Stuxnet蠕虫肆虐全球 各大工业均遭波及

ZDNet安全频道原创编译 转载请注明作者以及出处

　　对于系统管理员来说，微软、Adobe和苹果发布的安全公告和补丁数量日益增加，让大家的心态都有些麻木了。难怪在关于零日攻击的最新公告“Stuxnet蠕虫攻击”发布的时候，大多数人仅仅就是打个哈欠，没有一丝紧张的迹象。就象在关于该事件的最新消息中了解到的，但引起笔者关注的是发布者的来源：管理自动化。

　　管理自动化是一家非常优秀的（美国）网站，关注的重点是供应链、制造、过程控制和产品生命周期管理方面的内容。在过去的五年甚至更长的时间里，他们关注的话题和网络管理员的关系并不是那么密切，而是通常限于工业系统安全管理、工业间谍行为的防范等方面。仅仅到了最近，管理自动化网站才新增加了栏目，关注是设备中的恶意软件情况。它是值得引起注意的，下面就让我们来看一下Stuxnet到底是何方神圣：

　　全球各地的制造商被告知，一个针对数据采集与监控系统(SCADA)的潜伏病毒已经开始广泛传播。

　　该恶意软件针对的是西门子SIMATIC WinCC和PCS 7软件，分布式控制和数据采集与监控系统，属于很多制造企业在生产经营过程中不可分割的部分。

　　在制造和工艺领域不使用西门子SIMATIC WinCC和PCS 7软件是几乎不可能做到的。因此，我们可以了解到这次新出现的威胁有多严重，现场人员应该予以重点关注，这次的危机我们自己就可以很容易处理了吗?答案是否定的，因此，我们有理由对其进行重点关注。

连核电站都遭受到Stuxnet蠕虫的侵害

　　一名美国知名的IT作者同一天也在管理自动化网站发表了一篇文章，题目为《对于基础设施保护来说，出现针对SCADA系统的恶意软件是一种不祥的潜在新威胁》。美国知名IT媒体网络世界引用来自F-Secure公司的警告，认为“这可能引起病毒流行的威胁”。最后，可能是类似情况的标准声明，微软在今年7月16日发布的2286198号安全公告中建议客户访问微软提供的通用支持网站，并联系“所在国家的执法机关。”

　　所有这一切都足以让我更加关注它。

　　尽管在通常情况下，SCADA系统很少定期链接到互联网上，但它们内部之间也是通过网络互联的，并且也存在常见的漏洞。(从网络上的信息来看，这次针对西门子产品的攻击中，明确提到的目标是以太网交换机和无线局域网。)西方各国的一些公共官员已经对SCADA系统中存在的风险发出了明确警告，特别是现在已经有几个例子出现的情况下。一处特别的漏洞(一个硬编码的密码，可以允许用户进入西门子软件的后端数据库)没有被专门标注出来(在西门子进行的软件质量审核中，软件的日期加上质疑导致了问题的出现)，被恶意软件包利用。

　　由于病毒是通过优盘或网络共享进行传播的，因此，简单地关闭Windows自动运行并不能影响它的传播;只要查看了受到感染的系统文件，恶意软件就可以完成安装。一名来自托菲诺公司的安全专家认为，该零日攻击可以对所有版本的Windows系统造成破坏，在接下来的一个月或更短的时间里，就可以传播到全球各地。初步评估表明，恶意软件没有对基础设施进行专门破坏，而是窃取了SIMATIC WinCC/PCS 7运行中的信息，有点类似，某种形式的工业间谍活动。当然，这样的工业间谍行为以后也可能对相同或类似配置的系统造成严重破坏。

　　最近的新闻报道和分析师已经注意到它对SCADA网络带来的威胁，以及蠕虫病毒用来进行更广泛传播的Windows安全漏洞(它利用了Windows中对快捷方式进行解释的代码，即.lnk文件)。微软已经在分析结果中表明了传播的方式，并将其命名为“Stuxnet”威胁，对于Windows外壳中的“错误快捷方式”来说，这是一种新的安全漏洞。在MITRE的常见缺陷列表中，Stuxnet已经被编注为CVE-2010-2568。就其本身而言，微软已经给出了各种解决办法，并更新了自己的检测引擎。

　　更多的问题和处理措施

　　但仅仅这么处理是不够的，该攻击也涉及到瑞昱半导体拥有的威瑞信数字签名证书被盗窃。Stuxnet可以利用该证书来对自安装所需的驱动程序进行验证。尽管微软已经说服了瑞昱和威瑞信撤销该证书，但对于木马攻击来说，这几乎是无关痛痒的事。

　　这样会导致依赖综合症出现?

　　所有这一切意味着什么呢?这起事件让我们学到了一个教训，尽管并不是新的，这就是认为大多数恶意软件都以互联网为中心的方向可能让我们错过某些类型的威胁。SCADA系统中的漏洞，只是存在一定的威胁。这些威胁可能不会直接传播到通用网络上，但它们依靠的是链接、能源甚至人类可居住性的SCADA系统。“依赖综合症”就意味着，由网络管理员进行日常管理的传统网络与托管的SIMATIC WinCC/PCS7之类的非传统网络链接到一起的话，迟早将会发生不能防范和保障安全的情况。

　　译者注：Stuxnet蠕虫也已经引发了大规模的攻击事件，同时也吸引了国内外诸多安全厂商的关注，比如卡巴斯基就号称他们率先发现了这个蠕虫，而迈克菲、瑞星等安全巨头也纷纷对Stuxnet的攻击表示担忧。

　　Stuxnet蠕虫到底在技术上有何特性，我们也通过卡巴斯基实验室了解到了其中的一些秘密，来自卡巴斯基对Stuxnet蠕虫的揭秘：

　　近日，卡巴斯基实验室相关专家表示，一款名为Stuxnet的蠕虫病毒开启了网络战争新时代。根据卡巴斯基实验室监测报告显示， Stuxnet蠕虫攻击现已引发关于攻击者身份、攻击目标、攻击意图等诸多争论。

　　截至目前，卡巴斯基实验室还没有足够证据用以识别攻击者来自哪里及其预定攻击目标，但可以确定的是，这是一种掌握了独一无二的、复杂的、娴熟且高超技术的团队恶意攻击行为。另外，卡巴斯基实验室认为，这是全球第一个得到某国政府资助下展开的大规模恶意网络攻击行为。

　　“我认为此事将成为网络攻击行为的转折点，同时也提醒我们必须重新认识网络安全环境，此前的恶意攻击行为仅限于破坏网络，而此次攻击恐怕与网络恐怖活动、网络军备竞赛及网络战争有关。”卡巴斯基实验室创办人兼首席执行官尤金·卡巴斯基出席在德国慕尼黑举行的卡巴斯基实验室国际新闻记者安全研讨会上对此表示。他还特别强调，“与传统的恶意程序最大的不同点在于，Stuxnet蠕虫的攻击目的不是要偷盗钱财、发送垃圾邮件、窃取个人隐私，而是旨在破坏植物、与工业系统”。

　　……

　　[>>阅读全文]

　　阅读更多Stuxnet相关资讯：

　　· 卡巴斯基截获可破坏核设施的“超级病毒”

　　· 专家支招防范“超级工厂”病毒

　　· 迈克菲解析首个针对能源部门的恶意软件Stuxnet

　　· Stuxnet病毒肆虐中国企业网络

　　· 利用零日漏洞 Stuxnet攻击公共事业机构

　　· “超级工厂病毒”进入爆发期 瑞星紧急提供专杀工具

　　· 超级病毒疑似攻击伊朗核电站 已感染45000个网络

　　· 超级工厂病毒Stuxnet“骇”伊朗 以色列搞鬼？

　　· 卡巴斯基提示全球用户：小心“超级病毒”

　　· “超级工厂”来袭 江民杀毒软件主动防御立即截杀