西北工业大学遭美国NSA网络攻击事件调查报告发布

　　央广网北京9月27日消息 9月27日，中国国家计算机病毒应急处理中心官网公布了《西北工业大学遭美国NSA网络攻击事件调查报告》（以下简称《报告》）。这是既9月5日后公布的第二份调查报告。《报告》显示，美国国家安全局（NSA）的＂特定入侵行动办公室＂（以下简称＂TAO＂）对他国发起的网络攻击技战术针对性强，采取半自动化攻击流程，单点突破、逐步渗透、长期窃密，已窃取西北工业大学核心运维数据，并实现对中国基础设施的渗透控制，查询了一批中国境内敏感身份人员。
　　2022年6月22日，西北工业大学发布《公开声明》称，该校遭受境外网络攻击。中国国家计算机病毒应急处理中心和360公司全程参与了此案的技术分析工作。技术团队全面还原了相关攻击事件的总体概貌、技术特征、攻击武器、攻击路径和攻击源头，初步判明相关攻击活动源自于TAO。
　　流程上，TAO对他国发起的网络攻击技战术针对性强，采取半自动化攻击流程，单点突破、逐步渗透、长期窃密。
　　单点突破、级联渗透，控制西北工业大学网络。经过长期的精心准备，TAO使用＂酸狐狸＂平台对西北工业大学内部主机和服务器实施中间人劫持攻击，部署＂怒火喷射＂远程控制武器，控制多台关键服务器。利用木马级联控制渗透的方式，向西北工业大学内部网络深度渗透，先后控制运维网、办公网的核心网络设备、服务器及终端，并获取了部分西北工业大学内部路由器、交换机等重要网络节点设备的控制权，窃取身份验证数据，并进一步实施渗透拓展，最终达成了对西北工业大学内部网络的隐蔽控制。
　　隐蔽驻留、＂合法＂监控，窃取核心运维数据。TAO将作战行动掩护武器＂精准外科医生＂与远程控制木马NOPEN配合使用，实现进程、文件和操作行为的全面＂隐身＂，长期隐蔽控制西北工业大学的运维管理服务器，同时采取替换3个原系统文件和3类系统日志的方式，消痕隐身，规避溯源。TAO先后从该服务器中窃取了多份网络设备配置文件。利用窃取到的配置文件，TAO远程＂合法＂监控了一批网络设备和互联网用户，为后续对这些目标实施拓展渗透提供数据支持。
　　搜集身份验证数据、构建通道，渗透基础设施。TAO通过窃取西北工业大学运维和技术人员远程业务管理的账号口令、操作记录以及系统日志等关键敏感数据，掌握了一批网络边界设备账号口令、业务设备访问权限、路由器等设备配置信息、FTP服务器文档资料信息。根据TAO攻击链路、渗透方式、木马样本等特征，关联发现TAO非法攻击渗透中国境内的基础设施运营商，构建了对基础设施运营商核心数据网络远程访问的＂合法＂通道，实现了对中国基础设施的渗透控制。
　　控制重要业务系统，实施用户数据窃取。TAO通过掌握的中国基础设施运营商的思科PIX防火墙、天融信防火墙等设备的账号口令，以＂合法＂身份进入运营商网络，随后实施内网渗透拓展，分别控制相关运营商的服务质量监控系统和短信网关服务器，利用＂魔法学校＂等专门针对运营商设备的武器工具，查询了一批中国境内敏感身份人员，并将用户信息打包加密后经多级跳板回传至美国国家安全局总部。