影子經紀人曝光NSA使用的黑客工具與Stuxnet如出一轍

E安全4月18日訊 「影子經紀人」（Shadow Brokers）上周五再拋重磅信息，曝光NSA使用的Windows系統高危漏洞工具。

最新披露的文件中，有幾處提到先前揭露的NSA絕密計劃和軟體，例如用來遠程控制植入程序的「STRAITBIZARRE」，以及入侵SWIFT系統的「JEEPFLEA」，暗指這些工具的確從「方程式組織」（美國國家安全局NSA精英黑客團隊）處竊取得來。

此次披露的文件中令人驚詫的是，該文件中包含「震網蠕蟲」（Stuxnet）病毒中使用的一款工具。賽門鐵克公司Stuxnet研究人員Liam
O"Murchu表示，此工具是針對Windows
MOF文件的漏洞利用，與Stuxnet使用的腳本幾乎完全相同。Stuxnet與NSA工具之間確實存在很強的關聯性，但目前還不足以斷定這兩者之間的關聯。

O"Murchu解釋稱，儘管兩者之間的關聯性很強，但目前缺乏確鑿的證據，因為在Stuxnet中發現的通用腳本後來被反向工程並由研究人員添加到Metasploit（熱門開源黑客工具包）中。這就意味著使用Metasploit的任何人都可以創建與Stuxnet十分相似的MOF文件。

然而，影子經紀人周五泄露的MOF文件創建工具最後編譯時間為2010年9月9日，也就是Stuxnet首次被發現三個月後，即代碼被添加到Metasploit前不久。

以下是Stuxnet的部分腳本：

以下是影子經紀人曝光的部分腳本：

其它研究人員還注意到這兩者之間存在明顯的關聯，兩者均為MOF漏洞利用，並出現了不太明顯的參考，例如披露工具中的ASCII藝術中帶有「WON THE GOLD MEDAL」字樣。據報道，Stuxnet行動的絕密代號是「Olympic Games」。

在線惡意軟體庫Virus Total表示奇怪的是，反病毒程序Avast將影子經紀人上周五曝光的其它漏洞利用檢測認定為Stuxnet。

具有豐富反病毒軟體分析經驗的安全研究人員喬斯因-柯羅特表示，雖然可能存在誤報，但出現這樣的誤報太奇怪了。

美國政府從未正式承認，NSA藉助以色列政府黑客的幫助創建Stuxnet，並對伊朗核設施發起攻擊。然而，這幾乎成了公開的秘密。

影子經紀人長期以來聲稱，他們曝光的工具來自「方程式組織」。各方廣泛認為，方程式組織就是為NSA效力的黑客組織。因此，許多人懷疑，影子經紀人披露的Stuxnet MOF文件創建工具可能就是NSA黑客和開發人員編寫Stuxnet的最早技術證據。

當然，影子經紀人曝光的組織也可能只是簡單間接獲取了Stuxnet工具，並重新加以利用。

據報道，NSA先前已經參與開發並部署了Stuxnet，各界很難不認為方程式組織就是NSA的黑客組織。

E安全註：本文系E安全獨家編譯報道，轉載請聯繫授權，並保留出處與鏈接，不得刪減內容。聯繫方式：① 微信號zhu-geliang ②郵箱eapp@easyaq.com

@E安全，最專業的前沿網路安全媒體和產業服務平台，每日提供優質全球網路安全資訊與深度思考，歡迎關注微信公眾號「E安全」（EAQapp），或登E安全門戶網站www.easyaq.com , 查看更多精彩內容。