今(jin)天，國(guo)(guo)家計算機病毒應(ying)急處理中(zhong)心和360公(gong)司(si)分別(bie)發布關于(yu)西北(bei)工(gong)業大學遭受境外網絡(luo)攻擊的(de)(de)調查(cha)報(bao)告，初步判定相關攻擊活動(dong)的(de)(de)“真兇”為美國(guo)(guo)國(guo)(guo)家安全局（NSA）下屬的(de)(de)特定入(ru)侵行(xing)動(dong)辦公(gong)室（Office of Tailored Access Operation，簡稱TAO），目前相關證據已被上報(bao)國(guo)(guo)家有(you)關部門。
“網(wang)絡(luo)安(an)全(quan)(quan)為人(ren)民(min)，網(wang)絡(luo)安(an)全(quan)(quan)靠(kao)人(ren)民(min)”。今天，不知道大(da)家(jia)是否有(you)收到來(lai)自中國聯通推送的國家(jia)網(wang)絡(luo)安(an)全(quan)(quan)宣傳周(zhou)公益(yi)短信(xin)，9月5日(ri)(ri)至11日(ri)(ri)是2022年國家(jia)網(wang)絡(luo)安(an)全(quan)(quan)宣傳周(zhou)，9月7日(ri)(ri)是宣傳周(zhou)電信(xin)日(ri)(ri)。可能(neng)平(ping)時大(da)家(jia)并不會(hui)(hui)在意這(zhe)樣一條短信(xin)，但(dan)今天的一件(jian)大(da)事可能(neng)會(hui)(hui)讓你有(you)所改觀。
也就在宣傳周開始(shi)的第一(yi)天，國家(jia)計算(suan)機病毒應急處理中(zhong)心和360公司分別發布了關于(yu)西北(bei)工(gong)業大學遭(zao)受(shou)境外網絡攻(gong)擊的調(diao)查報(bao)告，報(bao)告顯示，經過技術團隊對相(xiang)(xiang)關攻(gong)擊事件(jian)全面還原，初步判定相(xiang)(xiang)關攻(gong)擊活動(dong)的“真兇”為(wei)美國國家(jia)安全局(ju)（NSA）下屬的特定入侵行(xing)動(dong)辦公室（Office of Tailored Access Operation，簡稱TAO），目(mu)前(qian)相(xiang)(xiang)關證(zheng)據已(yi)被上(shang)報(bao)國家(jia)有關部門。
此外(wai)報(bao)告中還(huan)(huan)提到，多年來，TAO對(dui)我國(guo)國(guo)內的(de)網(wang)絡目標實施了(le)上萬次的(de)惡意(yi)網(wang)絡攻擊(ji)，控制(zhi)了(le)數(shu)以萬計(ji)的(de)網(wang)絡設備，包括網(wang)絡服務器(qi)(qi)、上網(wang)終端(duan)、網(wang)絡交換(huan)機、電(dian)話(hua)交換(huan)機、路由器(qi)(qi)、防火墻等，竊取高價值數(shu)據超過140GB。并(bing)且，TAO還(huan)(huan)利用其網(wang)絡攻擊(ji)武器(qi)(qi)平臺、“零日漏(lou)洞”（0day）及其控制(zhi)的(de)網(wang)絡設備等，持續擴大著(zhu)網(wang)絡的(de)攻擊(ji)和范圍(wei)。
“真(zhen)兇”曝光！證據確鑿(zao)
今年(nian)4月，西(xi)安市公安機(ji)關接到(dao)了(le)一起網絡攻擊(ji)的報警(jing)，報案(an)(an)的是西(xi)北工(gong)業大學(xue)(xue)。據信(xin)息(xi)化建(jian)設和(he)管理處副處長兼信(xin)息(xi)中心主任(ren)宋強介(jie)紹，該(gai)校(xiao)信(xin)息(xi)系統發(fa)現了(le)木馬程序，企圖非法(fa)獲取權(quan)限，這給學(xue)(xue)校(xiao)的正常(chang)工(gong)作(zuo)和(he)生(sheng)活秩序造(zao)成了(le)重大的風險隱患。隨(sui)后西(xi)安市公安局立即組織警(jing)力，與網絡安全技術專家成立聯合專案(an)(an)組對此案(an)(an)進行立案(an)(an)偵查。
6月(yue)22日，西北工業(ye)大(da)學(xue)面向社會面再次(ci)發(fa)布聲明，稱(cheng)有來自(zi)境(jing)外的(de)(de)黑客(ke)組織和(he)不法分(fen)子向學(xue)校師(shi)(shi)生發(fa)送包含木(mu)馬程序的(de)(de)釣魚(yu)郵件，企圖(tu)竊取(qu)相關師(shi)(shi)生郵件數據和(he)公民個人(ren)信息(xi)。隨后西安市公安局碑林分(fen)局發(fa)布警情(qing)通報，證實了西北工業(ye)大(da)學(xue)的(de)(de)說法，并對提取(qu)到(dao)的(de)(de)木(mu)馬和(he)釣魚(yu)郵件樣本進(jin)一步(bu)開(kai)展技術分(fen)析(xi)。
隨著調查的進行，今天一切的真相得以浮出水面。根據央視新聞播報，中國國家計算機病毒應急處理中心和360公司聯合組成的技術團隊對此案進行了全面技術分析工作。技術團隊先后從西北工業大學的多個信息系統和上網終端中提取到了多款木馬樣本，綜合使用國內現有數據資源和分析手段，并得到了歐洲、南亞部分國家合作伙伴的通力支持，全面還原了相關攻擊事件的總體概貌、技術特征、攻擊武器、攻擊路徑和攻擊源頭。技術團隊初步判明對西北工業大學實施網絡攻擊行動的正是NSA信息情報部（代號S）數據偵察局（代號S3）下屬TAO（代號S32）部門。
TAO成(cheng)立于1998年，是目(mu)前美國(guo)(guo)政府專門從(cong)事(shi)對他(ta)國(guo)(guo)實(shi)(shi)施(shi)大規模網絡(luo)攻(gong)擊竊密活動的(de)戰術實(shi)(shi)施(shi)單位，它不僅(jin)負責對中國(guo)(guo)國(guo)(guo)內(nei)的(de)各(ge)重(zhong)點企(qi)業(ye)和機(ji)構實(shi)(shi)施(shi)惡意(yi)網絡(luo)攻(gong)擊，而且還長期對中國(guo)(guo)的(de)手機(ji)用戶進行無差別的(de)語音監聽，非法竊取(qu)手機(ji)用戶的(de)短信內(nei)容，并對其進行無線定位。
TAO的(de)(de)力量(liang)部署主要依托于NSA在美國(guo)和歐(ou)洲的(de)(de)各密碼(ma)中(zhong)心(xin)，目前(qian)已被公布的(de)(de)六個密碼(ma)中(zhong)心(xin)分(fen)別是(shi)：國(guo)安(an)局馬里蘭(lan)州的(de)(de)米德堡總部、瓦湖島的(de)(de)國(guo)安(an)局夏威夷密碼(ma)中(zhong)心(xin)(NSAH)、戈登(deng)堡的(de)(de)國(guo)安(an)局喬治(zhi)亞密碼(ma)中(zhong)心(xin)(NSAG)、圣安(an)東尼奧的(de)(de)國(guo)安(an)局得(de)克薩(sa)斯密碼(ma)中(zhong)心(xin)(NSAT)、丹佛(fo)馬克利空(kong)軍基(ji)地的(de)(de)國(guo)安(an)局科(ke)羅拉羅密碼(ma)中(zhong)心(xin)(NSAC)、德國(guo)達姆施塔(ta)特美軍基(ji)地的(de)(de)國(guo)安(an)局歐(ou)洲密碼(ma)中(zhong)心(xin)(NSAE)。該組織(zhi)由2000多名(ming)軍人和文職人員(yuan)組成，下設10個處：
1.遠程操(cao)作中心(ROC，代號 S321)，主(zhu)要負責(ze)操(cao)作武器平(ping)臺(tai)和工(gong)具(ju)進(jin)入并(bing)控制(zhi)目標系統(tong)或網絡。
2.先進/接入網絡技(ji)術處(ANT，代號 S322)，負責研究相(xiang)關硬件(jian)技(ji)術，為TAO網絡攻擊行動提供硬件(jian)相(xiang)關技(ji)術和武器(qi)裝備支(zhi)持。
3.數據網絡技術(shu)處(DNT，代號 S323)，負責研發(fa)復(fu)雜的(de)計算(suan)機(ji)軟件工具，為TAO操作人(ren)員(yuan)執行網絡攻擊任務提供支撐。
4.電信網(wang)絡技(ji)術處(TNT，代號 S324)，負責(ze)研究電信相關技(ji)術，為TAO操(cao)作人員隱(yin)蔽滲透電信網(wang)絡提供支撐。
5.任(ren)務基礎(chu)(chu)設施技術處(chu)(MIT，代號 S325)，負責開發(fa)與(yu)建立網絡(luo)基礎(chu)(chu)設施和安全(quan)監控(kong)平臺(tai)，用于(yu)構建攻擊行動網絡(luo)環境(jing)與(yu)匿名網絡(luo)。
6.接入(ru)行動處(AO，代號 S326)，負責通過供應(ying)鏈，對擬送達目標的產品進(jin)行后門安裝。
7.需求與定位處(R&T，代號 S327)；接收各相關(guan)單位的任務，確定偵察(cha)目(mu)標，分析評估情報價值。
8.接(jie)入技術行(xing)動處(ATO，編(bian)號 S328)，負(fu)責研發接(jie)觸式竊(qie)密(mi)裝置，并與美國中央情(qing)報局和聯邦調查局人員合作，通過人力接(jie)觸方式將竊(qie)密(mi)軟件或裝置安裝在目標的(de)計算機和電(dian)信系(xi)統中。
9.S32P：項目計劃整合處(PPI，代號 S32P)，負責總體(ti)規劃與(yu)項目管理。
10.NWT：網絡(luo)戰小組(zu)(NWT)，負責與133個(ge)網絡(luo)作戰小隊聯(lian)絡(luo)。
可以說，TAO代表了全球網絡攻擊的最高水平，以他們所掌握的網絡攻擊武器而言，就如同有了一把能夠打開互聯網中任何目標設備的萬能鑰匙。
此(ci)此(ci)次(ci)針對西北(bei)工業(ye)大學的NSA內部攻(gong)擊(ji)行(xing)(xing)動(dong)(dong)代號為“阻(zu)擊(ji)XXXX”（shotXXXX）。該行(xing)(xing)動(dong)(dong)由TAO負責(ze)(ze)人羅伯特·喬(qiao)伊斯（Robert Joyce）直接指揮，ROC（S321）和MIT（S325）負責(ze)(ze)構建偵查環境、租用攻(gong)擊(ji)資源，ANT(S322)、DNT（S323）、TNT（S324）負責(ze)(ze)提供技術支撐，ROC（S321）負責(ze)(ze)組織開展攻(gong)擊(ji)偵查行(xing)(xing)動(dong)(dong)，R&T（ S327）負責(ze)(ze)確定攻(gong)擊(ji)行(xing)(xing)動(dong)(dong)戰略和情報(bao)評估。
手段(duan)卑(bei)劣(lie)，危害巨大
本次調查發現，TAO在近年對我國國內的網絡目標實施了上萬次的惡意網絡攻擊，控制了數以萬計的網絡設備，竊取了超過140GB的高價值數據。而在此次攻擊活動開始前，TAO就已經在美國多家大型知名互聯網企業的配合下，掌握了中國大量通信網絡設備的管理權限，為NSA持續侵入中國國內的重要信息網絡打開了方便之門。
經(jing)過復雜(za)分析和(he)溯(su)源，聯合(he)技術團隊已經(jing)掌(zhang)握(wo)了TAO對我國(guo)信息網絡(luo)(luo)實施網絡(luo)(luo)攻擊(ji)和(he)數據竊(qie)密的(de)(de)相(xiang)關(guan)(guan)證據，涉及在美國(guo)國(guo)內對中(zhong)國(guo)直接發起網絡(luo)(luo)攻擊(ji)的(de)(de)人員(yuan)13名，以(yi)及NSA通過掩護公(gong)司(si)為(wei)構建網絡(luo)(luo)攻擊(ji)環境而與(yu)美國(guo)電信運營商簽訂(ding)的(de)(de)合(he)同60余份、電子文件(jian)170余份。目(mu)前，相(xiang)關(guan)(guan)調查(cha)結果已經(jing)上(shang)報國(guo)家有關(guan)(guan)部門。
在(zai)針(zhen)對西北(bei)工(gong)(gong)(gong)業(ye)大學的(de)(de)網絡(luo)(luo)(luo)攻(gong)擊(ji)中，TAO先(xian)后使用了多達41種(zhong)NSA專屬網絡(luo)(luo)(luo)攻(gong)擊(ji)武(wu)(wu)(wu)器(qi)，僅后門工(gong)(gong)(gong)具“狡詐異端犯”（NSA命名）就有14款不(bu)同版(ban)本(ben)，具體包括(kuo)了漏洞攻(gong)擊(ji)突(tu)破類(lei)(lei)(lei)武(wu)(wu)(wu)器(qi)、持久化控制類(lei)(lei)(lei)武(wu)(wu)(wu)器(qi)、嗅探竊(qie)密類(lei)(lei)(lei)武(wu)(wu)(wu)器(qi)和(he)隱蔽消痕類(lei)(lei)(lei)武(wu)(wu)(wu)器(qi)，持續(xu)對西北(bei)工(gong)(gong)(gong)業(ye)大學開展攻(gong)擊(ji)竊(qie)密，竊(qie)取該校關(guan)(guan)鍵網絡(luo)(luo)(luo)設備配(pei)置、網管數(shu)據、運(yun)維數(shu)據等(deng)核(he)心技術(shu)數(shu)據。技術(shu)團隊澄清其在(zai)西北(bei)工(gong)(gong)(gong)業(ye)大學內部滲透的(de)(de)攻(gong)擊(ji)鏈路1100余(yu)條、操(cao)作的(de)(de)指令序列90余(yu)個，并從(cong)被(bei)入侵的(de)(de)網絡(luo)(luo)(luo)設備中定位到了多份(fen)遭竊(qie)取的(de)(de)網絡(luo)(luo)(luo)設備配(pei)置文件、遭嗅探的(de)(de)網絡(luo)(luo)(luo)通信數(shu)據及(ji)口令、其它類(lei)(lei)(lei)型(xing)的(de)(de)日志(zhi)和(he)密鑰文件，以及(ji)其他與攻(gong)擊(ji)活動相關(guan)(guan)的(de)(de)主要細節。
為(wei)了(le)隱匿(ni)的(de)對西北工(gong)業大學的(de)信息網(wang)絡實施攻擊(ji)行為(wei)，TAO做了(le)相當長時間的(de)準備工(gong)作(zuo)和精心偽裝(zhuang)。TAO先是利(li)用(yong)其掌握(wo)的(de)針對SunOS操作(zuo)系統的(de)兩個“零(ling)日(ri)漏洞”利(li)用(yong)工(gong)具(ju)，選擇了(le)中(zhong)國(guo)周邊國(guo)家的(de)教育(yu)機(ji)構、商業公司等網(wang)絡應用(yong)流量(liang)較多的(de)服務器為(wei)攻擊(ji)目(mu)標。攻擊(ji)成功后，即安裝(zhuang)NOPEN木馬程序，控制(zhi)大批(pi)跳(tiao)板機(ji)。
在(zai)此次(ci)針對西(xi)北工業大學的(de)網絡攻(gong)擊中，TAO就先后使用了54臺(tai)跳(tiao)板(ban)(ban)機和(he)代(dai)理服務器(qi)(qi)。為了掩蓋(gai)真實(shi)的(de)IP，TAO先是精心挑(tiao)選了一大批“傀(kui)儡”機器(qi)(qi)，它們主要分布在(zai)日本、韓國(guo)、瑞典、波蘭、烏克蘭等17個國(guo)家(jia)，其中70%均位于中國(guo)周邊。有了這些跳(tiao)板(ban)(ban)機，TAO就可(ke)以躲在(zai)后方向目標發起(qi)網絡攻(gong)擊，如此一來(lai)，即便受害者發現攻(gong)擊，也只能(neng)指(zhi)向這些前面的(de)“傀(kui)儡”跳(tiao)板(ban)(ban)機，而發現不了真實(shi)的(de)攻(gong)擊來(lai)源網絡地址(zhi)。
然(ran)后針對西(xi)北工(gong)業(ye)大學攻擊(ji)平臺所使用(yong)的(de)網絡(luo)資源(yuan)涉及(ji)代(dai)(dai)理服務器，則(ze)由NSA通過秘密成立的(de)兩家掩(yan)護公司購買埃及(ji)、荷蘭和(he)哥倫比亞等地的(de)IP，并租用(yong)了一批服務器。通過使用(yong)這種虛擬身份(fen)或者代(dai)(dai)理人(ren)身份(fen)，TAO甚至可以通過網絡(luo)攻擊(ji)手段(duan)在對方(fang)不知(zhi)情(qing)的(de)情(qing)況下接管(guan)第三方(fang)用(yong)戶的(de)服務器資源(yuan)，實現“借(jie)刀殺人(ren)”的(de)效(xiao)果。
調查顯示，從目前來看(kan)，聯合技術團隊至少(shao)掌握TAO從其接(jie)入環境（美國國內電信運營商）控制跳板(ban)機(ji)的四個IP地址，分(fen)別為209.59.36.*、69.165.54.*、207.195.240.*和(he)(he)209.118.143.*。同時(shi)，為了進一步撇清或掩(yan)蓋(gai)這些(xie)“傀(kui)儡(lei)”機(ji)器、代理服(fu)務(wu)器與NSA之間的關系，保護(hu)其身份安全，NSA還(huan)使用了美國隱(yin)私保護(hu)公司的匿名保護(hu)服(fu)務(wu)，使相(xiang)關域名和(he)(he)證書均指向無關聯人員，以(yi)便(bian)他們去“瞞天過(guo)海”行卑(bei)劣之事。
危(wei)害國(guo)家，危(wei)害百(bai)姓
針對(dui)美國(guo)刺探西(xi)北工業(ye)大學(xue)數據機密，很多人(ren)可能會表(biao)示不解(jie)(jie)，畢竟不是清華(hua)、北大、浙大、復旦等超(chao)級名校。但事實上了解(jie)(jie)西(xi)北工業(ye)大學(xue)就會發現，美國(guo)對(dui)西(xi)北工業(ye)大學(xue)下手(shou)是有絕對(dui)理由的。
西北工業大學是隸屬于工業和信息化部的一所多科性、研究性、開放式大學，擁有強大軍工背景，是我國的“國防七子”之一。西北工業大學是目前我國從事航空、航天、航海工程教育和科學研究領域的重點大學，擁有大量國家頂級科研團隊和高端人才，承擔著國家很多的重點技術研發和機密科研項目研究工作，一直以來都是中國最重要的尖端技術人才培養高地。在美國制裁的中國13所知名高校當中，西北工業大學赫然在列。
用句玩笑話來講：西北工業大學牛不牛，可能只有西北工業大學自己、國家和美國五角大樓知道。
當然，不要以為美國只會對其虎視眈眈的政府部門、科研機構、軍工單位、高校院所、龍頭企業、醫療機構等這些一般人觸摸不到的地方進行網絡攻擊。實際調查中發現，除了以上單位之外，NSA還利用其控制的網絡攻擊武器平臺、“零日漏洞”(Oday)和網絡設備，長期對中國的手機用戶進行著無差別的語音監聽，非法竊取手機用戶的短信內容，并對其進行無線定位。
根據(ju)中國(guo)計算機網(wang)(wang)絡應急技(ji)術處(chu)理協調中心(xin)數據(ju)顯示(shi)，我國(guo)每年遭(zao)遇境外惡意網(wang)(wang)絡攻擊(ji)超200萬(wan)(wan)次，其中從境外攻擊(ji)來源地來看，美(mei)國(guo)高(gao)居(ju)榜(bang)首。與此(ci)同(tong)時，中國(guo)遭(zao)受的(de)(de)美(mei)國(guo)網(wang)(wang)絡攻擊(ji)還在連年增加，數據(ju)顯示(shi)，2020年位于美(mei)國(guo)的(de)(de)約(yue)1.9萬(wan)(wan)臺(tai)木馬(ma)或僵尸網(wang)(wang)絡控制(zhi)服(fu)務器(qi)，控制(zhi)了(le)中國(guo)境內約(yue)446 萬(wan)(wan)臺(tai)主機。
在此，也提醒(xing)大(da)家(jia)(jia)(jia)借國家(jia)(jia)(jia)網(wang)絡(luo)安全(quan)宣傳周短信提醒(xing)大(da)家(jia)(jia)(jia)，尤其在我們(men)所處的(de)(de)數字化(hua)(hua)時代，從國家(jia)(jia)(jia)到個(ge)(ge)人(ren)(ren)，數字化(hua)(hua)建設(she)已經(jing)涉及社會的(de)(de)方(fang)方(fang)面(mian)面(mian)的(de)(de)，大(da)家(jia)(jia)(jia)一定要(yao)共同(tong)關(guan)注網(wang)絡(luo)安全(quan)，提升網(wang)絡(luo)安全(quan)意識，強化(hua)(hua)數據安全(quan)防(fang)護(hu)(hu)，從每個(ge)(ge)人(ren)(ren)做起，加(jia)強個(ge)(ge)人(ren)(ren)信息的(de)(de)保(bao)護(hu)(hu)。最(zui)后向大(da)家(jia)(jia)(jia)普及幾條規(gui)避釣魚郵件風險(xian)的(de)(de)方(fang)法：
提高郵箱安全等級，如使用復雜密碼、開啟手機驗證等
不要輕易相信和點開陌生郵件中的附件和鏈接
重要的事情請勿通過郵件溝通，需要通過郵件的請主動發起確認
參考資料：
1.《西北(bei)工業大學遭美國(guo)NSA網絡(luo)攻擊事(shi)件調查》，央視新(xin)聞
2.《證據(ju)確鑿！西北工業大(da)學遭網絡攻擊事件(jian)：源頭系(xi)美(mei)國(guo)國(guo)家安(an)全局》，極目新聞(wen)
