Stuxnet source code reading

Laurelai / decompile-dump
https://github.com/Laurelai/decompile-dump
嘘か真か、Stuxnetのソースコードらしいです。

Partial stuxnet source decompiled with boomerang, if anyone has better decompile tools feel free to contribute better versions

2011年2月14日 15:30(PST)現在で中身はこんな感じです。

./016169EBEBF1CEC2AAD6C7F0D0EE9026/016169EBEBF1CEC2AAD6C7F0D0EE9026.c
./055A3421813CAF77E1387FF77B2E2E28/055A3421813CAF77E1387FF77B2E2E28.c
./1E17D81979271CFA44D471430FE123A5/1E17D81979271CFA44D471430FE123A5.c
./30DF51C9F0D9B010350DC09ABE1E4E97/30DF51C9F0D9B010350DC09ABE1E4E97.c
./335707EABBE7FF256E0650432ACCEC9B/335707EABBE7FF256E0650432ACCEC9B.c
./37FC7C5D89F1E5A96F54318DF1A2B905/37FC7C5D89F1E5A96F54318DF1A2B905.c
./4589EF6876E9C8C05DCF4DB00A54887B/4589EF6876E9C8C05DCF4DB00A54887B.c
./74DDC49A7C121A61B8D06C03F92D0C13/74DDC49A7C121A61B8D06C03F92D0C13.c
./789F6F8DE3F140CF5D73BEF0B8ABAF78/789F6F8DE3F140CF5D73BEF0B8ABAF78.c
./7A4E2D2638A454442EFB95F23DF391A1/7A4E2D2638A454442EFB95F23DF391A1.c
./98FBEBD8883021FBE6464C37ACF17938/98FBEBD8883021FBE6464C37ACF17938.c
./a/a.c
./A3844A1B6BEA3F6FAF9C276858F40960/A3844A1B6BEA3F6FAF9C276858F40960.c
./C1CB4117D9998C79AE10C1B890C23A4D/C1CB4117D9998C79AE10C1B890C23A4D.c
./CA9EABEAB482524E5797C684398335D5/CA9EABEAB482524E5797C684398335D5.c
./CC1DB5360109DE3B857654297D262CA1/CC1DB5360109DE3B857654297D262CA1.c
./F8153747BAE8B4AE48837EE17172151E/F8153747BAE8B4AE48837EE17172151E.c
./F979C6A3E668C5073C4C6506461B034E/F979C6A3E668C5073C4C6506461B034E.c
./F9BAE53E77B31841235F698955AECE30/F9BAE53E77B31841235F698955AECE30.c
./log

ざっと見た感じ、mainあるいはWinMain関数は見当たりませんでした。代わりに789F6F8DE3F140CF5D73BEF0B8ABAF78.c と 7A4E2D2638A454442EFB95F23DF391A1.c の2つのファイルにDllMain関数があります。

7A4E2D2638A454442EFB95F23DF391A1.c

BOOL __stdcall DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpvReserved)
{
  int v3; // eax@2

  HMODULE v4; // eax@2


  sub_1000F9F2();
  if ( fdwReason == 1 )
  {
    loc_1000F9F7();
    v3 = sub_10010BBF((int)&unk_10042088);
    v4 = LoadLibraryA((LPCSTR)v3);
    sub_1000BDF5(v4);
    sub_1000F3E8();
  }
  return 1;
}

ここで呼び出している、sub_10010BBFが暗号化された構造体をほどく関数っぽい。v3に入った文字列らしきものをもとに、LoadLibraryAで外ぶらりブラリを読み込み。で、そのあと読み込んだライブラリの構造体のアドレスをdword_100420F4というグローバルな配列に突っ込んでる。

int __stdcall sub_1000BE50(int a1)
{
  return dword_100420F4[2 * a1];
}

こいつが、N番目に読み込んだライブラリの構造体を返す関数かな。

---

こっからはひねってあるデータの復号コード。

int __cdecl sub_10010BBF(int a1)
{
  int result; // eax@2

  if ( *(_BYTE *)(a1 + 8) )
  {
    sub_10010B9B(a1 + 11, *(_WORD *)(a1 + 9));
    *(_BYTE *)(a1 + 8) = 0;
    result = a1 + 11;
  }
  else
  {
    result = a1 + 11;
  }
  return result;
}

a1 + 8, a1 + 9, a1 + 11という3要素から、

struct {
  int a; // 0-3
  int b; // 4-7
  char c; // 8
  short d; // 9-10 : 文字数
  char e[N]; // 11- 暗号化された文字列
} 

という感じですかね。さらに追いかけると

void __cdecl sub_10010B9B(int a1, unsigned int a2)
{
  int v2; // edi@1

  v2 = 0;
  if ( a2 )
  {
    do
    {
      *(_BYTE *)(v2 + a1) -= sub_10010B6D(v2);
      ++v2;
    }
    while ( v2 < a2 );
  }
}

変換している。何文字目かによって変換規則が違う模様。

unsigned int __cdecl sub_10010B6D(int a1)
{
  int v2; // eax@1


  v2 = (a1 + 11) * (a1 + 17);
  return (a1 + 11) * (a1 + 17) ^ (((a1 + 11) * (a1 + 17) & 0xFFFFFF00 ^ ((((unsigned int)((a1 + 11) * (a1 + 17)) >> 8) ^ v2 & 0xFF0000) >> 8)) >> 8);
}

---

こいつが実質的なメインの関数ぽい。

char __cdecl sub_1000F3E8()
{
  char result; // al@1

  result = sub_1000F42C();
  if ( result )
  {
    result = sub_1000F405();
    if ( result )
    {
      sub_1000C37C();
      // ここでスレッドを作っている
      result = (unsigned int)sub_1000FB06(0, dwStackSize, (LPTHREAD_START_ROUTINE)StartAddress, 0, 0, 0);
    }
  }
  return result;
}

突っ込み始めるときりがない and リンクが切れているぽいところもあるので、とりあえずここまで。なんとなくの想像では、DLL読み込ませて常駐スレッドを生成するためのDLL？