手機版 | 網站導航
      東方科技網 要聞 >

      天天快報!美國安局網絡攻擊西工大另一圖謀曝光!

      新民晚報 | 2022-09-27 16:49:57

      《環(huán)球時報》記者27日獲得的最新調查報告進一步揭露了美國對西北工業(yè)大學組織網絡攻擊的目的:滲透控制中國基礎設施核心設備,竊取中國用戶隱私數(shù)據(jù),入侵過程中還查詢一批中國境內敏感身份人員,并將用戶信息打包加密后經多級跳板回傳至美國國家安全局總部。


      (資料圖片)

      6月份西北工業(yè)大學曾發(fā)布聲明稱,有來自境外的黑客組織對西北工業(yè)大學服務器實施攻擊。9月份,相關部門調查顯示針對西北工業(yè)大學的網絡攻擊來自美國國家安全局(NSA)特定入侵行動辦公室(TAO)。

      中 國國家計算機病毒應急處理中心和360公司全程參與了此案的技術分析。研究團隊經過持續(xù)攻堅,成功鎖定了TAO對西北工業(yè)大學實施網絡攻擊的目標節(jié)點、多 級跳板、主控平臺、加密隧道、攻擊武器和發(fā)起攻擊的原始終端,發(fā)現(xiàn)了攻擊實施者的身份線索,并成功查明了13名攻擊者的真實身份。

      最 新的調查報告進一步表明,TAO長期隱蔽控制西北工業(yè)大學的運維管理服務器,同時采取替換原系統(tǒng)文件和擦除系統(tǒng)日志的方式消痕隱身,規(guī)避溯源。網絡安全技 術人員根據(jù)TAO攻擊西北工業(yè)大學的隱蔽鏈路、滲透工具、木馬樣本等特征關聯(lián)發(fā)現(xiàn),TAO對我國基礎設施運營商核心數(shù)據(jù)網絡實施了滲透控制。

      不 僅如此,TAO通過掌握的中國基礎設施運營商的思科PIX防火墻、天融信防火墻等設備的賬號口令,以“合法”身份進入運營商網絡,隨后實施內網滲透拓展, 分別控制相關運營商的服務質量監(jiān)控系統(tǒng)和短信網關服務器,利用“魔法學?!钡葘iT針對運營商設備的武器工具,查詢了一批中國境內敏感身份人員,并將用戶信 息打包加密后經多級跳板回傳至美國國家安全局總部。

      入侵細節(jié)披露,人贓俱獲

      最新發(fā)布的報告公布了一系列細節(jié)進一步證明TAO實施網絡攻擊行為,其中包括其是在什么時間通過什么方式竊取中國用戶隱私數(shù)據(jù),相當于“人贓俱獲”。

      細 節(jié)顯示:北京時間20××年3月7日22:53,TAO通過位于墨西哥的攻擊代理148.208.××.××,攻擊控制中國某基礎設施運營商的業(yè)務服務器 211.136.××.××,通過兩次內網橫向移動(10.223.140.××、10.223.14.××)后,攻擊控制了用戶數(shù)據(jù)庫服務器,非法查詢 多名身份敏感人員的用戶信息。

      同日15:02,TAO將查詢到的用戶數(shù)據(jù)保存在被攻擊服務器“/var/tmp/.2e434fd8aeae73e1/erf/out/f/”目錄下,被打包回傳至攻擊跳板,隨后竊密過程中上傳的滲透工具、用戶數(shù)據(jù)等攻擊痕跡被專用工具快速清除。

      此外,TAO運用同樣的手法,分別于北京時間20××年1月10日23時22分、1月29日8時41分、3月28日22時00分、6月6日23時58分,攻擊控制另外一家中國基礎設施業(yè)務服務器,非法多批次查詢、導出、竊取多名身份敏感人員的用戶信息。

      TAO在攻擊過程中操作失誤暴露工作路徑

      針對西北工業(yè)大學遭受TAO網絡攻擊的技術分析行動中,中國打破了一直以來美國對我國的“單向透明”優(yōu)勢,掌握了美國實施網絡攻擊的充分證據(jù)。

      值 得一提的是,TAO在實施網絡攻擊中因操作失誤暴露工作路徑。根據(jù)介紹, 20××年5月16日5時36分(北京時間),對西北工業(yè)大學實施網絡攻擊人員利用位于韓國的跳板機(IP:222.122.××.××),并使用 NOPEN木馬再次攻擊西北工業(yè)大學。在對西北工業(yè)大學內網實施第三級滲透后試圖入侵控制一臺網絡設備時,在運行上傳PY腳本工具時出現(xiàn)人為失誤,未修改 指定參數(shù)。腳本執(zhí)行后返回出錯信息,信息中暴露出攻擊者上網終端的工作目錄和相應的文件名,從中可知木馬控制端的系統(tǒng)環(huán)境為Linux系統(tǒng),且相應目錄名 “/etc/autoutils”系TAO網絡攻擊武器工具目錄的專用名稱(autoutils)。

      此外,技術分析還發(fā)現(xiàn),美國仰仗自己強大的技術優(yōu)勢,針對西北工業(yè)大學的攻擊竊密者都是按照美國國內工作日的時間安排進行活動的,肆無忌憚,毫不掩飾。

      根 據(jù)對相關網絡攻擊行為的大數(shù)據(jù)分析,對西北工業(yè)大學的網絡攻擊行動98%集中在北京時間21時至凌晨4時之間,該時段對應著美國東部時間9時至16時,屬 于美國國內的工作時間段。其次,美國時間的全部周六、周日時間內均未發(fā)生對西北工業(yè)大學的網絡攻擊行動。第三,分析美國特有的節(jié)假日,發(fā)現(xiàn)美國的“陣亡將 士紀念日”放假3天,美國“獨立日”放假1天,在這四天中攻擊方沒有實施任何攻擊竊密行動。第四,長時間對攻擊行為密切跟蹤發(fā)現(xiàn),在歷年圣誕節(jié)期間,所有 網絡攻擊活動都處于靜默狀態(tài)。

      TAO網絡攻擊西北工業(yè)大學所用跳板IP列表

      技術分析與溯源調查中,技術團隊發(fā)現(xiàn)了一批TAO在網絡入侵西北工業(yè)大學的行動中托管所用相關武器裝備的服務器IP地址,舉例如下:

      關鍵詞: 西北工業(yè)大學 網絡攻擊 基礎設施 技術分析

      上一篇:

      下一篇:

      相關推薦

      媒體焦點