国家授时中心遭受美国国家安全局网络攻击事件技术分析报告

主要观点总结

本文介绍了国家安全机关披露的美国国家安全局（NSA）对国家授时中心（授时中心）实施重大网络攻击活动的细节和技术手段。

关键观点总结

关键观点1: 攻击事件概述

NSA利用某国外品牌手机短信服务漏洞，秘密监控授时中心工作人员，非法窃取手机数据。同时，NSA在“三角测量”行动曝光前，多次入侵授时中心计算机，刺探内部网络建设情况，并针对性部署新型网络作战平台，对多个内部业务系统实施渗透活动。

关键观点2: 网络攻击过程

NSA通过“三角测量行动”获取授时中心计算机终端的登录凭证，进而获取控制权限，部署定制化特种网攻武器，针对授时中心网络环境不断升级网攻武器，扩大网攻窃密范围，以达到对该单位内部网络及关键信息系统长期渗透窃密的目的。

关键观点3: 网攻武器库分析

攻击者在此次网络攻击事件中使用的网攻武器、功能模块、恶意文件等总计42个，主要网攻武器按照功能可分为前哨控守类武器、隧道搭建类武器、数据窃取类武器。这三类武器各自具有不同的功能和特点，共同构成了NSA的网络攻击体系。

关键观点4: 背景研判分析

网攻武器“New-Dsz-Implant”与NSA的“DanderSpritz”网攻平台具有同源性，并在代码细节上进行了部分功能升级。攻击者使用的网攻武器采用多层嵌套数据加密模式，与“NOPEN”使用的RSA+RC6加密模式相比有了明显升级。

关键观点5: 样本驻留方式和数据加密模式

部分网攻武器通过修改注册表InprocServer32键值的方式实现自启动，这种驻留方式与NSA“方程式组织”所使用的网攻武器相同。攻击者使用的网攻武器采用多层嵌套数据加密模式，外层使用TLS协议加密，内层使用RSA+AES方式进行密钥协商和加密。