فرضية المستودع

شكرًا لإعجابك بهذا المستودع. تكمن قيمته في تحرير الناس من الاضطرار إلى قراءة تقارير مملة ومتناثرة تمتد إلى آلاف الصفحات، والتي تستهلك قدرًا هائلًا من الوقت والطاقة. هذا المستودع عالي القابلية للقراءة؛ فهو لا يطارد النسخة الأصلية بشكل أعمى بل يتوجه أكثر نحو القراء العامين.

يحتوي هذا المستودع على إعادة بناء تعليمية وبحثية بحتة لدودة Stuxnet سيئة السمعة. وهو نتاج ساعات لا تُحصى من أعمال الهندسة العكسية التي أجراها مجتمع أبحاث الأمن العالمي على عينات الملفات الثنائية الأصلية المكتشفة في عام 2010.

جودة الكود ناجحة، التغطية ناجحة، الكود النظيف مُتحقق منه. لكن مرحلة البناء غير مستقرة.

تحذير: يُقدَّم هذا الكود حصريًا للدراسة الأكاديمية، والتدريب على تحليل البرمجيات الخبيثة، والبحث الدفاعي. لا يؤيد المؤلفون والمساهمون الأنشطة غير القانونية أو غير الأخلاقية.

ليس المقصود استخدامه لأي أغراض خبيثة، كما أنه ليس قطعة برمجيات خبيثة قابلة للنشر.

جدول المحتويات

- الحالة

• نظرة عامة

• المكونات الأساسية

• البنية التقنية

• تعليمات البناء

• الاستخدام

• القانون والترخيص

• شكر وتقدير

# الحالة

- البناء: غير مستقر

- الكود النظيف: مُتحقق منه

- جودة الكود: الاختبارات ناجحة

- التغطية: ممتازة

أحدث تحديث

الوقت: 2026-10-17 06:00

تمت إضافة نسخة أقرب إلى الأصل في التفاصيل، بالإضافة إلى نسخة نظيفة. كلتاهما مبنيتان بالكامل من الأدلة المعروفة. اسم الملف هو Reboot.zip وكلمة المرور هي Stuxnet.

إذا كنت لا تعتقد أن نسخة إعادة البناء جيدة...

نظرة عامة

يُعترف على نطاق واسع بأن Stuxnet هو أول سلاح سيبراني معروف مصمم لإحداث تدمير مادي لأنظمة التحكم الصناعي (ICS). وقد استهدف تحديدًا برنامج Siemens Step 7 ووحدات PLC من طراز S7-300/400، ليتلاعب في النهاية بمحركات محولات التردد لإلحاق الضرر بدوارات أجهزة الطرد المركزي.

هذا المستودع هو شفرة مصدرية مُعاد بناؤها مستمدة من الملفات الثنائية المفككة. يحافظ على المنطق الأصلي ونواقل الهجوم مع هيكلة قاعدة الشفرة لتحقيق قابلية القراءة والتحليل.

• الخصائص الرئيسية

الهدف: Siemens SIMATIC WinCC وStep 7 ووحدات PLC من S7.

الانتشار: محركات USB (استغلالات LNK)، مشاركات الشبكة (Print Spooler)، الند للند (P2P).

الحمولة: تعديل منطق كتل PLC (OB1/OB35) لتغيير ترددات المحركات.

التخفي: قدرات روتكيت متقدمة (MRxCls.sys, MRxNet.sys) لإخفاء الملفات والعمليات وسجل النظام.

المكونات الأساسية

تم تنظيم المستودع حسب الوحدات الأساسية المحددة أثناء تحليل البرمجيات الخبيثة الأصلية.

• الوحدة: المحمّل/المُسقِط
• اسم الملف: winsta.exe, ~WTR4141.tmp
• الوصف: نقطة الدخول المسؤولة عن الإصابة الأولية، ورفع الصلاحيات، ونشر المكونات الأخرى.

---

• الوحدة: رفع الصلاحيات
• اسم الملف: ~WTR4132.tmp
• الوصف: يستغل ثغرة Win32k.sys للحصول على صلاحيات على مستوى النظام.

---

• الوحدة: مكتبة خطاف S7
• اسم الملف: s7otbxdx.dll
• الوصف: بديل خبيث للملف الأصلي s7otbxsx.dll. يعترض الاتصال بين Step 7 ووحدة التحكم المنطقية القابلة للبرمجة (PLC).

---

- الوحدة: مكتبة خطاف Step7 - اسم الملف: s7aaapix.dll - الوصف: تعترض استدعاءات واجهة برمجة تطبيقات AUT (أداة الأتمتة) داخل بيئة الهندسة Step 7.

---

• الوحدة: Rootkit (نظام الملفات)
• اسم الملف: mrxcls.sys
• الوصف: برنامج تشغيل في وضع النواة يُستخدم لإخفاء ملفات Stuxnet وعملياتها ومفاتيح التسجيل عبر خطاف SSDT.

---

• الوحدة: Rootkit (الشبكة)
• اسم الملف: mrxnet.sys
• الوصف: يرشّح طلبات نظام الملفات لإخفاء الملفات الخبيثة ويمكّن الانتشار عبر P2P.

---

- الوحدة: الحمولة (الهجوم) - اسم الملف: s7plcmain - الوصف: المنطق الأساسي المسؤول عن هجوم "التلاعب بالتردد" الذي يُلحق الضرر بأجهزة الطرد المركزي.

---

البنية التقنية

يصف ما يلي تدفق التنفيذ عالي المستوى لإطار عمل Stuxnet.

• المرحلة 1: ناقل العدوى الأولي (USB/الشبكة)

• المرحلة 2: Dropper والتصعيد

• المرحلة 3: فحص البيئة

• المرحلة 4أ: تم العثور على الهدف (برنامج Siemens) -> تثبيت خطافات S7

• المرحلة 4ب: غير هدف -> التدمير الذاتي/الخمول

• المرحلة 5: مراقبة عمليات الكتابة إلى PLC

• المرحلة 6: اكتشاف الكتابة إلى OB1/OB35 -> حقن الحمولة

• المرحلة 7: تعديل إخراج التردد

• المرحلة 8: ضرر مادي بأجهزة الطرد المركزي

• المرحلة 9: تثبيت Rootkit (MRxCls)

• المرحلة 10: إخفاء الملفات والتسجيل

• المرحلة 11: تحميل وحدة الشبكة (MRxNet)

• المرحلة 12: الانتشار عبر P2P

• تدفق التنفيذ

1. استطلاع البيئة: تتحقق الدودة من وجود برامج Siemens محددة (WinCC، Step 7) وأجهزة PLC مستهدفة محددة (S7-315، S7-417).

2. حقن DLL: تعترض استدعاء الدالة s7blk_write.

3. حقن الشيفرة: عندما يقوم المستخدم بتنزيل مشروع إلى PLC، تُلحق الشيفرة الخبيثة بكتل OB1/OB35.

4. التأثير المادي: ينفّذ PLC الشيفرة المُتلاعب بها، مما يتسبب في دوران محركات التردد المتغيرة (VFDs) المتصلة بترددات غير طبيعية (عالية/منخفضة)، مما يؤدي إلى تلف ميكانيكي.

• تعليمات البناء

مهم: صُمم هذا الكود المصدري للتحليل الساكن وتصحيح الأخطاء في بيئة افتراضية مُتحكَّم بها. وهو غير مخصص للنشر الفعلي على أي بنية تحتية حرجة.

• المتطلبات

بيئة البناء: Microsoft Visual Studio 2019/2022 (Windows) أو mingw-w64.

نظام التشغيل المستهدف: Windows XP / Windows 7 (لتوافق برامج التشغيل).

مجموعة أدوات برامج التشغيل: Windows Driver Kit (WDK) 7600 (إذا كنت تُترجم برامج تشغيل النواة).

بناء وحدات وضع المستخدم

استنسخ المستودع

git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet

بناء الناشر الرئيسي (main dropper)

cd Main
nmake /f Makefile.win

بناء مكتبة خطافات S7

cd ../s7otbxdx
cl /LD s7otbxdx.dll.c user32.lib ws2_32.lib

الاستخدام

هذا الكود مخصص لـ:

تحليل البرمجيات الخبيثة: فهم منطق الكود المحدد المستخدم في التهديدات المستمرة المتقدمة (APTs).

البحث الدفاعي: تطوير توقيعات الكشف لأدوات أمن أنظمة التحكم الصناعي (ICS) (مثل قواعد YARA، وتوقيعات Snort).

الدراسة الأكاديمية: فحص التقاطع بين الأمن السيبراني وحماية البنية التحتية الحيوية.

إعداد التحليل

1. عزل البيئة: استخدم جهازًا افتراضيًا (VMWare/VirtualBox) مع تمكين شبكة Host-Only. عطّل اتصال الإنترنت.

2. تحميل الوحدات: حلّل ملفات .dll و.sys باستخدام أدوات مثل IDA Pro أو Ghidra أو x64dbg.

3. مراقبة النشاط: استخدم Process Monitor (ProcMon) وProcess Hacker وWireshark لمراقبة السلوك.

القانون والترخيص

• الترخيص

هذا المشروع مرخّص بموجب GNU Affero General Public License v3.0، وLICENSE.Stuxnet (Must-Read, Very Important)، وLICENSE.XOR (Must-Read, Very Important)، وLICENSE.Detail، وApache License 2.0، وLICENSE.Desktop. راجع ملف LICENSE للحصول على التفاصيل.

• القانون

No Disclaimer. That's on you to be self-aware.

شكر وتقدير

لم يكن هذا البحث وإعادة البناء ممكنًا دون التحليل الواسع واستخبارات التهديدات التي قدمتها شركات الأمن السيبراني العالمية.

Symantec (W32.Stuxnet dossier)

Kaspersky Lab (The Stuxnet saga)

ESET (Stuxnet under the microscope)

Amr Thabet and Christian Roggia (research-virus/stuxnet)

This is an academic reconstruction. Use it to build stronger defenses, not to cause harm.

شكرًا لإعجابك بهذا المستودع!