[环球时报记者曹思齐、郭媛丹、刘、严玉柱]编者按:《南亚恶之花》、《幽灵战象漫游喜马拉雅》、《美色诱惑》……对于大多数人来说，这些神秘的代号一般出现在烧脑的黑客电影中。然而，《环球时报》记者近日从中国多家网络安全公司获悉，在这些代码背后，一个精密复杂的真实网络被揭露出来:来自南亚的顶级黑客组织，以印度为主要代表，在国家和情报机构的大力支持下，过去几年一直在攻击中国、尼泊尔和巴基斯坦的国防、军事单位和国有企业。近年来，印度军政领导人和媒体一直在炒作“中国网络攻击威胁”，每次都遭到中方驳斥。事实证明，中国是黑客攻击的主要受害者之一。中国三大网络安全企业——安科技集团、360政企安全集团、奇安信的相关人士向记者提供了大量详实的第一手资料，从中可以发现印度频繁对中国重要部门进行网络攻击的重要信息。相关专家也提醒，为了提高中国对海外网络攻击的免疫力，无论是来自印度还是美国的攻击，都需要专业团队对对手进行分析，并采取相应的应对措施。
不仅使用“钓鱼”邮件，还要善于社交工程。
作为领导威胁检测和防御能力发展的国家网络安全团队，安田技术集团一直在跟踪针对中国发起的“网络钓鱼”攻击。安田科技副总工程师李告诉《环球时报》记者，今年3月以来，已捕获多起针对中国和南亚次大陆国家的“钓鱼”攻击。这些活动涉及大量网络节点，主要目标是中国、巴基斯坦、尼泊尔等国的政府、国防和军队以及国有企业。某科技发现，这批“钓鱼”攻击的最早时间可以追溯到2019年4月，攻击组织来自印度。
《环球时报》记者还从360政企安全集团了解到，2020年，360监测捕获的初始攻击负载有数百次。来自南亚的网络攻击，以印度为主要代表，有活跃的趋势，从2020年下半年开始一直持续，并呈上升趋势。尤其是在2021年上半年的攻击活动中，对时事热点的跟进频率和颗粒度已经明显超过去年同期，主要针对中国和南亚其他国家，聚焦地缘政治相关目标，涉及教育、政府、航空空航天、国防和军工等领域。
从技术上看，以印度为代表的南亚网络攻击组织特征明显。他们主要使用“钓鱼”邮件，并善于使用社会工程方法——利用受害者的本能反应、好奇、信任等心理进行欺骗或攻击。据介绍，这些顶级黑客伪装成目标国政府或军方人员，向对方邮箱发送带有“钓鱼”附件或嵌入“钓鱼”链接的攻击邮件，通过链接诱导目标访问攻击者通过各种方式设置的“钓鱼”网站，收集受害者输入的账号密码进行情报搜集或横向攻击。
安全专家表示，来自印度等南亚国家的网络攻击涉及主题丰富多样，紧扣时事热点，针对性强。可以推断其背后有专门针对目标国相关领域时事新闻的情报分析，同时可以用来指导其进行网络攻击。
《环球时报》记者了解到，2021年境外针对中国的网络攻击不仅涉及教育、政府、航空空航天、国防和军工等领域，还通过紧密围绕政治、经济等热点领域和事件，针对涉及相关时事的重点机构或个人。
“国家APT”是针对政府机构、军工企业、核能行业等。
这样的黑客组织被称为“国家APT”组织。在国家背景的支持下，他们专注于针对特定目标的长期、持续的网络攻击，一直处于非常活跃的状态。
印度是一个具有威胁性的国家，可能会被世界情报界忽视，甚至南亚的一些国家可能也没有完全意识到其先进的网络能力。正如一些网络安全观察家经常提到的那样，“下一场世界大战不会在地面、空或水下进行，而是在虚拟网络空之间进行”。多年来，中国一直是网络攻击的受害者，中国网络安全企业捕捉到的来自印度的愈演愈烈的攻击再次表明中国网络安全形势的严峻性和加快网络安全体系建设的紧迫性。
例如，2020年新冠肺炎疫情爆发之初，一个名为“APT-C-48”的组织通过伪造体检表格和文件，攻击中国的医疗相关行业；2021年4月，360捕捉到CNC组织对国内重点单位发起的新一轮攻击；2021年6月中旬，CNC组织在中国航空航天当前热点前后，突然对国航空航空航天领域相关重点单位发起集中攻击。
《环球时报》记者从国内知名网络安全公司Chianxin的高级威胁研究团队Red雨滴处了解到，目前已知这些主要针对政府机关、军工企业、核能行业等领域的国家级顶级黑客团伙集中在曼凌华、马哈曹、摩洛基、腹脑虫四大组织。
首先说一下“曼凌华”，一个据说有南亚背景的APT组织。该组织至少从2013年11月就开始活动，但直到2016年才被发现，当时是由外国安全厂商Forcepoint首次披露的。同年，Chianxin威胁情报中心发现中国也遭受了相关攻击，并将其命名为“曼凌华”。自从被曝光后，组织已经修改了数据包结构，不再使用“苦”作为数据包的logo。
随着其攻击活动不断被发现和披露，“曼凌华”组织的全貌越来越清晰。该组织有很强的政治背景，主要针对巴基斯坦和中国。2018年还发现其针对沙特的活动，针对政府部门、电力、军队等相关单位，意图窃取敏感信息。据了解，2019年，该组织还加强了对中国进出口行业的攻击。
值得一提的是，“曼凌华”是最常用的攻击手段:其中一种是“鱼叉攻击”，因为“鱼叉邮件”中使用的攻击诱饵大多是根据不同的攻击目标定制的，所以相当混乱，这个组织通过“鱼叉邮件”投放的诱饵种类繁多。另一种主要的攻击手段是“水坑攻击”，将其攻击负载托管在合法网站上，或者设置伪装成合法网站的恶意网站，诱导受害者下载。“曼凌华”不仅通过“水坑网站”直接向目标发送恶意软件，还结合社会工程学制作“钓鱼”页面，盗取目标的邮箱账号。红雨的安全专家告诉《环球时报》记者:“有意思的是，很多报道显示，曼凌华组织与多个疑似在南亚某国的袭击组织有着千丝万缕的联系，包括穆罕默德、摩鹿加、贝利伯德等。”
其次是《魔罗书》。该组织的袭击活动最早可以追溯到2013年，2016年首次公开披露。据相关专家介绍，“莫罗库”组织疑似来自印度，长期以中国、巴基斯坦、尼泊尔等国及周边地区为主要袭击区域，并以政府机构、军工企业、核能行业、贸易会议、通信运营等领域为目标发动袭击。
再次是“摩诃草”，主要针对中国、巴基斯坦等亚洲地区国家进行网络间谍活动，主要攻击领域为政府、军事、科研、教育等。2020年2月，“摩诃草”以“新冠肺炎疫情”为主题对中国发起攻击。组织使用“武汉旅游信息采集申请表。xlsm”和“卫生部指令。docx”为诱饵攻击中国。2021年8月，“摩诃草”借助美女图片为诱饵，发起了“来自美貌的诱惑”恶意程序攻击。
“摩诃草”不仅是第一个被披露利用疫情进行攻击的APT组织，近年来还经常利用带有CVE-2017-0261漏洞的文档实施攻击。2021年1月，Chianxin红雨团队捕获到该组织利用该漏洞针对中国的诱饵文件，命名为“Chinese _ Pakistan _ Fighter _ Planes _ Play _ War _ games . docx”。这个样本是一个以巴空军演为主题的office文档，其中嵌入了利用CVE-2017-0261漏洞的EPS脚本。当用户打开文档文件时，office内部的EPS解释器将执行EPS脚本，从而触发漏洞执行恶意外壳代码负载。
最后，由360和Chianxin威胁情报中心联合发现的“腹脑Bug”在全球率先披露。2017年，“腹脑虫”攻击首次曝光，但其攻击可以追溯到2016年。“腹脑虫”组织一直比较活跃，主要针对南亚和东南亚的巴基斯坦、克什米尔、斯里兰卡、泰国等国家和地区，针对政府、军队和商业领域重要人士开展网络间谍活动。
“没有网络安全，就没有国家安全”
随着中国互联网产业的快速发展，网络安全风险也在迅速增加。多年来，中国、俄罗斯等国家一直是网络攻击的主要受害者。互联网已经成为美国及其“盟友”在信息战中压制其他国家的新武器。根据中国国家互联网应急中心的数据，2020年，位于海外的计算机恶意软件控制服务器约有5.2万台，控制了中国境内约531万台主机。就中国主机数量而言，前三名的控制服务器全部来自北约成员国。
此外，相关报告显示，11年来，美国中情局网络攻击组织APT-C-39对中国航空空航天研究机构、石油行业、大型互联网公司、政府机构等重点领域实施了网络渗透攻击。
“这告诉中国人一个很简单的道理:在网络攻击中，有一种东西叫做国家网络攻击。”复旦大学网络空国际治理研究基地主任沈懿对《环球时报》记者说，“我们在网络空开展活动，我们发布和拥有的信息具有国家安全意义和影响，自然会成为国家情报机构网络收集的目标。”他认为网络安全是国家安全的重要组成部分。要从国家安全领域认识网络安全，树立安全意识。
沈懿说:“起初，我们认为我们是一个落后的国家，或者说是一个发展中国家。在互联网上，我们的信息似乎一文不值，没有什么值得窃取的。但是现在我们有世界第二大经济体，周边一些国家把你当成对手，会发动国家网络攻击。对印度的攻击持续了很长时间，这是网络空、国际形势和制度复杂性的具体表现。”在沈懿看来，尽管中国一直试图与印度搞好关系，但印度一直受到西方地缘政治思想和理念的影响，并与美国在网络安全方面开展了大量合作。
为应对来自网络空的挑战，中国政府出台了一系列法律措施，建立网络安全治理体系。2017年以来，我国从无到有，建立了一套完善的网络安全法律保障机制。沈懿还建议，中国应提高其网络安全防御能力和威慑能力，以建设网络安全。中国的网络空应该在开放环境、数据跨境流动、基本零信任的条件下具备有效的防御能力。同时，要建立信息通报机制。比如美国经常写报告，把矛头指向中国，以此来制约中国网络空的国际治理，中国应该采取相应的反制措施。
中国空网络战略研究所所长秦安告诉《环球时报》记者，网络空军事化的大趋势已经形成，一些国家开始加强外部网络攻击。秦安认为，对于中国来说，要提高免疫力，“洪水污水都是水，来自印度或美国的攻击需要专业团队分析对手，专门应对”。
来源:环球网
