-
新證據(jù)!網(wǎng)攻西工大的神秘黑客身份被鎖定,“間諜軟件”是關(guān)鍵
最后更新: 2023-09-14 10:52:53央視新聞客戶端14日消息,近日,國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心和360公司對(duì)一款名為“二次約會(huì)”的間諜軟件進(jìn)行了技術(shù)分析,分析報(bào)告顯示,該軟件是美國(guó)國(guó)家安全局(NSA)開(kāi)發(fā)的網(wǎng)絡(luò)間諜武器。據(jù)了解,在國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心會(huì)同360公司配合偵辦西北工業(yè)大學(xué)被美國(guó)國(guó)家安全局(NSA)網(wǎng)絡(luò)攻擊案過(guò)程中,成功提取了這款間諜軟件的多個(gè)樣本,并鎖定了這起網(wǎng)絡(luò)間諜行動(dòng)背后美國(guó)國(guó)家安全局(NSA)工作人員的真實(shí)身份。
據(jù)技術(shù)分析報(bào)告顯示,“二次約會(huì)”間諜軟件是美國(guó)國(guó)家安全局(NSA)開(kāi)發(fā)的網(wǎng)絡(luò)間諜武器,該軟件可實(shí)現(xiàn)網(wǎng)絡(luò)流量竊聽(tīng)劫持、中間人攻擊、插入惡意代碼等惡意功能,它與其他惡意軟件配合可以完成復(fù)雜的網(wǎng)絡(luò)“間諜”活動(dòng)。
國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師 杜振華:該軟件是具有高技術(shù)水平的網(wǎng)絡(luò)間諜工具,使攻擊者能夠全面接管被攻擊的(目標(biāo))網(wǎng)絡(luò)設(shè)備以及流經(jīng)這些網(wǎng)絡(luò)設(shè)備的網(wǎng)絡(luò)流量,從而實(shí)現(xiàn)對(duì)目標(biāo)網(wǎng)絡(luò)中主機(jī)和用戶的長(zhǎng)期竊密,同時(shí)還可以作為下一階段攻擊的“前進(jìn)基地”,隨時(shí)向目標(biāo)網(wǎng)絡(luò)中投送更多網(wǎng)絡(luò)攻擊武器。
據(jù)專家介紹,“二次約會(huì)”間諜軟件長(zhǎng)期駐留在網(wǎng)關(guān)、邊界路由器、防火墻等網(wǎng)絡(luò)邊界設(shè)備上,其主要功能包括網(wǎng)絡(luò)流量嗅探、網(wǎng)絡(luò)會(huì)話追蹤、流量重定向劫持、流量篡改等。另外,“二次約會(huì)”間諜軟件支持在各類操作系統(tǒng)上運(yùn)行,同時(shí)兼容多種體系架構(gòu),適用范圍較廣。
國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師 杜振華:該間諜軟件通常是結(jié)合特定入侵行動(dòng)辦公室(TAO)的各類針對(duì)防火墻、網(wǎng)絡(luò)路由器的網(wǎng)絡(luò)設(shè)備漏洞攻擊工具一并使用。一旦漏洞攻擊成功,攻擊者成功獲得了目標(biāo)網(wǎng)絡(luò)設(shè)備的控制權(quán)限,就可以將這款網(wǎng)絡(luò)間諜軟件植入到目標(biāo)的網(wǎng)絡(luò)設(shè)備中。
報(bào)告顯示,國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心和360公司與業(yè)內(nèi)合作伙伴在全球范圍開(kāi)展技術(shù)調(diào)查,經(jīng)層層溯源,發(fā)現(xiàn)了上千臺(tái)遍布各國(guó)的網(wǎng)絡(luò)設(shè)備中仍在隱蔽運(yùn)行“二次約會(huì)”間諜軟件及其衍生版本,并發(fā)現(xiàn)被美國(guó)國(guó)家安全局(NSA)遠(yuǎn)程控制的跳板服務(wù)器,其中多數(shù)分布在德國(guó)、日本、韓國(guó)、印度和中國(guó)臺(tái)灣。
國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心高級(jí)工程師 杜振華:在多國(guó)業(yè)內(nèi)伙伴的通力配合下,我們的聯(lián)合調(diào)查工作取得了突破性進(jìn)展。目前已經(jīng)成功鎖定了針對(duì)西北工業(yè)大學(xué)發(fā)動(dòng)網(wǎng)絡(luò)攻擊的美國(guó)國(guó)家安全局(NSA)相關(guān)工作人員的真實(shí)身份。
14日,國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心網(wǎng)站發(fā)布《“二次約會(huì)”間諜軟件分析報(bào)告》。
全文如下:
近日,國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心和360公司對(duì)名為“二次約會(huì)”(SecondDate)的“間諜”軟件進(jìn)行了技術(shù)分析,該“間諜”軟件針對(duì)基于FreeBSD、Linux、Sun Solaris、Juniper JunOS等平臺(tái)的路由器等網(wǎng)關(guān)設(shè)備平臺(tái),可實(shí)現(xiàn)網(wǎng)絡(luò)流量竊聽(tīng)劫持、中間人攻擊、插入惡意代碼等惡意功能,從而與其它“間諜”軟件配合完成復(fù)雜的網(wǎng)絡(luò)“間諜”活動(dòng)。根據(jù)“影子經(jīng)紀(jì)人”泄露的NSA內(nèi)部文件,該惡意軟件為美國(guó)國(guó)家安全局(NSA)開(kāi)發(fā)的網(wǎng)絡(luò)“間諜”武器。“SecondDate”間諜軟件是一款中間人攻擊專用工具,一般駐留在目標(biāo)網(wǎng)絡(luò)的邊界設(shè)備上,嗅探網(wǎng)絡(luò)流量并根據(jù)需要對(duì)特定網(wǎng)絡(luò)會(huì)話進(jìn)行劫持、篡改。
在國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心會(huì)同360公司配合偵辦西北工業(yè)大學(xué)被美國(guó)國(guó)家安全局(NSA)網(wǎng)絡(luò)攻擊案過(guò)程中,成功提取了這款間諜軟件的多個(gè)樣本,并鎖定了這起網(wǎng)絡(luò)“間諜”行動(dòng)背后美國(guó)國(guó)家安全局(NSA)工作人員的真實(shí)身份。
一、基本情況
“二次約會(huì)”(SecondDate)間諜軟件主要部署在目標(biāo)網(wǎng)絡(luò)邊界設(shè)備(網(wǎng)關(guān)、防火墻、邊界路由器等),隱蔽監(jiān)控網(wǎng)絡(luò)流量,并根據(jù)需要精準(zhǔn)選擇特定網(wǎng)絡(luò)會(huì)話進(jìn)行重定向、劫持、篡改。
技術(shù)分析發(fā)現(xiàn),“SecondDate”間諜軟件是一款高技術(shù)水平的網(wǎng)絡(luò)間諜工具。開(kāi)發(fā)者應(yīng)該具有非常深厚的網(wǎng)絡(luò)技術(shù)功底,尤其對(duì)網(wǎng)絡(luò)防火墻技術(shù)非常熟悉,其幾乎相當(dāng)于在目標(biāo)網(wǎng)絡(luò)設(shè)備上加裝了一套內(nèi)容過(guò)濾防火墻和代理服務(wù)器,使攻擊者可以完全接管目標(biāo)網(wǎng)絡(luò)設(shè)備以及流經(jīng)該設(shè)備的網(wǎng)絡(luò)流量,從而實(shí)現(xiàn)對(duì)目標(biāo)網(wǎng)絡(luò)中的其他主機(jī)和用戶實(shí)施長(zhǎng)期竊密,并作為攻擊的“前進(jìn)基地”,隨時(shí)可以向目標(biāo)網(wǎng)絡(luò)投送更多網(wǎng)絡(luò)進(jìn)攻武器。
二、具體功能
“二次約會(huì)”(SecondDate)間諜軟件長(zhǎng)期駐留在網(wǎng)關(guān)、邊界路由器、防火墻等網(wǎng)絡(luò)邊界設(shè)備上,可針對(duì)海量數(shù)據(jù)流量進(jìn)行精準(zhǔn)過(guò)濾與自動(dòng)化劫持,實(shí)現(xiàn)中間人攻擊功能。其主要功能包括網(wǎng)絡(luò)流量嗅探、網(wǎng)絡(luò)會(huì)話追蹤、流量重定向劫持、流量篡改等。
三、技術(shù)分析
該“間諜”軟件針對(duì)路由器、防火墻等網(wǎng)絡(luò)設(shè)備平臺(tái),SecondDate支持分布式部署,由服務(wù)器端程序和客戶端程序構(gòu)成,攻擊者事先通過(guò)其他方式將客戶端程序植入目標(biāo)網(wǎng)絡(luò)設(shè)備,然后使用服務(wù)器端程序?qū)蛻舳诉M(jìn)行命令控制。其主要工作流程和技術(shù)分析結(jié)果如下:
(一)服務(wù)器端
服務(wù)器端的主要功能是與客戶端建立連接并下發(fā)控制規(guī)則,由客戶端完成相應(yīng)惡意操作。如表1、圖1、圖2、圖3所示。
1、連接客戶端
通過(guò)在命令行參數(shù)中指定客戶端IP和端口號(hào)實(shí)現(xiàn)與客戶端建立連接。
2、獲得客戶端當(dāng)前狀態(tài)
3、配置客戶端規(guī)則
如圖3所示,攻擊者可指定源IP地址、源端口、目的IP地址、目的端口、協(xié)議類型、TCP標(biāo)志等對(duì)網(wǎng)絡(luò)流量進(jìn)行過(guò)濾,并且可以指定匹配正則表達(dá)式文件以獲取特定內(nèi)容的流量,并且能夠在流量中插入包含特定內(nèi)容的文件。
(二)客戶端
從分析結(jié)果看,客戶端被植入并配置相應(yīng)規(guī)則后,可以在網(wǎng)絡(luò)設(shè)備后臺(tái)靜默運(yùn)行,攻擊者可以使用服務(wù)器端進(jìn)行控制也可以直接登錄到網(wǎng)絡(luò)設(shè)備后臺(tái)進(jìn)行命令控制。如表2、圖4、圖5和圖6所示。
1、指定本地端口
2、根據(jù)指令規(guī)則執(zhí)行相應(yīng)操作
3、插入文件
4、指令集
經(jīng)分析,客戶端支持的主要指令及其功能說(shuō)明如表3所示。
客戶端指令集非常豐富,可以實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)流量的內(nèi)容過(guò)濾、中間人劫持以及內(nèi)容注入等惡意操作。
四、使用環(huán)境
“二次約會(huì)”(SecondDate)間諜軟件支持在Linux、FreeBSD、Solaris、JunOS等各類操作系統(tǒng)上運(yùn)行,同時(shí)兼容i386、x86、x64、SPARC等多種體系架構(gòu),適用范圍較廣。
五、植入方式
“二次約會(huì)”(SecondDate)間諜軟件通常結(jié)合特定入侵行動(dòng)辦公室(TAO)的各類針對(duì)防火墻、路由器的網(wǎng)絡(luò)設(shè)備漏洞攻擊工具使用,在漏洞攻擊成功并獲得相應(yīng)權(quán)限后,植入至目標(biāo)設(shè)備。
六、使用控制方式
“二次約會(huì)”(SecondDate)間諜軟件分為服務(wù)端和控制端,服務(wù)端部署于目標(biāo)網(wǎng)絡(luò)邊界設(shè)備上,通過(guò)底層驅(qū)動(dòng)實(shí)時(shí)監(jiān)控、過(guò)濾所有流量;控制端通過(guò)發(fā)送特殊構(gòu)造的數(shù)據(jù)包觸發(fā)激活機(jī)制后,服務(wù)端從激活包中解析回連IP地址并主動(dòng)回連。網(wǎng)絡(luò)連接使用UDP協(xié)議,通信全程加密,通信端口隨機(jī)??刂贫丝梢詫?duì)服務(wù)端的工作模式和劫持目標(biāo)進(jìn)行遠(yuǎn)程配置,根據(jù)實(shí)際需要選擇網(wǎng)內(nèi)任意目標(biāo)實(shí)施中間人攻擊。
我們與業(yè)內(nèi)合作伙伴在全球范圍開(kāi)展技術(shù)調(diào)查,經(jīng)層層溯源,發(fā)現(xiàn)了上千臺(tái)遍布各國(guó)的網(wǎng)絡(luò)設(shè)備中仍在隱蔽運(yùn)行“二次約會(huì)”間諜軟件及其衍生版本,并發(fā)現(xiàn)被美國(guó)國(guó)家安全局(NSA)遠(yuǎn)程控制的跳板服務(wù)器,其中多數(shù)分布在德國(guó)、日本、韓國(guó)、印度和中國(guó)臺(tái)灣。在多國(guó)業(yè)內(nèi)伙伴通力合作下,我們的工作取得重大突破,現(xiàn)已成功鎖定對(duì)西北工業(yè)大學(xué)發(fā)起網(wǎng)絡(luò)攻擊的美國(guó)國(guó)家安全局(NSA)工作人員的真實(shí)身份。
(觀察者網(wǎng)綜合自央視新聞客戶端、國(guó)家計(jì)算機(jī)病毒應(yīng)急處理中心網(wǎng)站)
- 原標(biāo)題:新證據(jù)!網(wǎng)攻西工大的神秘黑客身份被鎖定,“間諜軟件”是關(guān)鍵!
- 責(zé)任編輯: 范維 
-
美國(guó)國(guó)家安全局“二次約會(huì)”間諜軟件分析報(bào)告發(fā)布
2023-09-14 10:22 -
郭臺(tái)銘競(jìng)選副手公布
2023-09-14 10:13 臺(tái)灣 -
“我掐著人中,訂了國(guó)慶機(jī)票酒店”
2023-09-14 09:29 -
央視網(wǎng):項(xiàng)目爛尾了,問(wèn)責(zé)不能再爛尾!
2023-09-14 09:25 -
央企5名管理人員接受審查調(diào)查,涉中國(guó)能建總經(jīng)理孫洪水等人
2023-09-14 09:19 廉政風(fēng)暴 -
兒慈會(huì)負(fù)責(zé)人卷走千萬(wàn)救命款?官方:詐騙屬個(gè)人行為,已自首
2023-09-14 09:02 慈善 -
我國(guó)科研人員成功繪制人體免疫系統(tǒng)發(fā)育圖譜
2023-09-14 08:29 科技前沿 -
城管踢打商戶,湖北通報(bào):涉事城管已解聘,紀(jì)委介入
2023-09-14 07:41 -
區(qū)委副書記醉駕被查,副區(qū)長(zhǎng)等人安排私企老板“頂包”,官方通報(bào)
2023-09-14 07:41 基層治理 -
馬朝旭會(huì)見(jiàn)俄駐華大使
2023-09-14 07:31 中國(guó)外交 -
癌癥晚期患者被拒乘飛機(jī)引熱議,國(guó)內(nèi)多家航司稱醫(yī)生開(kāi)證明可乘機(jī)
2023-09-14 07:29 -
廣東一中學(xué)安裝“人臉識(shí)別系統(tǒng)”每生收費(fèi)100元/年?教育局通報(bào)
2023-09-14 07:25 中西教育 -
丁薛祥在香港第八屆“一帶一路”高峰論壇開(kāi)幕式上發(fā)表主旨演講
2023-09-14 07:22 一帶一路 -
霍啟剛?cè)沃屑Z集團(tuán)外部董事
2023-09-13 21:55 國(guó)企備忘錄 -
被罰100萬(wàn),騰訊QQ回應(yīng)
2023-09-13 21:46 依法治國(guó) -
“特校性侵案律師閱卷時(shí)遭羈押”,法院通報(bào)
2023-09-13 21:26 依法治國(guó) -
建議全面禁止共享單車?官方回應(yīng)
2023-09-13 17:06 基層治理 -
如何被騙?又是怎么獲救的?被騙至緬甸的中科院博士回應(yīng)
2023-09-13 15:41 -
中華兒慈會(huì)回應(yīng)“河北負(fù)責(zé)人卷走千萬(wàn)救命款”:志愿者所為
2023-09-13 15:23
相關(guān)推薦 -
以色列發(fā)動(dòng)第二輪襲擊,伊朗關(guān)閉領(lǐng)空 評(píng)論 225目睹這些場(chǎng)景,良心不會(huì)痛嗎 評(píng)論 258“金磚為什么火?因?yàn)闆](méi)走西方拉幫結(jié)派的老路” 評(píng)論 68IMF對(duì)華講公道話,美媒酸了 評(píng)論 75美國(guó)發(fā)布首份AI備忘錄,“得防中國(guó)戰(zhàn)略突襲” 評(píng)論 110最新聞 Hot
-
以色列發(fā)動(dòng)第二輪襲擊,伊朗關(guān)閉領(lǐng)空
-
美高官:中方領(lǐng)先了,但美國(guó)還沒(méi)出手呢
-
他反思:歐盟必須停止對(duì)世界說(shuō)教,才能對(duì)抗中俄
-
對(duì)華關(guān)系,英財(cái)相居然對(duì)美國(guó)“慕了”
-
目睹這些場(chǎng)景,良心不會(huì)痛嗎
-
“金磚為什么火?因?yàn)闆](méi)走西方拉幫結(jié)派的老路”
-
“公用火力發(fā)電比例高于中國(guó),美領(lǐng)導(dǎo)地位?!?/a>
-
他倆定期“秘密對(duì)話”?克宮回應(yīng)
-
以色列襲擊黎巴嫩南部,致3名記者死亡
-
美衛(wèi)星解體恐殃及中國(guó),“很難評(píng)估有多糟糕”
-
怕特朗普攪局,歐盟擬加碼“長(zhǎng)期維持”對(duì)俄制裁
-
“伊朗已下令準(zhǔn)備開(kāi)戰(zhàn),考慮發(fā)射1000枚導(dǎo)彈回?fù)簟?/a>
-
英國(guó)國(guó)王承認(rèn)了,但也沒(méi)有提賠償
-
美國(guó)發(fā)布首份AI備忘錄,“得防中國(guó)戰(zhàn)略突襲”
-
“英國(guó)軍情五處完全在胡說(shuō)八道”
-
普京回應(yīng)“朝軍援俄”傳聞
-