“二次约会”间谍软件分析报告：网络攻击西北工业大学 美国有关人员实际身份被锁定

  近日，国家计算机病毒应急处理中心和360公司对名为“二次约会”(SecondDate)的“间谍”软件进行了技术分析，该“间谍”软件针对基于FreeBSD、Linux、Sun Solaris、Juniper JunOS等平台的路由器等网关设备平台，可实现网络流量窃听劫持、中间人攻击、插入恶意代码等恶意功能，从而与其它“间谍”软件配合完成复杂的网络“间谍”活动。

  根据“影子经纪人”泄露的NSA内部文件，该恶意软件为美国国家安全局(NSA)开发的网络“间谍”武器。“SecondDate”间谍软件是一款中间人攻击专用工具，一般驻留在目标网络的边界设备上，嗅探网络流量并根据自身的需求对特定网络会话进行劫持、篡改。

  在国家计算机病毒应急处理中心会同360公司配合侦办西北工业大学被美国国家安全局(NSA)网络攻击案过程中，成功提取了这款间谍软件的多个样本，并锁定了这起网络“间谍”行动背后美国国家安全局(NSA)工作人员的真实身份。

  “二次约会”(SecondDate)间谍软件主要部署在目标网络边界设备(网关、防火墙、边界路由器等)，隐蔽监控网络流量，并根据自身的需求精准选择特定网络会话进行重定向、劫持、篡改。

  技术分析发现，“SecondDate”间谍软件是一款高技术水平的网络间谍工具。开发者应该有很深厚的网络技术功底，尤其对网络防火墙技术很熟悉，其几乎相当于在目标网络设备上加装了一套内容过滤防火墙和代理服务器，使攻击者可以完全接管目标网络设备以及流经该设备的网络流量，以此来实现对目标网络中的其他主机和用户实施长期窃密，并作为攻击的“前进基地”，随便什么时间都能向目标网络投送更多网络进攻武器。

  “二次约会”(SecondDate)间谍软件长期驻留在网关、边界路由器、防火墙等网络边界设备上，可针对海量数据流量进行精准过滤与自动化劫持，实现中间人攻击功能。其基本功能包括网络流量嗅探、网络会话追踪、流量重定向劫持、流量篡改等。

  该“间谍”软件针对路由器、防火墙等网络设备平台，SecondDate支持分布式部署，由服务器端程序和客户端程序构成，攻击者事先通过其他方式将客户端程序植入目标网络设备，然后使用服务器端程序对客户端进行命令控制。其主要工作流程和技术分析结果如下：

  服务器端的基本功能是与客户端建立连接并下发控制规则，由客户端完成相应恶意操作。如表1、图1、图2、图3所示。

  如图3所示，攻击者可指定源IP地址、源端口、目的IP地址、目的端口、协议类型、TCP标志等对网络流量进行过滤，并能指定匹配正则表达式文件以获取特定内容的流量，还可以在流量中插入包含特定内容的文件。

  从分析结果看，客户端被植入并配置相应规则后，可以在网络设备后台静默运行，攻击者能够正常的使用服务器端来控制也可以直接登录到网络设备后台进行命令控制。如表2、图4、图5和图6所示。

  客户端指令集很丰富，能轻松实现对网络流量的内容过滤、中间人劫持以及内容注入等恶意操作。

  “二次约会”(SecondDate)间谍软件通常结合特定入侵行动办公室(TAO)的各类针对防火墙、路由器的网络设备漏洞攻击工具使用，在漏洞攻击成功并获得相应权限后，植入至目标设备。

  “二次约会”(SecondDate)间谍软件分为服务端和控制端，服务端部署于目标网络边界设备上，通过底层驱动实时监控、过滤所有流量；控制端通过发送特殊构造的数据包触发激活机制后，服务端从激活包中解析回连IP地址并主动回连。网络连接使用UDP协议，通信全程加密，通信端口随机。控制端可以对服务端的工作模式和劫持目标进行远程配置，结合实际需要选择网内任意目标实施中间人攻击。

  我们与业内合作伙伴在全世界开展技术调查，经层层溯源，发现了上千台遍布各国的网络设备中仍在隐蔽运行“二次约会”间谍软件及其衍生版本，并发现被美国国家安全局(NSA)远程控制的跳板服务器，其中多数分布在德国、日本、韩国、印度和中国台湾。在多国业内伙伴通力合作下，我们的工作取得重大突破，现已成功锁定对西北工业大学发起网络攻击的美国国家安全局(NSA)工作人员的真实身份。

  随着我国综合国力的慢慢地加强和国际战略格局的深刻变化，境外“间谍”情报机构对我国开展间谍情报活动的力度不断加大，利用互联网开展“间谍”窃密活动已成为主要手段之一。

  在此背景下，我国政府、行业有突出贡献的公司、大学、医疗机构、科研单位等应加快排查自身网络“间谍”攻击线索和安全风险隐患，与有能力的网络安全公司合作获取数字安全服务，依托大数据、平台、探针、专家构建安全运营中心，低成本、高效能获得数字安全能力。实现“看见”全网资产、全网态势、国家级间谍攻击活动，具备“处置”安全风险、高级威胁、间谍行动等核心安全能力，最终能够实时分析、实时发现、实时阻断、实时清理、实时恢复。

  1月26日，《科学（Science）》期刊在线发表了中国农业科学院基因组所（省实验室深圳分中心）闫建斌研究员与北京大学雷晓光教授等合作完成的最新研究成果，标志着我国在紫杉醇合成生物学理论和技术上站在了世界领先地位。

  穿过制造中心入口的风淋系统，整条产线映入眼帘，一台台设备完成装配调试后，输送至各集成电路先进产线，参与“中国芯”制造。

  2023年全球高级持续性威胁（APT）活动依然非常严峻，全球APT组织主要分布于美国、印度等国家和地区，美国依然是世界网络安全的主要威胁。

  我国大熊猫及其栖息地保护、古树名木保护取得新成效。 国家林草局动植物司二级巡视员张月表示，为加强大熊猫保护，我国先后开展了四次全国性大熊猫调查，掌握了其野外种群及分布情况。

  国家卫生健康委25日举办新闻发布会，介绍我国冬季呼吸道疾病防治和健康提示有关情况。雨雪天气可能会引起道路结冰、湿滑，对交通出行带来不利影响，特别要关注旅途安全。

  当今地球上所有的复杂生命都是多细胞真核生物，真核生物的多细胞化是生命向复杂化和大型化演化的必备条件，被认为是生命演化史上的重大事件之一。

  记者1月25日从中国科学技术大学获悉，该校潘建伟、陈宇翱、戴汉宁等组成的研究团队，成功研制了万秒稳定度和不确定度均优于5×10-18（相当于数十亿年的误差不超过一秒）的锶原子光晶格钟。

  科技创新是“国之大者”，是公司发展的原动力。2023年，国务院国资委和中央企业积极践行新型制，以强烈紧迫感和强有力举措全力推进科学技术创新，创新效能进一步提升。

  无人机的应用与发展已形成了全领域应用的态势，在应用需求的强力牵引和新技术发展的有力支持下，无人机的发展未来可期。

  日前，安徽大学、南京师范大学、中国科学院成都生物研究所研究人员在国际期刊《动物杂志》上报道了一种来自大别山区的壁虎新种——大别山壁虎。

  该足迹化石是诸城在白垩纪存在过古鸟类的确凿证据，对古生物地理分布、古环境复原等研究工作都有着重要意义。

  量子网络是实现量子互联网的基础，也是量子计算机规模化的一种重要方法，生成离子-光子纠缠是实现离子阱量子网络的关键步骤。 为客服这些困难，上述课题组提出使用同种离子的双类型量子比特实现量子网络结点的方案。

  1月23日，高光谱综合观测卫星正式上岗投入到正常的使用中。 这些能力的实现，依赖于卫星搭载的三台遥感仪器——可见短波红外高光谱相机、大气痕量气体差分吸收光谱仪、宽幅热红外成像仪三台遥感仪器。

  随着期末考试和寒假的到来，首都儿科研究所(以下简称“首儿所”)的学习困难门诊“一号难求”。

  我国首个深水高压气田开发项目“深海一号”的二期工程取得关键进展，于近日在深圳建造完工的、用于托举生产平台的导管架，24日乘驳船从深圳赤湾港启航，前往工程所在的南海北部大陆架西区的琼东南海域。

  大质量星系群和星系团作为宇宙中最大的结构，其动力学平衡状态反映了宇宙演化的状态，也就反映了宇宙的年龄。

  中国科学技术大学教授周蒙课题组与清华大学教授王泉明团队合作，在溶液中实现了金属团簇99%量子产率的近红外发光，并揭示了其三重态发光机制

  我国动力电池累计销量达616.3吉瓦时，同比增长32.4%；累计装车量387.7吉瓦时，同比增长31.6%；累计出口达127.4吉瓦时，同比增长87.1%。全球装车量前10名的动力电池企业中，中国企业占据6席

  张朝阳、冯仑跨界对线日，搜狐创始人、董事局主席兼首席执行官、物理学博士张朝阳与御风集团董事长、万通集团创始人、法学博士冯仑围炉煮茶，开启了一场《星空下的对话》，分享创业故事、探讨时代机遇与人生选择。

  记者从山东省诸城市恐龙文化研究中心获悉，当地发现的距今1亿多年早白垩世的鸟类足迹化石近日获正式研究命名——“玲珑诸城鸟足迹”。