国家计算机病毒应急中心发布《美国网络武器“饮茶”分析报告》
admin
2022-09-13 14:29:29
0

  今天,国家计算机病毒应急中心发布《美国NSA网络武器应急中心饮茶分析报告》,详情如下:

  一、概述

  国家计算机病毒应急处理中心在对西北工业大学遭境外网络攻击事件进行调查过程中,在西北工业大学的网络服务器设备上发现了美国国家安全局(NSA)专用的网络武器“饮茶”(NSA命名为“suctionchar”)(参见我中心2022年9月5日发布的《西北工业大学遭美国NSA网络攻击事件调查报告(之一)》)。国家计算机病毒应急处理中心联合奇安信公司对该网络武器进行了技术分析,分析结果表明,该网络武器为“嗅探窃密类武器”,主要针对Unix/Linux平台,其主要功能是对目标主机上的远程访问账号密码进行窃取。

  二、技术分析

  经技术分析与研判,该网络武器针对Unix/Linux平台,与其他网络武器配合,攻击者可通过推送配置文件的方式控制该恶意软件执行特定窃密任务,该网络武器的主要目标是获取用户输入的各种用户名密码,包括SSH、TELNET、FTP和其他远程服务登录密码,也可根据配置窃取保存在其他位置的用户名密码信息。

  该网络武器包含“验证模块(authenticate)”、“解密模块(decrypt)”、“解码模块(decode)”、“配置模块”、“间谍模块(agent)”等多个组成部分,其主要工作流程和技术分析结果如下:

  (一)验证模块

  验证模块的主要功能是在“饮茶”被调用前验证其调用者(父进程)的身份,随后进行解密、解码以加载其他恶意软件模块。如图1所示。

  (二)解密模块

  解密模块是通用模块,可被其他模块调用对指定文件进行解密,采用了与NOPEN远控木马(参见《“NOPEN”远控木马分析报告》)类似的RSA+RC6加密算法。如图2所示。

  (三)解码模块

  与解密模块类似,解码模块也是通用模块,可以被其他模块调用对指定文件进行解码,但采用了自编码算法。如图3所示。

  (四)配置模块

  配置模块的主要功能是读取攻击者远程投送的xml格式配置文件中的指令和匹配规则,并生成二进制配置文件,从而由“监视模块”和“间谍模块”调用后在受害主机上查找相关内容。如图4、图5所示。

  (五)间谍模块

  间谍模块的主要功能是按照攻击者下发的指令和规则从受害主机上提取相应的敏感信息并输出到指定位置。

  (六)其他模块

  在分析过程中,我们还发现另外两个模块,分别是配置文件生成模块和守护者模块。其中,配置文件生成模块的功能可能是生成ini临时配置文件,而守护者模块与间谍模块具有很高的代码相似性,可能是为不同版本系统生产的变种。

  三、总结

  基于上述分析结果,技术分析团队认为,“饮茶”编码复杂,高度模块化,支持多线程,适配操作系统环境广泛,包括FreeBSD、Sun Solaris系统以及Debian、RedHat、Centos、Ubuntu等多种Linux发行版,反映出开发者先进的软件工程化能力。“饮茶”还具有较好的开放性,可以与其他网络武器有效进行集成和联动,其采用加密和校验等方式加强了自身安全性和隐蔽性,并且其通过灵活的配置功能,不仅可以提取登录用户名密码等信息,理论上也可以提取所有攻击者想获取的信息,是功能先进,隐蔽性强的强大网络武器工具。

  在此次针对西北工业大学的攻击中,美国NSA下属特定入侵行动办公室(TAO)使用“饮茶”作为嗅探窃密工具,将其植入西北工业大学内部网络服务器,窃取了SSH、TELNET、FTP、SCP等远程管理和远程文件传输服务的登录密码,从而获得内网中其他服务器的访问权限,实现内网横向移动,并向其他高价值服务器投送其他嗅探窃密类、持久化控制类和隐蔽消痕类网络武器,造成大规模、持续性敏感数据失窃。随着调查的逐步深入,技术团队还在西北工业大学之外的其他机构网络中发现了“饮茶”的攻击痕迹,很可能是TAO利用“饮茶”对中国发动了大规模的网络攻击活动。

  (总台央视记者 陈雷 张岗)

相关内容

热门资讯

C罗双响,利雅得胜利3-1客胜... 4 月5日,沙特阿拉伯联赛第26轮,利雅得新月主场迎战利雅得胜利。比赛中,利雅得胜利由阿里-哈桑率先...
美股收盘:标普指数重挫近6%,... 转自:宁波晚报总台记者当地时间4月4日获悉,美国股市连续第二天遭受重创,当日收盘暴跌。道琼斯工业平均...
俄罗斯驱逐 3名摩尔多瓦外交官   据新华社电 俄罗斯外交部4日就摩尔多瓦政府驱逐3名俄外交官提出抗议,并宣布根据对等原则,驱逐3名...
“暖心敲门”细走访 “极简极...   本报讯(方爽 记者 梁可心)“还是党的政策好,让我的生活有了着落。”日前,南岗区跃进街道困难群众...
怎样判断是不是文物?哪些文物不... 转自:杭州网提起文物,大家首先想到的都是一些收藏品,比如瓷器、字画,不过,文物的概念到底是什么?还有...
缅甸地震已致3354死4508... 转自:央视新闻来源:@央视新闻 如遇作品内容、...
清明祭英烈 书信寄哀思   右图:王艺菲写给杨靖宇将军的信。  本报讯(原野 记者 杜菲菲)笔墨书怀念,深情悼忠魂。又是一年...
广发全球医疗保健指数(QDII... 2025年3月29日,广发基金管理有限公司发布广发全球医疗保健指数(QDII)2024年年度报告。报...
蚕花 水会   4日,浙江省桐乡市洲泉镇2025春季“双庙渚蚕花水会”盛大开幕,请蚕花、祭蚕花、游蚕花等活动轮番...
维康药业成立浙江康源云舟科技有... 证券之星消息,根据天眼查APP数据整理,近日,浙江康源云舟科技有限公司成立,法定代表人为孔晓霞,注册...
华阴老腔艺人的经典歌曲都有哪些... 华阴老腔艺人的经典歌曲都有哪些,求资源
戒情在佛经里又叫什么? 戒情在佛经里又叫什么?戒情在佛经里又叫戒七情六欲
求翻译一段韩语。 求翻译一段韩语。重点是这句:월, 화, 목요일에는 1경기, 수, 금, 토요일에는 2경기씩 진행...
桜ことば浅吟什么意思? 桜ことば浅吟什么意思?桜,是樱。ことば,语言的意思。合在一起,桜ことば局首浅吟,仿毕是中文日文混合的...
对象发视频这个文案,有意义的人... 对象发视频这个文案,有意义的人再等多久都有意义 爱只会在不见面的日子里更加轰烈,我该怎么回复?她应该...
形容为爱的人用心做一件事情的成... 形容为爱的人用心做一件事情的成语 爱一个人,就要做到永远不变心,一心一意地爱TA!,就要做到【矢志不...
俄方任命的赫尔松地区行政长官:... 转自:央视新闻客户端总台记者当地时间4月4日获悉,俄罗斯任命的赫尔松地区行政长官萨利多表示,俄军挫败...
美国国税局将裁员25% 波及约... 转自:央视新闻客户端总台记者当地时间4月4日获悉,美国国税局计划从当天开始裁员25%,裁员约2万人。...
郑钦文止步查尔斯顿站8强 转自:今晚报 #郑钦文0比2亚历山德洛娃#【#郑钦文止步查尔斯顿站8强#】#郑钦文不敌亚历山德...
小朋友说他有超能力老师改怎么回... 小朋友说他有超能力老师改怎么回答?小朋友说他有超能力老师改怎么回答当小朋友说他有超能力的时候,老师应...