<p>黑帽亚洲信息安全公司 SentinelOne 发现了一种恶意软件，它试图在工程和物理仿真软件中引发错误，因此代表了一种破坏行为，并且暗示它是在旨在摧毁伊朗铀浓缩离心机的 Stuxnet 蠕虫出现之前几年创建的。</p>
<p>该公司的 Vitaly Kamluk 在今天的黑帽亚洲会议上讨论了这一恶意软件。SentinelOne 还发布了一篇关于该恶意软件的博客文章。</p>
<p>Kamluk 在会议上表示，这一发现源于他对已知的国家级间谍工具如 Flame、Animal Farm 和 Project Sauron 是否是同类工具的思考。这三者都使用 Lua 语言和虚拟机，因此他开始寻找类似的软件。</p>
<p>这次搜索导致他发现了一个在 2016 年上传到 VirusTotal 的恶意软件样本，其中包含对 “fast16” 的引用。</p>
<p>Kamluk 对该样本的分析表明，其开发者所采用的技术并不典型于 2016 年的恶意软件。SentinelOne 的研究人员还回忆起 2016 年出现的臭名昭著的 ShadowBroker 恶意软件库，后来与美国国家安全局有关联，其中也包含对 fast16 的引用。</p>
<p>SentinelOne 认为 fast16 大约在 2005 年出现，基于代码中的线索以及它无法在比 Windows XP 更新的系统上运行——即使在 Windows XP 上也只能在单核 CPU 上运行。英特尔在 2006 年推出了首款多核消费级 CPU。</p>
<p>研究人员分析了该样本，发现它试图安装一个蠕虫并部署一个名为 fast16.sys 的驱动程序。</p>
<p>该驱动程序包含一个例程，用于改变浮点计算的输出，并且还会寻找 “在土木工程、物理和物理过程仿真等专业领域中的精确计算工具。”</p>
<p>研究人员认为 fast16 针对的是 2000 年代中期使用的三款高精度工程和仿真软件：“LS-DYNA 970、PKPM 和 MOHID 水动力建模平台，均用于碰撞测试、结构分析和环境建模等场景。”</p>
<p>据信伊朗在其核武器计划中使用了 LS-DYNA。</p>
<p>Kamluk 推测 fast16 的目的是在工程仿真软件运行的计算中引发错误，可能导致现实世界的问题。他还断言，fast16 是一种在 Stuxnet 之前五年的网络武器。</p>
<ul>
<li>防止下一个 Stuxnet 袭击美国的项目资金于周日到期</li>
<li>安全性薄弱意味着攻击者可以禁用整个城市的公共电动汽车充电器</li>
<li>电动汽车充电业务 ELECQ 遭到勒索软件攻击，客户联系数据被盗</li>
<li>混合云有两个攻击面，而你对这两个方面的关注都不够</li>
</ul>
<p>“在 APT 演变的更广泛背景下，fast16 弥合了早期、基本上不可见的发展程序与后期更广泛记录的基于 Lua 和 LuaJIT 的工具包之间的差距，” Kamluk 与 SentinelOne 同事 Juan Andrés Guerrero-Saade 写道。</p>
<p>“它是理解先进行为者如何看待长期植入、破坏以及国家通过软件重塑物理世界能力的参考点。fast16 是新型国家行为的无声先驱，直到今天仍然成功地保持隐秘。”</p>
<p>在他的演讲中，Kamluk 表示，他已向 fast16 目标的工程应用程序供应商披露了他的工作，因为他认为他们可能希望检查其产品的输出，以寻找恶意软件产生不正确计算的证据。</p>
<p>“也许还有更多的发现即将到来？” 他总结道。</p>
<p>Kamluk 含泪将他的演讲献给了他的朋友和同事 Sergey Mineev，他表示 Mineev 负责发现许多极其重要的 APT，而没有寻求对其工作的重视，并于三月去世。®</p>

<p>来自 SentinelOne 的研究人员发现了一种名为 fast16 的恶意软件，该恶意软件可能比 Stuxnet 蠕虫早五年。该恶意软件针对工程和物理仿真软件，可能导致关键计算中的错误。分析表明，fast16 大约在 2005 年创建，因为它与 Windows XP 以后的系统不兼容。该恶意软件的目的似乎是破坏，特别是在伊朗核计划中使用的高精度工程应用程序中。研究结果在 Black Hat Asia 会议上公布，突显了网络威胁和国家支持的破坏活动的演变</p>

<p>Black Hat Asia Infosec outfit SentinelOne found malware that tries to induce errors in engineering and physics simulation software and therefore represents an attempt at sabotage, and suggests it was created years before the Stuxnet worm that aimed to destroy Iran’s uranium enrichment centrifuges.</p>
<div class="lb-trans"><p>黑帽亚洲信息安全公司 SentinelOne 发现了一种恶意软件，它试图在工程和物理仿真软件中引发错误，因此代表了一种破坏行为，并且暗示它是在旨在摧毁伊朗铀浓缩离心机的 Stuxnet 蠕虫出现之前几年创建的。</p>
</div><p>The company’s Vitaly Kamluk discussed the malware in a talk at the Black Hat Asia conference today. SentinelOne has also published a blog post about the malware.</p>
<div class="lb-trans"><p>该公司的 Vitaly Kamluk 在今天的黑帽亚洲会议上讨论了这一恶意软件。SentinelOne 还发布了一篇关于该恶意软件的博客文章。</p>
</div><p>Kamluk told the conference the discovery came about after he wondered if known nation-state-espionage tools like Flame, Animal Farm, and Project Sauron were the first of their kind. All three shared use of the Lua language and virtual machine, so he went looking for similar software.</p>
<div class="lb-trans"><p>Kamluk 在会议上表示，这一发现源于他对已知的国家级间谍工具如 Flame、Animal Farm 和 Project Sauron 是否是同类工具的思考。这三者都使用 Lua 语言和虚拟机，因此他开始寻找类似的软件。</p>
</div><p>That search led to a malware sample uploaded to VirusTotal in 2016 that includes a reference to “fast16”.</p>
<div class="lb-trans"><p>这次搜索导致他发现了一个在 2016 年上传到 VirusTotal 的恶意软件样本，其中包含对 “fast16” 的引用。</p>
</div><p>Kamluk’s analysis of the sample suggested the techniques its developers employed were not typical of 2016-era malware. SentinelOne researchers also recalled that the infamous ShadowBroker malware trove that appeared in 2016 and which was later linked to the United States National Security Agency, contained a reference to fast16.</p>
<div class="lb-trans"><p>Kamluk 对该样本的分析表明，其开发者所采用的技术并不典型于 2016 年的恶意软件。SentinelOne 的研究人员还回忆起 2016 年出现的臭名昭著的 ShadowBroker 恶意软件库，后来与美国国家安全局有关联，其中也包含对 fast16 的引用。</p>
</div><p>SentinelOne thinks fast16 came into existence around 2005, based on clues in the code and the fact it won’t run on anything more recent than Windows XP – and even then only on a single-core CPU. Intel shipped its first multi-core consumer CPUs in 2006.</p>
<div class="lb-trans"><p>SentinelOne 认为 fast16 大约在 2005 年出现，基于代码中的线索以及它无法在比 Windows XP 更新的系统上运行——即使在 Windows XP 上也只能在单核 CPU 上运行。英特尔在 2006 年推出了首款多核消费级 CPU。</p>
</div><p>The researchers analyzed the sample and found it tries to install a worm and deploy a driver called fast16.sys.</p>
<div class="lb-trans"><p>研究人员分析了该样本，发现它试图安装一个蠕虫并部署一个名为 fast16.sys 的驱动程序。</p>
</div><p>The driver includes a routine that alters the output of floating-point calculations and also goes looking for “precision calculation tools in specialised domains such as civil engineering, physics and physical process simulations.”</p>
<div class="lb-trans"><p>该驱动程序包含一个例程，用于改变浮点计算的输出，并且还会寻找 “在土木工程、物理和物理过程仿真等专业领域中的精确计算工具。”</p>
</div><p>The researchers think fast16 targeted three high-precision engineering and simulation suites that were used in the mid-2000s: “LS-DYNA 970, PKPM, and the MOHID hydrodynamic modeling platform, all used for scenarios like crash testing, structural analysis, and environmental modeling.”</p>
<div class="lb-trans"><p>研究人员认为 fast16 针对的是 2000 年代中期使用的三款高精度工程和仿真软件：“LS-DYNA 970、PKPM 和 MOHID 水动力建模平台，均用于碰撞测试、结构分析和环境建模等场景。”</p>
</div><p>Iran is thought to have used LS-DYNA in its nuclear weapons program.</p>
<div class="lb-trans"><p>据信伊朗在其核武器计划中使用了 LS-DYNA。</p>
</div><p>Kamluk hypothesized that fast16’s purpose was to cause errors in calculations run by engineering simulation software, perhaps leading to real-world problems. And he asserted that fast16 was a cyberweapon that preceded Stuxnet by five years.</p>
<div class="lb-trans"><p>Kamluk 推测 fast16 的目的是在工程仿真软件运行的计算中引发错误，可能导致现实世界的问题。他还断言，fast16 是一种在 Stuxnet 之前五年的网络武器。</p>
</div><ul>
<li>Funding for program to stop next Stuxnet from hitting US expired Sunday</li>
<li>Weak security means attackers could disable all of a city's public EV chargers</li>
<li>EV charger biz ELECQ zapped by ransomware crooks, customer contact data stolen</li>
<li>Hybrid clouds have two attack surfaces and you’re not paying enough attention to either</li>
</ul>
<div class="lb-trans"><ul>
<li>防止下一个 Stuxnet 袭击美国的项目资金于周日到期</li>
<li>安全性薄弱意味着攻击者可以禁用整个城市的公共电动汽车充电器</li>
<li>电动汽车充电业务 ELECQ 遭到勒索软件攻击，客户联系数据被盗</li>
<li>混合云有两个攻击面，而你对这两个方面的关注都不够</li>
</ul>
</div><p>“In the broader picture of APT evolution, fast16 bridges the gap between early, largely invisible development programs and later, more widely documented Lua‑ and LuaJIT‑based toolkits,” Kamluk wrote with SentinelOne colleague Juan Andrés Guerrero-Saade.</p>
<div class="lb-trans"><p>“在 APT 演变的更广泛背景下，fast16 弥合了早期、基本上不可见的发展程序与后期更广泛记录的基于 Lua 和 LuaJIT 的工具包之间的差距，” Kamluk 与 SentinelOne 同事 Juan Andrés Guerrero-Saade 写道。</p>
</div><p>“It is a reference point for understanding how advanced actors think about long‑term implants, sabotage, and a state’s ability to reshape the physical world through software. fast16 was the silent harbinger of a new form of statecraft, successful in its covertness until today.”</p>
<div class="lb-trans"><p>“它是理解先进行为者如何看待长期植入、破坏以及国家通过软件重塑物理世界能力的参考点。fast16 是新型国家行为的无声先驱，直到今天仍然成功地保持隐秘。”</p>
</div><p>In his talk, Kamluk said he’s disclosed his work to the vendors of the engineering applications fast16 targets, because he feels they may want to check the output of their products for evidence that the malware produced incorrect calculations.</p>
<div class="lb-trans"><p>在他的演讲中，Kamluk 表示，他已向 fast16 目标的工程应用程序供应商披露了他的工作，因为他认为他们可能希望检查其产品的输出，以寻找恶意软件产生不正确计算的证据。</p>
</div><p>“Maybe there are more discoveries to come?” he concluded.</p>
<div class="lb-trans"><p>“也许还有更多的发现即将到来？” 他总结道。</p>
</div><p>Kamluk tearfully dedicated his talk to friend and colleague Sergey Mineev, who he said was responsible for finding many enormously significant APTs, without seeking attention for the significance of his work, and passed away in March. ®</p>
<div class="lb-trans"><p>Kamluk 含泪将他的演讲献给了他的朋友和同事 Sergey Mineev，他表示 Mineev 负责发现许多极其重要的 APT，而没有寻求对其工作的重视，并于三月去世。®</p>
</div>

研究人员发现了一种可能比 Stuxnet 早五年的网络破坏恶意软件