**스턱스넷**(Stuxnet)은 2010년 6월에 발견된 웜 바이러스이다. 마이크로소프트 윈도우를 통해 감염되어, 지멘스 산업의 소프트웨어 및 장비를 공격한다. 이 웜이 산업시설을 공격하는 최초의 악성 소프트웨어는 아니지만, 산업시설을 감시하고 파괴하는 악성 소프트웨어로는 최초이다.

이 웜은 마이크로소프트 윈도우가 설치된 임의의 컴퓨터에 감염되지만, 지멘스의 SCADA 시스템만을 감염시켜 장비를 제어하고 감시하는 특수한 코드를 내부에 담고 있다.

스턱스넷의 여러 변종이 이란에 있는 5개 시설에서 발견되었으며,

## 감염된 나라
시만텍에서 연구한 스턱스넷의 감염경로에 의하면, 초기에 감염된 주요 국가는 이란, 인도네시아 및 인도인 것으로 보인다.

## 동작
대부분의 악성 소프트웨어와 달리, 스턱스넷은 특정 조건을 만족하지 않는 컴퓨터와 네트워크에는 거의 해를 끼치지 않는다. William J. Broad는 "개발자들은 자신들의 공격목표에만 타격을 입히기 위해 대단히 신중을 기했다. 이건 저격수의 솜씨다."라고 평했다. 이렇게 복잡한 공격을 수행하는 악성 소프트웨어는 사실상 처음 발견된 것이다. 스턱스넷은 마이크로소프트 윈도우, 지멘스 PCS 7, 그리고 지멘스 S7 PCL로 이루어진 3단계 시스템에 각각 공격을 행한다.

### 윈도 운영체제 감염
스턱스넷은 마이크로소프트 윈도우 운영체제에 4개의 제로 데이 공격과, 더불어 LNK/PIF 파일 취약점 C와 C++를 포함한 여러 언어로 작성되었다.

덴마크와 말레이시아에 위치한 두 개의 웹 서버가 악성 소프트웨어의 제어와 명령 전달, 그리고 산업 스파이 정보 수집을 위해 사용되었다. 이 웹서버들은 발견 직후 악성 소프트웨어의 활동 정지를 위해 폐쇄되었다.

### Step 7 소프트웨어 감염
독일의 학자 랄프 랑너에 의하면, 또한, 모터의 주파수를 탐지하여 주파수가 807Hz에서 1210&nbsp;Hz 사이에 해당하는 시스템만을 공격한다. 이 조건에 해당하는 시스템은 펌프와 기체 원심분리기를 포함, 다양한 산업계에서 사용된다.

스턱스넷은 PLC 시스템의 Profibus 메시지 버스 시스템을 감시하는 D8890 블록에 악성 코드를 설치한다. 또한 PLC 시스템에 루트킷을 설치하여 자기 자신을 숨기고, 모터의 회전수가 변경되고 있다는 것을 시스템으로부터 숨긴다. 스턱스넷은 PLC 시스템에서는 최초로 발견된 루트킷이다.

## 제거
지멘스는 스턱스넷을 감지하고 제거하는 소프트웨어를 배포했다. 또한 제삼자에게서 받은 USB 플래시 드라이브를 사용하지 말고, 마이크로소프트에서 제공한 취약점 패치를 설치하며, 스턱스넷이 발견될 경우 고객센터에 연락할 것을 권한다. 또한 지멘스는 즉시 시스템 패스워드를 변경할 것을 권장한다.

스턱스넷은 외부 PLC를 재프로그램할 수 있는 능력이 있어, 제거를 더 어렵게 만들 수 있다. 시만텍의 Liam O'Murchu는 마이크로소프트 윈도우 시스템을 고치는 것만으로는 문제가 완전히 해결되지 않을 것이라고 경고했다. 스턱스넷의 제거 과정에서 실수를 일으키면 시스템에 해를 끼칠 것으로 예상되었으나,

## 목표 및 제작자에 대한 추측
전문가들은 스턱스넷이 악성 소프트웨어 역사상 가장 많은 비용과 개발 인력을 소모한 프로젝트일 것으로 추정한다. 스턱스넷의 다양한 능력은 산업 공정에 대한 전문적인 지식과 산업 기반 시설의 취약점에 대해 잘 알고 있는 개발팀이 아니면 만들어낼 수 없는 것이다. 국제 원자력 기구에서 나탄즈 시설에 설치한 카메라에는, 스턱스넷이 활동한 것으로 알려진 무렵에 900-1000개의 원심분리기를 해체하여 제거하는 모습이 잡혔다.

2011년 2월 15일 과학국제안보연구소는 또다른 보고서에서 다음과 같이 결론지었다.

스턱스넷은 나탄즈 시설의 원심분리기를 파괴하기 위해 설계된 것으로 보이지만, 완전히 파괴한 것은 아니다. 또한 스턱스넷은 LEU의 2010년 생산량을 줄이지 못했다. 그러나 LEU의 생산량이 크게 늘어나지 않은 것은 스턱스넷의 역할이 큰 것으로 보인다. 어쨌든 스턱스넷이 왜 1,000개 정도의 원심분리기만을 파괴했는지에 대한 의문이 여전히 남아있다. 사이버 공격으로 원심분리기를 파괴하는 것이 생각보다 어려운 것일지도 모른다.}}

#### 이란측 반응
이란의 준 공식 채널인 이란 학생 뉴스 통신은 2010년 9월 24일 이란 원자력 기구 전문가들이 시스템에서 스턱스넷을 제거할 방법을 논의하기 위해 모였다고 보도했다.

부셰르 원자력 발전소 소장은 로이터와의 인터뷰에서 발전소 직원들의 PC만이 감염되었다고 말했고, 국영 신문인 일간 이란은 이란 통신부 장관 레자 타기푸르(Reza Taghipour)를 인용하여 "정부 시스템에 큰 피해를 끼치지 않았다"고 보도했다. 이란 산업채굴부 산하 정보통신 위원회 위원장인 마흐무드 리아이(Mahmud Liaii)는 "이란에 대한 전자전이 시작되었으며... 이 컴퓨터 웜은 이란의 산업시설에 대한 정보를 이란 밖으로 유출할 목적으로 만들어졌다"고 말했다.

이란은 스턱스넷 감염에 대응하기 위한 팀을 조직했다. 한 공직자는 3만개 이상의 IP가 감염되었으며, 자기 자신을 변형시킬 수 있는 스턱스넷의 능력으로 인해 감염이 퍼지는 것을 막기가 어렵다고 말했다. 이란은 바이러스 제거 도구를 직접 제작했으며, 지멘스 SCADA 안티바이러스 시스템은 스턱스넷을 제거하는 대신 업데이트하는 것으로 의심되므로 사용하지 말 것을 권했다.

이란 국영 정보통신 회사의 부사장 하미드 알리푸르(Hamid Alipour)에 의하면, "새로운 버전의 바이러스가 퍼짐에 따라 공격이 계속되고 있다"고 한다. 이 회사는 이란의 "중요 센터와 기구"에서 바이러스 제거가 계속되고 있으며,

2010년 11월 29일 마무드 아마디네자드 이란 대통령은 이란에서는 처음으로 나탄즈 시설의 원심분리기 제어 시설이 컴퓨터 바이러스로 인해 문제를 일으켰다고 언급했다. 아마디네자드 대통령은 테헤란에서 가진 기자회견에서 "전자부품에 설치된 소프트웨어로 인해 우리의 원심분리기 중 일부가 문제를 일으켰다"고 말했다.

같은 날 두 명의 이란 핵물리학자가 테헤란에 있는 샤히드 베헤슈티 대학교 근처에서 거의 동시에 차량 폭탄 테러를 당했다. 이 공격으로 양자역학자 마지드 샤리아리(Majid Shahriari)가 사망하고, 이란 국방부 고위 공직자인 페레이둔 아바시가 크게 다쳤다. 와이어드는 스턱스넷의 배후에 있는 이들이 이란 핵 프로그램의 진행을 충분히 늦추지 못했다고 느끼고 이 암살사건을 일으켰을 것으로 추측했다.

미국 과학자 연맹은 이란 농축 시설의 생산량이 2010년 동안 오히려 증가했다고 분석했다. 이 분석에 따르면 이란의 원심분리기는 작년에 비해 60% 이상 향상된 성능을 내고 있어, 이란이 무기용 우라늄을 생산하는 시간을 크게 단축시켜 줄 것으로 보인다. 2010년 이란의 핵 농축 능력이 증가한 것으로 보아, 스턱스넷이 실제보다 큰 피해를 입혔다고 믿게 하기 위해 이란이 잘못된 정보를 흘렸을 가능성도 있다.

### 제조국에 대한 추측
이스라엘과 미국, 그 외에 다른 서방 국가들이 스턱스넷의 배후에 있는 것으로 지목되었다.

#### 이스라엘
많은 언론들

#### 미국
미국이 이 공격에 개입되었다는 추측도 존재한다.{{웹 인용

백악관의 대량살상무기 제어 담당 보좌관인 개리 사모어(Gary Samore)는 2011년 "(이란) 핵시설의 원심분리기에 문제가 생겼다는 소식에 기쁩니다. 우리 미국과 그 우방국들은 그들의 문제를 더 복잡하게 만들기 위해 최선의 노력을 기울이고 있습니다."라고 말해, 미국이 이 공격에 개입되어 있을 가능성을 시사했다.

#### 다른 국가들
2011년 4월 이란 정부의 조사결과는 미국과 이스라엘이 공격의 배후에 있는 것으로 결론지었다.{{웹 인용

중국 또한 이 공격에 참여했을 가능성이 있다고 지목되었으며,

베를린 자유 대학교의 Sandro Gaycken은 이란이 단지 스턱스넷의 진짜 목표를 가리기 위한 허수아비에 지나지 않으며, 전 세계 100,000개 이상의 산업 시설을 목표로 할 수 있는 스턱스넷의 능력을 볼 때 이것은 적국이 사이버 무기에 어떻게 대항하는지 알아보기 위한 실전 테스트라고 주장한다.