文档 ID:CTI-2026-0520-FAST16发布日期:2026年5月20日分析师:Dennis Kim (HoKwang Kim, 김호광) — CEO, Betalabs Inc. / Independent CTI Analyst / Microsoft Azure MVPTLP: CLEAR

执行摘要

本报告是对 fast16破坏框架的综合分析。SentinelLABS 于 2026 年 4 月首次公开披露,Broadcom Symantec Threat Hunter Team 于 2026 年 5 月发布了后续分析。fast16 的代码库经确认编译于 2005 年前后,这表明比 Stuxnet 至少早 5 年,国家级网络破坏能力就已建成并投入运行。

Symantec 的后续分析为 SentinelLABS 未能解决的核心问题 — 攻击者究竟想要篡改什么— 提供了决定性答案。fast16 的钩子引擎以高精度爆炸仿真软件LS-DYNA和AUTODYN为目标,其内部逻辑仅在铀达到 30 g/cm³ 以上密度时才触发 — 也就是只有在内爆型(implosion-type)核武器中才能达到的冲击压缩条件。

主要结论 (Key Findings)

  • fast16 旨在隐秘篡改核武器设计核心步骤——高爆药内爆(implosion)仿真的输出值。
  • 以铀密度 30 g/cm³ 作为触发阈值,该值在自然界中无法达到,仅在核武器内爆压缩中可观测。
  • 钩子规则针对多达 10 种不同的 LS-DYNA/AUTODYN 构建版本进行了精细调优,表明这是一项跟踪目标组织软件更新长达数年的行动。
  • 由内嵌 Lua 5.0 虚拟机的载体、引导启动文件系统驱动程序、基于规则的代码补丁引擎构成的模块化架构,比 Flame、Project Sauron 等后期高端植入体早 3~5 年。
  • 自传播(蠕虫)机制被设计为仅限于同一子网内部,展现出不让其泄漏到目标网络之外的作战纪律。
  • 在 Shadow Brokers 泄露的 NSA "Territorial Dispute" 组件中,"fast16" 这一名称与 "Nothing to see here – carry on" 的规避签名一同出现,表明美国情报机构至少自 2017 年以前就已知晓该框架的存在。

威胁评估 (Threat Assessment)

项目 评估
归属推定 国家级行为者(Nation-State)。多项情境证据指向与美国情报机构相关的可能性,但官方上尚未归属。
行动期间 至少 2005 年前后 ~ 2010 年代中期(多构建版本追踪情境证据)。
目标行业 核武器研发、高爆药仿真、爆炸动力学研究机构。
技术精细度 顶级(Apex)。结合领域专业知识、编译器构件识别、多构建版本追踪的行动案例在同期没有可比对象。
运行影响 延迟并干扰目标核开发计划的设计验证。证明 Stuxnet 之前"物理过程破坏"的范式已经确立。

1. 发现的背景与意义

1.1 两个分析团队的协同发现

fast16 的公开经过两个阶段。2026 年 4 月 23 日,SentinelLABS 的 Vitaly Kamluk 和 Juan Andrés Guerrero-Saade 在追踪"使用嵌入式 Lua 虚拟机的最早精巧 Windows 恶意软件"的过程中,偶然发现 svcmgmt.exe 作为起点的分析公之于众。该分析识别了 fast16 的架构、自传播机制和基于 FPU 的补丁引擎的存在,但目标软件的确切身份和篡改的最终目的仍未得到阐明。

2026 年 5 月 16 日,Broadcom Symantec Threat Hunter Team 公布后续分析填补了这一空白。Symantec 分析了 SentinelLABS 提取的 101 条字节模式规则,确认 LS-DYNA 和 AUTODYN即为目标。更进一步地,通过对钩子代码的语义分析,Symantec 阐明了篡改机制仅在核武器内爆仿真的特定物理阶段才被激活这一决定性事实。

以阻挠核武器仿真过程为目的的国家级黑客行动计划。

1.2 Shadow Brokers 与 "Territorial Dispute" 的阴影

2017 年 4 月,Shadow Brokers 泄露的 NSA 工具组中的 Territorial Dispute (TeDi) 组件包含一份签名列表,用于识别 NSA 操作员在目标系统中可能遇到的"敌对"或"友好"植入体。该列表中的 "fast16" 条目附有以下指令:

fast16 *Nothing to see here – carry on*

这短短一行对分析师而言成为长达 9 年的未解之谜。"无需查看,继续行进"这一表达被解释为指示 NSA 操作员在遇到 fast16 时应予以回避,避免冲突和暴露。这表明 fast16 的运营者与 NSA 处于"去冲突化(deconfliction)关系" — 也就是说,是友好国家或同一阵营的行为者。SentinelLABS 的分析通过 svcmgmt.exe 内部的 PDB 路径 C:\buildy\driver\fd\i386\fast16.pdb,决定性地将 2005 年的二进制文件与 2017 年的泄露文档联系起来。

1.3 "Stuxnet 之前"意味着什么

Stuxnet 长期被视为"针对物理过程的首个网络破坏武器"。2010 年公开的 Stuxnet 以伊朗纳坦兹的铀浓缩离心机为目标,以在 PLC 固件层面精微操纵转速的精度,被认为开启了网络攻击的新时代。

fast16 的发现从根本上修正了这一历史叙述。fast16 与 Stuxnet 属于同一概念谱系— 不是针对厂商产品本身,而是针对该产品所仿真或控制的特定物理过程量身定制的恶意软件 — 但在时间上早约 5 年。这不仅是简单的优先级问题,而是确立了国家级物理过程破坏能力在 2005 年前后就已达到完成阶段这一事实,同时也提出了同期其他精巧植入体(Flame、Duqu、Equation 等)并非该谱系的"早期作品",而是已经成熟的开发计划之后期产物的可能性。

2. 技术架构

2.1 三组件模块化结构

fast16 框架由三个明确分离的组件构成:

组件 作用 主要特征
svcmgmt.exe 载体 / 传播模块 内嵌 Lua 5.0 VM。通过加密的 Lua 字节码执行传播逻辑、持久化、安装决策。约 315 KB。2005 年 8 月 30 日编译。
fast16.sys 内核驱动 / 补丁引擎 引导启动文件系统过滤驱动程序。注册到 SCSI 类组中,附加在 NTFS、FAT、MRxSMB 之上。EXPLORER.EXE 启动后激活。约 44 KB。
svcmgmt.dll 报告 / 遥测 注册为 MPR 网络提供者通知接收者。调用 WNetAddConnection 时被加载,通过 \\.\pipe\p577 命名管道报告新的共享连接信息。

2.2 svcmgmt.exe:基于 Lua VM 的载体

svcmgmt.exe 被伪装成 Windows 2000/XP 时代普通的控制台模式服务包装程序。然而其内部嵌入了 Lua 5.0 虚拟机,并施加了以下定制:

  • wstring 模块:原生 Unicode 处理
  • 符号加密模块 'b':嵌入式数据解密
  • 多个直接绑定到 Windows NT 文件系统、注册表、服务控制和网络 API 的模块

发现的线索来自于追踪 Lua 字节码魔术字节 1B 4C 75 61 (\x1bLua),这一点意义深远。Flame、Animal Farm 的 Bunny、PlexingEagle、Project Sauron 等后期顶级植入体都将 Lua VM 作为模块化的核心,而 fast16 作为其中最早的案例,比它们早约 3 年。

执行模式(命令行参数)

参数 行为
(无) 作为 Windows 服务运行
-p 设置 InstallFlag=1 后作为服务运行 (Propagate/Install & Run)
-i 设置 InstallFlag=1 后执行 Lua 代码 (Install & Execute Lua)
-r 不设置 InstallFlag,直接执行 Lua 代码 (Execute Lua)
<filename> IFEO 持久化模式。作为劫持合法程序的包装器/代理运行

2.3 fast16.sys:内核级精密破坏驱动

该框架最强大的组件 fast16.sys 配置为 Start=0(引导)、Type=2(文件系统驱动程序),注册到 SCSI 类组中,与磁盘设备驱动程序同时在极早阶段加载。加载后立即执行以下操作:

  • 禁用 Windows Prefetcher(EnablePrefetcher=0):强制后续代码页请求通过完整的文件系统栈进行路由
  • 通过基于 XOR 的字符串加密和扫描 ntoskrnl.exe 动态解析内核 API
  • 暴露 \Device\fast16 和 \??\fast16(DeviceType 0xA57C — 次要取证标记)
  • 通过 IoRegisterFsRegistrationChange 在现有及新增的文件系统设备上附加工作设备对象
  • 通过工作设备路由所有相关 I/O Request Packet,包括 IRP_MJ_CREATE、IRP_MJ_READ、IRP_MJ_CLOSE 等

虽然驱动程序在引导时加载,但内核级代码注入引擎仅在 EXPLORER.EXE 打开后才被激活。这是为了最小化对引导性能的影响(因为启动慢会引起调查),并将监控和打补丁推迟到桌面环境可用之后才执行的设计。

目标识别:Intel 编译器构件

驱动程序不会不加区分地篡改所有可执行文件。目标资格由两个条件的结合决定:

  • 文件扩展名为 .EXE- 在最后一个 PE 段头之后立即存在以 "Intel" 开头的可打印 ASCII 字符串(Intel C/C++ 编译器元数据)

这种筛选逻辑表明攻击者知道目标软件是用哪种工具链构建的。LS-DYNA 和 AUTODYN 均按行业惯例采用 Intel Fortran/C++ 编译器进行精密浮点运算的构建。

这是对高精度运算进行精巧的目标锁定。考虑到攻击者对高精度运算群体及行业惯例理解之深,绝非个人所能企及的水平。

3. 核心:破坏机制的语义分析

Symantec 后续分析的最决定性贡献,在于阐明了 fast16 在 LS-DYNA 和 AUTODYN 内部*究竟篡改了什么*。钩子引擎拥有 101 条字节模式规则,这些规则又可分为 9~10 个"钩子组"。每个组对应 LS-DYNA 或 AUTODYN 的某个特定构建版本。篡改逻辑分为三种机制。

3.1 机制 A:首次屏蔽后的输出缩放

当机制 A 的钩点第 1 次和第 16 次被命中时,fast16 仅返回控制(什么都不做)。之后,若仿真输入值介于 30 和 65 之间,则将输出值缩小至正常值的 10%,并继续保持在 10% 水平。

在初次两次调用时屏蔽篡改,被解释为为通过冷启动测试的反规避设计。也就是说,当用户在新环境中首次执行验证测试时,返回正常结果以避免怀疑;只有在实际运营仿真中才显现篡改。

在新的开发仿真环境中,运行已知可验证的数据值是实验的一般流程。因此在设计过程中精心实现,使其从一开始就不返回错误。

3.2 机制 B:LS-DYNA — 篡改铀压缩仿真

机制 B 以 LS-DYNA 为目标。钩点首先确认 EOS(状态方程,Equation of State)选择值:

EOS 编号 模型名称 物理含义
2 Jones-Wilkins-Lee (JWL) 高爆药爆炸产物的压力-体积关系标准模型
3 Sack Tuesday 高压冲击波压缩建模
7 Ignition and Growth of Reaction in High Explosives 高爆药反应生长模型(点火后传播仿真)

这三种模型都有一个共同特点:仅用于高爆药行为仿真。当 EOS 条件满足时,篡改例程会等到仿真的特定属性达到初始值的 5 倍。然后篡改 Cauchy 应力张量输出值(sig_xx、sig_yy、sig_zz)。

篡改的触发条件十分明确。当仿真材料的密度达到 30 g/cm³时,将 Cauchy 应力张量值减小至实际值的 1%。但并非立即降至 1%,而是按照在密度达到 60 g/cm³ 时变为 1% 的自然斜率减小。仿真并不需要实际达到 60 g/cm³,60 仅是用于计算斜率的基准点。

Cauchy 应力张量表示决定材料可压缩性的热力学压力。在 Symantec 的测试中,这种篡改在仿真模拟压缩至 33 g/cm³ 时,产生了比实际更高压缩率的结果。也就是说,仿真用户会判断已达到实际上无法达到的压缩水平。

3.3 机制 C:AUTODYN — 可变终端密度缩放

机制 C 以 AUTODYN 为目标,确认 EOS 编号 3 (Ideal Gas)、5 (JWL)、11 (Lee-Tarver)。此外还检查内存中是否存在 "$Loading co" 字符串(AUTODYN 特有标记)。

当仿真属性达到初始值的 5 倍且铀密度达到 30 g/cm³ 的压缩状态时,篡改开始。输出缩放根据软件版本如下不同:

起始密度 终端密度(斜率基准) 最终篡改率(相对实际值)
30 g/cm³ 60 g/cm³ 42%
30 g/cm³ 40 g/cm³ 10%
30 g/cm³ 47 g/cm³ 10%
30 g/cm³ 48 g/cm³ 8%

使用不同的终端密度表明*目标组织的设计阶段随时间演变*。每当目标使用的仿真版本发生变化,攻击者就设计新的篡改方法。101 条钩子规则被分为 9~10 个组这一事实,印证了这是一项跨越多达 10 个 LS-DYNA/AUTODYN 构建版本、持续多年的追踪行动。

由此可见,为阻挠核计划,对各个实验室的针对性攻击持续了多么长的时间。

4. 为什么是 30 g/cm³?— 与核武器设计的结合

fast16 的阈值 30 g/cm³ 并非任意选择的数字。这个值是自然界物质任何稳定状态都无法达到、仅在核武器内爆设计的冲击压缩条件下才被观测到的铀压缩密度。

4.1 内爆型(implosion-type)核武器的物理学

纯铀的常温密度约为 19.1 g/cm³。在该密度下,铀的临界质量过大,难以实现实用的武器设计。内爆型核武器的核心思想是用高爆药的精确同时爆炸将铀(或钚)核心包围起来,通过超高密度压缩降低临界质量,达到超临界状态。

随着压缩进行,铀原子核之间的距离减小,核裂变时释放的中子撞击其他铀核的概率呈指数增长。当这种链式反应超过临界水平时,核爆炸发生。fast16 的 30 g/cm³ 阈值相当于正常密度的约 1.57 倍,是仅在内爆压缩下才有可能达到的范围。

4.2 篡改的战略效应

fast16 的篡改可从两个方向同时摧毁核开发计划:

  • 假阳性 (False Positive): 使实际上未达到超临界的设计被错误判定为"成功",导致实际制造时无法工作的武器被生产出来。
  • 假阴性 (False Negative): 使可工作的设计被判定为"失败",让开发团队不断修改和重新仿真本应已经达到的设计,浪费时间和资源。
  • 阻断交叉验证: 由于自传播机制对同一网络的所有仿真系统一致地应用相同的篡改,通过在其他系统上重新运行相同仿真进行验证的"算术验证"防御被消除。

4.3 关于运行效果的情境证据

Symantec 提出了两项情境证据,表明目标组织可能已经察觉到 fast16 的影响:

  • 钩子组的时间倒序: 部分钩子规则组,在为更新版本添加的组之后,才为更早版本添加。这表明仿真用户在察觉结果异常并退回到更早版本时,攻击者随后将该更早版本作为新目标。
  • 频繁的版本更新: 存在针对 10 个不同构建版本的钩子组这一事实,意味着目标用户相对频繁地更新仿真软件,这可能是为应对结果异常的尝试。一般已安装的仿真软件,通常只在 PC 出故障时才会更新。

存在响应异常目标版本回滚的代码以及频繁的构建版本,这是核计划运营者已察觉异常现象的间接证据。

4.4 SentinelLABS 的补充目标假设

SentinelLABS 的初步分析通过模式匹配,除 LS-DYNA 970 之外,还识别出以下两种软件作为候选:

  • PKPM: 在中国广泛使用的结构工程 CAD 软件套件。用于建筑设计、抗震/风荷载分析。与核仿真没有直接关联,可能只是相同的钩子模式恰巧匹配。
  • MOHID: 葡萄牙里斯本理工大学开发的海洋/沿海水文动力学建模系统。用于水质、沉积物输送、油污泄漏建模。

Symantec 的后续分析通过钩子引擎的语义分析,确认了真正活跃的目标是 LS-DYNA 和 AUTODYN 的高爆药仿真。PKPM 和 MOHID 仅在钩子模式上部分匹配,由于 EOS 条件和密度阈值不满足,实际上篡改触发不会被激发。

SentinelLABS 报告引用的情境中值得注意的是,LS-DYNA 在与伊朗 AMAD 计划的高爆药载荷研究以及 JCPOA 第 T 节违规嫌疑相关的公开报告中被提及。Symantec 在分析中明确感谢 "Institute for Science and International Security" 的协助,这也强烈暗示 fast16 的推定目标是伊朗核开发计划(但两份报告均未做明确归属)。

5. 传播、持久化与运作纪律

5.1 安装前检查(Pre-installation Kill-Switch)

fast16 的运营者为避免暴露风险,构建了精巧的环境感知机制。安装前的 ok_to_install() 例程会检查以下内容:

  • 通过 NtfsMetaDataMutex 检查确保单一实例- 扫描共18 个安全产品注册表键,若任一存在则拒绝传播

被扫描的安全产品列表反映了 2005 年时"目标网络中预计会存在"的产品组合:

HKLM\SOFTWARE\Symantec\InstalledApps
HKLM\SOFTWARE\Sygate Technologies\Sygate Personal Firewall
HKLM\SOFTWARE\TrendMicro\PFW
HKLM\SOFTWARE\Zone Labs\TrueVector
HKLM\SOFTWARE\F-Secure
HKLM\SOFTWARE\Network Ice\BlackIce
HKLM\SOFTWARE\McAfee.com\Personal Firewall
HKLM\SOFTWARE\ComputerAssociates\eTrust EZ Armor
HKLM\SOFTWARE\Kerio\Personal Firewall 4
HKLM\SOFTWARE\KasperskyLab\InstalledProducts\Kaspersky Anti-Hacker
HKLM\SOFTWARE\Agnitum\Outpost Firewall
HKLM\SOFTWARE\Panda Software\Firewall
... (共 18 个)

5.2 持久化:滥用 Image File Execution Options (IFEO)

fast16 滥用 Windows 的 Image File Execution Options 功能建立持久化。它将自己的路径写入以下位置的 Debugger 值:

HKLM\Software\Microsoft\Windows NT\CurrentVersion\
  Image File Execution Options\<target>

由此,当用户运行目标应用程序时,Windows 会代为运行 fast16。fast16 执行以下序列:

  • 删除该注册表键
  • 运行原始应用程序
  • 为维持持久化,重新添加注册表键
  • 用 -r 参数将自己以正常执行模式重新运行

用户看到正常运行的应用程序,但劫持每次执行后都立即恢复。即便分析师发现注册表键,下次执行时也会自动复原,因此静态删除无效。(即使重新安装该仿真软件也无济于事。)

5.3 自传播:MPR + 管理共享

fast16 的传播机制分为两个阶段:

  • 提取 svcmgmt.dll并注册为MPR (Multiple Provider Router) 网络提供者通知接收者。该 DLL 加载到调用 WNetAddConnection 的所有进程中,通过命名管道 \\.\pipe\p577 报告新的共享连接。
  • 枚举所有域、服务器、共享以发现远程主机。将每个候选主机名解析为 IP,并按本地网络范围(10.x.x.x、172.16.x.x、192.168.x.x)和相同子网规则进行验证。
  • 对符合资格的机器,冒用本地登录用户凭据(impersonation),将自己复制到 \\<remote>\admin$\system32\svcmgmt.exe,创建远程 SvcMgmt 服务并启动执行。

"不向目标网络外泄漏"的有意限制

fast16 的传播机制被有意限制在同一子网和 RFC 1918 私有 IP 范围内,显示出作战纪律的强度。2000 年代中期的一般蠕虫试图无差别扩散到整个互联网,而 fast16 被设计为仅在目标设施隔离的研究网络内部运行。这意味着:

  • 核研究设施的气隙(air-gapped)或部分隔离网络是明确的目标环境
  • 偶然外部暴露风险最小化 — 运作安全(OPSEC)最优先
  • 初始渗透通过另外的手段(USB、供应链等)进行,fast16 是渗透后的内部扩散载荷

人力情报(HUMINT)—— 由人手将其引入实验室的封闭网络,然后以最小动作仅在封闭网络内部传播的结构,检测极为困难。

6. 关于国家规模网络攻击计划归属的情境分析

两份报告均未明示国家归属,但累积的情境证据有力地勾勒出行为者的轮廓。

6.1 Shadow Brokers 的 'Territorial Dispute' 签名

NSA 的 Territorial Dispute 组件是一个签名数据库,用于将 NSA 操作员在目标盒上可能遇到的其他植入体分类为"友好"或"敌对"。针对 fast16 的 "Nothing to see here – carry on" 指令被解释为指示 NSA 操作员遇到 fast16 时予以回避并去冲突化。

在 Crysys Lab 的 Boldizsár Bencsáth 博士的分析中,与其他签名相比,这一条目显得异常突出。这容许两种解读:

  • 五眼联盟或盟国行动: fast16 可能是与 NSA 处于去冲突化关系的盟友情报机构(GCHQ、ASIS、CSE、GCSB 或以色列 8200 部队等)的资产
  • NSA 自身行动的孤立分支: 同一机构内不同部门运作的行动,用作防止偶然冲突的内部去冲突化标记

6.2 领域专业知识的深度

fast16 的钩子规则所展示的领域知识水平,在 2005 年时难以找到可比对象:

  • 准确识别哪些 EOS 形式与高爆药建模相关
  • 事先了解 Intel Fortran 编译器在单精度显式动力学求解器中生成的调用约定
  • 理解 Cauchy 应力张量输出值的含义及其对仿真结果的影响
  • 准确预测哪类仿真会触发篡改门
  • 关于铀压缩临界密度区间(30~60 g/cm³)的核物理学知识

这些知识的结合意味着核武器设计经验者、爆炸动力学仿真专家、逆向工程师、系统程序员组成的跨学科团队进行了多年的合作。2005 年时能够调动这些资源的行为者极其有限。

6.3 编译器足迹和开发文化

SentinelLABS 在 fast16 二进制文件内部发现了形如 @(#)par.h $Revision: 1.3 $ 的字符串。这个 @(#) 前缀是 1970~80 年代 Unix SCCS (Source Code Control System) 和 RCS (Revision Control System) 工具的特征。

在 2005 年的 Windows 内核驱动程序中出现这种标记极为罕见,表明开发者并非"仅 Windows 开发者",而是有长期资历的高安全 Unix 环境出身的工程师 — 通常与政府或军事级工作相关联的开发者才能产生的开发风格。

代码是诚实的。是 Unix 系出身的开发者开发了 Windows 用的网络武器。

6.4 综合评估

综合这些情境,fast16 的运营者被推定为具有以下特征的行为者:

  • 国家情报机构或拥有相当资源和权限的组织
  • 与 NSA 处于足以去冲突化的"同阵营"或"友好"关系
  • 自有或可协作核武器设计与爆炸动力学领域的领域专家
  • 拥有基于 Unix 的长期运营开发文化、出身于军事/政府安全环境的开发团队
  • 对目标核计划(多数情境指向伊朗)具有多年持续的监视和访问能力

7. 失陷指标 (Indicators of Compromise)

7.1 文件哈希

文件名 哈希类型 值
fast16.sys MD5 0ff6abe0252d4f37a196a1231fae5f26
fast16.sys SHA1 92e9dcaf7249110047ef121b7586c81d4b8cb4e5
fast16.sys SHA256 07c69fc33271cf5a2ce03ac1fed7a3b16357aec093c5bf9ef61fbfa4348d0529
connotify.dll MD5 410eddfc19de44249897986ecc8ac449
connotify.dll SHA256 8fcb4d3d4df61719ee3da98241393779290e0efcd88a49e363e2a2dfbc04dae9
svcmgmt.exe MD5 dbe51eabebf9d4ef9581ef99844a2944
svcmgmt.exe SHA256 9a10e1faa86a5d39417cae44da5adf38824dfb9a16432e34df766aa1dc9e3525

7.2 基于主机的指标

  • 设备对象:\Device\fast16、\??\fast16
  • DeviceType 值:0xA57C
  • 服务名:SvcMgmt
  • 安装路径:%windir%\system32\svcmgmt.exe、%windir%\system32\drivers\fast16.sys
  • 命名管道:\\.\pipe\p577
  • PDB 路径字符串:C:\buildy\driver\fd\i386\fast16.pdb
  • Prefetcher 禁用:HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters\EnablePrefetcher = 0
  • 注册在 SCSI 类组中的未签名/未识别引导启动文件系统驱动

7.3 基于行为的检测

  • 动态地添加、删除、重新添加 Image File Execution Options 键 Debugger 值的模式
  • 在 MPR (Multiple Provider Router) NetworkProvider 键中注册新的通知接收 DLL
  • 通过 WNetAddConnection 回调进行非标准 DLL 注入
  • 通过本地 admin$ 共享复制 svcmgmt.exe 并尝试创建远程服务
  • 由 Intel C/C++ 编译器构建的 LS-DYNA/AUTODYN .EXE 文件在磁盘读取时,以添加了 .xdata、.pdata 节的形式加载到内存的现象

7.4 YARA 规则 (SentinelLABS 提供,节选)

SentinelLABS 在 GitHub 上公开了 apt_fast16_carrier、apt_fast16_driver、clean_fast16_patchtarget、apt_fast16_patch 共 4 条 YARA 规则。

核心签名:

// Lua 字节码魔术(载体识别)
$lua_magic = { 1B 4C 75 61 }

// 驱动 PDB 路径
$pdb1 = "C:\\buildy\\"
$pdb2 = "driver\\fd\\i386\\fast16.pdb"

// fast16 DeviceType (push 0A57Ch)
$devtype = { 68 7C A5 00 00 }

// SCCS/RCS 足迹
$a1 = "@(#)foo.c : "
$a2 = "@(#)par.h : "

8. 防御与响应建议

8.1 立即检查事项

本报告涉及 2005 年前后的代码库,在现代 Windows(Vista/7 及之后)上无法直接运行。但从两个角度需要进行检查:

  • "考古"检查: 如果有基于 Windows XP 或 Windows 2000 的遗留仿真工作站留存在隔离环境中,建议依据本 IoC 进行检查。
  • 现代化变种的可能性: Symantec 明确表示"现代化的 fast16 是否存在尚不清楚"。同一运营者将相同概念(高爆药 EOS 触发器、密度阈值篡改)移植到现代仿真软件(LS-DYNA R12、AUTODYN 2024 等)的后续行动,其存在的可能性不能排除。

8.2 一般建议 (Symantec)

  • 定期检查端点上加载的驱动程序清单,标记任何未签名或未识别的驱动
  • 部署应用程序控制,并精细调优以阻止未经批准的可执行文件和 DLL 运行
  • 启用 Symantec Endpoint Security 的 Adaptive Protection 功能,阻止环境中通常不使用的 dual-use 工具的使用

8.3 针对高精度计算环境的特化建议

针对核、航空航天、国防、先进物理仿真等运行高精度计算工作负载的组织的额外建议:

  • 结果完整性验证:在架构不同的另一系统(例如:x86 工作站 ↔ ARM/PowerPC HPC 节点)上交叉运行同一仿真,验证结果一致性。像 fast16 这样的 x86 特化篡改在其他架构上不会起作用。
  • 二进制完整性监控: 定期验证 LS-DYNA、AUTODYN、ANSYS、ABAQUS 等仿真可执行文件的 SHA256 哈希,并检查内存加载后是否添加了 .xdata、.pdata 等异常节。
  • 认识基于 Intel 编译器元数据的目标锁定: 考虑到目标锁定逻辑依赖于 PE 头部的 "Intel" 字符串,可能存在使用相同模式的其他破坏工具。在构建流水线中移除或更改此元数据可能是一种规避策略。
  • "异常结果"报告文化: 建立研究人员可以报告仿真结果细微异常的渠道。fast16 不会完全破坏结果,而是生成"看似合理的虚假",因此领域专家的直觉是第一道防线。
  • 阻断气隙环境中的横向移动: 最小化研究网络内所有 admin$ 共享、SMB 自动发现、自动凭据委派。

8.4 政策意涵

fast16 的发现表明网络破坏威胁比此前所知渗透得更早、更深。从东亚视角(尤其是中国、韩国、日本)看,以下政策意涵很重要:

  • 国家核心研究基础设施(中国科学院、清华大学、中国工程物理研究院等;韩国 KAIST、KAERI、KARI;日本 JAEA、JAXA 等)的仿真环境完整性审计体制需要审视
  • 在半导体、显示器、二次电池等东亚战略产业中使用的高精度仿真软件(TCAD、MEMS、流体力学、结构分析)同样存在类似破坏范式被应用的可能性
  • 超越以"数据窃取"为中心的既有安全范式,需要对"结果篡改"破坏建立专门的威胁建模
  • 将研究结果的可复现性和交叉验证基础设施重新认知为安全控制的方法

9. 结语 — 看不见的战争

fast16 的发现迫使我们重写网络破坏的历史叙述。2005 年前后,在 Stuxnet 出现的 5 年前,国家级行为者已经拥有:

  • 通过嵌入式脚本引擎的模块化植入体架构
  • 内核级文件系统过滤和内存补丁能力
  • 通过编译器构件的精密目标锁定
  • 跟踪多达 10 个软件构建版本、多年运营的行动基础设施
  • 准确认知核武器设计物理临界点的领域专业知识

借用 Symantec 的表述,fast16 属于与 Stuxnet 相同的概念谱系 — 不是针对厂商产品本身,而是针对该产品所仿真或控制的特定物理过程量身定制的恶意软件。决定性的一点在于时间上早 5 年。

SentinelLABS 的表述更令人印象深刻 — "fast16 是理解国家通过软件重塑物理世界的能力的一个参考点。它是一种新形态治国方略的沉默先声,直到今天仍在隐秘之中取得成功。"

几乎没有留下任何内部品牌信息的 fast16 运营者所留下的少数人类可读文本,以讽刺性的平淡凝结了该行动的特性:

* Nothing to see here – carry on *

我们过去 20 年究竟"未能看见"什么,以及至今仍未能看见什么——这一问题,才是 fast16 留下的真正遗产。

附录 A:参考资料和来源

附录 B:分析师信息与分发

项目 内容
分析师 Dennis Kim (HoKwang Kim, 김호광)
隶属 CEO, Betalabs Inc. (首尔) / Independent CTI Analyst / Microsoft Azure MVP
邮箱 [email protected]
GitHub github.com/gameworkerkim
Web3Paper web3paper.net/ko
文档 ID CTI-2026-0520-FAST16
TLP CLEAR — 自由分发(建议注明来源)
分发语言 韩语(原版)、英语、简体中文、日语

本报告将 SentinelLABS 和 Broadcom Symantec 的公开分析,从韩国网络威胁情报社区的视角进行了整合与重构。所有技术事实均基于原报告;解读和政策意涵为本分析师之观点。

文档结束