网攻西工大的神秘黑客，身份已被锁定！

陈雷、张岗、陈庆滨、王子鑫/央视新闻 近日，国家计算机病毒应急处理中心和360公司对一款名为“二次约会”的间谍软件进行了技术分析，分析报告显示，该软件是美国国家安全局（NSA）开发的网络间谍武器。据了解，在国家计算机病毒应急处理中心会同360公司配合侦办西北工业大学被美国国家安全局（NSA）网络攻击案过程中，成功提取了这款间谍软件的多个样本，并锁定了这起网络间谍行动背后美国国家安全局（NSA）工作人员的真实身份。

据技术分析报告显示，“二次约会”间谍软件是美国国家安全局（NSA）开发的网络间谍武器，该软件可实现网络流量窃听劫持、中间人攻击、插入恶意代码等恶意功能，它与其他恶意软件配合可以完成复杂的网络“间谍”活动。国家计算机病毒应急处理中心高级工程师杜振华：该软件是具有高技术水平的网络间谍工具，使攻击者能够全面接管被攻击的（目标）网络设备以及流经这些网络设备的网络流量，从而实现对目标网络中主机和用户的长期窃密，同时还可以作为下一阶段攻击的“前进基地”，随时向目标网络中投送更多网络攻击武器。据专家介绍，“二次约会”间谍软件长期驻留在网关、边界路由器、防火墙等网络边界设备上，其主要功能包括网络流量嗅探、网络会话追踪、流量重定向劫持、流量篡改等。另外，“二次约会”间谍软件支持在各类操作系统上运行，同时兼容多种体系架构，适用范围较广。国家计算机病毒应急处理中心高级工程师杜振华：该间谍软件通常是结合特定入侵行动办公室（TAO）的各类针对防火墙、网络路由器的网络设备漏洞攻击工具一并使用。一旦漏洞攻击成功，攻击者成功获得了目标网络设备的控制权限，就可以将这款网络间谍软件植入到目标的网络设备中。报告显示，国家计算机病毒应急处理中心和360公司与业内合作伙伴在全球范围开展技术调查，经层层溯源，发现了上千台遍布各国的网络设备中仍在隐蔽运行“二次约会”间谍软件及其衍生版本，并发现被美国国家安全局（NSA）远程控制的跳板服务器，其中多数分布在德国、日本、韩国、印度和中国台湾。国家计算机病毒应急处理中心高级工程师杜振华：在多国业内伙伴的通力配合下，我们的联合调查工作取得了突破性进展。目前已经成功锁定了针对西北工业大学发动网络攻击的美国国家安全局（NSA）相关工作人员的真实身份。

“二次约会”间谍软件分析报告

为“二次约会”（SecondDate）的“间谍”软件进行了技术分析，该“间谍”软件针对基于FreeBSD、Linux、Sun Solaris、Juniper JunOS等平台的路由器等网关设备平台，可实现网络流量窃听劫持、中间人攻击、插入恶意代码等恶意功能，从而与其它“间谍”软件配合完成复杂的网络“间谍”活动。根据“影子经纪人”泄露的NSA内部文件，该恶意软件为美国国家安全局（NSA）开发的网络“间谍”武器。“SecondDate”间谍软件是一款中间人攻击专用工具，一般驻留在目标网络的边界设备上，嗅探网络流量并根据需要对特定网络会话进行劫持、篡改。在国家计算机病毒应急处理中心会同360公司配合侦办西北工业大学被美国国家安全局（NSA）网络攻击案过程中，成功提取了这款间谍软件的多个样本，并锁定了这起网络“间谍”行动背后美国国家安全局（NSA）工作人员的真实身份。一、基本情况“二次约会”（SecondDate）间谍软件主要部署在目标网络边界设备（网关、防火墙、边界路由器等），隐蔽监控网络流量，并根据需要精准选择特定网络会话进行重定向、劫持、篡改。技术分析发现，“SecondDate”间谍软件是一款高技术水平的网络间谍工具。开发者应该具有非常深厚的网络技术功底，尤其对网络防火墙技术非常熟悉，其几乎相当于在目标网络设备上加装了一套内容过滤防火墙和代理服务器，使攻击者可以完全接管目标网络设备以及流经该设备的网络流量，从而实现对目标网络中的其他主机和用户实施长期窃密，并作为攻击的“前进基地”，随时可以向目标网络投送更多网络进攻武器。二、具体功能 “二次约会”（SecondDate）间谍软件长期驻留在网关、边界路由器、防火墙等网络边界设备上，可针对海量数据流量进行精准过滤与自动化劫持，实现中间人攻击功能。其主要功能包括网络流量嗅探、网络会话追踪、流量重定向劫持、流量篡改等。三、技术分析 该“间谍”软件针对路由器、防火墙等网络设备平台，SecondDate支持分布式部署，由服务器端程序和客户端程序构成，攻击者事先通过其他方式将客户端程序植入目标网络设备，然后使用服务器端程序对客户端进行命令控制。其主要工作流程和技术分析结果如下：（一）服务器端服务器端的主要功能是与客户端建立连接并下发控制规则，由客户端完成相应恶意操作。如表1、图1、图2、图3所示。

1、连接客户端通过在命令行参数中指定客户端IP和端口号实现与客户端建立连接。

图1 与客户端建立连接

2、获得客户端当前状态

图2 获得客户端状态信息

3、配置客户端规则

图3 配置客户端规则

如图3所示，攻击者可指定源IP地址、源端口、目的IP地址、目的端口、协议类型、TCP标志等对网络流量进行过滤，并且可以指定匹配正则表达式文件以获取特定内容的流量，并且能够在流量中插入包含特定内容的文件。（二）客户端从分析结果看，客户端被植入并配置相应规则后，可以在网络设备后台静默运行，攻击者可以使用服务器端进行控制也可以直接登录到网络设备后台进行命令控制。如表2、图4、图5和图6所示。

1、指定本地端口

图4 客户端指定本地端口

2、根据指令规则执行相应操作

图5 客户端执行控制指令

3、插入文件

图6 客户端执行文件插入指令

4、指令集经分析，客户端支持的主要指令及其功能说明如表3所示。

客户端指令集非常丰富，可以实现对网络流量的内容过滤、中间人劫持以及内容注入等恶意操作。四、使用环境 “二次约会”（SecondDate）间谍软件支持在Linux、FreeBSD、Solaris、JunOS等各类操作系统上运行，同时兼容i386、x86、x64、SPARC等多种体系架构，适用范围较广。五、植入方式“二次约会”（SecondDate）间谍软件通常结合特定入侵行动办公室（TAO）的各类针对防火墙、路由器的网络设备漏洞攻击工具使用，在漏洞攻击成功并获得相应权限后，植入至目标设备。六、使用控制方式 “二次约会”（SecondDate）间谍软件分为服务端和控制端，服务端部署于目标网络边界设备上，通过底层驱动实时监控、过滤所有流量；控制端通过发送特殊构造的数据包触发激活机制后，服务端从激活包中解析回连IP地址并主动回连。网络连接使用UDP协议，通信全程加密，通信端口随机。控制端可以对服务端的工作模式和劫持目标进行远程配置，根据实际需要选择网内任意目标实施中间人攻击。我们与业内合作伙伴在全球范围开展技术调查，经层层溯源，发现了上千台遍布各国的网络设备中仍在隐蔽运行“二次约会”间谍软件及其衍生版本，并发现被美国国家安全局（NSA）远程控制的跳板服务器，其中多数分布在德国、日本、韩国、印度和中国台湾。在多国业内伙伴通力合作下，我们的工作取得重大突破，现已成功锁定对西北工业大学发起网络攻击的美国国家安全局（NSA）工作人员的真实身份。随着我国综合国力的不断增强和国际战略格局的深刻变化，境外“间谍”情报机构对我国开展间谍情报活动的力度不断加大，通过网络开展“间谍”窃密活动已成为主要手段之一。在此背景下，我国政府、行业龙头企业、大学、医疗机构、科研单位等应加快排查自身网络“间谍”攻击线索和安全隐患，与有能力的网络安全公司合作获取数字安全服务，依托大数据、平台、探针、专家构建安全运营中心，低成本、高效能获得数字安全能力。实现“看见”全网资产、全网态势、国家级间谍攻击活动，具备“处置”安全风险、高级威胁、间谍行动等核心安全能力，最终能够实时分析、实时发现、实时阻断、实时清理、实时恢复。本期编辑邢潭

偏远地区数据传输应用工农业环保水利气象实现采集远程控制中心

★透传4G/DTU，移动、联通、电信5G/4G网络，满足偏远地区无线远距离数据传输需求。可广泛应用于：工业、农业、环保、水利、气象等行业，实现数据采集上报远程控制中心

★华世智能4G/DTU：

1、标准RS232、RS485接口，可定制TTL电平，支持各类传感器接入实现数据采集

2、丰富协议库，TCP/IP和UDP/IP协议栈数据传输；支持环保212协议，应用于环保行业无线数据通信；支持标准MQTT协议，可对接阿里云、树根、飞凤等平台，数据远程监测

3、管理高效便捷，支持远程修改配置、远程排查故障、远程重启设备

4、看门狗检测机制、TCP心跳链路检测，数据传输安全稳定

5、工业级设计，防护等级IP30，防雷防潮防电磁干扰，运行更稳定

6、支持短信、电话振铃、串口数据等多种上下线触发模式

★华世智能---压力、液位、流量、温度以及物联终端仪表，可应用于:石油化工、水利水务、工业控制、市政消防、智慧城市、航天航海、食品医药等

差压传感器，压力变送器，液位变送器，温度传感器，电磁流量计，涡街流量计、压力开关、超声波流量计、液位传感器、液位计、质量流量计、流量开关、涡轮流量计、雷达液位计、双金属温度计、蒸汽流量计、雷达物位计

气体流量计、液位开关、液位控制器、水位计、压力控制器、压阻式压力传感器、科里奥利质量流量计、水流量计、污水流量计、气体压力传感器、高精度压力传感器、智能电磁流量计、数字压力传感器、智能压力变送器、差压开关等

车辆远程控制监控中心有什么功能?

前端设备主要包含3g车载视频终端、车载摄像机、拾音器等。车载监控系统实现远程监控主要是依靠前端设备车载3g视频终端将视频数据压缩处理,通过无线网络传...

塔机安全监控系统设置?

3.预警系统:根据塔机运行数据和设定的安全参数,及时发出声音、光线或文字提示,提醒操作员注意潜在的安全隐患。4.远程监控:将塔机监控系统与远程控制中心或...

大金空调集中控制器哪里购买

[回答]大金空调远程控制网络温度调节器可以在控制中心控制风扇线圈的运行状态,在办公楼和单位办公楼使用温度调节器可以定期运行风扇线圈,控制中心可以强...

关闭电脑后远程控制自动取消吗?

关机状态下,不会被远程控制,远程控制只能控制系统。1、必须是开机状态下,远程控制只能控制系统,不能控制硬件,他所有的操作都是通过操作系统来进行完成的。...

华为远程控制按钮没了-ZOL问答

远程控制是指管理人员通过计算机网络或互联网等手段,在异地连接需要被控制的设备,并将其桌面环境显示到本地计算机上,从而进行配置、软件安装、修改等操作。例...

oppo手机怎样远程控制手机?

在“安全中心”界面中,找到“远程控制”选项,点击进入。6.在“远程控制”界面中,找到“开启远程控制”选项,点击开启。7.在开启远程控制之后,会要求输入一个...

oppo手机远程控制手机怎么设置-懂得

1、登录中国人民银行征信中心官网,点击“互联网个人信用信息服务平台”,点击“马上...全文第一次坐飞机的全部流程解析坐飞机的流程如下:到机场:最好在起飞前...

远程控制密码忘记了怎么办?

[最佳回答]打开“用户账户”。1打开“更改密码”。1这里更改密码或是设置密码即可(自己早已设置好的密码)。1在另一台电脑运行“mstsc”远程控制。管理页面后...

消防排烟机如何实现远程控制..._消防考试_帮考网

消防排烟机实现远程控制主要是依靠现代通信技术,使得操作人员可以在远程位置对排烟系统进行监控和操作。以下是几种实现远程控制的方法:1.有线远程...

木马病毒怎么清除?

清除木马病毒需要以下几个步骤:1.关闭网络连接:木马病毒通常通过网络进行传播或者向远程控制中心发送信息,所以第一步是关闭网络连接。可以拔掉网线或关闭无...

南城一中投毒案

远程控制中心网攻西工大的神秘黑客，身份已被锁定！

网攻西工大的神秘黑客，身份已被锁定！

“二次约会”间谍软件分析报告