獨(dú)家揭秘美國國安局全球網(wǎng)絡(luò)攻擊手法：全球數(shù)億公民隱私和敏感信息猶如“裸奔”

　　【環(huán)球時(shí)報(bào)-環(huán)球網(wǎng)報(bào)道 記者 范凌志 曹思琦】《環(huán)球時(shí)報(bào)》記者近日獨(dú)家從360公司獲悉，2008年開始，360云端安全大腦整合海量安全大數(shù)據(jù)，獨(dú)立捕獲大量高級(jí)復(fù)雜的攻擊程序，通過長(zhǎng)期的分析與跟蹤并實(shí)地從多個(gè)受害單位取證，結(jié)合關(guān)聯(lián)全球威脅情報(bào)，以及對(duì)斯諾登事件、“影子經(jīng)紀(jì)人”黑客組織的持續(xù)追蹤，確認(rèn)了這些針對(duì)系列行業(yè)龍頭企業(yè)長(zhǎng)達(dá)十余年的攻擊屬于美國國家安全局（NSA）組織。

　　《環(huán)球時(shí)報(bào)》記者了解到，除嚴(yán)重威脅電力、水利、交通、能源等關(guān)鍵基礎(chǔ)設(shè)施外，NSA還將通信行業(yè)視為重點(diǎn)攻擊目標(biāo)，長(zhǎng)期“偷窺”及收集關(guān)于通信行業(yè)存儲(chǔ)的大量個(gè)人信息及行業(yè)關(guān)鍵數(shù)據(jù)，導(dǎo)致大量網(wǎng)民的公民身份、財(cái)產(chǎn)、家庭住址、甚至通話錄音等隱私數(shù)據(jù)面臨著惡意采集、非法濫用、跨境流出的嚴(yán)重威脅。在NSA組織的監(jiān)視下，全球數(shù)億公民隱私和敏感信息無處藏身猶如“裸奔”。

　　我國是美國國安局組織重點(diǎn)攻擊目標(biāo)之一，受害單位感染量或達(dá)百萬量級(jí)

　　美國國家安全局隸屬美國國防部，專門從事電子通信偵察，主要任務(wù)是搜集各國的信息資料，揭露潛伏間諜通信聯(lián)絡(luò)活動(dòng)，為美國政府提供各種加工整理的情報(bào)信息。長(zhǎng)期以來，為達(dá)到美國政府情報(bào)收集目的，NSA組織針對(duì)全球發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊，我國就是NSA組織的重點(diǎn)攻擊目標(biāo)之一。

　　2013年，前美國中央情報(bào)局（CIA）職員、美國國家安全局（NSA）外包技術(shù)員愛德華·斯諾登向全世界揭發(fā)美國政府收集用戶數(shù)據(jù)信息的丑聞，并泄漏了NSA組織大量網(wǎng)絡(luò)戰(zhàn)機(jī)密文檔資料，這起美國歷史上最嚴(yán)重的泄密事件轟動(dòng)全球。經(jīng)此一事，“網(wǎng)絡(luò)戰(zhàn)”及“國家級(jí)網(wǎng)絡(luò)威脅”等概念為全世界所認(rèn)知。

　　之后的2016年、2017年，黑客組織“影子經(jīng)紀(jì)人”又公開了被NSA組織應(yīng)用的網(wǎng)絡(luò)武器的樣本，NSA組織大規(guī)模高危網(wǎng)絡(luò)作戰(zhàn)武器及配套組件逐一曝光。360公司相關(guān)人士對(duì)《環(huán)球時(shí)報(bào)》記者表示，360公司是國內(nèi)第一批有意識(shí)追蹤高級(jí)別網(wǎng)絡(luò)威脅的安全公司，并率先提出了APT（高級(jí)可持續(xù)威脅攻擊）概念。在此期間，360團(tuán)隊(duì)依托海量安全大數(shù)據(jù)的情報(bào)視野，看到各行各業(yè)相繼淪陷于NSA網(wǎng)絡(luò)武器攻擊之下，積極推出各種包括永恒之藍(lán)武器庫防御方案和漏洞補(bǔ)丁等配套防護(hù)工具，全力抵御NSA武器庫攻擊。

　　《環(huán)球時(shí)報(bào)》記者了解到，長(zhǎng)期以來，為達(dá)到美國政府情報(bào)收集目的，NSA組織針對(duì)全球發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊，我國就是NSA組織的重點(diǎn)攻擊目標(biāo)之一，NSA組織對(duì)中國境內(nèi)目標(biāo)的攻擊如政府、金融、科研院所、運(yùn)營(yíng)商、教育、軍工、航空航天、醫(yī)療等行業(yè)，重要敏感單位及組織機(jī)構(gòu)成為主要目標(biāo)，占比重較大的是高科技領(lǐng)域。

　　美國國家安全局（NSA）為監(jiān)控全球的目標(biāo)制定了眾多的作戰(zhàn)計(jì)劃，360安全專家告訴《環(huán)球時(shí)報(bào)》記者，通過對(duì)NSA專屬的Validator后門配置字段的統(tǒng)計(jì)分析，推測(cè)NSA針對(duì)中國的潛在攻擊量非常巨大，“僅Validator一項(xiàng)的感染量最保守估計(jì)應(yīng)該在幾萬的數(shù)量級(jí)，數(shù)十萬甚至百萬都是有可能的?！?/p>

　　同時(shí)，《環(huán)球時(shí)報(bào)》記者獲悉，根據(jù)NSA機(jī)密文檔中描述的FOXCID服務(wù)器代號(hào)，可以發(fā)現(xiàn)其針對(duì)英國、德國、法國、韓國、波蘭、日本、伊朗等全球47個(gè)國家及地區(qū)發(fā)起攻擊，403個(gè)目標(biāo)受到影響，潛伏時(shí)間長(zhǎng)達(dá)十幾年。

　　詳細(xì)揭秘：美國國安局的網(wǎng)絡(luò)攻擊手法有哪些？

　　《環(huán)球時(shí)報(bào)》記者獲悉，360安全團(tuán)隊(duì)將NSA及其關(guān)聯(lián)機(jī)構(gòu)單獨(dú)編號(hào)為APT-C-40，并與系列行業(yè)龍頭共建了APT高級(jí)威脅研究實(shí)驗(yàn)室，發(fā)現(xiàn)美國國家安全局針對(duì)系列行業(yè)龍頭企業(yè)長(zhǎng)達(dá)十余年時(shí)間的攻擊活動(dòng)。通過對(duì)取證數(shù)據(jù)分析，發(fā)現(xiàn)這些攻擊實(shí)際開始于2010年，結(jié)合網(wǎng)絡(luò)情報(bào)分析研判，該攻擊活動(dòng)與NSA的某網(wǎng)絡(luò)戰(zhàn)計(jì)劃實(shí)施時(shí)間前后銜接，攻擊活動(dòng)涉及企業(yè)眾多關(guān)鍵的網(wǎng)絡(luò)管理服務(wù)器和終端，其攻擊手法多樣、隱秘且危害巨大，具體手法如下：

　　（1）QUANTUM（量子）攻擊系統(tǒng)

　　QUANTUM（量子）攻擊系統(tǒng)是NSA發(fā)展的一系列網(wǎng)絡(luò)攻擊與利用平臺(tái)的總稱，其下包含多個(gè)子項(xiàng)目，均以QUANTUM開頭命名。它是NSA最強(qiáng)大的互聯(lián)網(wǎng)攻擊工具，也是NSA進(jìn)行網(wǎng)絡(luò)情報(bào)戰(zhàn)最重要的能力系統(tǒng)之一，最早的項(xiàng)目從2004年就已經(jīng)開始創(chuàng)建。

　　從文檔中不難看出，在NSA的三個(gè)主要網(wǎng)絡(luò)戰(zhàn)方向（CNE、CNA、CND）中，QUANTUM均有相關(guān)項(xiàng)目。NSA利用美國在全球網(wǎng)絡(luò)通訊和互聯(lián)網(wǎng)體系中所處的核心地位，利用先進(jìn)技術(shù)手段實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)信號(hào)的監(jiān)聽、截獲與自動(dòng)化利用，QUANTUM項(xiàng)目的本質(zhì)就是在此基礎(chǔ)上實(shí)現(xiàn)的一系列數(shù)據(jù)分析與利用能力。

　　（2）FOXACID（酸狐貍）0Day漏洞攻擊平臺(tái)

　　QUANTUM（量子）攻擊經(jīng)常配套使用的是代號(hào)為FOXACID（酸狐貍）的系統(tǒng)。FOXACID是NSA設(shè)計(jì)的一個(gè)威力巨大的0Day漏洞攻擊平臺(tái)，并且可以對(duì)漏洞攻擊的主要步驟實(shí)施自動(dòng)化，甚至讓沒有什么網(wǎng)絡(luò)攻擊經(jīng)驗(yàn)的運(yùn)營(yíng)商也參與進(jìn)來，成為一件威力巨大的“大規(guī)模入侵工具”。 根據(jù)NSA機(jī)密文檔介紹，F(xiàn)OXACID服務(wù)器使用了各種瀏覽器0Day漏洞，比如Flash、IE、火狐瀏覽器漏洞，用于向計(jì)算機(jī)目標(biāo)植入木馬程序。

　　而從現(xiàn)有情報(bào)來看，F(xiàn)OXACID在2007年之前就已經(jīng)開始投入運(yùn)作，直到2013年仍有其使用的痕跡，以此估算其使用時(shí)間至少長(zhǎng)達(dá)八年之久。NSA依靠與美國電信公司的秘密合作，把FOXACID服務(wù)器放在Internet骨干網(wǎng)，保證了FOXACID服務(wù)器的反應(yīng)速度要快于實(shí)際網(wǎng)站服務(wù)器的反應(yīng)速度。利用這個(gè)速度差，QUANTUM（量子）注入攻擊可以在實(shí)際網(wǎng)站反應(yīng)之前模仿這個(gè)網(wǎng)站，迫使目標(biāo)機(jī)器的瀏覽器來訪問FoxAcid服務(wù)器。

　?。?）Validator（驗(yàn)證器）后門

　　Validator（驗(yàn)證器）是用于FoxAcid項(xiàng)目的主要后門程序之一，一般被用于NSA的初步入侵，通過其再植入更復(fù)雜的木馬程序，比如UnitedRake（聯(lián)合耙），每個(gè)被植入的計(jì)算機(jī)系統(tǒng)都會(huì)被分配一個(gè)唯一的驗(yàn)證ID。

　　根據(jù)NSA機(jī)密文檔的描述，Validator主要配合FOXACID攻擊使用，基于基本的C/S架構(gòu)，為敏感目標(biāo)提供了可供接觸的后門。Validator可以通過遠(yuǎn)程和直接接觸進(jìn)行部署，并提供了7x24小時(shí)的在線能力。Validator是一種很簡(jiǎn)單的后門程序，提供了一種隊(duì)列式的操作模式，只能支持上傳下載文件、執(zhí)行程序、獲取系統(tǒng)信息、改變ID和自毀這類簡(jiǎn)單功能。

　　（4）UNITEDRAKE（聯(lián)合耙）后門系統(tǒng)

　　UNITEDRAKE（聯(lián)合耙），是NSA開發(fā)的一套先進(jìn)后門系統(tǒng)。360安全專家通過對(duì)泄露的相關(guān)文檔進(jìn)行分析，UNITEDRAKE的整體結(jié)構(gòu)大致分為5個(gè)子系統(tǒng)，分別是服務(wù)器、系統(tǒng)管理界面、數(shù)據(jù)庫、模塊插件集和客戶端，其關(guān)系如下所示：

　　服務(wù)器：服務(wù)器即為CC服務(wù)器，主要功能為接受客戶端的連接請(qǐng)求，并且管理客戶端和其他子系統(tǒng)間的通訊，設(shè)計(jì)該系統(tǒng)的目的為盡可能的減少操作請(qǐng)求次數(shù)。在文檔中其被描述為 Listening Port，即監(jiān)聽端口。

　　系統(tǒng)管理界面：系統(tǒng)管理界面為一套圖形用戶界面，操作者可以通過該界面直接查看客戶端狀態(tài)、給客戶端下發(fā)命令、管理插件和調(diào)整客戶端的配置。在文檔中其被描述為UR GUI。

　　插件模塊集：該部分為整套UNITEDRAKE系統(tǒng)的技術(shù)核心，功能插件化使得整套系統(tǒng)具備極強(qiáng)的可擴(kuò)展性和適應(yīng)性；一個(gè)插件模塊由一個(gè)或多個(gè)客戶端插件，一個(gè)或多個(gè)服務(wù)端插件以及一個(gè)或多個(gè)系統(tǒng)管理界面組件組成的，三者配合共同組成一個(gè)完整的功能插件模塊；并且針對(duì)不同的行動(dòng)，插件模塊可以根據(jù)任務(wù)需求彈性化選擇組合與安裝。

　　數(shù)據(jù)庫：UNITEDRAKE系統(tǒng)使用SQL數(shù)據(jù)庫來存儲(chǔ)和管理一下信息：系統(tǒng)配置信息、客戶端配置信息、各類狀態(tài)信息和收集到的數(shù)據(jù)。

　　客戶端：客戶端程序，即為下發(fā)植入的木馬程序；其能隱蔽的植入目標(biāo)機(jī)器中，并為進(jìn)一步的攻擊提供支持，客戶端的設(shè)計(jì)重點(diǎn)為提高隱蔽性。

　　全球數(shù)億公民隱私和敏感信息無處藏身猶如“裸奔”

　　《環(huán)球時(shí)報(bào)》記者獲悉，綜合（APT-C-40組織）即NSA的非法入侵行徑，其行為將可能對(duì)我國甚至其他國家的國防安全、關(guān)鍵基礎(chǔ)設(shè)施安全、金融安全、社會(huì)安全、生產(chǎn)安全以及公民個(gè)人信息造成嚴(yán)重危害。

　　360安全專家對(duì)《環(huán)球時(shí)報(bào)》記者表示，面對(duì)這些非法網(wǎng)絡(luò)攻擊，首先應(yīng)警惕國家級(jí)APT組織對(duì)國家安全的危害。戰(zhàn)爭(zhēng)的形式不止于兵戎相見這一種，網(wǎng)絡(luò)空間早已成為大國較量的另一重要戰(zhàn)場(chǎng)，“回顧2020年，360披露美國中央情報(bào)局CIA（APT-C-39）對(duì)中國進(jìn)行長(zhǎng)達(dá) 11 年的網(wǎng)絡(luò)攻擊滲透一案依然歷歷在目，面對(duì)網(wǎng)絡(luò)強(qiáng)國咄咄逼人的戰(zhàn)略攻勢(shì)，以國家力量為背景的APT網(wǎng)絡(luò)攻擊及全球化網(wǎng)絡(luò)戰(zhàn)爭(zhēng)再一次敲響我們頭上警鐘?！?/p>

　　“網(wǎng)絡(luò)戰(zhàn)及國家級(jí)APT組織對(duì)國家安全的危害是多方面的。”這位專家告訴記者，入侵組織不僅對(duì)國家政府及要害部門進(jìn)行持續(xù)監(jiān)視與間諜活動(dòng)，甚至對(duì)于一國政治、經(jīng)濟(jì)、社會(huì)、國防軍事等方面的威脅不斷加深。一旦APT組織對(duì)整個(gè)國家社會(huì)系統(tǒng)進(jìn)行攻擊，將可能導(dǎo)致交通、銀行、航空、水電系統(tǒng)癱瘓，并對(duì)國家政治穩(wěn)定、經(jīng)濟(jì)命脈造成不可估量的傷害。

　　360安全專家表示，此外，還應(yīng)警惕國家級(jí)APT組織對(duì)關(guān)鍵基礎(chǔ)設(shè)施的危害，“關(guān)鍵基礎(chǔ)設(shè)施逐漸成為網(wǎng)絡(luò)戰(zhàn)首選目標(biāo)，國與國之間的網(wǎng)絡(luò)對(duì)抗，以關(guān)鍵基礎(chǔ)設(shè)施為目標(biāo)的網(wǎng)絡(luò)戰(zhàn)愈加頻繁，網(wǎng)絡(luò)攻擊不再只是為了竊取情報(bào)，更可以對(duì)電力、水利、電信、交通、能源等關(guān)鍵基礎(chǔ)設(shè)施發(fā)起攻擊，從而對(duì)公共數(shù)據(jù)、公共通信網(wǎng)絡(luò)、公共交通網(wǎng)絡(luò)、公共服務(wù)等造成災(zāi)難性后果，嚴(yán)重影響關(guān)系百姓民生的公共安全，破壞整個(gè)社會(huì)的神經(jīng)中樞?！?/p>

　　“同時(shí)，國家級(jí)APT組織對(duì)個(gè)人信息安全的危害也不可低估?！薄董h(huán)球時(shí)報(bào)》根據(jù)360云端安全大腦長(zhǎng)期監(jiān)測(cè)數(shù)據(jù)發(fā)現(xiàn)，NSA將通信行業(yè)視為重點(diǎn)攻擊目標(biāo)，長(zhǎng)期“偷窺”及收集關(guān)于通信行業(yè)存儲(chǔ)的大量個(gè)人信息及行業(yè)關(guān)鍵數(shù)據(jù)，導(dǎo)致大量網(wǎng)民的公民身份、財(cái)產(chǎn)、家庭住址、甚至通話錄音等隱私數(shù)據(jù)面臨著惡意采集、非法濫用、跨境流出的嚴(yán)重威脅，“在NSA組織的監(jiān)視下，全球數(shù)億公民隱私和敏感信息無處藏身猶如“裸奔”，而其幕后政府及政客只關(guān)注政治私利，全然漠視公民個(gè)人權(quán)利，公民人權(quán)淪為政治博弈的籌碼，其入侵行徑嚴(yán)重侵犯我國及全球公民的合法利益?！?60安全專家表示。

　　專家提醒，根據(jù)公開網(wǎng)絡(luò)情報(bào)，美國國家安全局（NSA）的全球化入侵行徑，離不開其下屬部門及其關(guān)聯(lián)機(jī)構(gòu)為其提供數(shù)據(jù)和攻擊武器支持，文中提及的后門程序UnitedRake（聯(lián)合耙）、QUANTUM（量子）攻擊系統(tǒng)、仿冒服務(wù)器Foxacid等是代表性的攻擊套件組合?！昂罄m(xù)關(guān)于美國NSA武器庫的更多情報(bào)數(shù)據(jù)與戰(zhàn)例分析，我們將會(huì)進(jìn)一步分析研判?！?/p>