美网攻西工大有另一层图谋，多个细节曝光，IP地址涉及多个国家

几个月前，中国西工大遭到境外黑客的非法入侵，经过几个月的调查，最后幕后黑手指向美国。而在近日，最新调查报告显示，此次网络攻击的IP地址涉及多个国家，而且美国还有另外一层图谋。

今年6月份，中国西北工业大学称，遭到境外网络攻击。随后当地警方紧急立案，经过调查后发现，西北工业大学的信息网络中发现了多款源于境外的木马和恶意程序样本。随后中国国家计算机病毒应急处理中心和360公司全程参与了此案的技术分析工作，在得到国际上其他伙伴的支持后，初步还原了此次网络攻击事件的原貌，并得出结论，此次攻击活动来源于美国国家安全局下属的“特定入侵行动办公室”（TAO）。

近日，中国国家计算机病毒应急处理中心和360公司发布了第二份关于此次网络攻击活动的调查报告，详细披露了此次事件的总体概貌、技术特征、攻击武器、攻击路径和攻击源头，以及美国的另一层目的——渗透控制中国基础设施核心设备，窃取中国用户隐私数据，入侵过程中还查询一批中国境内敏感身份人员，并将用户信息打包加密后回传至美国国家安全局总部。

另外经过国家计算机病毒应急处理中心和360公司全程的调查，证实了13名攻击者的真实身份，其所用跳板IP地址遍布亚欧大陆，有韩国、日本、意大利、德国......另外报告还指出，美国很早之前就开始对西工大的运维服务器进行渗透。第一次的报告中已经指出，被窃取的敏感信息据说有140G。

下面分别介绍几个美国此次网络攻击西工大，窃取敏感信息的细节：TAO以位于日本的代理服务器为跳板，非法入侵了西北工业大学运维网络管理服务器，上传并安装NOPEN木马，然后控制内网监控管理服务器，TAO远程操控木马检索并下载窃密记录文件后清痕退出。TAO通过位于墨西哥的攻击代理服务器，控制中国某基础设施运营商的业务服务器，通过两次内网横向移动后，攻击控制了用户数据库服务器，非法查询多名身份敏感人员的用户信息。

不过，美国肆无忌惮发动网络攻击，期间也是出现了漏洞破绽。在一次TAO利用韩国的跳板机进行攻击，对西北工业大学内网实施第三级渗透后试图入侵控制一台网络设备时，在运行上传脚本工具时出现人为失误，没有修改指定参数，导致暴露了文件路径，中国技术团队也由此得知木马环境是在Linux系统下操作的。

而美国利用多种武器工具组合，“合法”控制了全球不少于80个国家的电信基础设施网络。其中全链路伪装“合法”攻击，发现它是非常有难度的。360创始人周鸿祎就曾说过这么一句话，美国对我们有“单向透明”的优势，所以过去对于美国发动的网络攻击，“看不见”是最大痛点。不可否认，美国在网络战领域的造诣极深，已经有了系统性的战略学说和作战指导。无论是以色列的“震网”病毒攻击伊朗核工业计算机，还是俄乌军事冲突爆发后网上大量出现的舆论引导，实质上都是北约网络战，都有美国在幕后操控。

中国需要高度警惕起来，此前韩国已经加入了北约旗下的网络安全组织，北约很可能以此为跳板，继续加大对中国的网络渗透。当然网络领域的作战是一个周期比较长的过程，只有做好足够的理论和技术准备，才能夺得胜利。现在中国网络技术尚未成熟的前提下，最好的办法就是在美国做出攻击之前，斩断美国的“杀伤链”，变事后发现为事前捕获。