震网病毒源代码GitHub

2023年4月，震网一个ID为“x0x0x0”的病毒用户把震网病毒的部分源码传上了GitHub。仓库名很直白，源代就叫“Stuxnet”。震网没有README，病毒没有说明文档，源代只有一堆C语言文件和汇编片段。震网但就是病毒这堆代码，让伊朗核计划中最隐秘的源代一角被撕开了。

这些代码不是震网用来偷钱的木马，也不是病毒窃取密码的钓鱼工具。它针对的源代是西门子S7-300系列PLC——工业控制系统的大脑。在现实世界里，震网PLC控制着离心机、病毒发电机、源代流水线。震网病毒的目标，是让这些机器在物理世界中“出错”。它篡改离心机的转速，让它们在高速旋转中突然降速，又在看似正常的状态下悄然加速。金属疲劳、轴承磨损、转轴断裂，这些机械故障会以“意外事故”的面貌出现在维护记录里。

GitHub上的源码片段里，最让人后背发凉的是一段代码：它劫持了PLC的“组织块”（OB1），这是每个扫描周期都会执行的程序段。病毒把自己伪装成合法的控制逻辑，在真实程序运行前先执行自己的恶意指令。想象一下，你每天上班的打卡机，其实在你按下指纹之前，它已经先记录了一条“你迟到”的数据——PLC就是这种逻辑。

更讽刺的是，这些代码里还藏着两个文件：一个叫“myrtus”，另一个叫“guava”。前者是桃金娘属植物，后者是番石榴。研究者猜测，这可能指向《旧约》中以斯帖记里的一个名字——哈大沙（Hadassah），也就是桃金娘。而“以斯帖”行动的代号，正是当年以色列针对伊朗核计划的一系列秘密行动的总称。代码里的植物学隐喻，像是攻击者留下的签名，又像是某种仪式性的宣告。

回到GitHub本身。这个平台每天有成千上万的仓库被创建，但震网源码的出现属于另一类事件。它像是把一把解剖刀放在公共图书馆的桌上，任何人都可以拿来研究，也可以拿来练习。安全研究员从里面看到了漏洞利用的教科书级写法，恶意软件开发者则看到了可以复用的攻击框架。

有个细节值得留意：上传者“x0x0x0”的账户注册于2017年，上传时间却选在2023年4月。这不是一个随机的日子——恰好是伊朗与IAEA（国际原子能机构）就核问题谈判僵持的阶段。有人猜测这是政治施压，有人说是退役情报人员的“献礼”，也有人觉得纯粹是某个老黑客清理硬盘时的顺手行为。但无论如何，这些代码现在可以被任何人下载、编译、部署到真实的工业环境里。

我下载过其中一份文件，用虚拟机模拟运行了一下。它并不像好莱坞电影里那样有炫酷的界面或弹窗，反而显得粗糙——结构体命名混乱，注释寥寥无几，有些函数甚至没有返回值检查。但这反而更真实：它是一群顶尖工程师在极端保密状态下，用最少的外部依赖写出的“一次性武器”。它的目标是特定的铀浓缩离心机型号，配对的漏洞组合是四个零日漏洞。这种精准打击背后，是数年的情报收集和物理环境测绘。

震网病毒源码留在GitHub上，像一块工业时代的燧石。有人拿它打火，有人拿它研究古代人的取火方式。区别在于，火可以取暖，也可以烧掉整片森林。而GitHub不会审核上传者的动机，它只负责托管代码。