谷歌警告：疑似中国黑客将远程运维工具作为突破口

一款被众多企业用来远程维护电脑的工具，正在成为网络攻击者眼中的“香饽饽”。

美国谷歌公司10月15日发出警告，提醒各类机构为一个新发现漏洞可能遭到的“大规模利用”做好准备。这个漏洞存在于美国网络安全公司BeyondTrust的远程支持设备中。

据谷歌威胁情报小组和旗下网络安全公司Mandiant分析，攻击者一旦成功利用该漏洞，就能窃取凭证、任意上传文件，并最终控制主机。

谷歌在博客文章中披露，一个被其命名为“Armory Castle”、疑似与中国黑客有关的组织，早在今年8月就已利用这个当时尚不为人知的漏洞发动攻击。

Mandiant是全球知名的网络安全事件响应公司，2022年被谷歌收购后，与谷歌威胁情报团队一起，长期追踪全球各类高级持续性威胁组织。

这一次，谷歌用“可能被大规模利用”这样的措辞发出预警，足见其对风险的判断相当严重。

为什么远程运维工具如此危险

BeyondTrust的远程支持软件，是一款面向企业的远程访问工具。企业IT团队借助它，可以远程接入员工的电脑和各类设备，排查故障、安装软件、修改配置。

正因为功能强大，这类工具通常拥有很高的系统权限。一旦被攻破，攻击者就相当于拿到了一把可以打开企业内网大门的“万能钥匙”。

打个比方，这就像小区物业的总钥匙被人复制了。窃贼不必逐户撬锁，只要掌握这一把钥匙，就能在整个小区里畅通无阻。

更危险的是，远程支持工具的流量本身就是“正常业务”，攻击者借道其中，往往不容易被安全系统察觉。

值得一提的是，许多托管服务商也使用这类工具同时为成百上千家客户提供运维服务。一旦服务商的系统被攻破，影响就可能像多米诺骨牌一样扩散到所有下游客户。

近年来，从远程桌面软件到虚拟专用网络设备，各类边缘访问工具频频成为高级黑客组织的首选突破口，原因就在于此。

零日漏洞的“窗口期”

这次事件中最令人担忧的，是攻击者抢先一步的时间差。在网络攻防中，时间往往就是一切。

所谓“零日漏洞”，是指在厂商和公众知晓之前就已被攻击者掌握的安全缺陷。在这段时间里，防守方几乎毫无防备。

按照谷歌的说法，Armory Castle早在8月就开始利用这一漏洞，远早于漏洞被公开披露的时间。这意味着，部分机构可能早已在不知情的情况下遭到入侵。

而一旦漏洞细节公开，风险往往不降反升。

谷歌指出，根据以往的行为模式，Armory Castle以及其他攻击者很可能会在漏洞披露后，试图对其进行大范围利用。

这是网络安全领域一个反复上演的规律。补丁发布后，攻击者会迅速对比新旧版本，反向推导出漏洞细节，然后赶在企业完成修补之前发起攻击。

对于大型机构而言，测试和部署补丁往往需要数天甚至数周，而攻击者的动作可能只需要几个小时，这种时间差正是安全团队最头疼的地方。

因此，谷歌敦促各机构尽快采取行动，要么立即安装补丁，要么采取缓解措施降低风险。

前车之鉴犹在眼前

BeyondTrust的远程支持产品，已经不是第一次卷入重大网络安全事件。

2024年底，美国财政部曾披露，攻击者通过入侵BeyondTrust的远程支持服务，进入了财政部部分办公电脑并获取了一些非机密文件。

今年早些时候，BeyondTrust也曾披露其远程访问软件中的严重漏洞，美国网络安全和基础设施安全局随后要求联邦机构在三天内完成修补。

这些事件表明，即便是政府部门这样防护严密的机构，也可能因为一个第三方工具的缺陷而门户洞开。

一再出现的安全问题，也暴露出企业对少数关键第三方工具的高度依赖，以及由此带来的“供应链风险”。

对于外界将网络攻击归咎于中国黑客的说法，中国政府过去多次表示，中国坚决反对并打击一切形式的网络攻击，同时反对在缺乏确凿证据的情况下进行无端指责。

客观而言，网络攻击的溯源历来是一项高度复杂的工作，各方的说法都需要更多证据来支撑。

事实上，网络空间的安全威胁并不分国界，任何国家的政府、企业和个人都可能成为攻击目标，加强国际合作、共同应对网络犯罪，才是长远之计。

但无论攻击来自何方，对企业来说，最现实的应对之道始终是做好基础防护。及时更新补丁、限制高权限工具的暴露面、启用多因素认证并加强日志监控，是抵御此类攻击最有效的手段。

此外，对已经部署相关产品的机构来说，仅仅打补丁还不够。安全团队还应回溯检查8月以来的访问记录，排查是否已有异常登录或可疑文件，以免攻击者早已潜伏其中。

在网络空间，“万能钥匙”越强大，就越需要被严加保管。这次的漏洞预警，再一次提醒所有依赖远程运维工具的机构：便利与风险，往往只有一线之隔。