網(wǎng)絡(luò)攻擊西工大的TAO，身份是這樣暴露的

長(zhǎng)安街知事微信公眾號(hào) | 記者 蒙江

美國(guó)NSA對(duì)西工大發(fā)起網(wǎng)絡(luò)攻擊事件，又有新的細(xì)節(jié)公開(kāi)。

9月27日，國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心發(fā)布《西北工業(yè)大學(xué)遭美國(guó)NSA網(wǎng)絡(luò)攻擊事件調(diào)查報(bào)告（之二）》，披露了美國(guó)國(guó)家安全局（NSA）“特定入侵行動(dòng)辦公室”（TAO）攻擊滲透西北工業(yè)大學(xué)的流程、竊取西北工業(yè)大學(xué)和中國(guó)運(yùn)營(yíng)商敏感信息，公布了TAO網(wǎng)絡(luò)攻擊西北工業(yè)大學(xué)武器平臺(tái)IP列表及所用跳板IP列表。

TAO在攻擊過(guò)程中暴露身份的相關(guān)情況也被首次曝光。此外，研究團(tuán)隊(duì)經(jīng)過(guò)持續(xù)攻堅(jiān)，發(fā)現(xiàn)了攻擊實(shí)施者的身份線索，并成功查明了13名攻擊者的真實(shí)身份。

截圖來(lái)源：國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心官網(wǎng)

據(jù)調(diào)查報(bào)告，TAO對(duì)他國(guó)發(fā)起的網(wǎng)絡(luò)攻擊技戰(zhàn)術(shù)針對(duì)性強(qiáng)，采取半自動(dòng)化攻擊流程，單點(diǎn)突破、逐步滲透、長(zhǎng)期竊密。具體包括：

• 單點(diǎn)突破、級(jí)聯(lián)滲透，控制西北工業(yè)大學(xué)網(wǎng)絡(luò)；
• 隱蔽駐留、“合法”監(jiān)控，竊取核心運(yùn)維數(shù)據(jù)；
• 搜集身份驗(yàn)證數(shù)據(jù)、構(gòu)建通道，滲透基礎(chǔ)設(shè)施；
• 控制重要業(yè)務(wù)系統(tǒng)，實(shí)施用戶數(shù)據(jù)竊取。

調(diào)查報(bào)告披露，TAO竊取西北工業(yè)大學(xué)和中國(guó)運(yùn)營(yíng)商敏感信息，包括：

• 竊取西北工業(yè)大學(xué)遠(yuǎn)程業(yè)務(wù)管理賬號(hào)口令、操作記錄等關(guān)鍵敏感數(shù)據(jù)；
• 竊取西北工業(yè)大學(xué)網(wǎng)絡(luò)設(shè)備運(yùn)維配置文件和日志文件；
• 滲透控制中國(guó)基礎(chǔ)設(shè)施核心設(shè)備。

TAO利用竊取到的網(wǎng)絡(luò)設(shè)備賬號(hào)口令，以“合法”身份進(jìn)入中國(guó)某基礎(chǔ)設(shè)施運(yùn)營(yíng)商服務(wù)網(wǎng)絡(luò)，控制相關(guān)服務(wù)質(zhì)量監(jiān)控系統(tǒng)，竊取用戶隱私數(shù)據(jù)。

據(jù)分析，TAO利用相同的武器工具組合，“合法”控制了全球不少于80個(gè)國(guó)家的電信基礎(chǔ)設(shè)施網(wǎng)絡(luò)。我國(guó)技術(shù)團(tuán)隊(duì)與歐洲和東南亞國(guó)家的合作伙伴通力協(xié)作，成功提取并固定了上述武器工具樣本，并成功完成了技術(shù)分析，擬適時(shí)對(duì)外公布，協(xié)助全球共同抵御和防范美國(guó)國(guó)家安全局NSA的網(wǎng)絡(luò)滲透攻擊。

圖源：視覺(jué)中國(guó)

調(diào)查報(bào)告還首次披露了TAO在攻擊過(guò)程中暴露身份的相關(guān)情況。

TAO在網(wǎng)絡(luò)攻擊西北工業(yè)大學(xué)過(guò)程中，暴露出多項(xiàng)技術(shù)漏洞，多次出現(xiàn)操作失誤，相關(guān)證據(jù)進(jìn)一步證明對(duì)西北工業(yè)大學(xué)實(shí)施網(wǎng)絡(luò)攻擊竊密行動(dòng)的幕后黑手即為美國(guó)國(guó)家安全局（NSA）。例如：

• 攻擊時(shí)間完全吻合美國(guó)工作作息時(shí)間規(guī)律；
• 語(yǔ)言行為習(xí)慣與美國(guó)密切關(guān)聯(lián)；
• 武器操作失誤暴露工作路徑；
• 大量武器與遭曝光的NSA武器基因高度同源；
• 部分網(wǎng)絡(luò)攻擊行為發(fā)生在“影子經(jīng)紀(jì)人”曝光之前。

此外，在技術(shù)分析與溯源調(diào)查中，技術(shù)團(tuán)隊(duì)發(fā)現(xiàn)了一批TAO在網(wǎng)絡(luò)入侵西北工業(yè)大學(xué)的行動(dòng)中托管所用相關(guān)武器裝備的服務(wù)器IP地址及所用跳板IP列表。

調(diào)查報(bào)告指出，研究團(tuán)隊(duì)經(jīng)過(guò)持續(xù)攻堅(jiān)，成功鎖定了TAO對(duì)西北工業(yè)大學(xué)實(shí)施網(wǎng)絡(luò)攻擊的目標(biāo)節(jié)點(diǎn)、多級(jí)跳板、主控平臺(tái)、加密隧道、攻擊武器和發(fā)起攻擊的原始終端，發(fā)現(xiàn)了攻擊實(shí)施者的身份線索，并成功查明了13名攻擊者的真實(shí)身份。

調(diào)查報(bào)告全文請(qǐng)見(jiàn)鏈接。