西北工业大学遭美国NSA网络攻击事件调查报告发布

　　央广网北京9月27日消息9月27日，中国国家计算机病毒应急处理中心官网公布了《西北工业大学遭美国NSA网络攻击事件调查报告》（以下简称《报告》）。这是既9月5日后公布的第二份调查报告。《报告》显示，美国国家安全局（NSA）的特定入侵行动办公室（以下简称TAO）对他国发起的网络攻击技战术针对性强，采取半自动化攻击流程，单点突破、逐步渗透、长期窃密，已窃取西北工业大学核心运维数据，并实现对中国基础设施的渗透控制，查询了一批中国境内敏感身份人员。
　　2022年6月22日，西北工业大学发布《公开声明》称，该校遭受境外网络攻击。中国国家计算机病毒应急处理中心和360公司全程参与了此案的技术分析工作。技术团队全面还原了相关攻击事件的总体概貌、技术特征、攻击武器、攻击路径和攻击源头，初步判明相关攻击活动源自于TAO。
　　流程上，TAO对他国发起的网络攻击技战术针对性强，采取半自动化攻击流程，单点突破、逐步渗透、长期窃密。
　　单点突破、级联渗透，控制西北工业大学网络。经过长期的精心准备，TAO使用酸狐狸平台对西北工业大学内部主机和服务器实施中间人劫持攻击，部署怒火喷射远程控制武器，控制多台关键服务器。利用木马级联控制渗透的方式，向西北工业大学内部网络深度渗透，先后控制运维网、办公网的核心网络设备、服务器及终端，并获取了部分西北工业大学内部路由器、交换机等重要网络节点设备的控制权，窃取身份验证数据，并进一步实施渗透拓展，最终达成了对西北工业大学内部网络的隐蔽控制。
　　隐蔽驻留、合法监控，窃取核心运维数据。TAO将作战行动掩护武器精准外科医生与远程控制木马NOPEN配合使用，实现进程、文件和操作行为的全面隐身，长期隐蔽控制西北工业大学的运维管理服务器，同时采取替换3个原系统文件和3类系统日志的方式，消痕隐身，规避溯源。TAO先后从该服务器中窃取了多份网络设备配置文件。利用窃取到的配置文件，TAO远程合法监控了一批网络设备和互联网用户，为后续对这些目标实施拓展渗透提供数据支持。
　　搜集身份验证数据、构建通道，渗透基础设施。TAO通过窃取西北工业大学运维和技术人员远程业务管理的账号口令、操作记录以及系统日志等关键敏感数据，掌握了一批网络边界设备账号口令、业务设备访问权限、路由器等设备配置信息、FTP服务器文档资料信息。根据TAO攻击链路、渗透方式、木马样本等特征，关联发现TAO非法攻击渗透中国境内的基础设施运营商，构建了对基础设施运营商核心数据网络远程访问的合法通道，实现了对中国基础设施的渗透控制。
　　控制重要业务系统，实施用户数据窃取。TAO通过掌握的中国基础设施运营商的思科PIX防火墙、天融信防火墙等设备的账号口令，以合法身份进入运营商网络，随后实施内网渗透拓展，分别控制相关运营商的服务质量监控系统和短信网关服务器，利用魔法学校等专门针对运营商设备的武器工具，查询了一批中国境内敏感身份人员，并将用户信息打包加密后经多级跳板回传至美国国家安全局总部。