⑤“堅忍外科醫(yī)生”

此武器是一款針對Linux、Solaris、JunOS、FreeBSD等4種類型操作系統的后門，該武器可持久化運行于目標設備上，根據指令對目標設備上的指定文件、目錄、進程等進行隱藏。TAO主要使用該武器隱藏NOPEN木馬的文件和進程，避免其被監(jiān)控發(fā)現。技術分析發(fā)現，TAO在對西北工業(yè)大學的網絡攻擊中，累計使用了該武器的12個不同版本。

3、嗅探竊密類武器

TAO依托此類武器嗅探西北工業(yè)大學工作人員運維網絡時使用的賬號口令、命令行操作記錄，竊取西北工業(yè)大學網絡內部的敏感信息和運維數據等。此類武器共有兩種：

①“飲茶”

此武器可長期駐留在32位或64位的Solaris系統中，通過嗅探進程間通信的方式獲取ssh、telnet、rlogin等多種遠程登錄方式下暴露的賬號口令。TAO主要使用該武器嗅探西北工業(yè)大學業(yè)務人員實施運維工作時產生的賬號口令、命令行操作記錄、日志文件等，壓縮加密存儲后供NOPEN木馬下載。

②“敵后行動”系列武器

此系列武器是專門針對電信運營商特定業(yè)務系統使用的工具，根據被控業(yè)務設備的不同類型，“敵后行動”會與不同的解析工具配合使用。TAO在對西北工業(yè)大學的網絡攻擊中使用了“魔法學?！?、“小丑食物”和“詛咒之火”等3類針對電信運營商的攻擊竊密工具。

4、隱蔽消痕類武器

TAO依托此類武器消除其在西北工業(yè)大學網絡內部的行為痕跡，隱藏、掩飾其惡意操作和竊密行為，同時為上述三類武器提供保護?，F已發(fā)現1種此類武器：

“吐司面包” ，此武器可用于查看、修改utmp、wtmp、lastlog等日志文件以清除操作痕跡。TAO主要使用該武器清除、替換被控西北工業(yè)大學上網設備上的各類日志文件，隱藏其惡意行為。TAO對西北工業(yè)大學的網絡攻擊中共使用了3款不同版本的“吐司面包”。

三、攻擊溯源

技術團隊結合上述技術分析結果和溯源調查情況，初步判斷對西北工業(yè)大學實施網絡攻擊行動的是美國國家安全局（NSA）信息情報部（代號S）數據偵察局（代號S3）下屬TAO（代號S32）部門。該部門成立于1998年，其力量部署主要依托美國國家安全局（NSA）在美國和歐洲的各密碼中心。目前已被公布的六個密碼中心分別是：

1、美國馬里蘭州米德堡的NSA總部；

2、美國夏威夷瓦胡島的NSA夏威夷密碼中心（NSAH）；

3、美國佐治亞州戈登堡的NSA佐治亞密碼中心（NSAG）；

4、美國德克薩斯州圣安東尼奧的NSA德克薩斯密碼中心（NSAT）；

5、美國科羅拉羅州丹佛馬克利空軍基地的NSA科羅拉羅密碼中心（NSAC）；

6、德國達姆施塔特美軍基地的NSA歐洲密碼中心（NSAE）。

TAO是目前美國政府專門從事對他國實施大規(guī)模網絡攻擊竊密活動的戰(zhàn)術實施單位，由2000多名軍人和文職人員組成，其內設機構包括：

第一處：遠程操作中心（ROC，代號S321），主要負責操作武器平臺和工具進入并控制目標系統或網絡。

第二處：先進/接入網絡技術處（ANT，代號S322），負責研究相關硬件技術，為TAO網絡攻擊行動提供硬件相關技術和武器裝備支持。

第三處：數據網絡技術處（DNT，代號S323），負責研發(fā)復雜的計算機軟件工具，為TAO操作人員執(zhí)行網絡攻擊任務提供支撐。

第四處：電信網絡技術處（TNT，代號S324），負責研究電信相關技術，為TAO操作人員隱蔽滲透電信網絡提供支撐。

第五處：任務基礎設施技術處（MIT，代號S325），負責開發(fā)與建立網絡基礎設施和安全監(jiān)控平臺，用于構建攻擊行動網絡環(huán)境與匿名網絡。

第六處：接入行動處（ATO，代號S326），負責通過供應鏈，對擬送達目標的產品進行后門安裝。

第七處：需求與定位處（R&T，代號S327），接收各相關單位的任務，確定偵察目標，分析評估情報價值。

S32P：項目計劃整合處（PPI，代號S32P），負責總體規(guī)劃與項目管理。

NWT：網絡戰(zhàn)小組（NWT），負責與網絡作戰(zhàn)小隊聯絡。

美國國家安全局（NSA）針對西北工業(yè)大學的攻擊行動代號為“阻擊XXXX”（shotXXXX）。該行動由TAO負責人直接指揮，由MIT（S325）負責構建偵察環(huán)境、租用攻擊資源；由R&T（S327）負責確定攻擊行動戰(zhàn)略和情報評估；由ANT（S322）、DNT（S323）、TNT（S324）負責提供技術支撐；由ROC（S321）負責組織開展攻擊偵察行動。由此可見，直接參與指揮與行動的主要包括TAO負責人，S321和S325單位。

NSA對西北工業(yè)大學攻擊竊密期間的TAO負責人是羅伯特?喬伊斯（Robert Edward Joyce）。此人于1967年9月13日出生，曾就讀于漢尼拔高中，1989年畢業(yè)于克拉克森大學，獲學士學位，1993年畢業(yè)于約翰斯?霍普金斯大學，獲碩士學位。1989年進入美國國家安全局工作。曾經擔任過TAO副主任，2013年至2017年擔任TAO主任。2017年10月開始擔任代理美國國土安全顧問。2018年4月至5月，擔任美國白宮國務安全顧問，后回到NSA擔任美國國家安全局局長網絡安全戰(zhàn)略高級顧問，現擔任NSA網絡安全主管。

四、總結

本次報告基于國家計算機病毒應急處理中心與360公司聯合技術團隊的分析成果，揭露了美國NSA長期以來針對包括西北工業(yè)大學在內的中國信息網絡用戶和重要單位開展網絡間諜活動的真相。后續(xù)技術團隊還將陸續(xù)公布相關事件調查的更多技術細節(jié)。