震网病毒源代码

2010年，震网白俄罗斯一家安全公司接到客户求助，病毒说他们的源代电脑反复蓝屏，重启也没用。震网技术人员过去一查，病毒发现机器里藏着一堆从没见过的源代驱动文件，数字签名居然来自Realtek和JMicron——两家正经的震网硬件厂商。但签名是病毒偷来的。顺着这条线往下挖，源代一个叫Stuxnet的震网蠕虫病毒浮出水面。后来大家管它叫“震网”。病毒

震网不是源代那种偷密码、发垃圾邮件的震网普通货色。它干的病毒事很具体：盯着西门子的工控系统，尤其是源代一款叫Step 7的软件。伊朗纳坦兹核设施里的离心机，用的就是这套系统。病毒通过U盘摆渡进去，先感染Windows，再悄悄改写PLC（可编程逻辑控制器）里的代码。离心机转速被篡改，一会儿飙到极限，一会儿又骤停。伊朗人看着监控屏幕，一切正常——因为震网同时播放了一段循环录像，把真实的异常数据盖住了。离心机就这么一台接一台地废掉，而操作员浑然不觉。

源代码里藏着不少细节。比如它用了两个当时还没公开的Windows零日漏洞，一个负责通过打印机后台程序传播，另一个用于提权。还偷了台湾一家公司的数字证书，让驱动能顺利加载。最绝的是，病毒里有一段专门针对变频器的逻辑，能根据不同频率的离心机型号调整攻击方式。这不是几个黑客在车库里能写出来的东西。代码结构清晰，模块分工明确，注释里甚至标了版本号。谁写的？没人承认。但大家心里有数。

我翻过一些泄露出来的反编译片段。有个函数叫“infectPLC”，里面硬编码了西门子PLC的通信协议。还有一段用STL（语句表）写的恶意逻辑，直接嵌进PLC的循环扫描周期里。普通工程师根本不会那么写——太底层，太熟悉硬件了。更蹊跷的是，病毒只在特定条件下激活：离心机数量超过一定阈值，且频率在某个区间内。误伤率被压到极低。这种精准度，背后得有情报支持。

后来事情闹大了。赛门铁克、卡巴斯基都发了报告，说震网已经感染了全球数万台机器，但真正被“激活”攻击的只有伊朗那批。2012年，《纽约时报》爆料说这是美国和以色列联合搞的“奥运会”行动。奥巴马下令加速执行。源代码里有个计数器，每次成功破坏一台离心机就加一。据估计，伊朗有近千台离心机因此报废，核计划拖了好几年。

但震网也开了个坏头。源代码后来被公开了一部分，谁都能下载研究。从那以后，工控安全不再是冷门话题。乌克兰电网被黑、沙特炼油厂遭攻击，手法里多多少少能看到震网的影子。一个病毒改变了国家对网络武器的看法——原来不用导弹，也能炸掉别人的工厂。

我有时候想，写震网那帮人挺矛盾的。代码写得那么漂亮，逻辑严密，像钟表一样精确。但目的就是搞破坏。他们大概也知道这东西早晚会泄露，所以留了不少“指纹”——比如那个偷来的证书，比如特定版本的编译器痕迹。是疏忽还是故意？说不清。反正源代码现在躺在GitHub上，谁都能看。看完了，有人学防御，有人学攻击。工具本身没有立场。

纳坦兹的离心机早换新了。震网的代码还在硬盘里跑着，只是没人再提它的名字。

(责任编辑：探索)