.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
1.概述2024年2月12日，美國網絡安全公司SentinelOne在其官網上發布題為“China’s Cyber Revenge/Why the PRC Fails to Back Its Claims of Western Espionage”的報告[1]，（以下簡稱“SentinelOne報告”），對“中國三家知名網絡安全企業360、奇安信、安天及中國網絡安全產業聯盟（CCIA）”等機構揭露美方情報機構網絡攻擊的相關報告進行解讀。我們先直接概括其報告中的觀點和關鍵邏輯。
SentinelOne報告對我們公開的分析報告基於時間線進行了梳理，並引述一些美方人士觀點，設定瞭如下觀點：
1、中方報告是對國際其他機構對美方分析的跟進，存在長期滯後；
2、中方分析工作嚴重依賴美方自身的信息洩露；
3、中方報告沒有“PCAP包”級別的技術實證。
SentinelOne報告的邏輯並不是應答全球網絡安全業界和研究者過去二十年來對美方情報機構攻擊活動和能力的持續分析曝光，包括在美方多次信息洩露中所暴露出來的觸目驚心的真相，而是試圖把國際關注度轉移到中國網絡安全工作者的技術能力和水平是否能夠支撐其持續獨立發現、分析、研究、溯源美方的攻擊上，並將實證的概念窄化為一種具體的技術格式。美西方此前長時間習慣性地從宏觀層面誇大中國網絡安全能力，以便為其情報機構和軍工複合體爭取巨額的網絡安全預算，而此時，突然又在微觀層面開啟一波認為中國分析溯源能力很差的“嘲諷”流，並宣判：作為被霸凌者，你們反抗無效！
對SentinelOne報告所提及的中國安全企業的分析報告，有很大比例來自安天安全研究與應急處理中心（安天CERT），我們當然承認：作為一個企業級別的安全分析團隊，分析美國情報機構這種超級網空威脅行為體的網絡攻擊活動和支撐體系，是非常艱苦的工作。我們知道其中有巨大的能力、資源等方面的落差。我們就如同一隻警覺的白兔，努力睜大雙眼去發現和分析在迷霧森林中吞噬咀嚼各種弱小動物的巨型鷹鷲，我們希望努力畫出它的樣貌，提醒森林裡的其他動物警惕它的襲擊。
2015年，我們提出了A2PT（即高級的高級持續性威脅）這一名詞，以此明確其空前的能力和威脅，也提醒我們自己，對抗和分析這種攻擊能力會有多麼困難。
分析、溯源APT攻擊本身是一個長期、複雜、需要大量資源，需要高度嚴謹的科學態度和耐心定力的工作，對於更為複雜的A2PT的分析則需要付出更大的代價。我們的工作過程基本不為常人所知，分析成果又只有專業人士才能充分理解。所以儘管SentinelOne報告整體邏輯如此之荒謬，但如果我們不向SentinelOne（我們願意稱呼他們為美國同行）點破若干他們視而不見的真相，包括向他們分享一點我們（也包括國際網絡安全業界）對APT分析工作的真正理解，就不足以讓人們看清SentinelOne報告貌似專業、甚至“公正”的梳理和分析下面隱藏的對世界的欺騙。
因此我們很感謝SentinelOne報告，讓我們有機會以自己的回憶視角串聯若干歷史分析工作，包括促成我們公佈這些工作中的一些未出現在歷史報告中的過程線索。由於這段歷程過於漫長，我們一度認為若干有價值的分析成果已經覆滿塵土，但SentinelOne報告讓我們可以把它們重新摘選出來，重新對世界發出告知與提醒。讓所有尋求真相的人們，把我們的這份報告與SentinelOne報告擺放在一起，看看何為詭辯，何為邏輯與真相！
我們並不自詡正確，但我們總還有講述自己經歷的權力！
2.接力追踪鷹鷲的足跡美方情報機構的網絡攻擊不是孤立的行動，而是基於0day漏洞、高級惡意代碼持久化和基於人力、電磁和網空混合作業的長期佈局，並有龐大的工程體係作為支撐。在長期作業過程中可能經歷大型惡意代碼工程的多次迭代，這使得國際網絡安全業界的分析曝光工作看起來像一場工作接力。
第一個接力高峰期，2010年由“震網”事件所觸發，並沿著“火焰”“毒曲”“高斯”等複雜的惡意代碼展開。 SentinelOne的時間線開始就選錯了起點，包括中國網絡安全工作者在內的國際網安業界分析工作起跑於2010年，我們的工作和國際業內同仁是基本同步啟動的，而不是2012年。 2010年7月13日國際網絡安全企業最早曝光相關消息後，我們在7月15日依托設定的關鍵字符串守候到了樣本，並著手搭建“震網”的模擬分析環境，開始模擬分析相關機理。
圖2‑1安天搭建的“震網”簡易模擬分析沙盤（2010.7）
針對“震網”的接力分析，是由很多複雜而瑣碎的工作組成的。例如幾乎所有參與分析的機構，都在其中找到了感染USB設備的擺渡感染代碼。但多數沒有成功觸發復現USB擺渡行為。安天的分析貢獻之一是對其擺渡的關鍵機理進行了深入分析，指出了其擺渡傳播的控制條件，從而解釋了其與其他蠕蟲差異明顯的受控傳播特性。在2010年10月11日的《对Stuxnet的后续分析》 [2]中，我們解讀了：
Stuxnet是否感染到U盤，取決於配置數據中的多個域，包括：
马云惹不起马云偏移0x6c、0x70、0xc8處的標記位；
马云惹不起马云偏移0x78、0x7c處的時間戳；
马云惹不起马云偏移0x80、0x84處的數值。
只有當每個域對應的條件都滿足時，才會感染U盤。其中，偏移0xc8處的位默認設置為不感染。
圖2‑2“震網”文件釋放結構和USB傳播邏輯圖（2010.10）
但我們對當時的分析精細度並不滿意，在九年後的“震網”事件最終報告[3]中，我們對完整的標誌位做了更新：
圖2‑3震網擺渡配置內容解析（2019.9）
2010年面對如此復雜的攻擊時，我們承認自己匱乏資源與經驗，作為從病毒分析組轉型的應急分析團隊，我們太習慣於代碼功能逆向的視角，而並未將其所使用的多個0day漏洞進行逐一驗證，也就留下了一個嚴重的分析錯誤，把針對Windows打印後台程序漏洞的利用當作了對打印機的攻擊，還留下瞭如下帶有錯誤的圖示。這也間接導致了多份國內外的文獻由於引用了我們的圖示而產生關聯錯誤。
圖2‑4 Stuxnet蠕蟲突破物理隔離環境的傳播方式的錯誤圖示（2010.9）
儘管對“震網”事件的深入分析了解是全球所有APT分析研究者的基本功，但我們篤定的是：SentinelOne不會比我們更了解“震網”，因為如果他們分析過樣本，恐怕就不會不知道“震網”會提取主機信息並追加於Payload尾部。顯然，基於我們樣本庫中大量的“震網”樣本對主機信息的還原，會提取出大量中國計算機被感染的證據。而這恰恰就是SentinelOne報告所說的實證。
圖2‑5安天基於樣本提煉整理的感染中國計算機節點的部分數據
當美方領導人和政府人士不僅在多次場合中暗示承認“震網”與其情報機構的關係，甚至明顯以此作為擁有強大網絡攻擊威懾的一種宣示時，對事件的分析就已經不能停留在樣本分析和技術實證層面，而必須更深入的判斷打開信息戰“潘多拉魔盒”的影響。在對“震網”的分析中，安天量化對比了“震網”事件與二十年前的凋零利刃與巴比倫行動，明確提出“震網”的災難性里程碑意義，在於其證明了網絡攻擊能達成傳統作戰行動的局部等效性。
表2‑1兩次針對主權國家核計劃所採用的軍事行動與準軍事行動的對比分析（2015）
凋謝利刃與巴比倫行動（傳統作戰行動）
震網行動（網絡戰行動）
發起攻擊者
以色列、伊朗、美國
美國、以色列
被攻擊目標
伊拉克核反應堆
伊朗鈾離心設施
時間週期
1977-1981年
2006-2010年
人員投入
以色列空軍、特工人員、伊朗空軍、美國空軍和情報機構
美、以情報和軍情領域的軟件和網絡專家，工業控制和核武器的專家
產出
多輪前期偵查和空襲，核反應堆情報
戰場預製、病毒的傳播和伊朗核設施情報
各方裝備投入
伊：2架F-4鬼怪式以12枚MK82減速炸彈-轟炸核反應堆假設工地；10架F-4襲擊伊拉克H-3空軍基地。
以：2架F-4E(S)-偵查任務；8架F-16A(美方提供)、4架F-15A、2架F-15B、16枚MK84炸彈-空襲反應堆
模擬搭建反應堆
特工人員暗殺伊拉克關鍵人員
美方：戰略衛星和情報、空中加油機
震網病毒
模擬搭建離心機和控制體系
效費比
打擊快速，準備期長，耗資巨大，消耗大，行動複雜，風險高
週期長，耗資相對軍事打擊低，但更加精準、隱蔽，不確定性後果更低
訓練成本
18個月模擬空襲訓練，2架F-4鬼怪攻擊墜毀，3名飛行員陣亡
跨越兩位總統任期，經歷了5年的持續開發和改進
消耗
人力、軍力、財力、裝備力、情報
人力、財力、情報
毀傷效果
反應堆被炸毀，嚇阻了法國供應商，伊拉克核武器計劃永久遲滯
導致1000台至2000台離心機癱瘓，鈾無法滿足武器要求，幾乎永久性遲滯了伊朗核武器計劃
在“震網”之後，全球網絡安全業界陸續發現了“毒曲”“火焰”“高斯”並發布報告，並陸續證明它們與“震網”的相關性。在面對“火焰”時，卡巴斯基指出，其攻擊是當時發現的最為複雜的攻擊之一，要對其完全分析清楚可能要耗費數年時間。我們意識到國際安全企業和從業者需要進行分工協同，我們嘗試開啟了一段馬拉松式的分析賽跑，嘗試完成更多的工作，對“火焰”主樣本進行了分析[4]，並提取了子模塊清單，對其中重點模塊進行了分析。從目前的公開資料檢索看，在業內完成“火焰”的分析成果中，安天在模塊層面的分析貢獻佔比是最高的。
圖2‑6“火焰”病毒主模塊與子模塊啟動加載順序（2012.5）
我們對“毒曲”和“震網”的同源分析報告晚於國際廠商[5]，這的確是一個事實。 “震網”“火焰”“毒曲”“高斯”系列存在同源關聯是當時參與這些樣本深度分析的各廠商的共同的猜測與判斷。卡巴斯基的工作最為敏捷和堅決，而我們則沒有把找到的相似點在第一時間沉澱為公開的分析成果，但如果比較這兩份同源分析，其實也可以看到：安天所提供的同源點大部分與卡巴斯基並不相同，將分析成果疊加起來可以為APT樣本體系間的同源性到代碼復用佔比分析提供更完整的線索和依據。
圖2‑7 安天公佈的震網、毒曲同源關鍵代碼基因對比（2012.5）
APT分析是一個社會協同過程，其中有大量的疑問是需要長時間的分析積累、關聯回溯才能解決的，“震網”就是一個例子。例如在非常長的時間內都沒有組織機構正式解答：作為高度定向的攻擊所使用的樣本，且大版本只有兩個，總模塊數只有數十個，但為什麼其樣本數量多達數千個，包括為什麼在技術驗證中，USB擺渡開關是默認關閉的，卻能形成一條從中東到東南亞並滲透到中國的感染擴散鏈。我們在《震网事件的九年再复盘与思考》 [3]對上述問題進行了分析解答，儘管這個解答遲來了九年，但這是中國網絡安全工程師的獨創內容。相比之下，急功近利的組織機構和研究者很難取得深度和系統的成果。
同樣的，我們以軟件工程的視角，梳理“震網”“火焰”“高斯”“毒曲”之間的代碼復用關係，並輸出了一個完整的圖譜：
圖2‑8 安天發布Stuxnet和Duqu、Flame、Fanny、Flowershop關係圖（2019.9）
既與時間賽跑，又在時間面前保持定力；既尊重他人的分析成果，又有自己的獨創貢獻，這就是中國網絡安全工作者在這場接力中扮演的角色。
3.破解斯芬克斯之謎A2PT組織攻擊裝備的重要特點是惡意代碼和漏洞利用工具攻擊武器幾乎覆蓋所有平台與場景。把這個全貌完整繪製出來，成為全球優秀的網絡安全研究機構攜手共同努力才能破解的斯芬克斯之謎。
在2013年之後，針對“方程式組織”（NSA下屬的TAO團隊）的分析協同就是一次集體解謎歷險。 “方程式組織”的新攻擊活動與此前“震網”“火焰”系列攻擊至關重要的差異是，“震網”是面向隔離網絡的攻擊作業，所以Payload必須包含所有的功能模塊組件，這就便於完整的關聯分析。
而新的攻擊波次主要是依托互聯網側的高度模塊化，針對場景按需投放。由於各國的IT基礎環境、各安全企業服務的客戶場景都有很大不同，任何一家網絡安全廠商都不可能在短時內完整捕獲其各平台樣本和各種功能模塊。如果說我們看到“震網”“火焰”“毒曲”“高斯”是依靠同源線索關聯所形成的分析接力的研究，那麼對“方程式組織”的分析實際上就是依靠自身的感知捕獲能力，逐個解開其在各個平台上的免殺，直到最終完整解開它全平台覆蓋能力。每一個平台捕獲、分析、拼接到最終曝光，都走過了很長的過程。其中我們將iOS樣本的曝光，與我們正式捕獲完成分析的時間，已經相隔了8年。我們依靠自身的捕獲能力，先後捕獲了其Windows、Solaris、Linux、iOS平台的攻擊樣本，破解了樣本加密機制。和國際產業界協同完成了其全操作系統平台覆蓋能力的分析，並最終使其完整曝光。
圖3‑1全球網絡安全廠商披露的方程式組織平台覆蓋能力
2015年初，卡巴斯基率先開始公佈了方程式組織對硬盤固件的攻擊能力，安天跟進公佈了分析報告[6]，針對攻擊組件結構、通信指令代碼和控制結構提供了有價值的成果。
圖3‑2 安天公佈的捕獲的C2和通信密鑰（2015.3）
安天該報告中還對硬盤固件寫入模塊進行了分析和過程研究，並在當時對可能被持久化主機硬盤進行了固件提取比對分析。
圖3‑3 安天分析硬盤固件升級流程（2015.3）
我們在2013年對“方程式”組織的捕獲分析中，就監測發現大量回連攻擊者C2的機器，確定國內存在被攻擊目標。
圖3‑4國內回連方程式組織C2監測流量
2015年5月，安天發布報告，公開了“方程式”組織內置的數據加密和網絡通信加密算法，公佈了解密密鑰和解密算法[7]。
圖3‑5方程式組織通信加解密算法分析（2015.4）
2016年，安天的報告首度曝光了“方程式”組織針對Linux系統和SPARC架構的Solaris系統的攻擊樣本[8]，分析了樣本的主要功能、通信模式和指令特點。與卡巴斯基等廠商報告疊加，構成了A2PT攻擊組織的全平台惡意代碼能力圖譜。
圖3‑6方程式攻擊組織多平台操作系統覆蓋能力（2016.11）
2023年，安天曝光了“方程式”組織針對iOS的樣本[9]，報告與卡巴斯基報告“三角測量行動”互動，分別曝光了美方通過“量子”系統劫持投放和基於手機iMessage服務漏洞投放攻擊iOS手機的攻擊方式。安天在報告中還發布了“量子”系統的攻擊能力圖譜和美方支撐攻擊系統運行的關係圖譜。
圖3‑7 “量子”系統可攻擊場景圖譜化分析（2023.6）
顯然，SentinelOne報告的編寫者可能沒有認真閱讀過中國企業發布的任何一篇APT分析報告，其研究習慣是：依托各安全機構報告的發佈時間來進行關聯推理，他們並未意識到（或者不願意正視）在每一次的連鎖接力中，中國網絡安全廠商與其他國家同行所發布的是不同的成果；而且顯然，他們缺乏深入分析APT事件的經驗和形成重量級分析報告的能力，從而意識不到中國廠商能夠在其他國際同行發布分析成果後迅速跟進、發布具有相關性的成果，其實是由於這些報告的主體部分早已形成，只是在等待發布的時機。我們篤定：對於2023年6月1日卡巴斯基所發布的“三角測量”行動報告和安天在6月9日所發布的“量子系統擊穿蘋果手機”報告，他們沒有讀懂。
因為很顯然，除了目標都是iOS之外，卡巴斯基和安天講述的是兩組完全不同的攻擊活動。卡巴斯基所曝光的攻擊是基於iMessage投放的，而安天曝光的攻擊是基於“量子”系統通過流量劫持投放的。在2023年6月1日發布報告時，卡巴斯基還沒有展開樣本分析，進行的是攻擊流量和行為分析（卡巴斯基真正的樣本分析成果發佈於2023年12月），而安天曝光的是一個早期捕獲的iOS樣本的儲備報告。這是兩組獨立的分析成果，我們只是為國際同行打了一個助攻而已。
4.攔截失控的分身帶給全球網絡安全工作者巨大壓力和乾擾的，並不只是A2PT攻擊本身。如果從事件的數量、攻擊的範圍這種統計學指標來看，美方對網絡軍備擴散的縱容和網絡軍火管理失控導致的網絡黑產與犯罪給全球帶來了更大的麻煩。
2015年，我們發現一例針對中國某機構的APT攻擊事件[10]。從最開始捕獲的加密數據包，到後來發現其利用註冊表數據塊完成的持久化，我們都以為這是一起A2PT組織發起的攻擊，但直到將其導入到安天賽博超腦平台進行同源性比對後才發現：這是由美國企業發布的自動化攻擊測試平台Cobalt Strike生成的攻擊載荷，被利用來對我們發動攻擊。
圖4‑1樣本模塊與Beacon生成模塊的對比分析圖(2015.5)
圖4‑2對Cobalt Strike創始人軍事背景的分析（2015.5）
安天在報告中指出“網絡空間已經存在嚴峻的網絡軍備擴散風險，超級大國能否合理控制自身網絡軍備發展的速度和規模，並對因自身未有效履行責任而使網絡領域發生可能的軍備擴散，進行有效的干預和控制，是我們能否達成一個更安全的網絡世界的關鍵因素。”
結果一語成讖。時隔兩年，美方便帶給全球一次更大的麻煩，因美方的影子經紀人洩露事件導致使用“永恆之藍”漏洞的WannaCry蠕蟲事件，該蠕蟲僅利用美國NSA“網絡軍火”中的“永恆之藍”（Eternalblue）漏洞，就製造了一場遍及全球的巨大網絡災難。
儘管我們在2016年的網絡安全威脅年報[11]中，對勒索病毒有可能和蠕蟲合流的趨勢做了預判，但我們並沒有想到幾個月後就以如此迅猛的方式表現。儘管如此，在針對WannaCry的溯源判斷上，我們還是堅持了中國網絡安全工作者的客觀和嚴謹。雖然其使用的高級漏洞利用工具毫無疑問的來自美方的武器洩露，我們依然依靠WannaCry的歷史樣本同源等多組線索，向中國網絡安全應急組織給出了我們對於WannaCry的來源判斷，以及其並非由美方開發的結論。但這一結論並不意味著，包括中國用戶在內的WannaCry受害者不需要追究美方網絡軍備失控的責任，包