摧毁伊朗核计划，世界上最厉害的网络病毒，被AI解密后开源了！

2026年9月，GitHub上出现了一个不起眼的仓库。

作者只有一句话说明：震网！由我重现，仅用于研究和教育目的。

看到震网(Stuxnet)这个词，我立刻从椅子上坐直了，因为这个病毒实在是太匪夷所思了。

因为它不像普通病毒那样偷密码、锁文件、勒索钱财，而是摧毁了伊朗近五分之一的离心机，直接延缓了伊朗的核计划。

美国和以色列都没有公开承认对此负责，但外界普遍认为这是两国联合开发的网络武器。

这是人类历史上第一次用代码跨越物理隔离的网络，从虚拟世界进入物理世界，实实在在地摧毁了工业设备。

震网病毒的攻击路径，堪称一部谍战大片。

0 1

谍战大片

第一幕：U盘里的不速之客

故事从一个被遗落在地上的U盘开始。

有人捡到了它，好奇地插进了自己的Windows笔记本电脑。

U盘里只有几张风景图片，看起来什么都没有。

但就在U盘插入的瞬间，一个蠕虫病毒已经悄悄运行，把自己复制到了电脑里。

它使用了三种办法保证复制的成功，一个不行就试下一个，其中两种利用了0day漏洞。

所谓 0day 漏洞，是软件厂商和杀毒公司都尚未发现的漏洞，没有补丁，无法防御。

在黑市上，一个 0day 漏洞可以卖到几十万美元，而震网病毒一口气用了四个，真是霸气无比。

笔记本电脑里虽然装着杀毒软件，但这个蠕虫被设计得极为精妙，杀毒软件根本发现不了它。

进入系统后，它又利用两个0day漏洞获取了管理员权限，然后把自己隐藏起来。

从此以后，没有人、也没有杀毒软件能找到它。

第二幕：穿越物理隔离

感染了笔记本电脑后，病毒什么都没做，只是静静潜伏。

它悄悄访问了两个网站，告诉服务器自己已经成功入驻，同时下载了最新版本把自己更新了。

直到有一天，这台笔记本被带进了一个工厂，工厂的网络与外界物理隔离，理论上不可能被网络攻击。

但不幸的是，工厂的工作人员用U盘从这台笔记本上拷贝了文件！

病毒立刻感知到U盘插入了电脑，毫不犹豫地把自己复制了进去。

为了做到这一点，它安装了一个伪造的设备驱动，而驱动需要合法的数字签名才能被操作系统认可，否则就会提示用户"有诈"。

这难不倒它，它的制造者送了它一份大礼：Realtek和JMicron两家公司的数字签名私钥。

熟悉非对称加密的人都知道，私钥是一家公司的核心资产，必须严加保管。这两家公司的私钥是如何泄露的，至今无人知晓。

U盘被带进了工厂内网，病毒的征程才刚刚开始。

第三幕：入侵工业心脏

进入内网后，病毒开始占领内网的电脑。

这一次它没有奢侈地使用0day漏洞，而是利用了两个已知漏洞，一个和网络打印机相关，一个和网络文件共享相关，很快，整个内部局域网的所有电脑都被感染了。

但它依然没有破坏任何东西，对它来说，锁定硬盘勒索钱财这种"小破坏"太小儿科了，根本不屑去干。

它牢记着自己的使命，在网络中耐心寻找一样东西：西门子的Step 7工控软件。

找到后，它利用第五个0day漏洞（这次是西门子软件的漏洞，由西门子来"背锅"），把自己植入了可编程逻辑控制器（PLC）中。

PLC是工业设备的大脑，在这里，病毒开始搜寻特定型号的变频驱动机，这种机器用于驱动工业离心机，而离心机的用途是提纯化学物质，比如：

铀。

病毒的正式任务，即将拉开帷幕。

第四幕：温柔的杀戮

现在，病毒完全控制了离心机。它可以直接让离心机超速旋转，瞬间摧毁。

但它没有这么做，它是最聪明的病毒，有自己的计划：做好清理，隐藏自己。

一旦控制了工厂的所有离心机，这个病毒居然进入了休眠！

到了某个时刻，它会悄悄唤醒自己，随机挑选一些离心机，修改参数，让转速慢那么一点点，或者快那么一点点。

与此同时，它还增加离心机中的气压，离心机中的气体是六氟化铀，压力的增加使得六氟化铀固化，离心机中居然出现了"小小的石头"，很快就会被损坏。

但工厂有传感器监控，一旦异常就会触发报警。

病毒放出了最后的大招，充分展示了自己的天才：它以21秒为周期，记录离心机正常运转时传感器的数据，然后在攻击执行时，以固定的循环重复播放这21秒的数据。

它的创造者肯定看过美国大片《生死时速》 ：

控制室里，操作人员检查了系统的运行数据，一切都很正常。他放下心，向上司汇报后，站起来去倒了一杯咖啡，然后继续工作。

很快，悲催的事情发生了：离心机开始坏掉了，没有规律，完全随机。

铀的产量暴跌，工厂无法生产出足够的浓缩铀。

工程师们赶紧替换新的离心机，可是崭新的离心机安装好、投入使用，没用多久便又坏掉了！他们一遍一遍地检查，就是发现不了问题，抓狂了：这到底是怎么回事？

而那一群潜伏在PLC中的蠕虫杀手们，冷冷地看着这一切。

它们走过了异常曲折的道路，用了U盘+多个0day漏洞+数字证书才来到高度设防的工厂，终于完成了创造者交代的任务。

在不久的将来，它们将拥有一个震惊世界的名字：Stuxnet（震网病毒）。

0 2

开源的争议：这是真的吗？

源代码公开后，Hacker News上的讨论很快转向了一个核心问题：这代码，是真的吗？

有眼尖的评论者指出了问题：代码中出现了字符串"Stuxnet"，比如注册表删除路径中的Stuxnet，以及WMI消费者命名为StuxnetConsumer。

这挺搞笑的，因为这个名字是后来安全公司给它起的，原作者不可能这么叫它。

还有人发现了类似g_dwCentrifugeDestroyed++（离心机摧毁计数++）这样的变量名，带着明显的"玩梗"味道。

后来作者本人也承认了：“是的，我使用了AI 来辅助逆向工程，人工搞起来实在太枯燥了。”

虽然如此，作为网络战“教科书级”的案例，震网病毒的开源依然很有价值，可以让研究从“外部分析”进入“内部审视”阶段，这也是 AI 带来的进步吧！

0 3

结语

震网病毒诞生于大约16年前，它的编写者不但要精通计算机系统和网络，还要精通工业控制设备和软件，这样的工作，绝非单打独斗的黑客可以完成。它是国家级的工程，是数字时代的"曼哈顿计划"。

如今，它的源代码以一种并不完美的方式出现在GitHub上，虽然不是最"正宗"的，但它重新唤起了人们对这段历史的关注。

它值得被记住，值得被研究，也值得被警惕。

因为下一个震网，可能已经在路上了。