中美网络攻击溯源

一、背景情况

2024年2月1日，美国国会众议院中国问题特别委员会举行了中国对美国国土和国家安全的网络威胁听证会。这次听证会主要围绕2023年5月被美国微软公司披露的名为伏特台风（VoltTyphoon）的黑客组织进行讨论，该组织被认为具有中国政府支持背景，对美国关键基础设施发动了网络攻击，并试图进一步实施破坏，对美国国家安全造成了严重威胁[[1]()][[2]()][[3]()][[4]()][[5]()][[6]()][[7]()][[8]()]。

二、网络攻击事件

2023年5月24日，五眼联盟国家（美国、英国、加拿大、澳大利亚、新西兰）的网络安全主管部门联合发布了名为《中华人民共和国国家支持背景的黑客正在使用逃避检测技术》的预警通报。这份预警通报指出，名为伏特台风的黑客组织针对美国关键基础设施单位实施了网络间谍活动。微软公司也在同一天发布了《伏特台风组织利用逃避检测技术针对美国关键基础设施发动攻击》的技术分析报告和溯源分析结果，将攻击者命名为伏特台风，并直接指出该组织是所谓总部位于中国且由国家政府支持的网络攻击行为主体[[2]()][[3]()][[4]()][[5]()][[6]()][[7]()][[8]()]。

三、溯源分析争议

尽管五眼联盟和微软公司的报告详细介绍了攻击者的技战术特征和感染指标等，但没有给出具体的溯源分析过程，而是直接给伏特台风打上了具有中国政府支持背景的黑客组织标签。对此，中国国家计算机病毒应急处理中心和计算机病毒防治技术国家工程实验室联合360数字安全集团对报告给出的相关攻击活动技术特征进行溯源分析，发现能够被查找到的13个恶意程序样本关联多个IP地址。这些IP地址与很多的网络攻击事件相关，且存在多个IP地址与同一攻击事件或网络安全风险存在关联的现象。然而，技术团队判定，来自伏特台风的恶意程序样本并未表现出明确的国家背景黑客组织行为特征，而是与暗黑力量勒索病毒等网络犯罪团伙的关联程度明显。因此，微软公司及五眼联盟国家仅凭受害单位和攻击者的攻击技战术这些模糊的归因因素就将伏特台风扣上所谓中国政府黑客的帽子未免过于牵强[[2]()][[3]()][[4]()][[5]()][[6]()][[7]()][[8]()]。

四、结论

中美网络攻击溯源是一个复杂的问题，涉及到多个国家和企业的参与。目前来看，关于伏特台风组织及其归属的争议仍然存在，需要更多的证据和分析来得出准确的结论。同时，网络攻击活动的归因分析也是国际性难题，需要各国加强合作，共同应对网络安全挑战。