⑤“堅(jiān)忍外科醫(yī)生”

此武器是一款針對(duì)Linux、Solaris、JunOS、FreeBSD等4種類型操作系統(tǒng)的后門，該武器可持久化運(yùn)行于目標(biāo)設(shè)備上，根據(jù)指令對(duì)目標(biāo)設(shè)備上的指定文件、目錄、進(jìn)程等進(jìn)行隱藏。TAO主要使用該武器隱藏NOPEN木馬的文件和進(jìn)程，避免其被監(jiān)控發(fā)現(xiàn)。技術(shù)分析發(fā)現(xiàn)，TAO在對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊中，累計(jì)使用了該武器的12個(gè)不同版本。

3、嗅探竊密類武器

TAO依托此類武器嗅探西北工業(yè)大學(xué)工作人員運(yùn)維網(wǎng)絡(luò)時(shí)使用的賬號(hào)口令、命令行操作記錄，竊取西北工業(yè)大學(xué)網(wǎng)絡(luò)內(nèi)部的敏感信息和運(yùn)維數(shù)據(jù)等。此類武器共有兩種：

①“飲茶”

此武器可長(zhǎng)期駐留在32位或64位的Solaris系統(tǒng)中，通過嗅探進(jìn)程間通信的方式獲取ssh、telnet、rlogin等多種遠(yuǎn)程登錄方式下暴露的賬號(hào)口令。TAO主要使用該武器嗅探西北工業(yè)大學(xué)業(yè)務(wù)人員實(shí)施運(yùn)維工作時(shí)產(chǎn)生的賬號(hào)口令、命令行操作記錄、日志文件等，壓縮加密存儲(chǔ)后供NOPEN木馬下載。

②“敵后行動(dòng)”系列武器

此系列武器是專門針對(duì)電信運(yùn)營商特定業(yè)務(wù)系統(tǒng)使用的工具，根據(jù)被控業(yè)務(wù)設(shè)備的不同類型，“敵后行動(dòng)”會(huì)與不同的解析工具配合使用。TAO在對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊中使用了“魔法學(xué)校”、“小丑食物”和“詛咒之火”等3類針對(duì)電信運(yùn)營商的攻擊竊密工具。

4、隱蔽消痕類武器

TAO依托此類武器消除其在西北工業(yè)大學(xué)網(wǎng)絡(luò)內(nèi)部的行為痕跡，隱藏、掩飾其惡意操作和竊密行為，同時(shí)為上述三類武器提供保護(hù)?，F(xiàn)已發(fā)現(xiàn)1種此類武器：

“吐司面包” ，此武器可用于查看、修改utmp、wtmp、lastlog等日志文件以清除操作痕跡。TAO主要使用該武器清除、替換被控西北工業(yè)大學(xué)上網(wǎng)設(shè)備上的各類日志文件，隱藏其惡意行為。TAO對(duì)西北工業(yè)大學(xué)的網(wǎng)絡(luò)攻擊中共使用了3款不同版本的“吐司面包”。

三、攻擊溯源

技術(shù)團(tuán)隊(duì)結(jié)合上述技術(shù)分析結(jié)果和溯源調(diào)查情況，初步判斷對(duì)西北工業(yè)大學(xué)實(shí)施網(wǎng)絡(luò)攻擊行動(dòng)的是美國國家安全局（NSA）信息情報(bào)部（代號(hào)S）數(shù)據(jù)偵察局（代號(hào)S3）下屬TAO（代號(hào)S32）部門。該部門成立于1998年，其力量部署主要依托美國國家安全局（NSA）在美國和歐洲的各密碼中心。目前已被公布的六個(gè)密碼中心分別是：

1、美國馬里蘭州米德堡的NSA總部；

2、美國夏威夷瓦胡島的NSA夏威夷密碼中心（NSAH）；

3、美國佐治亞州戈登堡的NSA佐治亞密碼中心（NSAG）；

4、美國德克薩斯州圣安東尼奧的NSA德克薩斯密碼中心（NSAT）；

5、美國科羅拉羅州丹佛馬克利空軍基地的NSA科羅拉羅密碼中心（NSAC）；

6、德國達(dá)姆施塔特美軍基地的NSA歐洲密碼中心（NSAE）。

TAO是目前美國政府專門從事對(duì)他國實(shí)施大規(guī)模網(wǎng)絡(luò)攻擊竊密活動(dòng)的戰(zhàn)術(shù)實(shí)施單位，由2000多名軍人和文職人員組成，其內(nèi)設(shè)機(jī)構(gòu)包括：

第一處：遠(yuǎn)程操作中心（ROC，代號(hào)S321），主要負(fù)責(zé)操作武器平臺(tái)和工具進(jìn)入并控制目標(biāo)系統(tǒng)或網(wǎng)絡(luò)。

第二處：先進(jìn)/接入網(wǎng)絡(luò)技術(shù)處（ANT，代號(hào)S322），負(fù)責(zé)研究相關(guān)硬件技術(shù)，為TAO網(wǎng)絡(luò)攻擊行動(dòng)提供硬件相關(guān)技術(shù)和武器裝備支持。

第三處：數(shù)據(jù)網(wǎng)絡(luò)技術(shù)處（DNT，代號(hào)S323），負(fù)責(zé)研發(fā)復(fù)雜的計(jì)算機(jī)軟件工具，為TAO操作人員執(zhí)行網(wǎng)絡(luò)攻擊任務(wù)提供支撐。

第四處：電信網(wǎng)絡(luò)技術(shù)處（TNT，代號(hào)S324），負(fù)責(zé)研究電信相關(guān)技術(shù)，為TAO操作人員隱蔽滲透電信網(wǎng)絡(luò)提供支撐。

第五處：任務(wù)基礎(chǔ)設(shè)施技術(shù)處（MIT，代號(hào)S325），負(fù)責(zé)開發(fā)與建立網(wǎng)絡(luò)基礎(chǔ)設(shè)施和安全監(jiān)控平臺(tái)，用于構(gòu)建攻擊行動(dòng)網(wǎng)絡(luò)環(huán)境與匿名網(wǎng)絡(luò)。

第六處：接入行動(dòng)處（ATO，代號(hào)S326），負(fù)責(zé)通過供應(yīng)鏈，對(duì)擬送達(dá)目標(biāo)的產(chǎn)品進(jìn)行后門安裝。

第七處：需求與定位處（R&T，代號(hào)S327），接收各相關(guān)單位的任務(wù)，確定偵察目標(biāo)，分析評(píng)估情報(bào)價(jià)值。

S32P：項(xiàng)目計(jì)劃整合處（PPI，代號(hào)S32P），負(fù)責(zé)總體規(guī)劃與項(xiàng)目管理。

NWT：網(wǎng)絡(luò)戰(zhàn)小組（NWT），負(fù)責(zé)與網(wǎng)絡(luò)作戰(zhàn)小隊(duì)聯(lián)絡(luò)。

美國國家安全局（NSA）針對(duì)西北工業(yè)大學(xué)的攻擊行動(dòng)代號(hào)為“阻擊XXXX”（shotXXXX）。該行動(dòng)由TAO負(fù)責(zé)人直接指揮，由MIT（S325）負(fù)責(zé)構(gòu)建偵察環(huán)境、租用攻擊資源；由R&T（S327）負(fù)責(zé)確定攻擊行動(dòng)戰(zhàn)略和情報(bào)評(píng)估；由ANT（S322）、DNT（S323）、TNT（S324）負(fù)責(zé)提供技術(shù)支撐；由ROC（S321）負(fù)責(zé)組織開展攻擊偵察行動(dòng)。由此可見，直接參與指揮與行動(dòng)的主要包括TAO負(fù)責(zé)人，S321和S325單位。

NSA對(duì)西北工業(yè)大學(xué)攻擊竊密期間的TAO負(fù)責(zé)人是羅伯特?喬伊斯（Robert Edward Joyce）。此人于1967年9月13日出生，曾就讀于漢尼拔高中，1989年畢業(yè)于克拉克森大學(xué)，獲學(xué)士學(xué)位，1993年畢業(yè)于約翰斯?霍普金斯大學(xué)，獲碩士學(xué)位。1989年進(jìn)入美國國家安全局工作。曾經(jīng)擔(dān)任過TAO副主任，2013年至2017年擔(dān)任TAO主任。2017年10月開始擔(dān)任代理美國國土安全顧問。2018年4月至5月，擔(dān)任美國白宮國務(wù)安全顧問，后回到NSA擔(dān)任美國國家安全局局長(zhǎng)網(wǎng)絡(luò)安全戰(zhàn)略高級(jí)顧問，現(xiàn)擔(dān)任NSA網(wǎng)絡(luò)安全主管。

四、總結(jié)

本次報(bào)告基于國家計(jì)算機(jī)病毒應(yīng)急處理中心與360公司聯(lián)合技術(shù)團(tuán)隊(duì)的分析成果，揭露了美國NSA長(zhǎng)期以來針對(duì)包括西北工業(yè)大學(xué)在內(nèi)的中國信息網(wǎng)絡(luò)用戶和重要單位開展網(wǎng)絡(luò)間諜活動(dòng)的真相。后續(xù)技術(shù)團(tuán)隊(duì)還將陸續(xù)公布相關(guān)事件調(diào)查的更多技術(shù)細(xì)節(jié)。