“二次约会”间谍软件分析报告：网络攻击西北工业大学 美国有关人员实际身份被锁定

  近日，国家计算机病毒应急处理中心和360公司对名为“二次约会”(SecondDate)的“间谍”软件进行了技术分析，该“间谍”软件针对基于FreeBSD、Linux、Sun Solaris、Juniper JunOS等平台的路由器等网关设备平台，可实现网络流量窃听劫持、中间人攻击、插入恶意代码等恶意功能，从而与其它“间谍”软件配合完成复杂的网络“间谍”活动。

  根据“影子经纪人”泄露的NSA内部文件，该恶意软件为美国国家安全局(NSA)开发的网络“间谍”武器。“SecondDate”间谍软件是一款中间人攻击专用工具，一般驻留在目标网络的边界设备上，嗅探网络流量并根据自身的需求对特定网络会话进行劫持、篡改。

  在国家计算机病毒应急处理中心会同360公司配合侦办西北工业大学被美国国家安全局(NSA)网络攻击案过程中，成功提取了这款间谍软件的多个样本，并锁定了这起网络“间谍”行动背后美国国家安全局(NSA)工作人员的真实身份。

  “二次约会”(SecondDate)间谍软件主要部署在目标网络边界设备(网关、防火墙、边界路由器等)，隐蔽监控网络流量，并根据自身的需求精准选择特定网络会话进行重定向、劫持、篡改。

  技术分析发现，“SecondDate”间谍软件是一款高技术水平的网络间谍工具。开发者应该有很深厚的网络技术功底，尤其对网络防火墙技术很熟悉，其几乎相当于在目标网络设备上加装了一套内容过滤防火墙和代理服务器，使攻击者可以完全接管目标网络设备以及流经该设备的网络流量，以此来实现对目标网络中的其他主机和用户实施长期窃密，并作为攻击的“前进基地”，随便什么时间都能向目标网络投送更多网络进攻武器。

  “二次约会”(SecondDate)间谍软件长期驻留在网关、边界路由器、防火墙等网络边界设备上，可针对海量数据流量进行精准过滤与自动化劫持，实现中间人攻击功能。其基本功能包括网络流量嗅探、网络会话追踪、流量重定向劫持、流量篡改等。

  该“间谍”软件针对路由器、防火墙等网络设备平台，SecondDate支持分布式部署，由服务器端程序和客户端程序构成，攻击者事先通过其他方式将客户端程序植入目标网络设备，然后使用服务器端程序对客户端进行命令控制。其主要工作流程和技术分析结果如下：

  服务器端的基本功能是与客户端建立连接并下发控制规则，由客户端完成相应恶意操作。如表1、图1、图2、图3所示。

  如图3所示，攻击者可指定源IP地址、源端口、目的IP地址、目的端口、协议类型、TCP标志等对网络流量进行过滤，并能指定匹配正则表达式文件以获取特定内容的流量，还可以在流量中插入包含特定内容的文件。

  从分析结果看，客户端被植入并配置相应规则后，可以在网络设备后台静默运行，攻击者能够正常的使用服务器端来控制也可以直接登录到网络设备后台进行命令控制。如表2、图4、图5和图6所示。

  客户端指令集很丰富，能轻松实现对网络流量的内容过滤、中间人劫持以及内容注入等恶意操作。

  “二次约会”(SecondDate)间谍软件通常结合特定入侵行动办公室(TAO)的各类针对防火墙、路由器的网络设备漏洞攻击工具使用，在漏洞攻击成功并获得相应权限后，植入至目标设备。

  “二次约会”(SecondDate)间谍软件分为服务端和控制端，服务端部署于目标网络边界设备上，通过底层驱动实时监控、过滤所有流量；控制端通过发送特殊构造的数据包触发激活机制后，服务端从激活包中解析回连IP地址并主动回连。网络连接使用UDP协议，通信全程加密，通信端口随机。控制端可以对服务端的工作模式和劫持目标进行远程配置，结合实际需要选择网内任意目标实施中间人攻击。

  我们与业内合作伙伴在全世界开展技术调查，经层层溯源，发现了上千台遍布各国的网络设备中仍在隐蔽运行“二次约会”间谍软件及其衍生版本，并发现被美国国家安全局(NSA)远程控制的跳板服务器，其中多数分布在德国、日本、韩国、印度和中国台湾。在多国业内伙伴通力合作下，我们的工作取得重大突破，现已成功锁定对西北工业大学发起网络攻击的美国国家安全局(NSA)工作人员的真实身份。

  随着我国综合国力的慢慢地加强和国际战略格局的深刻变化，境外“间谍”情报机构对我国开展间谍情报活动的力度不断加大，利用互联网开展“间谍”窃密活动已成为主要手段之一。

  在此背景下，我国政府、行业有突出贡献的公司、大学、医疗机构、科研单位等应加快排查自身网络“间谍”攻击线索和安全风险隐患，与有能力的网络安全公司合作获取数字安全服务，依托大数据、平台、探针、专家构建安全运营中心，低成本、高效能获得数字安全能力。实现“看见”全网资产、全网态势、国家级间谍攻击活动，具备“处置”安全风险、高级威胁、间谍行动等核心安全能力，最终能够实时分析、实时发现、实时阻断、实时清理、实时恢复。

  新产品出售的收益占据营业收入比重为37.02%，比上年提高0.89个百分点，较2018年提高6.32个百分点，比非专利密集型产业高15.85个百分点。

  王方定利用各种机会，不厌其烦地为年轻人作报告。在中国原子能科学研究院内，只要是与年轻人相关的学术会议、交流会以及座谈会，王方定都一定参加。

  在河北省张家口市142个路口，早高峰的红绿灯时长与平峰时不同。算法赋予信号灯“大脑”，让以往的“车看灯”变成“灯看车”。经测算，每个路口的通行效率能大大的提升13秒。

  为了更准确检测出亚硝酸盐的存在，日前，中国科学院合肥物质院固体所能源材料与器件制造研究部蒋长龙、杨亮研究团队设计出一种新方法，制备出了针对亚硝酸盐的荧光可视化快检技术，在实时同步可视化检测亚硝酸盐领域取得新进展。

  10月8日，世界经济论坛公布最新一批“灯塔工厂”名单，“人工智能”是这份名单背后的关键词。

  据了解，在空间科学实验方面，中国将统筹利用首次载人登月前的飞行试验以及载人登月的任务机会，开展较大规模的空间科学实验。

  “祥云”AS700是中国航空工业集团首个按照适航规章自主研制、具有完全自主知识产权的载人飞艇。

  王贻芳说，江门中微子实验已吸引17个国家和地区、74个研究机构的750位科研人员参与，采取经费投入分担、技术共同研发、科研成果共享的方式推动全球中微子研究共同进步。

  中国科普研究所调研发现，当前一些领导干部、企业家等对如何因地制宜培育发展新质生产力仍有困惑。因此，开展有关新质生产力的科普工作，有利于领导干部、企业家增强对新技术、新动能、新模式的认知，把握科学技术创新和产业革命大趋势，更好理解新质生产力的内涵、特点和发展规律，促进培育发展新质生产力。

  “这路灯开启时间刚刚好，真是‘无缝对接’啊！”湖北省十堰市北京路一家蛋糕店的店主何伟十分疑惑：路灯是咋做到这么准时的？

  从“制”到“输”、从“储”到“用”，如今，张家口市可再次生产的能源各项新技术不断突破，全新产业链条逐步形成，为国内可再次生产的能源开发应用提供了诸多可推广、可复制的经验，也为本地高水平质量的发展提供了强劲动能。

  由于今年第三季度订单锐减，荷兰半导体设备制造商阿斯麦公司15日股价大幅下挫，跌幅超过15%。

  天文学家利用美国国家航空航天局（NASA）与欧洲空间局（ESA）联合运营的詹姆斯·韦布太空望远镜（JWST），观测到一个在大爆炸后仅7亿年就形成的星系“自内向外”的生长过程。

  （记者罗云鹏 通讯员王若琳）记者15日从深圳大学获悉，中国工程院院士、深圳大学教授谢和平团队就海水中的氯离子引发副反应和电极腐蚀现象，提出一种新的解耦式海水直接电解制氢策略，将有利于丰富和进一步构建破解海水复杂成分影响的海水电解制氢理论体系和技术框架。其进一步拓宽了谢和平院士团队海水无淡化原位直接电解制氢全新原理技术体系，将为海水直接电解制氢的产业化发展提供理论指导。

  空间科学中长期发展有了路线日，在国务院新闻办公室举行的新闻发布会上，中国科学院、国家航天局、中国载人航天工程办公室联合发布了《国家空间科学中长期发展规划（2024—2050年）》。

  10月14日，第四届中国考古学“西阴论坛”“青铜冶铸与夏商文明”学术研讨会在山西省运城市夏县举行。

  今年7月，国务院学位委员会发布了《新增博士硕士学位授权审核专家核查及评议结果公示》，与2020年上一轮评审相比，本轮评审拟大幅新增博士点831个。这在某种程度上预示着博士生培养规模将进一步扩大。

  日前，国家发改委发布2024年全国优化营商环境十大创新实践案例，一大批具有创新意义、可复制可推广的典型案例脱颖而出。