国家计算机病毒应急处理中心发布美国NSA网络武器饮茶分析报告

　　央广网北京9月13日消息（记者卜叶）9月13日，国家计算机病毒应急处理中心发布《美国NSA网络武器＂饮茶＂分析报告》（以下简称《报告》）。《报告》显示，NSA专用的网络武器＂饮茶＂（NSA命名为＂suctionchar＂）主要针对Unix/Linux平台，其主要功能是对目标主机上的远程访问账号密码进行窃取。理论上，＂饮茶＂也可以提取所有攻击者想获取的信息，是功能先进，隐蔽性强的强大网络武器工具。
　　6月22日，西北工业大学发布《公开声明》称，该校遭受境外网络攻击。陕西省西安市公安局碑林分局随即发布《警情通报》，证实在西北工业大学的信息网络中发现了多款源于境外的木马样本，西安警方已对此正式立案调查。
　　西北工业大学公开声明 截图自西北工业大学官方微信公众号
　　国家计算机病毒应急处理中心等联合组成技术团队，全程参与此案的技术分析工，全面还原相关攻击事件的总体概貌、技术特征、攻击武器、攻击路径和攻击源头，初步判明相关攻击活动源自NSA＂特定入侵行动办公室＂（TAO）。
　　调查发现，TAO使用＂饮茶＂等40余种不同的NSA专属网络攻击武器，并根据目标环境对同一款网络武器进行灵活配置，持续对西北工业大学开展攻击窃密，窃取该校关键网络设备配置、网管数据、运维数据等核心技术数据。
　　《报告》显示，在网络攻击行动中，＂饮茶＂作为一款嗅探窃密工具，被植入西北工业大学内部网络服务器。该网络武器针对Unix/Linux平台，与其他网络武器配合，攻击者可通过推送配置文件的方式控制该恶意软件执行特定窃密任务，该网络武器的主要目标是获取用户输入的各种用户名密码，包括SSH、TELNET、FTP和其他远程服务登录密码，也可根据配置窃取保存在其他位置的用户名密码信息。
　　该网络武器包含＂验证模块＂＂解密模块＂＂解码模块＂＂配置模块＂＂间谍模块＂等多个组成部分。验证模块的主要功能是在＂饮茶＂被调用前验证其调用者（父进程）的身份，随后进行解密、解码以加载其他恶意软件模块。解密模块是通用模块，可被其他模块调用对指定文件进行解密，采用了与NOPEN远控木马类似的RSA+RC6加密算法。
　　与解密模块类似，解码模块也是通用模块，可以被其他模块调用对指定文件进行解码，但采用了自编码算法。配置模块的主要功能是读取攻击者远程投送的xml格式配置文件中的指令和匹配规则，并生成二进制配置文件，从而由＂监视模块＂和＂间谍模块＂调用后在受害主机上查找相关内容。间谍模块的主要功能是按照攻击者下发的指令和规则从受害主机上提取相应的敏感信息并输出到指定位置。
　　在分析过程中，工作人员还发现另外两个模块，分别是配置文件生成模块和守护者模块。其中，配置文件生成模块的功能可能是生成ini临时配置文件，而守护者模块与间谍模块具有很高的代码相似性，可能是为不同版本系统生产的变种。
　　技术分析团队认为，＂饮茶＂编码复杂，高度模块化，支持多线程，适配操作系统环境广泛，包括Free BSD、Sun Solaris系统以及Debian、RedHat、Centos、Ubuntu等多种Linux发行版，反映出开发者先进的软件工程化能力。
　　同时，＂饮茶＂还具有较好的开放性，可以与其他网络武器有效进行集成和联动，其采用加密和校验等方式加强了自身安全性和隐蔽性，并且其通过灵活的配置功能，不仅可以提取登录用户名密码等信息，理论上也可以提取所有攻击者想获取的信息，是功能先进，隐蔽性强的强大网络武器工具。
　　此次， TAO窃取了SSH、TELNET、FTP、SCP等远程管理和远程文件传输服务的登录密码，从而获得内网中其他服务器的访问权限，实现内网横向移动，并向其他高价值服务器投送其他嗅探窃密类、持久化控制类和隐蔽消痕类网络武器，造成大规模、持续性敏感数据失窃。随着调查的逐步深入，技术团队还在西北工业大学之外的其他机构网络中发现了＂饮茶＂的攻击痕迹，很可能是TAO利用＂饮茶＂对中国发动了大规模的网络攻击活动。