AI 摘要
- 震網（Stuxnet）原始碼已由資安研究人員透過逆向工程重建，並公開於 GitHub。
- 該專案附帶建置指南，研究人員建議僅在未連接網絡的 Windows XP 或 Windows 7 虛擬機中測試。
- 震網主要針對伊朗納坦茲核濃縮工廠的西門子工業控制系統，可竄改離心機變頻器並回傳虛假運作信號。
震網（Stuxnet）是一款在地緣政治與資安史上具有劃時代意義的惡意程式。近日，資安研究人員透過逆向工程完整重建其原始碼，並將專案公開於 GitHub，供全球資安界與技術愛好者研究其運作機制。該專案不僅還原程式碼架構，還附帶建置指南（Build Instructions）。研究人員提醒，若要進行測試，應在未連接任何網絡的 Windows XP 或 Windows 7 虛擬機中進行；若要觀察完整的實體破壞負載（Payload），還需要搭配特定的西門子（Siemens）工業軟體與相容硬體。
攻擊目標與破壞機制
震網的主要攻擊目標是伊朗納坦茲（Natanz）核濃縮工廠內運行的西門子工業控制系統（ICS）。入侵成功後，其惡意負載會竄改離心機變頻器的頻率控制，迫使轉子以異常速度旋轉，進而造成金屬疲勞與實體毀損。同時，震網會攔截監控數據，向中控室操作人員與儀表板回傳「運作一切正常」的虛假信號，使工程師在離心機損毀初期難以察覺異常。
傳播與感染手法
震網的傳播機制具有軍事級特徵，結合多種滲透手法。根據來源描述，其主要途徑包括：
| 傳播途徑 | 利用手法 | 說明 |
|---|---|---|
| USB 隨身碟 | Windows 捷徑（Shortcut）與 autorun.inf 設計 | 針對實體隔離（Air-Gapped）的內部網絡，使用者瀏覽隨身碟目錄即可能觸發零時差漏洞（Zero-day Exploit）而遭感染 |
| 列印多工緩衝處理器 | Windows Print Spooler 零時差漏洞 | 在共享打印機的電腦中寫入系統檔案，並自動複製至其他可存取的網絡共用資料夾 |
| 工程專案檔 | 嵌入西門子 Step 7 專案檔與 WinCC SQL Server 資料庫 | 工程師開啟專案時，惡意程式碼於背景自動執行 |
| 控制器通訊 | 劫持與離心機通訊的動態連結程式庫（DLL） | 將惡意指令注入可程式化邏輯控制器（PLC），達成底層硬體破壞 |
為規避 Windows 驅動程式的簽署檢查，該程式還盜用了台灣硬體大廠瑞昱（Realtek）與智微（JMicron）的合法數碼簽章憑證。
背景與外洩經過
外界普遍認為，震網是代號「奧運行動」（Operation Olympic Games）的一環，由美國國防部與以色列「8200 部隊」在小布殊與奧巴馬兩任美國總統期間聯手開發，目的是透過非軍事打擊手段延緩伊朗的核武研發進程。據評估，該行動成功破壞了納坦茲設施內約 10% 的離心機。
震網最終因環境偵測邏輯的瑕疵而曝光。程式未嚴格限制僅在特定專用內網運作，當核設施工程人員將手提電腦帶回家並連接互聯網後，震網便外洩至全球公網，引發國際資安社群的高度關注與大規模調查。開發團隊雖在程式碼中預埋硬編碼（Hard-coded）的自我銷毀機制，該程式最終於 2012 年 6 月 24 日全面停止運作。
對工控資安的意義
此次釋出的逆向工程程式碼，讓工業物聯網（IIoT）與關鍵基礎設施（OT）的資安專家得以完整檢視這項歷史級網絡武器的內部邏輯，有助於在工控架構上實施更佳的防護措施與資安策略。
Reference Link : hkepc.com
