網攻西北工大的真兇:美國國安局

袁宏

西北工業大學6月曾發表聲明，稱有來自境外的黑客組織和不法分子向學校師生發送包含木馬程序的釣魚郵件，企圖竊取相關師生郵件數據和公民個人信息。9月5日，《環球時報》從相關部門獲悉，“西北工業大學遭受境外網絡攻擊”的“真兇”是美國國家安全局（NSA）特定入侵行動辦公室（TAO）。在各部門的通力協作下，此次偵破行動全面還原了數年間NSA利用網絡武器發起的一系列攻擊行為，打破了一直以來美國對我國的“單向透明”優勢。

對于TAO針對中國的網絡目標實施的一系列惡意攻擊一，中國外交部發言人毛寧5日表示，美方行徑嚴重危害中國國家安全和公民個人信息安全。中方對此強烈譴責，要求美方作出解釋并立即停止不法行為。

真兇曝光：美國特定入侵行動辦公室

6月22日，西北工業大學發表聲明，稱有來自境外的黑客組織和不法分子向學校師生發送包含木馬程序的釣魚郵件，企圖竊取相關師生郵件數據和公民個人信息，給學校正常工作和生活秩序造成重大風險隱患。6月23日，西安市公安局碑林分局發布警情通報，稱已立案偵查，并對提取到的木馬和釣魚郵件樣本進一步開展技術分析。初步判定，此事件為境外黑客組織和不法分子發起的網絡攻擊行為。

針對“西北工業大學遭受境外網絡攻擊”，中國國家計算枕有毒應急處理中心和360公司聯合組成技術團隊（以下簡稱“技術團隊”）,對此案進行全面技術分析工作。技術團隊先后從西北工業大學的多個信息系統和上網終端中提取到了多款木馬樣本，綜合使用國內現有數據資源和分析手段，并得到了歐洲、南亞部分國家合作伙伴的通力支持。技術團隊初步判明對西北工業大學實施網絡攻擊行動的是NSA信息情報部（代號S)數據偵查局（代號S3)下屬TAO（代號S32)。

TAO成立于1998年，是目前美國政府專門從事對他國實施大規模網絡攻擊竊密活動的戰術實施單位，由2000多名軍人和文職人員組成，下設10個處室?！董h球時報》記者了解到，此案在NSA內部的攻擊行動代號為“阻擊XXXX”。直接參與指揮和行動的主要包括TAO負責人、遠程操作中心以及任務基礎設施技術處。除此之外，還有4個處室參與了此次行動。當時TAO負責人是羅伯特?喬伊斯。此人1967年9月13日出生，1993年畢業于約翰?霍普金斯大學，獲碩士學位，1989年進入NSA工作，2013年至2017年擔任TAO主任，現擔任NSA網絡安全局主管。

使用41種專屬網絡攻擊武器

本次調查發現,近年來，TAO對中國國內的網絡目標實施了上萬次的惡意網絡攻擊，控制了數以萬計的網絡設備，竊取了超過140GB的高價值數據。技術分析中還發現，TAO已于此次攻擊活動開始前，在美國多家大型知名互聯網企業的配合下，掌握了中國大量通信網絡設備的管理權限，為NSA持續侵入中國國內的重要信息網絡打開方便之門。

經溯源分析，技術團隊現已全部還原此次攻擊竊密過程：在針對西北工業大學的網絡攻擊中，TAO使用了41種NSA專屬網絡攻擊武器，持續對西北工業大學開展攻擊竊密，竊取該校關鍵網絡設備配置、網管數據、運維數據等核心技術數據。技術團隊累計發現NSA在西北工業大學內部滲透的攻擊鏈路1100余條、操作的指令序列90余個，掌握并固定了多條相關證據鏈，涉及在美國國內對中國直接發起網絡攻擊的人員13名，以及NSA通過掩護公司為構建網絡攻擊環境而與美國電信運營商簽訂的合同60余份,電子文件170余份。

鎖定四個IP地址

為掩護其攻擊行動，TAO在開始行動前進行了較長時間的準備工作，主要蛙行匿名化攻擊基礎設施的建設。TAO利用其掌握的針對SunOS操作系統的兩個“零日漏洞”，選擇了中國周邊國家的教育機構、商業公司等網絡應用流量較多的服務器為攻擊目標；攻擊成功后，安裝NOPEN木馬程序，控制了大批跳板機。據介紹，TAO在針對西北工業大學的網絡攻擊行動中先后使用了54臺跳板機和代理服務器，主要分布在日本、韓國、瑞典、波蘭、烏克蘭等17個國家，其中70%位于中國周邊，如日本、韓國等。

這些跳板機的功能僅限于指令中轉，即將上一級的跳板指令轉發到目標系統，從而掩蓋美國國家安全局發起網絡攻擊的真實IP。目前，技術團隊已經至少掌握TAO從其接入環境（美國國內電信運營商）控制跳板機的4個IP地址。同時，為了進一步掩蓋跳板機和代理服務器與NSA之間的關聯關系，NSA使用了美國Register公司的匿名保護服務，對相關域名、證書以及注冊人等可溯源信息進行匿名化處理，令受攻擊者無法通過公開渠道進行查詢。

技術團隊通過威脅情報數據關聯分析，發現針對西北工業大學的攻擊平臺所使用的網絡資源共涉及5臺代理服務器，NSA通過秘密成立的兩家掩護公司向美國泰瑞馬克(Terremark)公司購買了埃及、荷蘭和哥倫比亞等地的IP地址，并租用一批服務器。這兩家公司分別為杰克?史密斯咨詢公司(Jackson Smith Consultants)和穆勒多元系統公司(Mueller Diversified Systems)同時，技術團隊還發現，TAO基礎設施技術處(MIT)工作人員使用“阿曼達?拉米雷斯(Amanda Ramirea)”的名字匿名購買域名和一份通用的SSL證書。隨后，上述域名和證書被部署在位于美國本土的中間人攻擊平臺“酸狐貍”（Foxacid)上，對中國的大量網絡目標開展攻擊，特別是對西北工業大學等中國信息網絡目標展開了多輪持續性的攻擊、竊密行動。

打破美國“單向透明”優勢

根據介紹,，一直以來，NSA針對我國各行業龍頭企業、政府、大學、醫療機構、科研機構甚至關乎國計民生的重要信息基礎設施運維單位等機構，長期進行秘密黑客攻擊活動。其行為或對我國的國防安全、關鍵基礎設施安全、金融安全、社會安全、生產安全以及公民個人信息造成嚴重危害。

此次西北工業大學聯合中國國家計算機病毒應急處理中心與360公司，全面還原了數年間NSA利用網絡武器發起的一系列攻擊行為，打破了一直以來美國對我國的“單向透明”優勢。面對國家級背景的強大對手，首先要知道風險在哪，是什么樣的風險，什么時候的風險，從此次美國NSA攻擊事件也可證明，看不見就要挨打,這是一次三方集中精力聯手攻克“看見”難題的成功實踐，幫助國家真正感知風險、看見威脅、抵御攻擊，將境外黑客攻擊暴露在陽光下。

西北工業大學聯合相關部門積極采取防御措施的行動將成為世界各國有效防范抵御NSA網絡攻擊行為的有力借鑒，《環球時報》也將持續關注此事的進展情況?！?/p>