真相查明！西北工业大学遭美国国安局网络攻击

真相查明！西北工业大学遭美国国安局网络攻击

5日，国家计算机病毒应急中心和360公司分别发布了西北工业大学遭受海外网络攻击事件的调查报告。 报道称，此次网络攻击的来源是美国国家安全局（NSA）。

NSA 使用 41 种网络攻击武器窃取数据

本次调查发现，在针对西北工业大学的网络攻击中，美国国家安全局（NSA）下属的特别入侵行动办公室（TAO）使用了40多种不同的专用网络攻击武器，持续攻击西北工业大学并窃密。 ，窃取学校关键网络设备配置、网络管理数据、运维数据等核心技术数据。

此次遭受攻击的西北工业大学位于陕西省西安市，隶属于工业和信息化部。 它是一所多学科、研究型、开放式大学。

西安市公安局碑林分局副局长金琪：西北工业大学是目前我国从事航空、航天、航海工程教育和科研的重点大学。 拥有一大批国家顶尖科研团队和高端人才，承担多项国家重点科研项目。 ，地位非常特殊，网络安全非常关键。 由于其特殊地位以及所从事的敏感科学研究，成为本次网络攻击的重点目标。

调查报告显示，美国国家安全局（NSA）在针对西北工业大学的网络攻击中使用了41种特种网络攻击武器装备。 仅后门工具“ ”（由NSA命名）就有14种不同类型。 版本。

360公司网络安全专家卞亮：前期会有一些侦察模块。 然后经过侦察，我们发现如果是在目标环境中，可能需要窃取密码或者窃取重要情报信息，并根据不同情况、不同系统或者不同平台定制武器的攻击和投送。 。

通过取证分析，技术团队发现攻击者在西北工业大学内部渗透了1100多个攻击链路，操作了90多个命令序列，并从被入侵的网络设备中定位到多个被盗网络。 设备配置文件、嗅探的网络通信和密码、其他类型的日志和密钥文件以及与攻击相关的其他关键详细信息。

技术团队将本次攻击使用的武器分为四类，包括： 1、漏洞攻击和突破武器； 2、持久控制武器； 3、嗅探、盗窃武器； 4.秘密毁灭性武器。 追踪武器。

国家计算机病毒应急中心高级工程师 杜振华：从最初这种漏洞的攻击突破，突破之后我们会交付第二类，我们称之为持久性控制武器和工具。 然后到第三类，那么它就实现了这种嗅探，窃取我们的重要数据很长时间，然后发起这个攻击活动。 当它认为任务已经完成之后，它就开始使用第四类武器，那就是隐蔽。 痕迹消除型，清理现场，使受害者无法察觉。

这份调查报告揭露，美国国家安全局（NSA）使用大量网络攻击武器，对美国领先企业、政府、大学、医疗、科研等机构进行长期秘密黑客活动。我国的各个行业。

360公司创始人周鸿祎：就是针对国家科研机构、政府部门、军工单位、大学等地方窃取情报或数据。 从攻击策划到部署，要经过一个很长的跳板，一直到攻击核心位置可能会持续数年。 那么危害就会非常大，因为未来我们整个国家都在搞数字化，我们很多重要的业务都是由数据来驱动的。 您认为一旦数据被盗或被破坏，一定会带来严重的风险。

NSA 掩盖真实 IP 地址并仔细掩盖网络攻击痕迹

这份调查报告揭露，美国国家安全局（NSA）对西北工业大学等中国信息网络的网络攻击做了长期准备，精心伪装。

技术团队分析发现，美国国家安全局（NSA）下属的特定入侵行动办公室（TAO）在开始行动前会进行长时间的准备工作，主要是建设匿名攻击基础设施。 特定入侵行动办公室（TAO）利用其拥有的SunOS操作系统的两个“零日漏洞”利用工具，选择中国周边国家的教育机构、商业公司等网络应用流量较大的服务器作为攻击目标; 成功后，NOPEN木马程序被安装并控制大量跳板机。

特定入侵行动办公室（TAO）在针对西北工业大学的网络攻击中使用了54台跳板和代理服务器，主要分布在日本、韩国、瑞典、波兰、乌克兰等17个国家，其中70%位于中国。 周边国家，如日本、韩国等。其中，用于隐藏真实IP的跳板机都是精挑细选的，所有IP均属于非“五眼联盟”国家。

对于西北工业大学攻击平台使用的网络资源，其中涉及代理服务器，美国国家安全局（NSA）通过两家秘密成立的掩护公司购买了埃及、荷兰、哥伦比亚的IP，并租用了一批服务器。

国家计算机病毒应急中心高级工程师 杜振华：就是用这个虚拟身份，或者说是代理人的身份。 然后在互联网上租用和购买这样的服务器、IP地址和域名。 甚至可以在对方不知情的情况下通过这种网络攻击方式接管第三方用户的服务器资源。 那么我们就来实现一次网络攻击来达到这种查杀效果。

为了保护其身份安全，美国国家安全局（NSA）使用了美国隐私保护公司的匿名保护服务。 相关域名和证书指向无关人员，以掩盖真实攻击平台对西北工业大学等中国信息网络的多次攻击。 一轮连续的攻击和秘密盗窃行动。

国家计算机病毒应急中心高级工程师杜振华：有了这些跳板，TAO就可以躲在这些跳板后面，对目标发起网络攻击。 从受害者的角度来看，即使他发现了攻击，实际上也是这些跳板。 那么这就起到了保护真实攻击源网络地址的作用。

技术团队还发现，在相关网络攻击开始之前，美国国家安全局（NSA）在美国多家大型知名互联网公司的合作下，提供了大量中国通信的管理权限。向美国国家安全局和其他情报机构提供网络设备，为继续入侵中国重要的国内信息网络打开了大门。

TAO到底是什么？网络攻击和盗窃活动的战术实施单位

调查报告显示，美国国家安全局（NSA）下属的“特定入侵行动办公室”（TAO）不仅对中国境内重点企业和机构进行恶意网络攻击，还对中国手机用户进行无差别攻击许久。 语音监听，非法窃取手机用户短信内容并无线定位。 那么这个特定的入侵行动办公室（简称 TAO）到底是什么？

技术分析和网上溯源调查显示，实施网络攻击的国家安全局（NSA）特别入侵行动办公室（TAO）部门成立于1998年，其兵力部署主要依靠国家安全局（NSA）。 美国和欧洲的各个密码中心。 迄今为止已公布的六个加密中心是：

1. 位于马里兰州米德堡的国家安全局总部；

2.位于欧胡岛的国家安全局夏威夷隐生动物中心（NSAH）；

3. 位于戈登堡的国家安全局佐治亚隐动物学中心（NSAG）；

4. 位于圣安东尼奥的国家安全局德克萨斯隐动物学中心（NSAT）；

5.位于丹佛马克利空军基地的国家安全局科拉罗隐动物中心（NSAC）；

6. 位于德国达姆施塔特美国军事基地的国家安全局欧洲隐动物学中心（NSAE）。

特定入侵行动办公室（TAO）目前是美国政府的一个战术执行单位，专门针对其他国家进行大规模网络攻击和窃取机密。 它由2000多名军事和文职人员组成。 有10个单位：

1.远程操作中心（ROC，代号S321），主要负责操作武器平台和工具进入和控制目标系统或网络。

2、先进/接入网络技术部（ANT，代号S322）负责研究相关硬件技术，为TAO网络攻击行动提供硬件相关技术和武器装备支撑。

3、数据网络技术部（DNT，代号S323）负责开发复杂的计算机软件工具，为TAO操作人员执行网络攻击任务提供支持。

4、电信网络技术部（TNT，代号S324）负责研究电信相关技术，为TAO运营商隐蔽渗透电信网络提供支持。

5. 任务基础设施技术部（MIT，代号S325），负责开发和建立网络基础设施和安全监控平台，用于构建攻击网络环境和匿名网络。

6. 访问运营办公室（AO，代号S326）负责通过供应链在拟交付给目标的产品上安装后门。

7、需求与定位处（R&T，代号S327）接收相关单位任务，确定侦察目标，分析评估情报价值。

8、接入技术行动办公室（ATO，编号S328）负责开发接触式窃取设备，并与CIA和FBI人员合作，通过人为接触在目标计算机和电信上安装窃取软件或设备。 在系统中。

9、S32P：项目计划整合办公室（PPI，代号S32P），负责总体规划和项目管理。

10、NWT：网络战小组（NWT），负责与133个网络战小组的联络。

美国国家安全局针对西北工业大学的窃密行动的负责人是罗伯特·乔伊斯。 此人出生于1967年9月13日，1989年加入美国国家安全局，曾任“特定入侵行动办公室TAO”副主任、主任，现任国家安全局网络安全总监美国代理机构。

360公司网络安全专家卞亮：据我们所知，（TAO）代表了全球网络攻击的最高级别。 他们拥有的大量攻击武器就相当于拥有了互联网上的万能钥匙。 他们可以随意去任何地方。 进出它想要执行的目标设备，例如窃取情报或破坏情报。

你的信息也可能被泄露！专家呼吁提高网络安全防范意识

调查报告显示，美国国家安全局（NSA）长期针对我国各行业龙头企业、政府、大学、医疗机构、科研机构，甚至重要信息基础设施运维等进行秘密黑客攻击关系国计民生的单位。 其行为可能对我国国防安全、关键基础设施安全、金融安全、社会保障、生产安全和公民个人信息造成严重危害，值得我们深思和警惕。

此次，西北工业大学、国家计算机病毒应急中心和360公司，全面还原了过去几年美国国家安全局（NSA）利用网络武器发起的一系列攻击，打破了网络病毒的单向透明性。美国对我国。 优势。 面对有国家背景的强大对手，我们首先要知道风险在哪里，风险是什么，风险在什么时候。

360公司创始人周鸿祎：只要我们能够快速发现、看到这个威胁、感知到这个攻击，我们就能定位、追踪源头，知道它来自哪里，知道他们利用什么漏洞进入，然后我们就可以把它处理掉，清理干净，修补所有需要修补的漏洞。

调查报告认为，西北工业大学关于遭受境外网络攻击的公开声明，是基于实事求是、决不姑息的决心，坚决调查到底。 积极的防御措施，无愧于全世界的美国国家安全局（NSA）。 网络攻击的受害者从中吸取教训，这将成为世界各国有效防范和抵御美国国家安全局（NSA）后续网络攻击的有力参考。

制片人：姜丽丽

主编：尹亮

审稿人：胡俊彦