Startseite > Security > So gefährlich ist Stuxnet wirklich

Malware-Kompendium

So gefährlich ist Stuxnet wirklich

13. Oktober 2010, 12:29 Uhr | Lars Bube

Fortsetzung des Artikels von Teil 3

Versteckte Botschaften im Viruscode

Stimmt es, dass sich Stuxnet auf die Bibel bezieht?

Es gibt einen Bezug auf „Myrtus“, der Pflanze Myrte. Allerdings ist dieser Bezug im Code auch nicht versteckt. Es ist eher Artefakt, der beim Compile-Vorgang des Codes hinterlassen wurde. Im Grunde genommen sagt es nur aus, wo die Autoren den Code auf deren Systemen gespeichert haben. Die ausdrückliche Pfadangabe innerhalb von Stuxnet ist: \myrtus\src\objfre_w2k_x86\i386\guava.pdb. Die Autoren von Stuxnet wollten vielleicht gar nicht, dass ihr Codename von Stuxnet bekannt werden sollte. Aber dank dieses Artefaktes wissen wir es nun. Solche Artefakte sind nicht selten bei Malware. Die Attacke "Operation Aurora" gegen Google wurde langläufig so genannt, weil der folgende Pfad innerhalb einer der Binaries gefunden wurde: \Aurora_Src\AuroraVNC\Avc\Release\AVC.pdb.

Könnte es eine andere Bedeutung haben?

Könnte es! Beispielsweise „My RTUs“. RTU ist eine Abkürzung für „Remote Terminal Units“, wie sie in Industrieanlagen zum Einsatz kommen.

Wie erkennt Stuxent, ob es einen Rechner bereits infiziert hat?

Stuxnet „markiert“ seine Infektionen anhand eines Registrierungsschlüssels und dem Wert „19790509“.

Warum gerade „19790509“?

Es ist ein Datum, der 09. Mai 1979

Was geschah am 09. Mai 1979?

Vielleicht ist es der Geburtstag einer der Autoren. Darüber hinaus wurde an diesem Tag auch ein jüdisch-Iranischer Geschäftsmann mit dem Namen Habib Elghanian im Iran exekutiert und zwar wegen angeblicher Industriespionage für Israel.