继棱镜计划之后，美国再曝涉及45个国家和地区的电幕行动

独家：继“棱镜计划”之后，美国再曝涉及45个国家和地区的“电幕行动”

【环球时报记者 曹思琦 范凌志】23日，《环球时报》记者从北京奇安盘古实验室独家获得一份报告，该报告解密了来自美国的后门——“电幕行动”（Bvp47）的完整技术细节和攻击组织关联。盘古实验室称，这是隶属于美国国安局（NSA）的超一流黑客组织——“方程式”所制造的顶级后门，用于入侵后窥视并控制受害组织网络，已侵害全球45个国家和地区。

这是中国研究员首次公开曝光来自美国“方程式”组织APT（高级可持续威胁攻击）攻击的完整技术证据链条。

北京奇安盘古实验室科技有限公司（以下简称“盘古实验室”）发布的技术报告称，隶属于美国国安局NSA的超一流黑客组织——“方程式”制造了顶级后门“电幕行动”（Bvp47），用于窥视和入侵控制受害组织网络，已侵害全球45个国家和地区的287个重要机构目标。该报告是中国研究员首次公开曝光来自美国方程式组织APT攻击的完整技术证据链条，播发后立即引发全球关注。记者专访了盘古实验室负责人韩争光（TB），独家报道“电幕行动”（Bvp47）的破解过程、技术路径及对全球网络安全的影响。

“顶级后门”覆盖所有操作系统：善隐藏、自毁灭、难追踪

后门是网络世界中常见的高级持续性威胁之一（AdvancedPersistent Threats，简称APT），指绕过安全控制获取对网络系统访问权的方式，是网络病毒的一种。

盘古实验室创始人韩争光告诉《环球时报》记者，相较一般的APT攻击手段，“电幕行动”（Bvp47）堪称顶级后门程序，具有极高的技术复杂度、架构灵活性以及超高强度的分析取证对抗特性，搭配超级零日漏洞（又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞），可以让“方程式”组织在网络空间里畅通无阻，隐秘控制下的数据获取如探囊取物，在国家级的网络安全对抗中处于绝对的主导地位。

韩争光表示，其带领的研究团队早在2013年便提取到了“电幕行动”后门程序。当时，他们在国内某受害者的主机里调查取证时发现了“电幕”攻击，技术人员将后门相应的恶意代码命名为“Bvp47”，由后门样本中常见的字符串“Bvp”及加密算法中的使用数值“0x47”组合而成，“相较一般攻击手段，‘电幕’后门结构复杂、架构灵活、适配性强，且能够对抗高强度的分析取证，对全球网络安全带来极大挑战。”韩争光说。

技术分析显示，“电幕”后门可以攻击包括多数Linux发行版、AIX、Solaris、SUN等在内所有操作系统，其高超的代码混淆、隐蔽通信、自毁设计前所未见，体现出高超的技术性、针对性和前瞻性，入侵成功后便于黑客组织长期控制受害组织，“这个后门最厉害的地方是极其隐蔽，受侵害的对象还没有意识到危险时，信息就已经泄露，此后很难查到踪迹。”韩争光说。

研究人员对《环球时报》记者透露，据他们掌握的情况，中国至少有64个目标受到入侵。

与斯诺登“棱镜门”高度关联，矛头直指美国国家安全局

盘古实验室团队提供的技术证据显示，上述后门源自美国黑客组织——“方程式”(Equation-Group)。“方程式”是世界超一流的网络攻击组织，普遍被认为隶属于美国国家安全局NSA（National Security Agency）。

2013年，CIA分析师爱德华· 斯诺登泄露了NSA网络攻击平台操作手册，操作手册中包含了一段用于攻击操作的唯一标识符代码“ace02468bdf13579”。

2017年，知名黑客组织“影子经纪人”（The Shadow Brokers）公布了美国“方程式”攻击工具中的多个程序和攻击操作手册，与爱德华· 斯诺登泄露的唯一标识符代码完全一致，由此可证实“方程式”组织攻击工具属于NSA。

盘古实验室成员经过长期追踪分析发现，2013年提取到的“电幕行动”Bvp47隐蔽后门，必须使用RSA非对称加密私钥激活，这一加密私钥存在于“影子经纪人”泄露的“方程式”组织黑客工具tipoff-BIN中。

使用tipoff-BIN可以直接远程激活“电幕行动”（Bvp47）并控制入侵组织网络，而RSA非对称加密私钥是不可被第三方伪造的。

因此，确定“电幕行动”（Bvp47）是“方程式”组织创造的后门，属于美国NSA。

“电幕”科幻成真：肆虐全球十余年，窥视重要机构信息

“经过近十年的跟踪研究，我们终于闭合了这一后门入侵全球的完整证据链。”韩争光对《环球时报》记者表示：“‘电幕’存在的时间可能已经接近20年。”

盘古实验室的技术团队将这一持续肆虐全球的APT攻击行动命名为“电幕行动”。电幕（telescreen）是英国作家乔治·奥威尔在小说《一九八四》中想象的一个设备，可以用来远程监控部署了电幕的人或组织，“思想警察”可以任意监视任意电幕的信息和行为。

“后门让黑客能够窥视一个机构的内部网络系统，就好像给攻击对象安装了‘电幕’，一切秘密尽在掌握。”韩争光说。

研究人员透露，“电幕行动”已肆虐十余年，不断迭代其攻击能力。在我国，该后门主要分布于通行通信的基础核心数据部门、知名大学及军工相关单位。

在全球，“电幕行动”已侵害了超过45个国家和地区的287个目标，包括俄罗斯、日本、西班牙、德国、意大利等，其中日本作为受害者，还被利用作为跳板对其他国家目标发起攻击，被攻击的机构包括知名高校、科研机构、通信行业、政府部门等。

韩争光认为，“电幕行动”长期肆虐世界数十个国家和地区并入侵重要机构的网络系统，窃取了大量重要信息，危害非同凡响。“窥视到受害者内幕情报之后，黑客能够更有针对性地实施攻击，后果不堪设想。”韩争光说。

相关研究人员告诉《环球时报》记者，这种后门搭配0day漏洞，发起一个隐蔽的敲门syn包就能入侵，整个发起过程受害者无感知，“这种顶级后门靠办公操作层面的安全规范很难防范，需要建设一体化的网络安全防御系统。”

“电幕行动”不是美国第一个大规模的网络攻击行动，也不会是最后一个。研究人员表示，目前全球的APT攻击日益频繁，侵犯范围更广、危害性和隐蔽性更强。

“中国是全球受到APT攻击最多的国家之一。世界各国政府及产业链携手合作，才能有效应对威胁、捍卫网络安全。”韩争光对《环球时报》记者表示，未来该机构将持续进行攻防演练、继续跟踪“Bvp47”网络入侵情况以及其他各种类型的APT攻击，以技术能力守卫网络净土。