[文/观察者网专栏作者李柏松]

作为一名网络安全从业者，我已经在安天从事了23年威胁分析工作。而这些年来最难忘的，是如何和同志们一起与最高水平的威胁斗争。这些威胁来自大洋彼岸。

工作起点和轨迹

安天对美方情报机构APT（高级持续性威胁）攻击活动的分析，始于对“震网”事件的快速跟进。2010年7月，美、以情报机构联合攻击伊朗工业基础设施一事被曝光。我们快速搭建模拟环境、还原“震网”作用机理，并在分析其USB摆渡控制条件机理等方面形成了特别分析成果。但当时，我们并未更深刻地从网络空间军事化的风险来看待“震网”事件，还只是将其作为工业场景安全的新型“技术风险”来看待。

直到我们试图把“震网”攻击和代号为“巴比伦行动”的以色列空军偷袭伊拉克核反应堆这样的军事行动进行对比时，我们才意识到美方打开了潘多拉魔盒，即用网络攻击达成了传统战争行动的局部等效性。

从“震网”的机理还原到与“毒曲”的同源关联，再到针对“火焰”蠕虫众多模块的马拉松式的接力分析，我们在两年多的时间里几乎消耗了全部高级分析人力，但依然不能完成所有模块与分支的分析工作。我们的国际同行卡巴斯基也对“火焰”给出了“攻击机制最复杂、威胁程度最高的计算机病毒之一，其结构复杂度是‘震网’病毒的20倍。”的评价。

我们意识到，面前是多套史无前例的庞大超级恶意代码工程体系。直到2019年，我们才基本完成了承载“震网”“火焰”“毒曲”“高斯”这一系列攻击背后的恶意代码工程体系全貌绘制。

2012年后，我们开始分析一组更为隐蔽的攻击，这是更为复杂的平台化样本，通讯指令完全加密。凭借分析“震网”系列积累的经验，我们克服了挑战，完成了多种平台的样本分析，包括此前从来没有遇到过的SunSparc架构（Solaris系统）样本、破解加密方式、还原控制指令集合等。

有些遗憾的是，多方面因素导致我们无法第一时间公布这些分析成果。直到国际同行将相关攻击组织命名为“方程式”，并披露了其Windows平台样本后，我们才陆续公开了我们对Solaris、Linux、iOS等平台的样本分析结果。

卡巴斯基的分析成果也带给我们之前未分析的一个能力点，那就是“方程式”的面对硬盘固件的持久化能力。面对多种多样的硬盘型号，公司嵌入式安全部门的同事和高校联合研究者都来加入分析队伍，大家按照硬盘品牌分工协作，开发了4种主流品牌的硬盘固件提取工具。而威胁分析工作重要魅力也在于，我们会不停地遇到全新的场景和挑战。

载荷的全平台覆盖能力

在这个工作阶段，我们关注的重心是围绕组件化样本结构、0day漏洞的储备积累的组合运用、复杂的加密机制、更深度的持久化能力等，整体上还停留在面向恶意代码和作用机理技术分析层面。2013年，斯诺登事件爆发，美国情报机构NSA的大量内部文档在几年内被陆续曝光。我们意识到，我们面对的威胁行为体是一个庞大的冰山，我们过去的分析工作其实是其水面之上的部分。

而其基于覆盖全球信号情报获取能力，由“棱镜”“核子”“码头”等系统组成的“星风”体系，构建了全球网空地形测绘和覆盖性目标画像能力，建立了以“湍流”为代表的进攻性能力支撑体系，支撑起了具有精准定位能力、高度隐蔽性和反溯源能力的“21世纪信号情报框架”。数十个相互关联的工程体系，组成了美方网空攻击活动的巨大支撑体系。更是基于集成建设的ICClouds（情报云），汇聚从人力、电磁到网络空间获取和窃取的海量数据，形成了情报的富集效应。

这些则是冰山的水面之下的部分，也是其霸权体系的一个组成部分。正如我的同事、安天创始人肖新光同志指出的：

“其情报活动和作战都已经有一套成熟的、渐进的体系，APT是这个体系众多手段中的一个，因此也必然带有其固有特色和痕迹。”

为此，2015年后，我们开始用“超高能力网空威胁行为体”来指代美方NSA等情报机构，并使用A2PT（即高级的高级持续性威胁）来标识其攻击活动，以将其和其他威胁行为体的定向攻击活动加以区别。同时，也提醒我们自己，对抗和分析这种攻击能力会有多么困难。更进一步的难点，则是闭合溯源、完整复盘其某次攻击行动。由于有大量的外设、电磁中继等支持，且很多攻击活动可能并不在互联网侧闭合，因此其也很难在TCP/IP层面完整复盘。我们只能努力分析已经获得的每一个样本和线索，等待更好的时机。

幸运的是，2017年4月14日，名为“影子经纪人”的攻击组织曝光了一批与NSA相关的数据，其中有一个名为“SWIFT”的文件夹引起安天工程师们的注意。经分析发现，这些数据是NSA在入侵中东最大SWIFT金融服务提供商EastNets（位于阿联酋迪拜）时记录的相关文档和日志。我们可以把此前对恶意代码样本和攻击战术的历史分析成果作为珍珠，而把相关的日志线索拼接在一起，就可以组成一条溯源的“珠链”，完整复盘还原美方攻击跳板、目标场景环境、攻击作业路径、攻击装备清单和运用、战术过程和作业后果。

为了让公众更好地理解这个复杂的攻击过程，我们还做了一份完整的可视化呈现。每一次分析启动，都是分析工程师团队连续作战的不眠之夜。但分析成果形成后，却往往无法第一时间发布。分析的工作就是战斗—等待—再战斗—再等待。这份报告最终在2019年6月正式公开发布。

我们已经形成完整的分析框架方法，能够从攻击装备、攻击战术、攻击支撑基础设施等角度，全面分析美方的网络攻击活动，开始以更加深入广泛的视角审视美方网络攻击活动背后的国家意志之手。

点名、打压与我们的应对

当我们回头看这些工作，以及在这些过程中相关的风雨时，我们才意识到，在这样一个抽丝剥茧、穿透迷雾的漫长艰辛过程中，尽管我们的初衷是通过分析工作洞悉威胁、守护客户的安全、推进防御技术的改善，但我们所触动的却是难以想象的庞然大物。

2010年，当我们从安天实验室开始走向企业化运行的轨迹时，我们设想的是：凭借十年磨砺出的反病毒引擎，做全球网络安全产业的检测能力的上游供应者。从网关设备的检测引擎出口美国、日本等发达国家，到移动端反病毒引擎广泛地展开国际合作，我们自以为在国际市场上已经站稳了脚跟。特别是在2012年到2014年，我们的移动引擎从首次获得AV-TEST月度测试第一名，到获得年度最佳奖项。我们特别坚信，凭借技术优势，我们有望能成为网络安全领域的“联发科”。

但从2013年开始，安天在美业务突然阻力重重。合作伙伴的法务部门告知我们，他们不能再使用来自中国的反病毒引擎。此时，我们才关注到，2012年美国会“美中经济与安全审查委员会”举行了首次所谓“中国网络安全问题”的听证会，但此时我们还有所不知的是，安天已经成为一类重点关注对象。

2015年，当我们还在为CybersecurityVentures全球网络空间安全创新500强首次榜单排名95（是排名最高的中国厂商）而有些许自豪时，就惊诧地从一份斯诺登泄露的文档中看到了安天的名字，美国国家安全局（NSA）和五眼联盟（美、英、澳、加、新情报共享机制）秘密实施“拱形计划”（CamberDaDa），着手监控卡巴斯基等全球23家有能力发现和溯源威胁的安全企业，安天作为中国唯一企业“赫然上榜”。CamberDaDa计划始于2010年，正是我们聚焦“震网”分析的那一年。

这份泄露文档，再次印证了美国情报机构和其他“五眼”国家情报机构通过入侵全球运营商等方式，在网络侧构建广泛监听能力。而这份文档的主标题《AnEasyWin》正是NSA基于这套机制，在信道侧获取网络攻击受害者发送给网络安全厂商的邮件，来判断自己的攻击活动是否暴露，以及分析目标主机遭遇到的其他网络攻击，是否可以劫持利用。

斯诺登曝光文档中的一句话说明了该秘密计划的目的，“类似卡巴斯基反病毒软件的这类安全产品持续对英国政府通信总部（GCHQ，英国情报机构）的行动能力构成挑战，而软件反向工程的目的就是要一直跟踪此类软件的能力，否则我们的行为将被检测到。”

出于职业习惯，在威胁分析对抗中，我们一直都努力保持着冷静。但这一次，我们感到了震惊和愤怒。我们发出了声明：“我们认为监听恶意代码受害者的求助邮件，以图达成某种利益和优势的操作，是一种卑劣的行为。”

但抛开愤怒，我们的声明中更多的还是从国际合作与全球网络安全行业发展的视角做出警示：

“有关情报机构把自身所在国家以外的国际反病毒和安全厂商视为自己全球攻击、监听活动的绊脚石，同时又与自己国家的安全厂商微妙互动，这是强行在反病毒和安全厂商中划分出阵营。这种思维一旦扩散下去，必将导致各国艰难形成的安全产业协作和应急协同机制荡然无存，也将显著伤害全球其他国家用户对相关情报机构所在国家的安全厂商的基本信任，最终迫使网络安全产业彻底回到‘篱笆’划定的地缘经济之中”。

作为中国应急响应体系中积极参与国际合作的重要企业节点，我们的内心是非常珍视国际反病毒业界的协同机制和全球网络安全产业的分工协作的。但当有人撕裂世界，则阵营化已经不可避免。

防御A2PT攻击是巨大的挑战，而曝光A2PT攻击同样是巨大的挑战。中国不仅仅是网络攻击的受害者，在西方所把持的国际舆论场中，中国是一个弱势方。我们的声音难以被重视，发布报告揭露外方攻击威胁的工作，国内较长时间中，并没有获得广泛的重视和支持。

因此，我们对“方程式”的先发的两篇重要分析成果（组件木马和加密协议分析），是一直等待到卡巴斯基曝光后，才非常谨慎地选择以纯技术报告的方式发布。特别是，在2015年5月，我们和国内同行直接点名某外方威胁分析报告先后发布，但都遇到若干波折。导致之后几个月，国内业界有些灰心和沉寂。

工作转机很快到来，2016年419的网信工作座谈会，擘画出网络安全工作的战略目标和宏伟蓝图。2016年4月底，肖新光同志作为中方产业界代表，参加了网络空间安全主题的国际论坛，并有机会公开发表技术报告。我们决定要揭露美方情报机构等对中国的APT攻击活动，并给报告确定了一个很文艺的名字——“熊猫的伤痕”。

这是中国技术专家首次在国际论坛上正式披露相关内容。同志们都很关注报告的效果，等到了他那边的晚上时间，我语音呼叫问他报告是否顺利。他用硬挤出来的极为微弱的声音说“效果很好”。报告结束后，可能是长时间积累的压力的瞬间释放，他咽部突然水肿，呼吸非常困难。他回到宾馆后，就在卫生间吐了一口血。他对我说“肺子没事儿，是嗓子毛细血管都破了”。

安天实验室报告封面“熊猫的伤痕”

此后，我们一鼓作气，迅速组织发布了另外两篇重要的分析成果，复盘了美国情报机构样本的全平台覆盖能力、绘制了其执行杀伤链的功能模块地图。

2016年12月，美国网络安全机构NetScout发文，对中国网络空间安全协会（CSAC）的成员组成进行分析，其中专门解析了安天，既肯定了安天对方程式组织的分析成果的价值，又将安天定义为“新代言人”（指中国政府的）。也许是美方很难理解一个中国安全企业对自己国家的热爱和与威胁对抗的本能，也许这就是一顶刻意的帽子。总之，2017年开始，安天在美国市场的所有业务与合作彻底中断。

2022年2月，美国会“美中经济与安全审查委员会”继2012年之后再次举行有关所谓“中国网空能力”的听证会，与会美方人员建议多措并举打压中国网空能力建设。在关注的中方网空能力方面，会议特别点名了两家中国网络安全企业“安天实验室和奇虎360”，“分析曝光了美国国家安全局和中央情报局的网络行动”，并称因为安天和奇虎360是中国“最古老的两家反病毒公司”，所以他们推出这些信息可能让民众更加信服。相关内容再次出现在了美国国会相关的年度报告中。连锁反应是，我们的亚洲国家的合作伙伴们也告知了我们将不再使用安天的引擎。

2024年2月，美国网络安全公司SentinelOne发布报告，用低质量的证据罗列和推理论述“中国网络安全能力不足以指控美国攻击”。报告中多次点名了安天，还有三处都直接指向了肖新光同志。SentinelOne是北约的技术支持机构和美国国土安全部的旋转门公司，我们从他们的报告中阅读到了满满的殖民者式样的傲慢。这也让安天CERT梳理历史工作，最终发布了我们的回应报告《如何让“鹰鹫”在迷雾中显形》。

SentinelOne的报告中还专门引用了我们在2016年的“熊猫的伤痕”报告封面。于是《鹰鹫显型》报告中，我们补充了这样的结尾——

“施害者不因施害的高明而高贵，反抗者不因反抗的艰难而卑微。”