优盘lnk病毒专杀工具-(u盘快捷方式病毒 lnk)

西门子生产的PLC

震网病毒的目标是西门子的S7-315和S7-417这两个型号的PLC（可编程逻辑控制器，广泛用于控制工业生产和基础设施配置）。于是它在感染计算机之后就开始寻找电脑内是否安装有西门子SIMATICStep7或SIMATICWINCC软件，如果病毒没有找到这些软件时就什么都不做。

找到目标后，震网病毒利用Step7软件中的漏洞突破后台权限并感染数据库，于是所有使用这个软件连接数据库的工程师所使用的电脑和U盘都将被感染。加上之前提到过的3个，震网病毒一口气使用了4个零日漏洞，说明设计者一方面手中握有大量尚未公开的系统漏洞，一方面为了震网病毒高速大范围传播完全不惜工本，这不是民间黑客可以做到的。

这样一来，通过利用Windows系统和西门子工业控制数据库的漏洞，震网病毒将所有可能接触到的相关系统的工程人员和他们的U盘电脑都变成了运送者。只需要感染一台电脑或者网络，比如说西门子公司或者他们PLC客户或者别的相关人员所用的机器，就可以让病毒进入伊朗的铀浓缩工厂。

震网除了利用零日漏洞进行传播之外，还有8种不同的感染方法。并且会自动寻找网络中的新版本进行更新，不需要连接外网，只要内网中有一台机器插入了带新版本的U盘，全内网计算机上的震网病毒都会自动更新。

躲避系统和杀软的监测系统在安装没有安全证书的程序时会弹窗提示。那么病毒进入系统后，是如何在没有任何提示的情况下完成驱动安装的呢？而震网病毒拥有瑞昱公司（常见的声卡网卡供应商）的合法签名。他们驱动的数字签名处于微软系统的白名单之列。微软以这个伪装的驱动文件名mrxnet.sys将这个病毒命名为Stuxnet，即\"震网\"。此外，瑞昱公司旁边的智微科技（JMicronTechnologyUSB和SATA驱动和桥接芯片供应商）的数字签名也被盗用了。以至于反病毒研究者一开始还以为这个病毒是大陆做的。

震网病毒进入计算机后的21天内，开始感染插入计算机的所有USB存储设备，并运行其主文件，将巨大的dll文件解开。

一般而言，操作系统打开、读取或者保存文件的代码都是保存在系统.dll文件（动态链接库）中的，这也是杀毒软件经常扫描的地方。而震网病毒则是将恶意代码直接调入内存。当然，一些历害的病毒也会这么做，只不过他们还会让系统加载硬盘上其他文件中的代码，这就会被杀毒软件发现。

然而震网病毒更加高明：他把所需的代码存放在虚拟文件中，还重写了系统的API（应用程序调用系统函数的接口）将自己藏了进去，每当系统有程序需要访问这些API时就会将震网的代码调入内存。如果杀毒软件检查这些API的时候，却只能看到\"空文件\"。震网病毒在运行时，还会把自己的代码替换进另一个正在运行的进程A里，在将A被换下来代码放到进程B去。

由于震网病毒只在内存中运行，并同时判断CPU负载情况，只有在轻载时他才运行以避免拖累系统速度而被发现异常。计算机关机之后这些代码就会消失，下次开机时病毒重新启动。

那么，震网病毒是怎么进行破坏的？又是怎么被发现的？我们下期接着说。(来源：凤凰网)