360發現美國國安局NSA（APT-C-40）對全球發起長達十余年無差別攻擊

美國國家安全局（National Security Agency，NSA），隸屬美國國防部，專門從事電子通信偵察，主要任務是搜集各國的信息資料，揭露潛伏間諜通信聯絡活動，為美國政府提供各種加工整理的情報信息。長期以來，為達到美國政府情報收集目的，NSA組織針對全球發起大規模網絡攻擊，我國就是NSA組織的重點攻擊目標之一。

前言

從2008年開始，360云端安全大腦整合海量安全大數據，獨立捕獲大量高級復雜的攻擊程序，通過長期的分析與跟蹤并實地從多個受害單位取證，結合關聯全球威脅情報，以及對斯諾登事件、“影子經紀人”黑客組織的持續追蹤，確認了這些攻擊屬于美國國安局NSA組織，進而證實了NSA長期對我國開展極為隱蔽的攻擊行動。

與此同時，360公司與系列行業龍頭共建了APT高級威脅研究實驗室，依托360的安全大數據和企業自身的安全能力，發現了美國國家安全局針對系列行業龍頭企業長達十余年時間的攻擊活動，隨后將NSA及其關聯機構單獨編號為APT-C-40。

360安全團隊通過對取證數據分析，發現APT-C-40（NSA）針對系列行業龍頭公司的攻擊實際開始于2010年，結合網絡情報分析研判該攻擊活動與NSA的某網絡戰計劃實施時間前后銜接，攻擊活動涉及企業眾多關鍵的網絡管理服務器和終端。

攻擊手法剖析

頂級網絡戰武器庫“獨步全球”

2013年，前美國中央情報局（CIA）職員、美國國家安全局（NSA）外包技術員愛德華·斯諾登向全世界揭發美國政府收集用戶數據信息的丑聞，并泄漏了NSA組織大量網絡戰機密文檔資料，這起美國歷史上最嚴重的泄密事件轟動全球。經此一事，“網絡戰”及“國家級網絡威脅”等概念為全世界所認知，作為國內領先的網絡安全公司，360開始重點研究跟進。360是國內第一批有意識追蹤高級別網絡威脅的安全公司，并率先提出了APT概念。 

之后2016年、2017年黑客組織“影子經紀人”又公開了被NSA組織應用的網絡武器的樣本，NSA組織大規模高危網絡作戰武器及配套組件逐一曝光。在此期間，360依托海量安全大數據的情報視野，看到各行各業相繼淪陷于NSA網絡武器攻擊之下，360安全團隊積極推出各種包括永恒之藍武器庫防御方案和漏洞補丁等配套防護工具，全力抵御NSA武器庫攻擊。

一、QUANTUM（量子）攻擊系統

QUANTUM（量子）攻擊系統是NSA發展的一系列網絡攻擊與利用平臺的總稱，其下包含多個子項目，均以QUANTUM開頭命名。它是NSA最強大的互聯網攻擊工具，也是NSA進行網絡情報戰最重要的能力系統之一，最早的項目從2004年就已經開始創建。

從文檔中不難看出，在NSA的三個主要網絡戰方向（CNE、CNA、CND）中，QUANTUM均有相關項目。NSA利用美國在全球網絡通訊和互聯網體系中所處的核心地位，利用先進技術手段實現對網絡信號的監聽、截獲與自動化利用，QUANTUM項目的本質就是在此基礎上實現的一系列數據分析與利用能力。

二、FOXACID（酸狐貍）0Day漏洞攻擊平臺

QUANTUM（量子）攻擊經常配套使用的是代號為FOXACID（酸狐貍）的系統。FOXACID是NSA設計的一個威力巨大的0Day漏洞攻擊平臺，并且可以對漏洞攻擊的主要步驟實施自動化，劫持網絡運營商的正常網絡流量，是一件威力巨大的“大規模入侵工具”。根據NSA機密文檔介紹，FOXACID服務器使用了各種瀏覽器0Day漏洞，比如Flash、IE、火狐瀏覽器漏洞，用于向計算機目標植入木馬程序。

而從現有情報來看，FOXACID在2007年之前就已經開始投入運作，直到2013年仍有其使用的痕跡，以此估算其使用時間至少長達八年之久。NSA依靠與美國電信公司的秘密合作，把FOXACID服務器放在Internet骨干網，保證了FOXACID服務器的反應速度要快于實際網站服務器的反應速度。利用這個速度差，QUANTUM（量子）注入攻擊可以在實際網站反應之前模仿這個網站，迫使目標機器的瀏覽器來訪問FOXACID服務器。

三、Validator（驗證器）后門

Validator（驗證器）是用于FOXACID項目的主要后門程序之一，一般被用于NSA的初步入侵，通過其再植入更復雜的木馬程序，比如UNITEDRAKE（聯合耙），每個被植入的計算機系統都會被分配一個唯一的驗證ID。

 根據NSA機密文檔的描述，Validator主要配合FOXACID攻擊使用，基于基本的C/S架構，為敏感目標提供了可供接觸的后門。Validator可以通過遠程和直接接觸進行部署，并提供了7x24小時的在線能力。Validator是一種很簡單的后門程序，提供了一種隊列式的操作模式，只能支持上傳下載文件、執行程序、獲取系統信息、改變ID和自毀這類簡單功能。 

四、UNITEDRAKE（聯合耙）后門系統

UNITEDRAKE（聯合耙），是NSA開發的一套先進后門系統。360安全專家通過對泄露的相關文檔進行分析，UNITEDRAKE的整體結構大致分為5個子系統，分別是 服務器、系統管理界面、數據庫、模塊插件集和客戶端，其關系如下所示：

 服務器：服務器即為CC服務器，主要功能為接受客戶端的連接請求，并且管理客戶端和其他子系統間的通訊，設計該系統的目的為盡可能的減少操作請求次數。在文檔中其被描述為Listening Port，即監聽端口。

系統管理界面：系統管理界面為一套圖形用戶界面，操作者可以通過該界面直接查看客戶端狀態、給客戶端下發命令、管理插件和調整客戶端的配置。在文檔中其被描述為UR GUI。

插件模塊集：該部分為整套UNITEDRAKE系統的技術核心，功能插件化使得整套系統具備極強的可擴展性和適應性；一個插件模塊由一個或多個客戶端插件，一個或多個服務端插件以及一個或多個系統管理界面組件組成，三者配合共同組成一個完整的功能插件模塊；并且針對不同的行動，插件模塊可以根據任務需求彈性化選擇組合與安裝。

數據庫：UNITEDRAKE系統使用SQL數據庫來存儲和管理以下信息：系統配置信息、客戶端配置信息、各類狀態信息和收集到的數據。

客戶端：客戶端程序，即為下發植入的木馬程序；其能隱蔽地植入目標機器中，并為進一步的攻擊提供支持，客戶端的設計重點為提高隱蔽性。

受害者分布及影響范圍

APT-C-40(NSA)受害者遍布全球 受害單位感染量或達百萬量級

美國國家安全局（NSA）為了監控全球的目標制定了眾多的作戰計劃，360安全專家通過對中招后提取的Validator后門樣本配置字段進行統計分析，推演出NSA針對中國的大型攻擊活動，僅Validator一項的感染量保守估計達幾萬數量級，隨著持續攻擊演進感染量甚至可能已經達到數十萬、百萬量級。 

長期以來，為達到美國政府情報收集目的，NSA組織針對全球發起大規模網絡攻擊，我國就是NSA組織的重點攻擊目標之一。我們發現NSA組織對中國境內目標的攻擊如政府、金融、科研院所、運營商、教育、軍工、航空航天、醫療等行業，重要敏感單位及組織機構成為主要目標，占比重較大的是高科技領域。

同時，根據NSA機密文檔中描述的FOXACID服務器代號，結合360全球安全大數據視野，可分析發現其針對英國、德國、法國、韓國、波蘭、日本、伊朗等全球47個國家及地區發起攻擊，403個目標受到影響，潛伏時間長達十幾年。

影響與解讀

APT-C-40(NSA)全球四處放火 損害深遠

綜合（APT-C-40組織）即NSA的非法入侵行徑，其行為將可能對我國甚至其他國家的國防安全、關鍵基礎設施安全、金融安全、社會安全、生產安全以及公民個人信息造成嚴重危害，值得我們深思與警惕：

一、警惕國家級APT組織對國家安全的危害。

戰爭的形式不止于兵戎相見這一種，網絡空間早已成為大國較量的另一重要戰場。回顧2020年，360實錘美國中央情報局CIA（APT-C-39）對中國進行長達 11 年的網絡攻擊滲透一案依然歷歷在目，如今360再一次通過技術分析，實錘美國政府部門——國家安全局NSA（APT-C-40）針對中國行業龍頭發起長達十余年的攻擊活動。面對網絡強國咄咄逼人的戰略攻勢，以國家力量為背景的APT網絡攻擊及全球化網絡戰爭再一次敲響我們頭上警鐘。 

網絡戰及國家級APT組織對國家安全的危害是多方面的，入侵組織不僅對國家政府及要害部門進行持續監視與間諜活動，甚至對于一國政治、經濟、社會、國防軍事等方面的威脅不斷加深。一旦APT組織對整個國家社會系統進行攻擊，將可能導致交通、銀行、航空、水電系統癱瘓，并對國家政治穩定、經濟命脈造成不可估量的傷害。 

二、警惕國家級APT組織對關鍵基礎設施的危害。

關鍵基礎設施逐漸成為網絡戰首選目標，國與國之間的網絡對抗，以關鍵基礎設施為目標的網絡戰愈加頻繁，網絡攻擊不再只是為了竊取情報，更可以對電力、水利、電信、交通、能源等關鍵基礎設施發起攻擊，從而對公共數據、公共通信網絡、公共交通網絡、公共服務等造成災難性后果，嚴重影響關系百姓民生的公共安全，破壞整個社會的神經中樞。

三、警惕國家級APT組織對個人信息安全的危害。

從360云端安全大腦長期監測發現，NSA將通信行業視為重點攻擊目標，長期“偷窺”及收集關于通信行業存儲的大量個人信息及行業關鍵數據，導致大量網民的公民身份、財產、家庭住址、甚至通話錄音等隱私數據面臨著惡意采集、非法濫用、跨境流出的嚴重威脅。在NSA組織的監視下，全球數億公民隱私和敏感信息無處藏身猶如“裸奔”，而其幕后政府及政客只關注政治私利，全然漠視公民個人權利，公民人權淪為政治博弈的籌碼，其入侵行徑嚴重侵犯我國及全球公民的合法利益。 

最后，根據公開網絡情報，美國國家安全局（NSA）的全球化入侵行徑，離不開其下屬部門及其關聯機構為其提供數據和攻擊武器支持，文中提及的后門程序UNITEDRAKE（聯合耙）、QUANTUM（量子）攻擊系統、仿冒服務器FOXACID等是代表性的攻擊套件組合。