西北工業(yè)大學(xué)遭美國(guó)NSA網(wǎng)絡(luò)攻擊事件調(diào)查

今天（5日），國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心和360公司分別發(fā)布了關(guān)于西北工業(yè)大學(xué)遭受境外網(wǎng)絡(luò)攻擊的調(diào)查報(bào)告。報(bào)告顯示網(wǎng)絡(luò)攻擊源頭系美國(guó)國(guó)家安全局（NSA）。 NSA使用41種網(wǎng)絡(luò)攻擊武器竊取數(shù)據(jù) 此次調(diào)查發(fā)現(xiàn)，針對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊中，美國(guó)國(guó)家安全局（NSA）下屬的特定入侵行動(dòng)辦公室（TAO）使用了40余種不同的專屬網(wǎng)絡(luò)攻擊武器，持續(xù)對(duì)西北工業(yè)大學(xué)開(kāi)展攻擊竊密，竊取該校關(guān)鍵網(wǎng)絡(luò)設(shè)備配置、網(wǎng)管數(shù)據(jù)、運(yùn)維數(shù)據(jù)等核心技術(shù)數(shù)據(jù)。 此次遭受攻擊的西北工業(yè)大學(xué)位于陜西西安，隸屬于工業(yè)和信息化部，是一所多科性、研究型、開(kāi)放式大學(xué)。 西安市公安局碑林分局副局長(zhǎng)靳琪：西北工業(yè)大學(xué)是目前我國(guó)從事航空、航天、航海工程教育和科學(xué)研究領(lǐng)域的重點(diǎn)大學(xué)，擁有大量國(guó)家頂級(jí)科研團(tuán)隊(duì)和高端人才，承擔(dān)國(guó)家多個(gè)重點(diǎn)科研項(xiàng)目，地位十分特殊，網(wǎng)絡(luò)安全十分關(guān)鍵。由于其所具有的特殊地位和從事的敏感科學(xué)研究，所以才成為此次網(wǎng)絡(luò)攻擊的針對(duì)性目標(biāo)。 調(diào)查報(bào)告顯示，美國(guó)國(guó)家安全局（NSA）在對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊行動(dòng)中，先后使用了41種專用網(wǎng)絡(luò)攻擊武器裝備，僅后門(mén)工具“狡詐異端犯”（NSA命名）就有14款不同版本。 360公司網(wǎng)絡(luò)安全專家邊亮：在前期的話，它會(huì)有一些偵察的模塊。那么偵察之后發(fā)現(xiàn)，如果說(shuō)它的目標(biāo)環(huán)境當(dāng)中，可能比如說(shuō)有的需要去竊取密碼或者竊取重要情報(bào)信息，根據(jù)不同的情況、不同的系統(tǒng)或者不同的平臺(tái)，去定制化進(jìn)行武器的攻擊和投遞。 通過(guò)取證分析，技術(shù)團(tuán)隊(duì)累計(jì)發(fā)現(xiàn)攻擊者在西北工業(yè)大學(xué)內(nèi)部滲透的攻擊鏈路多達(dá)1100余條、操作的指令序列90余個(gè)，并從被入侵的網(wǎng)絡(luò)設(shè)備中定位了多份遭竊取的網(wǎng)絡(luò)設(shè)備配置文件、遭嗅探的網(wǎng)絡(luò)通信數(shù)據(jù)及口令、其他類型的日志和密鑰文件以及其他與攻擊活動(dòng)相關(guān)的主要細(xì)節(jié)。 技術(shù)團(tuán)隊(duì)將此次攻擊活動(dòng)中所使用的武器類別分為四大類，具體包括：1、漏洞攻擊突破類武器；2、持久化控制類武器；3、嗅探竊密類武器；4、隱蔽消痕類武器。 國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師杜振華：從最開(kāi)始的這種漏洞的攻擊突破，突破之后去投送這種第二類的，我們說(shuō)持久控制類的武器工具。那么再到第三類，那么它實(shí)現(xiàn)這種嗅探的竊密，那么長(zhǎng)期的潛伏竊取我們重要的數(shù)據(jù)，然后把這個(gè)攻擊活動(dòng)，它認(rèn)為任務(wù)已經(jīng)完成之后，那么開(kāi)始使用第四類的武器就是隱蔽消痕類，把現(xiàn)場(chǎng)清理干凈，讓被害人無(wú)法察覺(jué)。 此次調(diào)查報(bào)告披露，美國(guó)國(guó)家安全局（NSA）利用大量網(wǎng)絡(luò)攻擊武器，針對(duì)我國(guó)各行業(yè)龍頭企業(yè)、政府、大學(xué)、醫(yī)療、科研等機(jī)構(gòu)長(zhǎng)期進(jìn)行秘密黑客攻擊活動(dòng)。 360公司創(chuàng)始人周鴻祎：就是瞄準(zhǔn)國(guó)家的這種科研機(jī)構(gòu)、政府部門(mén)、軍工單位、高校這些地方來(lái)竊取情報(bào)或者竊取數(shù)據(jù)，它從攻擊從策劃到部署，到通過(guò)很長(zhǎng)的這種跳板，一直到攻到核心崗位里面，大概持續(xù)的時(shí)間有的要長(zhǎng)達(dá)數(shù)年。那么危害也就非常大，因?yàn)槲磥?lái)我們整個(gè)國(guó)家都在搞數(shù)字化，我們很多重要的這種業(yè)務(wù)都是由數(shù)據(jù)來(lái)驅(qū)動(dòng)，你想數(shù)據(jù)一旦被偷竊或一旦被破壞，肯定會(huì)帶來(lái)嚴(yán)重的風(fēng)險(xiǎn)。 調(diào)查同時(shí)發(fā)現(xiàn)，美國(guó)國(guó)家安全局（NSA）還利用其控制的網(wǎng)絡(luò)攻擊武器平臺(tái)、“零日漏洞”（Oday）和網(wǎng)絡(luò)設(shè)備，長(zhǎng)期對(duì)中國(guó)的手機(jī)用戶進(jìn)行無(wú)差別的語(yǔ)音監(jiān)聽(tīng)，非法竊取手機(jī)用戶的短信內(nèi)容，并對(duì)其進(jìn)行無(wú)線定位。 NSA掩蓋真實(shí)IP精心偽裝網(wǎng)絡(luò)攻擊痕跡 此次調(diào)查報(bào)告披露，美國(guó)國(guó)家安全局（NSA）為了隱匿其對(duì)西北工業(yè)大學(xué)等中國(guó)信息網(wǎng)絡(luò)實(shí)施網(wǎng)絡(luò)攻擊的行為，做了長(zhǎng)時(shí)間準(zhǔn)備工作，并且進(jìn)行了精心偽裝。 技術(shù)團(tuán)隊(duì)分析發(fā)現(xiàn)，美國(guó)國(guó)家安全局（NSA）下屬的特定入侵行動(dòng)辦公室（TAO）在開(kāi)始行動(dòng)前會(huì)進(jìn)行較長(zhǎng)時(shí)間的準(zhǔn)備工作，主要進(jìn)行匿名化攻擊基礎(chǔ)設(shè)施的建設(shè)。特定入侵行動(dòng)辦公室（TAO）利用其掌握的針對(duì)SunOS操作系統(tǒng)的兩個(gè)“零日漏洞”利用工具，選擇了中國(guó)周邊國(guó)家的教育機(jī)構(gòu)、商業(yè)公司等網(wǎng)絡(luò)應(yīng)用流量較多的服務(wù)器為攻擊目標(biāo)；攻擊成功后，即安裝NOPEN木馬程序，控制了大批跳板機(jī)。 特定入侵行動(dòng)辦公室（TAO）在針對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊行動(dòng)中先后使用了54臺(tái)跳板機(jī)和代理服務(wù)器，主要分布在日本、韓國(guó)、瑞典、波蘭、烏克蘭等17個(gè)國(guó)家，其中70%位于中國(guó)周邊國(guó)家，如日本、韓國(guó)等。其中，用以掩蓋真實(shí)IP的跳板機(jī)都是精心挑選,所有IP均歸屬于非“五眼聯(lián)盟”國(guó)家。 針對(duì)西北工業(yè)大學(xué)攻擊平臺(tái)所使用的網(wǎng)絡(luò)資源涉及代理服務(wù)器，美國(guó)國(guó)家安全局（NSA）通過(guò)秘密成立的兩家掩護(hù)公司購(gòu)買(mǎi)了埃及、荷蘭和哥倫比亞等地的IP，并租用一批服務(wù)器。 國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師杜振華：它是使用這種虛擬身份，或者是代理人的身份。那么去租用和購(gòu)買(mǎi)互聯(lián)網(wǎng)上的這種服務(wù)器、IP地址、域名，甚至它還可以通過(guò)這種網(wǎng)絡(luò)攻擊的手段，在對(duì)方不知情的情況下，接管第三方用戶的這種服務(wù)器資源。那么來(lái)實(shí)施網(wǎng)絡(luò)攻擊，實(shí)現(xiàn)這種借刀殺人的效果。 美國(guó)國(guó)家安全局（NSA）為了保護(hù)其身份安全，使用了美國(guó)隱私保護(hù)公司的匿名保護(hù)服務(wù)，相關(guān)域名和證書(shū)均指向無(wú)關(guān)聯(lián)人員，以便掩蓋真實(shí)攻擊平臺(tái)對(duì)西北工業(yè)大學(xué)等中國(guó)信息網(wǎng)絡(luò)展開(kāi)的多輪持續(xù)性攻擊、竊密行動(dòng)。 國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師杜振華：有了這些跳板機(jī)之后，TAO就可以躲在這些跳板機(jī)的后面，去向目標(biāo)發(fā)動(dòng)網(wǎng)絡(luò)攻擊。這樣從受害者的角度去看，即使他發(fā)現(xiàn)了攻擊，實(shí)際上也是這些跳板機(jī)的。那么這樣起到一個(gè)，就是對(duì)真實(shí)的攻擊來(lái)源網(wǎng)絡(luò)地址的一個(gè)保護(hù)的這種作用。 技術(shù)團(tuán)隊(duì)還發(fā)現(xiàn)，相關(guān)網(wǎng)絡(luò)攻擊活動(dòng)開(kāi)始前，美國(guó)國(guó)家安全局（NSA）在美國(guó)多家大型知名互聯(lián)網(wǎng)企業(yè)配合下，將掌握的中國(guó)大量通信網(wǎng)絡(luò)設(shè)備的管理權(quán)限，提供給美國(guó)國(guó)家安全局等情報(bào)機(jī)構(gòu)，為持續(xù)侵入中國(guó)國(guó)內(nèi)的重要信息網(wǎng)絡(luò)大開(kāi)方便之門(mén)。 TAO到底是什么？網(wǎng)絡(luò)攻擊竊密活動(dòng)的戰(zhàn)術(shù)實(shí)施單位 據(jù)調(diào)查報(bào)告顯示，美國(guó)國(guó)家安全局（NSA）下屬的“特定入侵行動(dòng)辦公室”(TAO)不僅對(duì)中國(guó)國(guó)內(nèi)的各重點(diǎn)企業(yè)和機(jī)構(gòu)實(shí)施惡意網(wǎng)絡(luò)攻擊，而且還長(zhǎng)期對(duì)中國(guó)的手機(jī)用戶進(jìn)行無(wú)差別的語(yǔ)音監(jiān)聽(tīng)，非法竊取手機(jī)用戶的短信內(nèi)容，并對(duì)其進(jìn)行無(wú)線定位。那么這個(gè)簡(jiǎn)稱TAO的特定入侵行動(dòng)辦公室到底是一個(gè)什么機(jī)構(gòu)呢？ 經(jīng)技術(shù)分析和網(wǎng)上溯源調(diào)查發(fā)現(xiàn)，實(shí)施此次網(wǎng)絡(luò)攻擊行動(dòng)美國(guó)國(guó)家安全局（NSA）下屬特定入侵行動(dòng)辦公室（TAO）部門(mén)，成立于1998年，其力量部署主要依托美國(guó)國(guó)家安全局（NSA）在美國(guó)和歐洲的各密碼中心。目前已被公布的六個(gè)密碼中心分別是： 1、國(guó)安局馬里蘭州的米德堡總部; 2、瓦湖島的國(guó)安局夏威夷密碼中心（NSAH）； 3、戈登堡的國(guó)安局喬治亞密碼中心（NSAG）； 4、圣安東尼奧的國(guó)安局得克薩斯密碼中心（NSAT）; 5、丹佛馬克利空軍基地的國(guó)安局科羅拉羅密碼中心（NSAC）; 6、德國(guó)達(dá)姆施塔特美軍基地的國(guó)安局歐洲密碼中心（NSAE）。 特定入侵行動(dòng)辦公室TAO是目前美國(guó)政府專門(mén)從事對(duì)他國(guó)實(shí)施大規(guī)模網(wǎng)絡(luò)攻擊竊密活動(dòng)的戰(zhàn)術(shù)實(shí)施單位，由2000多名軍人和文職人員組成。下設(shè)10個(gè)單位： 1、遠(yuǎn)程操作中心（ROC，代號(hào)S321），主要負(fù)責(zé)操作武器平臺(tái)和工具進(jìn)入并控制目標(biāo)系統(tǒng)或網(wǎng)絡(luò)。 2、先進(jìn)/接入網(wǎng)絡(luò)技術(shù)處（ANT，代號(hào)S322），負(fù)責(zé)研究相關(guān)硬件技術(shù)，為T(mén)AO網(wǎng)絡(luò)攻擊行動(dòng)提供硬件相關(guān)技術(shù)和武器裝備支持。 3、數(shù)據(jù)網(wǎng)絡(luò)技術(shù)處（DNT，代號(hào)S323），負(fù)責(zé)研發(fā)復(fù)雜的計(jì)算機(jī)軟件工具，為T(mén)AO操作人員執(zhí)行網(wǎng)絡(luò)攻擊任務(wù)提供支撐。 4、電信網(wǎng)絡(luò)技術(shù)處（TNT，代號(hào)S324），負(fù)責(zé)研究電信相關(guān)技術(shù)，為T(mén)AO操作人員隱蔽滲透電信網(wǎng)絡(luò)提供支撐。 5、任務(wù)基礎(chǔ)設(shè)施技術(shù)處（MIT，代號(hào)S325），負(fù)責(zé)開(kāi)發(fā)與建立網(wǎng)絡(luò)基礎(chǔ)設(shè)施和安全監(jiān)控平臺(tái)，用于構(gòu)建攻擊行動(dòng)網(wǎng)絡(luò)環(huán)境與匿名網(wǎng)絡(luò)。 6、接入行動(dòng)處（AO，代號(hào)S326），負(fù)責(zé)通過(guò)供應(yīng)鏈，對(duì)擬送達(dá)目標(biāo)的產(chǎn)品進(jìn)行后門(mén)安裝。 7、需求與定位處（R&T，代號(hào)S327）；接收各相關(guān)單位的任務(wù)，確定偵察目標(biāo)，分析評(píng)估情報(bào)價(jià)值。 8、接入技術(shù)行動(dòng)處（ATO，編號(hào)S328），負(fù)責(zé)研發(fā)接觸式竊密裝置，并與美國(guó)中央情報(bào)局和聯(lián)邦調(diào)查局人員合作，通過(guò)人力接觸方式將竊密軟件或裝置安裝在目標(biāo)的計(jì)算機(jī)和電信系統(tǒng)中。 9、S32P：項(xiàng)目計(jì)劃整合處（PPI，代號(hào)S32P），負(fù)責(zé)總體規(guī)劃與項(xiàng)目管理。 10、NWT：網(wǎng)絡(luò)戰(zhàn)小組（NWT），負(fù)責(zé)與133個(gè)網(wǎng)絡(luò)作戰(zhàn)小隊(duì)聯(lián)絡(luò)。 美國(guó)國(guó)家安全局NSA針對(duì)西北工業(yè)大學(xué)的攻擊竊密行動(dòng)負(fù)責(zé)人是羅伯特·喬伊斯（RobertEdwardJoyce）。此人于1967年9月13日出生，1989年進(jìn)入美國(guó)國(guó)家安全局工作。曾經(jīng)擔(dān)任過(guò)“特定入侵行動(dòng)辦公室TAO”副主任、主任，現(xiàn)擔(dān)任美國(guó)國(guó)家安全局NSA網(wǎng)絡(luò)安全主管。 你的信息也可能被泄露！專家呼吁提高網(wǎng)絡(luò)安全防范 調(diào)查報(bào)告顯示，一直以來(lái)，美國(guó)國(guó)家安全局（NSA）針對(duì)我國(guó)各行業(yè)龍頭企業(yè)、政府、大學(xué)、醫(yī)療機(jī)構(gòu)、科研機(jī)構(gòu)甚至關(guān)乎國(guó)計(jì)民生的重要信息基礎(chǔ)設(shè)施運(yùn)維單位等機(jī)構(gòu)長(zhǎng)期進(jìn)行秘密黑客攻擊活動(dòng)。其行為或?qū)ξ覈?guó)的國(guó)防安全、關(guān)鍵基礎(chǔ)設(shè)施安全、金融安全、社會(huì)安全、生產(chǎn)安全以及公民個(gè)人信息造成嚴(yán)重危害，值得我們深思與警惕。 此次西北工業(yè)大學(xué)聯(lián)合中國(guó)國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心與360公司，全面還原了數(shù)年間美國(guó)國(guó)家安全局（NSA）利用網(wǎng)絡(luò)武器發(fā)起的一系列攻擊行為，打破了一直以來(lái)美國(guó)對(duì)我國(guó)的單向透明優(yōu)勢(shì)。面對(duì)國(guó)家級(jí)背景的強(qiáng)大對(duì)手，首先要知道風(fēng)險(xiǎn)在哪，是什么樣的風(fēng)險(xiǎn)，什么時(shí)候的風(fēng)險(xiǎn)。 360公司創(chuàng)始人周鴻祎：只要能迅速發(fā)現(xiàn)，能看見(jiàn)這種威脅，感知到這種攻擊。那么就能夠定位溯源，就知道它從哪進(jìn)來(lái)的，知道他們用什么漏洞進(jìn)來(lái)的，然后就能把它給處置掉，把它清理掉，同時(shí)把該修補(bǔ)的漏洞都修補(bǔ)上。 調(diào)查報(bào)告認(rèn)為，西北工業(yè)大學(xué)此次公開(kāi)發(fā)布遭受境外網(wǎng)絡(luò)攻擊的聲明，本著實(shí)事求是、絕不姑息的決心，堅(jiān)決一查到底，積極采取防御措施的行動(dòng)值得遍布全球的美國(guó)國(guó)家安全局（NSA）網(wǎng)絡(luò)攻擊活動(dòng)受害者學(xué)習(xí)，這將成為世界各國(guó)有效防范抵御美國(guó)國(guó)家安全局（NSA）后續(xù)網(wǎng)絡(luò)攻擊行為的有力借鑒。