北京新京报给出消息称，依据中国网络空间安全协会官方微博所发布内容得知，国家互联网应急中心也就是 CNCERT 进行监测检测的时候发现，在最近这些年期间，美国情报机构把网络攻击窃密方面的重点目标定位到我国拥有高科技军工属性特质的那些高校、包含科研院所以及企业之范畴里头，致力于去窃取我国在军事领域关联涉及的科研发数据，以及在设计、研发、制造等相关环节的核心生产数据等属于敏感性质的相关信息，其目标具有相较于以往更强的针对性，所采用的手法也变得更为隐蔽，这已然对我国国防军工领域当中的科研生产安全甚至是国家安全造成了严重的威胁。2022年，西北工业大学遭受美国NSA网络攻击被曝光之后，美国情报机构频繁且猖獗地对我国国防军工领域实施网络窃密攻击，在此，选取2起典型事件加以公布，为重要行业领域提供安全预警 。
一、利用微软Exchange邮件系统零日漏洞实施攻击
2022年7月起，至2023年7月这段时间，美国情报机构借助微软Exchange邮件系统的零日漏洞，针对我国一家大型且重要的军工企业的邮件服务器展开攻击行动，并且实施控制将近一年。经过调查发现，攻击者已成功控制这家企业的域控服务器，将其当作跳板，而后控制了内网里50余台重要设备，还在企业为对外工作专门设置的服务器中植入了用于建立websocket+SSH隧道的攻击窃密武器，目的是实现持久控制。与此同时，攻击者还在该企业网络当中构建了多条隐蔽通道用来进行数据窃取。
在那段时间里，攻击者运用处于德国（159.69.*.*）的跳板IP，发起多次网络攻击，又因该企业高层在内涉及的11人重要邮件被窃取，其内容包含已涉及相关内容的我军工类产品的设计方案以及系统核心参数方面遭受严重侵犯，同时攻击者还利用位于芬兰（95.216.*.*）、韩国（158.247.*.*）和新加坡（139.180.*.*）等多个国家的跳板IP，发起了40余次网络攻击 。植入于该企业设备中的攻击武器，是由攻击者所为，其借助混淆手段，以此来躲避安全软件的监测，还经由多层流量转发，进而达成攻击内网重要设备的目的，并且通过通用加密方式，将恶意通信流量特征予以抹去，是这个情况没错吧，对吧，对不 。
二、利用电子文件系统漏洞实施攻击
2024年7月起，一直到11月的时候，美国情报机构针对我国军工企业，该军工企业处于某通信以及卫星互联网领域，实施了网络攻击行为 。经调查，攻击者先借助多个位于不同国家的跳板IP，这些国家包括罗马尼亚（72.5.*.*）、荷兰（167.172.*.*）等，利用未授权访问漏洞以及SQL注入漏洞，对该企业电子文件系统展开攻击，向该企业电子文件服务器植入内存后门程序，之后进一步上传木马，在进行木马携带的恶意载荷解码之后，把恶意载荷添加至Tomcat（美国Apache基金会支持的开源代码Web应用服务器项目）服务的过滤器，通过检测流量里的恶意请求，达成与后门相应的通信 。随后，攻击者利用该企业系统软件升级服务，向该企业内网定向投递窃密木马，入侵并控制了300余台设备，还搜索“军专网”、“核心网”等关键词，向外定向窃取被控主机上的敏感数据 。
在上述案例里头，攻击者借助关键词去检索国防军工领域的敏感内容信息，这明显是处在国家级黑客组织的关注范畴之内的，而且还带有强烈的战略意图。另外，攻击者运用多个境外跳板 IP 实施网络攻击，通过采取主动去删除日志、木马，主动检测机器状态等手段，其意图在于掩盖自身的攻击身份以及实际上的攻击意图，这反映出具备很强的网络攻击能力以及专业的隐蔽意识。
经统计，在2024年这一年当中，境外国家级APT组织针对我国重要单位发起的网络攻击事件数量，单单就超过了600起，其中，国防军工领域乃是遭受攻击的首要目标所在。特别是那以美国情报机构作为其背景的黑客组织，凭借着建制完整的网络攻击团队，以及规模庞大的支撑工程体系和制式化的攻击装备库，还有强大的漏洞分析挖掘能力，进而针对我国的关键信息基础设施、重要信息系统以及关键人员等这些方面展开攻击渗透，对我国国家网络安全构成了严重的威胁之势 。
编辑 毛天宇
