工作,导致离心机快速故障。

Call#15初始化安装Stuxnet

当Main.dll被加载的时候,导出表#15第一个被调用。#15主要负责检查Stuxnet是否运行在一个合适的系统中,检测当前系统是否已被感染,把当前进程权限提升到系统权限,检测系统中安装的杀毒软件版本,选择把DLL注入到哪个进程中;把DLL注入到选择的进程中,然后调用#16。

#15的第一个任务是检查配置数据(configuration data)是否是最新的。配置数据可以被存储到两个位置。Stuxnet检查最新的配置数据并且执行。然后Stuxnet检查是否运行在一个32位的系统中,如果运行在64位系统中则退出,同时也检查操作系统的版本,Stuxnet只能运行在以下版本的操作系统中:

Win2K

WinXP

Windows 2003

Vista

Windows Server 2008

Windows 7

Windows Server 2008 R2

接着检查当前进程是否具有Administrator权限,如果没有则会利用0-day漏洞提升运行权限。如果当前操作系统是Windows Vista、Windows 7、Windows Server 2008 R2,则利用Task Scheduler Escalation of Privilege来提升权限;如果操作系统是Windows XP、Win2K则利用Windows Win32k.sys Local Privilege Escalation(MS10-073)漏洞提升权限。

如果代码运行成功,如果利用win32k.sys漏洞,主DLL文件作为一个新进程运行,如利用Task Scheduler,主dll运行在csrss.exe进程中。

Win32k.sys漏洞利用的代码在资源文件#250中,

当导出表#15运行检查都通过后,#16运行。#16是Stuxnet的主安装程序。它检查日期和操作系统的版本,解密、创建并安装rootkit文件和注册表项;并把自己注入到services.exe中,以便感染移动存储设备;把自己注入到Step7的进程中感染所有的Step7工程;建立全局互斥量(mutexes)用于不同组件之间的通信;连接RPC服务器。

Call#16安装Stuxnet

#16首先检查配置数据是否有效,然后检查注册表HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\MS-DOS Emulation中的NTVDM TRACE值是否是19790509,如果是则退出。该项应该是是否允许感染的标识。然后读取配置数据中的日期(配置数据偏移0x8c处)和当前系统日期对比,如果当前日期比配置数据中的时间晚,则退出;配置数据中的日期是2012-6-24。

Stuxnet的各个组件之间的通信采用全局互斥信号量,当在Windows Xp中时调用SetSecurityDescriptorDacl创建这些互斥信号量;在Windows Vista、Windows 7和WindowsServer2008中调用SetSecurityDescriptorSacl创建,用此方法可以降低系统完整性检测,保证代码写操作被拒绝。

然后Stuxnet创建3个加密的文件,这些文件来自.stub节。然后将他们保存到磁盘。

Ø Stuxnet主要攻击载荷文件保存为Oem7a.pnf;

Ø 一个90个字节的数据被保存到%SystemDrive%\\inf\\mdmeric3.PNF中;

Ø 配置数据被拷贝到%SystemDrive%\\inf\\mdmcpq3.PNF中;

Ø 一个日志文件被拷贝到%SystemDrive%\\inf\\oem6C.PNF中;

接着Stuxnet检查系统时间,确保它在2012年6月24号以前。然后通过读取存并解密储到硬盘中的版本信息,来检查自己和保存到磁盘上的加密代码是否是最新的。此功能是通过#6实现的。

版本检查通过后,Stuxnet从资源文件中(#201、#242)释放、解码并将内容写2个文件中:Mrxnet.sys和Mrxcls.sys;它们是两个驱动文件:一个用于Stuxnet的加载点(Load point),另一个用于隐藏磁盘中恶意文件。并且这两个文件的时间和系统目录中的其他文件时间一致,以免引起怀疑;然后创建注册表项指向这两个驱动文件,将它们注册为服务项,以便开机的时候就启动这2个服务。一旦Stuxnet创建的这个Rootkit正确安装后,会产生一些全局信号量,表明安装成功。

Stuxnet接着采用另外的2个导入函数(exports)继续完成安装和感染(infection)过程。

  1. 然后把payload .dll注入到services.exe中并且调用#32(感染可移动存储设备和启动RPC服务);
  2. 把payload .dll注入到Step7的进程:S7tgtopx.exe中并且调用#2(用于感染Step7工程文件),为使这一步成功,Stuxnet可能需要杀掉explorer.exe和S7tgtopx.exe进程,如果他们在运行中的话。

Stuxnet的通过上述的两种payload .dll注入和创建的服务及驱动文件运行起来。

Stuxnet将等待一段短暂时间后才试图连接RPC服务(#32开启的),将调用0号函数检查连接是否成功并且调用9号函数接收一些数据存储到oem6c.pnf中。

至此,所有默认的传播方式和攻击载荷已经被激活。

Stuxnet攻击西门子PLC流程

攻击PLC过程

  1. 恶意DLL将s7otbxdx.dll重命名为s7otbxsx.dll,用定制的DLL替代s7otbxdx.dll,该定制DLL主要重写s7otbxsx.dll 109个中的16个涉及读、写和枚举代码块的导出函数,其他导出函数还是由s7otbxdx.dll提供;
  2. 震网根据不同目标系统的特征选择不同的代码来感染PLC,一个感染的序列包含注入到PLC中的代码块和数据块,来改变PLC行为,主要有三种感染序列,其中两种比较相似,功能相同,标记为序列A和B,另外一种标记为序列C;
  3. 如果s7otbxdx.dll是运行在ccrtsloader.exe文件中,替换后的s7otbxdx.dll启动两个线程感染特定的PLC:

线程1:(每15分钟运行一次;感染含有特定SDB特征的6ES7-315-2 PLC)

  1. 通过s7ag_read检测PLC类型,必须为6ES7-315-2;
  2. 检测SDB块来确定PLC是否被感染以及选择写入哪个序列(A或B);
    Ø 枚举、解析SDB(系统数据块),寻找一个偏移50h DWORD的地方等于0100CB2Ch的SDB;(说明使用的是Profibus communications processor module CP 342-5。)
    Ø 在SDB中搜索特定的值7050h和9500h,只有当两个值出现在总数大于等于33时才满足感染要求;(7050h代表KFC750V3变频驱动器,9500h代表Vacon NX频率转换驱动器。)
  3. 按照序列A或B进行感染:

Ø 拷贝DP_RECV块到FC1869,然后用定制的块替换DP_RECV块;(DP_RECV是网络协处理器使用的标准代码块的名称,用来接收Profibus上的网络帧。每次接收包时,定制块会调用FC1869中原始的DP_RECV进行处理,然后对包数据进行一些后处理。)

Ø 将一些定制块写入到PLC(20个);

Ø 感染OB1,使每个周期开始先执行恶意代码;(首先增加原始块的大小;然后将定制代码写入到块的开头;最后将原始的OB1代码插入到定制代码后面。)

Ø 感染OB35;(和OB1相同,采用code-prepending感染技术)

线程2:(每5分钟查询一次;保证攻击同时进行)

  1. 监控、查询总线上的每个特定PLC(如S7-315)中被线程1成功注入的数据块DB890;
  2. 当达到特定条件,启动破坏例程时,该线程向所有监控的PLC中的DB890写入数据,使同一总线上的PLC同时发起破坏攻击。

(4) 某些条件下,会将序列C写入PLC,针对6ES7-417,更为复杂;

(5) 破坏:(在不同时间降低或增加马达频率)

  1. 确定正常的操作频率:807-1210Hz;
  2. 将频率设定为1410Hz;
  3. 恢复正常操作;
  4. 大约27天后,先将频率设为2Hz,然后设为1064Hz;
  5. 恢复正常操作;

重复上述过程。

第三章 震网病毒重现

【篇幅原因,请关注后续文章】

点击关注,第一时间了解华为云新鲜技术~

以上是关于震网(Stuxnet)病毒深度解析:首个攻击真实世界基础设施的病毒的主要内容,如果未能解决你的问题,请参考以下文章

2021年下半年信息安全工程师上午真题及答案解析

2021年下半年信息安全工程师上午真题及答案解析

银行网络安全攻防经验点滴

《密码与安全新技术专题》课程总结报告

OSS开源测试工具,迫使工控系统安全漏洞百出

震网三代漏洞复现