仓库前提

感谢您喜欢这个仓库。它的价值在于让人们不必再阅读那些动辄数千页、枯燥零散的报告，这些报告会消耗大量的时间和精力。本仓库具有很高的可读性；它并不盲目追求原始版本，而是更面向普通读者。

本仓库包含对臭名昭著的 Stuxnet 蠕虫的严格出于教育和研究目的的重构。它是全球安全研究社区对 2010 年发现的原始二进制样本进行无数小时逆向工程工作的产物。

代码质量通过、覆盖率成功、整洁代码已验证。但构建处于不稳定阶段。

警告：本代码仅供学术研究、恶意软件分析培训和防御性研究使用。作者和贡献者不纵容任何非法或不道德的活动。

它不打算用于任何恶意目的，也不是一个可部署的恶意软件。

概述

Stuxnet 被广泛认为是首个已知的、旨在对工业控制系统（ICS）造成物理破坏的网络武器。它专门针对西门子 Step 7 软件和 S7-300/400 PLC，最终操纵变频器驱动器以损坏离心机转子。

本仓库是从反编译二进制文件衍生出的重构源代码。它保留了原始逻辑和攻击向量，同时为可读性和分析性重构了代码库。

关键特征

目标：Siemens SIMATIC WinCC、Step 7 和 S7 PLC。

传播：U 盘 （LNK 漏洞利用）、网络共享 （打印后台处理程序）、点对点（P2P）。

载荷：修改 PLC 块逻辑 (OB1/OB35) 以改变电机频率。

隐蔽性：高级 Rootkit 能力 (MRxCls.sys, MRxNet.sys)，用于隐藏文件、进程和注册表。

核心组件

本仓库按分析原始恶意软件时识别出的主要模块进行组织。

模块：加载器/投放器
文件名：winsta.exe, ~WTR4141.tmp
描述：负责初始感染、权限提升和其他组件部署的入口点。

模块：权限提升
文件名：~WTR4132.tmp
描述：利用 Win32k.sys 漏洞获取系统级权限。

模块：S7 Hook Library
文件名：s7otbxdx.dll
描述：对原始 s7otbxsx.dll 的恶意替换。它拦截 Step 7 与 PLC 之间的通信。

~~- 模块：Step7 Hook 库~~ ~~- 文件名：s7aaapix.dll~~ ~~- 描述：拦截 Step 7 工程环境中的 AUT（Automation Tool）API 调用。~~

模块：Rootkit（文件系统）
文件名：mrxcls.sys
描述：内核模式驱动程序，通过 SSDT hooking 隐藏 Stuxnet 文件、进程和注册表项。

模块：Rootkit（网络）
文件名：mrxnet.sys
描述：过滤文件系统请求以隐藏恶意文件，并启用 P2P 传播。

~~- 模块：Payload（攻击）~~ ~~- 文件名：s7plcmain~~ ~~- 描述：负责“频率篡改”攻击的核心逻辑，该攻击会损坏离心机。~~

技术架构

以下描述 Stuxnet 框架的高层执行流程。

阶段 1：初始感染途径（USB/网络）
阶段 2：投放器与提权
阶段 3：检查环境
阶段 4a：发现目标（Siemens 软件）-> 安装 S7 Hook
阶段 4b：非目标 -> 自毁/空闲
阶段 5：监控 PLC 写入
阶段 6：检测到 OB1/OB35 写入 -> 注入 Payload
阶段 7：修改频率输出
阶段 8：对离心机造成物理损坏
阶段 9：安装 Rootkit (MRxCls)
阶段 10：隐藏文件和注册表
阶段 11：加载网络模块 (MRxNet)
阶段 12：P2P 传播
执行流程

环境侦察：该蠕虫检查是否存在特定的 Siemens 软件（WinCC、Step 7）以及特定的目标 PLC（S7-315、S7-417）。
DLL 注入：它拦截 s7blk_write 函数调用。
代码注入：当用户将项目下载到 PLC 时，恶意代码会被追加到 OB1/OB35 块中。
物理影响：PLC 执行被篡改的代码，导致所连接的变频驱动器（VFD）以异常频率（过高/过低）旋转，从而造成机械损坏。

构建说明

重要：此代码库专为在受控虚拟环境中进行静态分析和调试而设计。它不适用于在任何关键基础设施上进行实际部署。

要求

构建环境：Microsoft Visual Studio 2019/2022（Windows）或 mingw-w64。

目标操作系统：Windows XP / Windows 7（用于驱动程序兼容性）。

驱动程序工具包：Windows Driver Kit (WDK) 7600（如果编译内核驱动程序）。

构建 用户模式 模块

克隆仓库

git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet

构建主 dropper

cd Main
nmake /f Makefile.win

构建 S7 钩子库

cd ../s7otbxdx
cl /LD s7otbxdx.dll.c user32.lib ws2_32.lib

用途

此代码适用于：

恶意软件分析：理解高级持续性威胁（APT）中所使用的特定代码逻辑。

防御研究：为 ICS 安全工具开发检测特征（例如 YARA 规则、Snort 特征）。

学术研究：考察网络安全与关键基础设施保护的交汇点。

分析环境搭建

隔离环境：使用启用了 Host-Only 网络的虚拟机（VMWare/VirtualBox）。禁用互联网连接。
加载模块：使用 IDA Pro、Ghidra 或 x64dbg 等工具分析 .dll 和 .sys 文件。
监控活动：使用 Process Monitor (ProcMon)、Process Hacker 和 Wireshark 观察其行为。

法律与许可

许可

本项目依据 GNU Affero General Public License v3.0、LICENSE.Stuxnet （必读，非常重要）、LICENSE.XOR （必读，非常重要）、LICENSE.Detail、Apache License 2.0 和 LICENSE.Desktop 授权。详情请参阅 LICENSE 文件。

法律

No Disclaimer. That's on you to be self-aware.

致谢

如果没有全球网络安全厂商提供的大量分析和威胁情报，这项研究和重建工作将无法完成。

Symantec（W32.Stuxnet 档案）

Kaspersky Lab（The Stuxnet saga）

ESET（Stuxnet under the microscope）

Amr Thabet 和 Christian Roggia（research-virus/stuxnet）

This is an academic reconstruction. Use it to build stronger defenses, not to cause harm.

感谢您喜欢这个仓库！

Stuxnet

最受欢迎

仓库前提

目录

最新更新

概述

核心组件

技术架构

用途

法律与许可

致谢