【警戒2号】Stuxnet（超级工厂）病毒技术分析报告
摘要：这是一个可以通过微软MS10-046漏洞（lnk文件漏洞），MS10-061（打印服务漏洞），MS08-067等多种漏洞传播的恶性蠕虫病毒。另外该病毒还可以专门针对西门子的SCADA软件进行特定攻击，以获取其需要的信息。
Worm.Win32.病毒分析
病毒名称：
Worm.Win32.
病毒概述：
这是一个可以通过微软MS10-046漏洞（lnk文件漏洞），MS10-061（打印服务漏洞），MS08-067等多种漏洞传播的恶性蠕虫病毒。另外该病毒还可以专门针对西门子的SCADA软件进行特定攻击，以获取其需要的信息。
技术细节：
传播方式：
1. 通过MS10-046漏洞传播
病毒运行后会拷贝自身到移动存储上并命名为~WTR数字.Tmp（动态库）和一个注入下列文件名的lnk文件组成：
Copy of to .lnk
Copy of Copy of to .lnk
Copy of Copy of Copy of to .lnk…
在存在MS10-046漏洞的机器上，只需浏览这些lnk，.exe就会将~WTR数字.Tmp加载起来。
2. 通过MS10-061漏洞传播
该病毒还会利用打印机或打印机共享漏洞MS10-061漏洞传播。病毒会将自身拷贝到存在该漏洞的远程机器的%%目录下，并利用WMI将其执行起来。
3. 通过共享文件夹传播
该病毒还会试图将自身拷贝到局域网共享文件夹下，并命名为类似（随机数字）.tmp的名称。
4. 通过MS08-067漏洞传播
该病毒还会利用MS08-067漏洞传播。
病毒的主要功能以及大致流程：
当用户浏览可移动存储上的Copy of to .lnk文件后，.exe会加载~WTR数字.Tmp，然后病毒会加载自身的另一个名为~WTR数字.Tmp的动态库。在加载该恶意dll时，病毒并没有通过普通的函数加载，为了隐藏自身模块，同时为了达到不释放文件来加载病毒模块的目的，它采取了一个特殊方式。病毒会首先hook ntdll的一些导出函数，然后，它会构造一个特殊的并不存在的文件名如.dll.aslr，然后以此为参数调用，正常情况下，该调用会失败因为该文件并不存在，但是因为病毒已经提前Hook了Ntdll,hook函数会监控对此类特殊文件名的打开操作。如果发现是自身构造的虚假文件名，则会重定向到其他位置，比如另一个文件或者通常情况下是一块已经被病毒解密过的内存，这样，外界看到的是一个常见的模块名比如,而实际上是病毒模块。这样病毒就达到了隐藏自身的目的。
下一篇
简述心源性休克的临床分期
最新文章
-
揭秘：伤寒汗出病解的方式有哪些
6分钟前 -
洗髓修炼中的：找病、攻病、翻病、愈病！
21分钟前 -
（原创）颤证的经方治疗案。。。
27分钟前 -
中医教你：看指甲上的月牙诊病
39分钟前 -
中药方论（24）
42分钟前 -
仅一味中药就可以降血糖 ，一味中药的单药方！
44分钟前 -
解郁安神颗粒：抑郁症、焦虑症都是因为肝的疏泄功能出现了失调
55分钟前 -
有一种痛苦叫牙疼，有种止疼药叫艾灸！收藏起来，以备不时之需！
1小时前
有话要说...