7.1 震网（Stuxnet）——首个攻击物理世界的网络武器

信源等级：L2 权威机构 + L1 媒体报道 ｜ 最后核验：2026-09-17 核心来源：安天《“震网”事件的15年再思考·技术篇》（2026-03）、安天《对Stuxnet蠕虫攻击工业控制系统事件的综合分析报告》（2010）、IEEE Access 2021 综述

一、事件档案

项目	内容
曝光时间	2010-06（安全厂商捕获分析，7 月大规模爆发）
目标	伊朗纳坦兹（Natanz）铀浓缩设施（实际为美以联合秘密行动，美方内部代号”奥林匹斯”行动）
攻击对象	Siemens SIMATIC WinCC（SCADA） 与 UR 离心机变频器（通过 PLC 控制）
首次攻击	2009 年前后（初始 0.5 版本人工渗透投放）
破坏效果	纳坦兹近千台离心机故障；IAEA 核查报告显示 2009-12 至 2010-01 间约 2000 台离心机被替换
全球感染	约 45000 个网络被感染，中东占大头（60% 受害主机在伊朗境内，2010 年赛门铁克统计口径）
归因	普遍认为美以（CIA + 以色列摩萨德）联合开发制造

二、攻击链深度拆解（安天 15 年复盘）

1. 版本演进（重要认知纠偏）

• 0.5 版本（初始投放）：不使用 0day 漏洞，依赖人工渗透（荷兰线人 Eric van Sabben 用 U 盘带入内网）；通过阀门级联造成超压批量损毁离心机；
• 1.x 版本（2010 年曝光的”震网”）：具备自主传播能力，通过修改转速磨损破坏离心机，实现更精细攻击；
• 1.001 版本使用 5 个 0day + 3 个 Nday 漏洞（MS08-067、MS10-061、MS09-025）；其中 MS08-067 在 1.X 全部版本保留使用；
• 弱口令网络共享传播模块在 1.X 所有版本中使用 → 内网基础安全治理不足是突破口。

2. 传播突破（物理隔离如何被攻破）

外部主机 → USB 快捷方式解析漏洞（MS10-046）→ 内网
内网横向：快捷方式解析漏洞 + RPC 远程执行（MS08-067）+ 打印机后台程序服务漏洞（MS10-061）
最终抵达安装 WinCC 的主机 → 通过 STEP7 感染 PLC → 控制离心机转速

• 2007 年美中情局与摩萨德策动渗透行动，招募荷兰籍西门子工程师 Eric van Sabben，以合法身份用 U 盘植入初始感染载体；
• 2009-01 Eric 在阿联酋沙迦遇交通事故身亡；2009 年春季美以升级震网使其具备自主传播（二次渗透）；
• 防病毒逃逸：为衍生的驱动程序使用有效数字签名（Realtek 等），并采用 rootkit 隐藏。

3. 载荷机理

• 修改 WinCC/STEP7 通信，向 PLC 下发恶意逻辑：改变离心机转速（超频/低频交替）使铀浓缩失效且物理磨损；
• 同时回放正常数据包欺骗操作员（显示正常转速）——攻击隐蔽性核心；
• 伊朗初期误判为设备故障，未做应急响应，为二次攻击留出窗口。

三、战略意义（专家视角）

1. 网络战里程碑：首次证实”网络攻击可转化为物理空间影响，具备与火力打击局部的等效性”；
2. “震网不是 APT”之辩（Lockheed Martin 研究员观点）：APT 追求长期潜伏信息获取，震网直接造成物理毁瘫，本质是一次打击型作战行动——对关键基础设施防御思维是根本性冲击；
3. 对工控安全的启示：
   • 物理隔离不等于安全（USB 摆渡、供应链渗透）；
   • 商用密码/身份认证缺失的工控协议是致命短板；
   • 生产异常与攻击的区分、操作员可视化欺骗（数据回放）需物理过程感知类监测（见 6.1 算法篇）；
   • 供应链（西门子工程师/软件）管控是第一道防线。

四、来源引用

1. 安天：《“震网”攻击事件的15年再思考·技术篇》（2026-03-06）
2. 安天：《对 Stuxnet 蠕虫攻击工业控制系统事件的综合分析报告》（2010）
3. IEEE Access 2021：Industrial and Critical Infrastructure Security 综述（DOI: 10.1109/ACCESS.2021.3133348）
4. IAEA 核查报告（2009-12/2010-01 离心机更换数据）