日前，西北工業(yè)大學(xué)遭遇美國國家安全局（National Security Agency，以下簡稱NSA）網(wǎng)絡(luò)攻擊。對此，國家計算機病毒應(yīng)急處理中心于9月13日公布了美國NSA專用網(wǎng)絡(luò)武器“飲茶”分析報告，結(jié)果表明，該網(wǎng)絡(luò)武器為“嗅探竊密類武器”，主要針對Unix/Linux平臺，其主要功能是對目標(biāo)主機上的遠程訪問賬號密碼進行竊取。

技術(shù)分析團隊認為，“飲茶”編碼復(fù)雜，高度模塊化，支持多線程，適配操作系統(tǒng)環(huán)境廣泛，反映出開發(fā)者先進的軟件工程化能力。同時，隨著調(diào)查的逐步深入，技術(shù)團隊還在西北工業(yè)大學(xué)之外的其他機構(gòu)網(wǎng)絡(luò)中發(fā)現(xiàn)了“飲茶”的攻擊痕跡，很可能是美國NSA下屬特定入侵行動辦公室（TAO）利用“飲茶”對中國發(fā)動了大規(guī)模的網(wǎng)絡(luò)攻擊活動。

美國NSA網(wǎng)絡(luò)武器“飲茶”分析報告

一、概述

國家計算機病毒應(yīng)急處理中心在對西北工業(yè)大學(xué)遭境外網(wǎng)絡(luò)攻擊事件進行調(diào)查過程中，在西北工業(yè)大學(xué)的網(wǎng)絡(luò)服務(wù)器設(shè)備上發(fā)現(xiàn)了美國國家安全局專用的網(wǎng)絡(luò)武器“飲茶”（NSA命名為“suctionchar”）（參見我中心2022年9月5日發(fā)布的《西北工業(yè)大學(xué)遭美國NSA網(wǎng)絡(luò)攻擊事件調(diào)查報告（之一）》）。國家計算機病毒應(yīng)急處理中心聯(lián)合北京奇安盤古實驗室對該網(wǎng)絡(luò)武器進行了技術(shù)分析，分析結(jié)果表明，該網(wǎng)絡(luò)武器為“嗅探竊密類武器”，主要針對Unix/Linux平臺，其主要功能是對目標(biāo)主機上的遠程訪問賬號密碼進行竊取。

二、技術(shù)分析

經(jīng)技術(shù)分析與研判，該網(wǎng)絡(luò)武器針對Unix/Linux平臺，與其他網(wǎng)絡(luò)武器配合，攻擊者可通過推送配置文件的方式控制該惡意軟件執(zhí)行特定竊密任務(wù)，該網(wǎng)絡(luò)武器的主要目標(biāo)是獲取用戶輸入的各種用戶名密碼，包括SSH、TELNET、FTP和其他遠程服務(wù)登錄密碼，也可根據(jù)配置竊取保存在其他位置的用戶名密碼信息。

該網(wǎng)絡(luò)武器包含“驗證模塊（authenticate）”、“解密模塊（decrypt）”、“解碼模塊（decode）”、“配置模塊”、“間諜模塊（agent）”等多個組成部分，其主要工作流程和技術(shù)分析結(jié)果如下：

（一）驗證模塊

驗證模塊的主要功能是在“飲茶”被調(diào)用前驗證其調(diào)用者（父進程）的身份，隨后進行解密、解碼以加載其他惡意軟件模塊。如圖1所示。

（二）解密模塊

解密模塊是通用模塊，可被其他模塊調(diào)用對指定文件進行解密，采用了與NOPEN遠控木馬（參見《“NOPEN”遠控木馬分析報告》）類似的RSA+RC6加密算法。如圖2所示。

（三）解碼模塊

與解密模塊類似，解碼模塊也是通用模塊，可以被其他模塊調(diào)用對指定文件進行解碼，但采用了自編碼算法。如圖3 所示。