标题：震网
背景
近日，国内外多家媒体相继报道了Stuxnet蠕虫对西门子公司的数据采集与监控系统SIMATIC WinCC进行攻击的事件，称其为“超级病毒”、“超级工厂病毒”，并形容成“超级武器”、“潘多拉的魔盒”。 
Stuxnet蠕虫（俗称“震网”、“双子”）在今年7月开始爆发。它利用了微软操作系统中至少4个漏洞，其中有3个全新的零日漏洞；伪造驱动程序的数字签名；通过一套完整的入侵和传播流程，突破工业专用局域网的物理限制；利用WinCC系统的2个漏洞，对其开展破坏性攻击。它是第一个直接破坏现实世界中工业基础设施的恶意代码。据赛门铁克公司的统计，目前全球已有约45000个网络被该蠕虫感染，其中60%的受害主机位于伊朗境内。伊朗政府已经确认该国的布什尔核电站遭到Stuxnet蠕虫的攻击。 
安天实验室于7月15日捕获到Stuxnet蠕虫的第一个变种，在第一时间展开分析，发布了分析报告及防范措施，并对其持续跟踪。截止至本报告发布，安天已经累计捕获13个变种、 600多个不同哈希值的样本实体。
起因
2010年6月，白俄罗斯一家安全公司首先发现Stuxnet，其后许多计算机专家加入追踪，他们认为，这种蠕虫可能自去年就开始传播。据全球最大网络保安公司Symantec初步研究，近60%的感染发生在伊朗，其次为印尼(约20%)和印度(约10%)， 阿塞拜疆、美国与巴基斯坦等地亦有小量个案。这种新病毒采取了多种先进技术，因此具有极强的隐身和破坏力。只要电脑操作员将被病毒感染的U盘插入USB接口，这种病毒就会在神不知鬼不觉的情况下(不会有任何其他操作要求或者提示出现)取得一些工业用电脑系统的控制权。
发展
传播途径计算机安全专家在对“震网”的病毒进行了深入分析后发现，这可能是全球第一种投入实战的“网络武器”。新病毒采取了多种先进技术，具有极强的隐身和破坏力。只要电脑操作员将被病毒感染的U盘插入USB接口，   这种病毒就会在不需要任何操作的情况下，取得工业用电脑系统控制权。”
专家说，该病毒可以通过移动存储介质和局域网进行传播，并且利用西门子公司控制系统（SIMATIC　WinCC/Step7）存在的漏洞感染数据采集与监视控制系统（简称SCADA）。其中SCADA系统广泛用于能源、交通、水利等系统，一旦遭受病毒侵害，会严重影响正常的生产和生活。
自动化软件被誉为自动化系统的“灵魂”，目前“震网”（Stuxnet）病毒对伊朗核电站自动化系统的破坏，其切入口就是系统的监控和数据采集系统，俗称上位监控软件。伊朗布舍尔核电站的上位监控软件由西门子公司提供，是西门子的重要品牌SIMATIC WINCC。
该病毒可通过U盘传播，自动识别攻击对象，具有极强的隐身和破坏能力，可以自动取得自动化系统的控制权限，从而窃取保密信息、破坏系统运行，甚至控制系统的运行等。“震网”（Stuxnet）病毒的出现和传播，威胁的不仅仅是自动化系统的安全，而且使自动化系统的安全性上升到国家安全的高度。目前我国的大型项目和工程，水利、核电、交通、石化、钢铁等，绝大部分采用国外品牌的自动化软件，其中包括西门子的SIMATIC WINCC。业内人士担忧，一旦“震网”（Stuxnet）病毒流入黑市传播，后果将不堪设想。病毒特点与传统的电脑病毒相比，
1、“震网”病毒不会通过窃取个人隐私信息牟利。
2、由于它的打击对象是全球各地的重要目标，因此被一些专家定性为全球首个投入实战舞台的“网络武器”。
3、无需借助网络连接进行传播。
计算机安全专家在对软件进行反编译后发现，“震网”病毒结构非常复杂，因此它应该是一个“受国家资助高级团队研发的结晶”。据悉，这种病毒可以破坏世界各国的化工、发电和电力传输企业所使用的核心生产控制电脑软件，并且代替其对工厂其他电脑“发号施令”。
人们确信，在去年开发成功的“震网”病毒可承担“网络导弹”的重任。它不再以刺探情报为己任，而是能根据指令，分辨和破坏某些“极具争议”的要害目标。
微软公司的研究发现，“震网”感染的重灾区集中在伊朗境内。美国和以色列因此被怀疑是“震网”的发明人。一旦这种软件流入黑市出售，其后果将不堪设想。解决方案西门子公司对此次攻击事件给出了一个解决方案，链接地址见附录。下面根据我们的分析结果，给出更具体的措施。
1.使用相关专杀工具或手工清除Stuxnet蠕虫
手工清除的步骤为：
1. 使用Atool管理工具，结束系统中的父进程不是winlogon.exe的所有lsass.exe进程；
2. 强行删除下列衍生文件：
%System32%\drivers\mrxcls.sys
%System32%\drivers\mrxnet.sys
%Windir%\inf\oem7A.PNF
%Windir%\inf\mdmeric3.PNF
%Windir%\inf\mdmcpq3.PNF
%Windir%\inf\oem6C.PNF
3. 删除下列注册表项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxCls
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MRxNET
2. 安装被利用漏洞的系统补丁
安装微软提供的下列补丁文件：
RPC远程执行漏洞（MS08-067）
快捷方式文件解析漏洞（MS10-046）
打印机后台程序服务漏洞（MS10-061）
此外，需要注意还有一个尚未修补的提升权限（EoP）漏洞，以及微软随后发现的另一个类似漏洞。用户需对这两个漏洞的修补情况保持关注。
3. 安装软件补丁 
安装西门子发布的WinCC系统安全更新补丁，地址见附录。
3.2 安全建议
此次攻击事件凸显了两个问题：
1、 即便是物理隔离的专用局域网，也并非牢不可破；
2、 专用的软件系统，包括工业控制系统，也有可能被攻击。
因此，我们对有关部门和企业提出下列安全建议：
加强主机（尤其是内网主机）的安全防范，即便是物理隔离的计算机也要及时更新操作系统补丁，建立完善的安全策略；
安装安全防护软件，包括反病毒软件和防火墙，并及时更新病毒数据库；
建立软件安全意识，对企业中的核心计算机，随时跟踪所用软件的安全问题，及时更新存在漏洞的软件；
进一步加强企业内网安全建设，尤其重视网络服务的安全性，关闭主机中不必要的网络服务端口；
所有软件和网络服务均不启用弱口令和默认口令；
加强对可移动存储设备的安全管理，关闭计算机的自动播放功能，使用可移动设备前先进行病毒扫描，为移动设备建立病毒免疫，使用硬件式U盘病毒查杀工具。
结果
伊朗布舍尔核电站的遭遇为我们敲响警钟，为防止和减轻类似“震网”（Stuxnet）病毒对自动化系统的破坏，提高系统安全性，尤其提高关系到国家战略和安全的大型项目安全，可以考虑以下几点措施：首先在关系到国计民生与国家安全的重大项目中，对国外品牌的选择需要更加谨慎，并对中国自主研发的产品有足够的重视。许多国家对引进国外产品带来的国家安全隐患都十分重视，比如印度对中国某电信设备提供商进入其市场设置种种阻力。其次，在同类项目中，可以分别采用不同品牌、不同技术，“把鸡蛋放在不同的篮子里”，以分散风险。虽然，一般而言，采用统一品牌与统一的技术可减低成本，并有利于技术升级和管理维护，但在关系到国计民生和国家安全的重大项目中，我们应该在一定程度上采多种品牌和多种技术的策略，权衡项目成本与项目安全，使二者达到最大程度的优化。再者，自动化系统的大型化、网络化、复杂化趋势，为系统的安全性提出了更高的要求，组态软件研发厂商应该对此给予足够的重视，研发出符合市场要求、满足客户需求的安全可靠的软件产品。中国自有品牌自动化软件的发展任重而道远。国产软件经过若干年的发展，在某些方面已经达到甚至超越了国外品牌，尤其在对新出现的IT技术、通信技术等的采用与应用方面，有着很强的后发优势。此次的“震网”(Stuxnet)病毒事件为自动化软件行业敲响了警钟。作为国内软件供应商，我们应该引以为戒，进一步加强技术创新，坚持自主研发、自主创新的道路，在使软件更适合本土需要同时，具有更高的安全性和可靠性，从容应对大型系统、复杂系统及特殊领域的自动化系统面临的安全性考验。
影响
在对这种名为“震网”的病毒进行了深入分析后，越来越多的人相信，这可能是全球第一种投入实战的网络武器，它的打击对象或许就是饱受西方谴责的伊朗布舍尔核电站。目前，全球已经有至少4.5万个工业控制系统遭到“震网”病毒的光顾，对那些不属于自己打击对象的系统，“震网”会在留下了其“电子指纹”后溜之大吉，继续寻找真正的破坏目标。据推测，俄罗斯工程技术人员使用的U盘可能是本次病毒传播的重要渠道。
分析人士指出，今年夏天，伊朗布舍尔电站多次推迟运行，很可能就是遭到“震网”袭击的结果。不过，伊朗方面称，推迟运行主要是“天气太热”造成的。
评价
5.1 工业系统安全将面临严峻挑战
在我国，WinCC已被广泛应用于很多重要行业，一旦受到攻击，可能造成相关企业的设施运行异常，甚至造成商业资料失窃、停工停产等严重事故。
对于Stuxnet蠕虫的出现，我们并未感到十分意外。早在去年，安天就接受用户委托，对化工行业仪表的安全性展开过研究，情况不容乐观。
工业控制网络，包括工业以太网，以及现场总线控制系统早已在工业企业中应用多年，目前在电力、钢铁、化工等大型重化工业企业中，工业以太网、DCS（集散控制系统）、现场总线等技术早已渗透到控制系统的方方面面。工业控制网络的核心现在都是工控PC，大多数同样基于Windows-Intel平台，工业以太网与民用以太网在技术上并无本质差异，现场总线技术更是将单片机/嵌入式系统应用到了每一个控制仪表上。工业控制网络除了可能遭到与攻击民用/商用网络手段相同的攻击，例如通过局域网传播的恶意代码之外，还可能遭到针对现场总线的专门攻击，不可轻视。
针对民用/商用计算机和网络的攻击，目前多以获取经济利益为主要目标，但针对工业控制网络和现场总线的攻击，可能破坏企业重要装置和设备的正常测控，由此引起的后果可能是灾难性的。以化工行业为例，针对工业控制网络的攻击可能破坏反应器的正常温度/压力测控，导致反应器超温/超压，最终就会导致冲料、起火甚至爆炸等灾难性事故，还可能造成次生灾害和人道主义灾难。因此，这种袭击工业网络的恶意代码一般带有信息武器的性质，目标是对重要工业企业的正常生产进行干扰甚至严重破坏，其背景一般不是个人或者普通地下黑客组织。
目前，工业以太网和现场总线标准均为公开标准，熟悉工控系统的程序员开发针对性的恶意攻击代码并不存在很高的技术门槛。因此，对下列可能的工业网络安全薄弱点进行增强和防护是十分必要的：
1、 基于Windows-Intel平台的工控PC和工业以太网，可能遭到与攻击民用/商用PC和网络手段相同的攻击，例如通过U盘传播恶意代码和网络蠕虫，这次的Stuxnet病毒就是一个典型的例子。
2、 DCS和现场总线控制系统中的组态软件（测控软件的核心），目前其产品，特别是行业产品被少数公司所垄断，例如电力行业常用的西门子SIMATIC WinCC，石化行业常用的浙大中控等。针对组态软件的攻击会从根本上破坏测控体系，Stuxnet病毒的攻击目标正是WinCC系统。
3、 基于RS-485总线以及光纤物理层的现场总线，例如PROFIBUS和MODBUS（串行链路协议），其安全性相对较好；但短程无线网络，特别是不使用Zigbee等通用短程无线协议（有一定的安全性），而使用自定义专用协议的短程无线通信测控仪表，安全性较差。特别是国内一些小企业生产的“无线传感器”等测控仪表，其无线通信部分采用通用2.4GHz短程无线通信芯片，连基本的加密通信都没有使用，可以说毫无安全性可言，极易遭到窃听和攻击，如果使用，将成为现场总线中极易被攻击的薄弱点。
工业控制网络通常是独立网络，相对民用/商用网络而言，数据传输量相对较少，但对其实时性和可靠性的要求却很高，因而出现问题的后果相当严重。
传统工业网络的安全相对信息网络来说，一直是凭借内网隔离，而疏于防范。因此，针对工业系统的安全检查和防范加固迫在眉睫。
5.2 展望和思考
在传统工业与信息技术的融合不断加深、传统工业体系的安全核心从物理安全向信息安全转移的趋势和背景下，此次Stuxnet蠕虫攻击事件尤为值得我们进一步思考。
这是一次极为不同寻常的攻击，其具体体现是：
 传统的恶意代码追求影响范围的广泛性，而这次攻击极富目的性；
 传统的攻击大都利用通用软件的漏洞，而这次攻击则完全针对行业专用软件；
 这次攻击使用了多个全新的零日漏洞进行全方位攻击，这是传统攻击难以企及的；
 这次攻击通过恰当的漏洞顺利渗透到内部专用网络中，这也正是传统攻击的弱项；
从时间、技术、手段、目的、攻击行为等多方面来看，完全可以认为发起此次攻击的不是一般的攻击者或组织。
因此，这次攻击中所采用的多个新漏洞和传播手段，将在接下来很长一段时间内给新的攻击提供最直接的动力。而更大的影响是，事件中显露出来的攻击思路和攻击视野会带来长久的示范效应。它给攻击者、安全研究人员、企业管理者带来的更多是一种安全观念和安全意识上的冲击。一些传统的认识已经略显陈旧，谁能在这一次观念和意识赛跑中认识得更清、看得更远，谁就能在未来一段时间内保持优势。
至少有以下两种新的攻击趋势值得特别关注：
1、 针对行业专用软件的漏洞挖掘和攻击，特别是上升到国家战略层面的关键行业和敏感行业。安天实验室在今年年初发布的《多家企业网络入侵事件传言的同源木马样本分析报告》中就明确指出：“目前的漏洞分析挖掘的注意点已经不集中于主流厂商，而开始普遍扩散”。另一方面，这些攻击虽然针对软件，但并不一定是利用软件本身的缺陷，安全是一个全方位的问题，攻击可能来自于任何一个角度。
2、 针对企业内部网络，特别是物理隔离的内部专用网络的攻击。这类网络具有较高的安全要求，也更具攻击价值。一般通过U盘等可移动存储设备渗入这类网络的方法是感染式病毒、欺骗、自动播放（Autorun.inf）等。本次出现的快捷方式文件解析漏洞，为此类攻击提供了一种更有效的方法。此外，这种内部网络也将因为本次事件而被攻击者关注和研究，不能排除出现新的攻击方式的可能。
基于上述认识，建议有关部门和企业以此次攻击事件为鉴，进一步加强信息网络和计算机设备的安全管理、制定完善的安全管理方案、形成合理的安全策略、提高安全意识，与安全厂商一同构建坚实的防线，抵御安全威胁。
作为安全厂商，安天呼吁各兄弟厂商一起共建良好的行业环境，不断促进安全技术的良性发展。同时，安天也期盼公众和用户能够对信息安全给予更多的关注。安天坚信保障公众和社会的安全是一家安全厂商义不容辞的使命，但在现阶段仅靠厂商的力量尚不足以解决目前的所有问题。只有各方齐心协力，才能迎来一个更加美好的世界。