<p>黑帽亞洲信息安全公司 SentinelOne 發現了一種惡意軟件，它試圖在工程和物理仿真軟件中引發錯誤，因此代表了一種破壞行為，並且暗示它是在旨在摧毀伊朗鈾濃縮離心機的 Stuxnet 蠕蟲出現之前幾年創建的。</p>
<p>該公司的 Vitaly Kamluk 在今天的黑帽亞洲會議上討論了這一惡意軟件。SentinelOne 還發布了一篇關於該惡意軟件的博客文章。</p>
<p>Kamluk 在會議上表示，這一發現源於他對已知的國家級間諜工具如 Flame、Animal Farm 和 Project Sauron 是否是同類工具的思考。這三者都使用 Lua 語言和虛擬機，因此他開始尋找類似的軟件。</p>
<p>這次搜索導致他發現了一個在 2016 年上傳到 VirusTotal 的惡意軟件樣本，其中包含對 “fast16” 的引用。</p>
<p>Kamluk 對該樣本的分析表明，其開發者所採用的技術並不典型於 2016 年的惡意軟件。SentinelOne 的研究人員還回憶起 2016 年出現的臭名昭著的 ShadowBroker 惡意軟件庫，後來與美國國家安全局有關聯，其中也包含對 fast16 的引用。</p>
<p>SentinelOne 認為 fast16 大約在 2005 年出現，基於代碼中的線索以及它無法在比 Windows XP 更新的系統上運行——即使在 Windows XP 上也只能在單核 CPU 上運行。英特爾在 2006 年推出了首款多核消費級 CPU。</p>
<p>研究人員分析了該樣本，發現它試圖安裝一個蠕蟲並部署一個名為 fast16.sys 的驅動程序。</p>
<p>該驅動程序包含一個例程，用於改變浮點計算的輸出，並且還會尋找 “在土木工程、物理和物理過程仿真等專業領域中的精確計算工具。”</p>
<p>研究人員認為 fast16 針對的是 2000 年代中期使用的三款高精度工程和仿真軟件：“LS-DYNA 970、PKPM 和 MOHID 水動力建模平台，均用於碰撞測試、結構分析和環境建模等場景。”</p>
<p>據信伊朗在其核武器計劃中使用了 LS-DYNA。</p>
<p>Kamluk 推測 fast16 的目的是在工程仿真軟件運行的計算中引發錯誤，可能導致現實世界的問題。他還斷言，fast16 是一種在 Stuxnet 之前五年的網絡武器。</p>
<ul>
<li>防止下一個 Stuxnet 襲擊美國的項目資金於週日到期</li>
<li>安全性薄弱意味着攻擊者可以禁用整個城市的公共電動汽車充電器</li>
<li>電動汽車充電業務 ELECQ 遭到勒索軟件攻擊，客户聯繫數據被盜</li>
<li>混合雲有兩個攻擊面，而你對這兩個方面的關注都不夠</li>
</ul>
<p>“在 APT 演變的更廣泛背景下，fast16 彌合了早期、基本上不可見的發展程序與後期更廣泛記錄的基於 Lua 和 LuaJIT 的工具包之間的差距，” Kamluk 與 SentinelOne 同事 Juan Andrés Guerrero-Saade 寫道。</p>
<p>“它是理解先進行為者如何看待長期植入、破壞以及國家通過軟件重塑物理世界能力的參考點。fast16 是新型國家行為的無聲先驅，直到今天仍然成功地保持隱秘。”</p>
<p>在他的演講中，Kamluk 表示，他已向 fast16 目標的工程應用程序供應商披露了他的工作，因為他認為他們可能希望檢查其產品的輸出，以尋找惡意軟件產生不正確計算的證據。</p>
<p>“也許還有更多的發現即將到來？” 他總結道。</p>
<p>Kamluk 含淚將他的演講獻給了他的朋友和同事 Sergey Mineev，他表示 Mineev 負責發現許多極其重要的 APT，而沒有尋求對其工作的重視，並於三月去世。®</p>

<p>來自 SentinelOne 的研究人員發現了一種名為 fast16 的惡意軟件，該惡意軟件可能比 Stuxnet 蠕蟲早五年。該惡意軟件針對工程和物理仿真軟件，可能導致關鍵計算中的錯誤。分析表明，fast16 大約在 2005 年創建，因為它與 Windows XP 以後的系統不兼容。該惡意軟件的目的似乎是破壞，特別是在伊朗核計劃中使用的高精度工程應用程序中。研究結果在 Black Hat Asia 會議上公佈，突顯了網絡威脅和國家支持的破壞活動的演變</p>

<p>Black Hat Asia Infosec outfit SentinelOne found malware that tries to induce errors in engineering and physics simulation software and therefore represents an attempt at sabotage, and suggests it was created years before the Stuxnet worm that aimed to destroy Iran’s uranium enrichment centrifuges.</p>
<div class="lb-trans"><p>黑帽亞洲信息安全公司 SentinelOne 發現了一種惡意軟件，它試圖在工程和物理仿真軟件中引發錯誤，因此代表了一種破壞行為，並且暗示它是在旨在摧毀伊朗鈾濃縮離心機的 Stuxnet 蠕蟲出現之前幾年創建的。</p>
</div><p>The company’s Vitaly Kamluk discussed the malware in a talk at the Black Hat Asia conference today. SentinelOne has also published a blog post about the malware.</p>
<div class="lb-trans"><p>該公司的 Vitaly Kamluk 在今天的黑帽亞洲會議上討論了這一惡意軟件。SentinelOne 還發布了一篇關於該惡意軟件的博客文章。</p>
</div><p>Kamluk told the conference the discovery came about after he wondered if known nation-state-espionage tools like Flame, Animal Farm, and Project Sauron were the first of their kind. All three shared use of the Lua language and virtual machine, so he went looking for similar software.</p>
<div class="lb-trans"><p>Kamluk 在會議上表示，這一發現源於他對已知的國家級間諜工具如 Flame、Animal Farm 和 Project Sauron 是否是同類工具的思考。這三者都使用 Lua 語言和虛擬機，因此他開始尋找類似的軟件。</p>
</div><p>That search led to a malware sample uploaded to VirusTotal in 2016 that includes a reference to “fast16”.</p>
<div class="lb-trans"><p>這次搜索導致他發現了一個在 2016 年上傳到 VirusTotal 的惡意軟件樣本，其中包含對 “fast16” 的引用。</p>
</div><p>Kamluk’s analysis of the sample suggested the techniques its developers employed were not typical of 2016-era malware. SentinelOne researchers also recalled that the infamous ShadowBroker malware trove that appeared in 2016 and which was later linked to the United States National Security Agency, contained a reference to fast16.</p>
<div class="lb-trans"><p>Kamluk 對該樣本的分析表明，其開發者所採用的技術並不典型於 2016 年的惡意軟件。SentinelOne 的研究人員還回憶起 2016 年出現的臭名昭著的 ShadowBroker 惡意軟件庫，後來與美國國家安全局有關聯，其中也包含對 fast16 的引用。</p>
</div><p>SentinelOne thinks fast16 came into existence around 2005, based on clues in the code and the fact it won’t run on anything more recent than Windows XP – and even then only on a single-core CPU. Intel shipped its first multi-core consumer CPUs in 2006.</p>
<div class="lb-trans"><p>SentinelOne 認為 fast16 大約在 2005 年出現，基於代碼中的線索以及它無法在比 Windows XP 更新的系統上運行——即使在 Windows XP 上也只能在單核 CPU 上運行。英特爾在 2006 年推出了首款多核消費級 CPU。</p>
</div><p>The researchers analyzed the sample and found it tries to install a worm and deploy a driver called fast16.sys.</p>
<div class="lb-trans"><p>研究人員分析了該樣本，發現它試圖安裝一個蠕蟲並部署一個名為 fast16.sys 的驅動程序。</p>
</div><p>The driver includes a routine that alters the output of floating-point calculations and also goes looking for “precision calculation tools in specialised domains such as civil engineering, physics and physical process simulations.”</p>
<div class="lb-trans"><p>該驅動程序包含一個例程，用於改變浮點計算的輸出，並且還會尋找 “在土木工程、物理和物理過程仿真等專業領域中的精確計算工具。”</p>
</div><p>The researchers think fast16 targeted three high-precision engineering and simulation suites that were used in the mid-2000s: “LS-DYNA 970, PKPM, and the MOHID hydrodynamic modeling platform, all used for scenarios like crash testing, structural analysis, and environmental modeling.”</p>
<div class="lb-trans"><p>研究人員認為 fast16 針對的是 2000 年代中期使用的三款高精度工程和仿真軟件：“LS-DYNA 970、PKPM 和 MOHID 水動力建模平台，均用於碰撞測試、結構分析和環境建模等場景。”</p>
</div><p>Iran is thought to have used LS-DYNA in its nuclear weapons program.</p>
<div class="lb-trans"><p>據信伊朗在其核武器計劃中使用了 LS-DYNA。</p>
</div><p>Kamluk hypothesized that fast16’s purpose was to cause errors in calculations run by engineering simulation software, perhaps leading to real-world problems. And he asserted that fast16 was a cyberweapon that preceded Stuxnet by five years.</p>
<div class="lb-trans"><p>Kamluk 推測 fast16 的目的是在工程仿真軟件運行的計算中引發錯誤，可能導致現實世界的問題。他還斷言，fast16 是一種在 Stuxnet 之前五年的網絡武器。</p>
</div><ul>
<li>Funding for program to stop next Stuxnet from hitting US expired Sunday</li>
<li>Weak security means attackers could disable all of a city's public EV chargers</li>
<li>EV charger biz ELECQ zapped by ransomware crooks, customer contact data stolen</li>
<li>Hybrid clouds have two attack surfaces and you’re not paying enough attention to either</li>
</ul>
<div class="lb-trans"><ul>
<li>防止下一個 Stuxnet 襲擊美國的項目資金於週日到期</li>
<li>安全性薄弱意味着攻擊者可以禁用整個城市的公共電動汽車充電器</li>
<li>電動汽車充電業務 ELECQ 遭到勒索軟件攻擊，客户聯繫數據被盜</li>
<li>混合雲有兩個攻擊面，而你對這兩個方面的關注都不夠</li>
</ul>
</div><p>“In the broader picture of APT evolution, fast16 bridges the gap between early, largely invisible development programs and later, more widely documented Lua‑ and LuaJIT‑based toolkits,” Kamluk wrote with SentinelOne colleague Juan Andrés Guerrero-Saade.</p>
<div class="lb-trans"><p>“在 APT 演變的更廣泛背景下，fast16 彌合了早期、基本上不可見的發展程序與後期更廣泛記錄的基於 Lua 和 LuaJIT 的工具包之間的差距，” Kamluk 與 SentinelOne 同事 Juan Andrés Guerrero-Saade 寫道。</p>
</div><p>“It is a reference point for understanding how advanced actors think about long‑term implants, sabotage, and a state’s ability to reshape the physical world through software. fast16 was the silent harbinger of a new form of statecraft, successful in its covertness until today.”</p>
<div class="lb-trans"><p>“它是理解先進行為者如何看待長期植入、破壞以及國家通過軟件重塑物理世界能力的參考點。fast16 是新型國家行為的無聲先驅，直到今天仍然成功地保持隱秘。”</p>
</div><p>In his talk, Kamluk said he’s disclosed his work to the vendors of the engineering applications fast16 targets, because he feels they may want to check the output of their products for evidence that the malware produced incorrect calculations.</p>
<div class="lb-trans"><p>在他的演講中，Kamluk 表示，他已向 fast16 目標的工程應用程序供應商披露了他的工作，因為他認為他們可能希望檢查其產品的輸出，以尋找惡意軟件產生不正確計算的證據。</p>
</div><p>“Maybe there are more discoveries to come?” he concluded.</p>
<div class="lb-trans"><p>“也許還有更多的發現即將到來？” 他總結道。</p>
</div><p>Kamluk tearfully dedicated his talk to friend and colleague Sergey Mineev, who he said was responsible for finding many enormously significant APTs, without seeking attention for the significance of his work, and passed away in March. ®</p>
<div class="lb-trans"><p>Kamluk 含淚將他的演講獻給了他的朋友和同事 Sergey Mineev，他表示 Mineev 負責發現許多極其重要的 APT，而沒有尋求對其工作的重視，並於三月去世。®</p>
</div>

研究人員發現了一種可能比 Stuxnet 早五年的網絡破壞惡意軟件