跳转到内容

极光行动

维基百科，自由的百科全书
极光行动
Operation Aurora
日期2009年6月-12月
地点
不定; 全球範圍
结果 中美外交風波
参战方
 美国  中国大陆
伤亡与损失
Google的部分知识产权遭到盗窃[1]

极光行动（英語：Operation Aurora）或欧若拉行动，是2009年12月中旬可能源自中国的一场网络攻击[2]，其名称“Aurora”（意为极光、欧若拉）来自攻击者电脑上恶意文件所在路径的一部分[3]。遭受攻击的除了Google[1]外，还有包括摩根士丹利、Adobe[4]、瞻博網絡[5]、Rackspace[6]、雅虎、赛门铁克、诺斯洛普·格鲁门和陶氏化工[7]。

攻击行动

[编辑]

2009年12月中旬，Google的監控系統監測到有人入侵了公司的計算機系統並盜取了知識產權。同時，安全專家還發現這些黑客侵入了一些不受中國官方欢迎的人权活动人士的Gmail帳號。Google随后对这起网络攻击展开调查，包括是否有内部员工协助了这起攻击。[8][9]《纽约时报》报道，一名知情人士透露，在针对Google的网络攻击中，攻击者通过向一名Google北京員工发送带有恶意链接的微软Live Messenger消息，诱使他点击访问一个被植入病毒的网页，成功入侵了这名员工的电脑；报道称，攻击者利用Google的内部员工目录系统Moma来确认目标员工，侵入了Google山景城总部部分软件开发工程师的电脑，並最終获得了Google身份认证系统Gaia源代码的软件仓库的控制权。根据报道，主机托管商Rackspace的IP地址在攻击中被劫持[10]，被窃取的源代码之后被转移到Rackspace的服务器上[11][12][13]。Adobe在1月2日发现了一起针对公司网络系统的复杂攻击，并对这一攻击进行调查。[4]15日，瞻博網絡称它们也是最近这一系列网络攻击当中的受害者。[14]

《华盛顿邮报》援引知情人士的消息，称雅虎，赛门铁克，Adobe，诺斯罗普·格鲁曼公司和陶氏化工都在极光行动中受到攻击。[15]根据网络安全公司HBGary泄露的邮件，金融机构摩根士丹利和化工企业杜邦是这起攻击的受害者。[16][17][18]

根据《华盛顿邮报》2013年的报道，Google的技术人员在调查2009年极光攻击时发现，侵入Google服务器的攻击者还获取到了一个存放外国情报监控法（英语：Foreign Intelligence Surveillance Act）法庭批准的监听令的数据库，该数据库包含全美各地法官签发的、涉及邮箱监控令的信息；受访官员猜测攻击者的目的是查找哪些在美中国情报人员正处于美国执法机构的监控之下。尽管没有公开这一发现，Google向美国联邦调查局上报了这一攻击情况。[19]

调查与分析

[编辑]

赛门铁克发现这是一起针对少数特定企业用户的“定向攻击”，检测到的后台木马程序在11日被赛门铁克命名为Trojan.Hydraq[20]；赛门铁克还检测到另一派生样本Trojan.Hydraq!gen1。[21]同一木马程序的其他名称包括趋势科技的命名“TROJ_HYDRAQ.A”和CA科技的命名“Win32/Aviror.B”。[20]国安咨询公司Defense Group旗下的情报研究与分析中心（CIRA）主任詹姆斯·穆尔文农（James Mulvenon）表示，攻击似乎是从台湾至少6个IP地址发起的，并认为这是中国攻击者用来掩盖真实来源的手法。[10]

网络安全公司iDefense的报告发现有33家其他公司受到了类似攻击；攻击者将公司的源代码仓库作为目标，而且这些攻击尝试有许多都成功了；[22]针对部分公司的攻击利用了Adobe Reader的一个安全漏洞：用户打开受感染的PDF文件，Hydraq木马程序就会安装在用户的电脑上。[23]报告透露，他们发现12月的攻击跟7月份一次针对美国公司的攻击高度相似，使用了相同的命令控制服务器（都用了HomeLinux动态DNS服务，且IP地址在Linode的同一子网内，仅相差6个IP）；报告认为针对Google及其他30家美国公司的攻击所使用的IP地址都指向“单一的境外实体”，这个实体“要么是中国政府的人员，要么是其代理人”。[24][25]安全研究机构ThreatExpert发现Hydraq木马以动态链接库（DLL）形式将自己注册为系统服务，利用Windows的svchost.exe进程加载运行，从而无需注入其他进程即可实现隐蔽启动。木马在受感染电脑上开启后门，可接收远程指令执行多种操作，在完成任务后自我卸载；报告发现，木马的配置数据被刻意伪装存放在与其功能无关的注册表键值中，以此进一步规避安全软件的检测[26]。

1月14日，迈克菲和微软的调查显示攻击者利用了Internet Explorer浏览器的一个此前未披露的漏洞，名为“CVE-2010-0249”[27][28][29]；迈克菲的调查也发现木马程序Hydraq被用于攻击Google和其他公司。[9][22]微软在21日发布安全补丁，修补了上述浏览器漏洞[30][31]。时任迈克菲首席技术官乔治·库兹（英语：George Kurtz）根据恶意软件的代码和攻击者电脑上的软件存放路径中出现的“aurora”词汇，将这起攻击称作“极光行动”（Operation Aurora）。[3]时任迈克菲威胁研究副总裁德米特里·阿尔佩罗维奇（英语：Dmitri Alperovitch）则认为这种针对商业公司的“高水平、复杂精密的攻击”前所未见，“完全改变了威胁模型”。[22]

赛门铁克安全响应团队的报告认为Hydraq攻击事件“几乎是教科书式”的定向攻击案例，实际受影响的电脑数量非常有限；其典型特征是向特定个人或小群体发送高度伪装成可信来源的邮件，诱导点击恶意链接或附件；传播途径包括PDF文件（利用Adobe的漏洞）和Internet Explorer的零日漏洞。赛门铁克早在2009年7月观测到一次使用早期版本的Trojan.Hydraq做出的攻击，这一攻击利用Adobe Acrobat/Reader/Flash Player的一个远程代码执行漏洞（CVE-2009-1862）并通过PDF文件传播。报告还发现木马程序的一个组件基于开源远程桌面软件VNC的代码改写，可以把受害者桌面实时画面回传给攻击者。报告还列出了多个木马联系的命令与控制服务器地址，包括yahooo.8866.org、sl1.homelinux.org、360.homeunix.com、li107-40.members.linode.com、ftp2.homeunix.com、update.ourhobby.com、blog1.servebeer.com；报告发现这些域名都已失效[32]。

网络安全公司HBGary发布的威胁分析报告发现，攻击使用的许多命令与控制服务器通过彭勇运营的动态DNS服务商3322.org注册。报告认为彭勇“容忍”网络犯罪行为，但否认这代表他直接参与攻击行动。报告发现恶意软件很可能使用中文开发，操作控制系统也针对中文设计，但指出没有发现充足证据将这次行动归咎于中国官方。[33] SecureWorks的安全研究人员乔·斯图尔特（Joe Stewart）发现恶意软件的主程序包含的某个模块使用的算法来自于一篇只在中文网站上发表过的技术论文，并因此推断这一恶意程序源自中国，尽管他承认不能完全排除这一线索可能是其他国家程序员故意植入的。[34]

2月，《纽约时报》报道称，根据一次计算机安全会议上某家承包商披露的信息，调查人员追踪到两所学校与这次攻击有关，分别是上海交通大学和山东济南的蓝翔职业技工学校。两所学校发言人均表示对这件事情不知情。[35]而安全分析师对这起发现如何解读意见不一，有人认为学校被用来掩饰政府行动，也有高管和前官员认为攻击可能实际来自第三国。[36]

中国的安全机构安天实验室在报告中将木马样本命名为Trojan/Win32.Genome.epoz。报告称，攻击代码对JavaScript进行了加密变形，变换了常见的堆喷射（英语：Heap spraying）技术，使其仅在运行后可见，并且样本将堆喷射代码转化为数字数组，大幅增加了静态检测的难度。报告认为，尽管多起攻击的相关性极高、采用相似的攻击方法与免费二级域名跳板，但现有证据尚无法绝对断定所有攻击均来自同一绝对源头[37]。

3月，迈克菲在RSA大会公布了有关这起网络攻击的白皮书。迈克菲的调查发现，攻击者通过钓鱼攻击的方式，向目标员工发送电子邮件或者即时消息，诱导员工访问一个托管在台湾的恶意网站；该网站利用针对Internet Explorer的零日漏洞发起攻击，使攻击者在受害者电脑安装后门程序，通过位于台湾的命名控制服务器来远程控制电脑；攻击者之后进一步渗透进入公司的内部系统，并在一些案例当中攻入了公司的软件配置管理系统（这些系统被用来管理源代码）；阿尔佩罗维奇指出攻击者不仅可以查看源代码，甚至有权限更改源代码，但他们还未掌握证据表明攻击者有更改源代码。迈克菲的调查发现许多受到攻击的公司都使用了Perforce（英语：Perforce）公司开发的代码管理系统，并列举了这一管理系统的安全问题。[38][13]

赛门铁克在2012年发布的白皮书中将极光行动的攻击团体命名为“Elderwood group”。赛门铁克的调查追踪了这个组织后续在2010年-2012年期间多起相似的网络攻击，发现这些攻击使用相同的木马程序的混淆手法、命名控制服务器和SWF文件组件，某些攻击的参数命名都出现“Elderwood”这个词，报告将这一组织在反复使用的攻击基础设施叫做“Elderwood平台”；报告还发现这个组织在短时间内大量动用重大零日漏洞，赛门铁克认为这种资源密度只有“大型犯罪组织、国家支持的攻击者，或国家本身”才具备。报告发现攻击者针对的首要目标是国防供应链、航空、军工、能源、制造、工程、电子行业，其次是人权/NGO组织（尤其涉及台湾、香港、宗教议题的团体）；攻击手法从早期的钓鱼攻击转向“水坑攻击”，即先攻陷目标群体常访问的网站（例如大赦国际香港网站多次被攻陷），再植入恶意代码等待受害者自投罗网。受害检测数据里美国677起、加拿大86起、中国53起、香港31起、澳大利亚31起。[39]这一攻击团体被SecureWorks公司的研究人员乔·斯图尔特（Joe Stewart）称作“Beijing Group”，被阿尔佩罗维奇称作“Sneaky Panda”。[40]

各方回应

[编辑]

美国当地时间2010年1月12日，时任Google首席法律官大卫·杜伦孟德（英语：David Drummond (businessman)）在Google官方博客發表聲明，指出Google受到源自中國的“高度复杂且具有针对性的”黑客攻擊，该一攻击导致其知识产权被窃取，并且攻击者侵入了两位人权活动者的Gmail账户；由于这起攻击以及中国的网络审查状况，Google會在接下來幾週與中国政府探討建立一個沒有審查的搜索引擎。声明还披露，至少有20家美国公司受到类似攻击，Google正与美国政府部门调查这起攻击。[1][7][41][42]同日，Adobe发出声明披露它们在1月2日发现了一起针对公司网络系统的复杂攻击，并且正在调查这次攻击。[43]

1月13日，美国国务卿希拉里·克林顿发表了一则简短声明谴责此次攻击事件，并要求中国作出回应[44]。中国政府当时并未做出正式回应，仅有一位匿名官员表示中国网络管理当局在收集更多关于Google退出中国声明的信息[45]。13日，AHN（英语：All headline news）通讯社报道说，美国国会计划对Google的指控进行调查，后者指控中国政府利用计算机服务监视人权活动人士[46]。1月14日，中国国务院新闻办公室主任王晨在接受《人民日报》记者采访时表示，网络安全主要受到了淫秽色情信息、黑客攻击、网络欺诈的威胁[47]。法国国际广播电台（RFI）解读说，王晨的发言有着为中国互联网审查制度辩护的明显用意[48]。同日，中华人民共和国外交部发言人姜瑜也在例行记者会上表示，中国互联网是开放的，中国政府依法管理互联网，禁止任何黑客攻击行为，其针对互联网的行政法规也符合国际惯例；并称中国政府将向美方重申该立场[49]。维基解密泄露的一份美国外交电报引用自称为常委“侄子”的前媒体人陈杰人的话，他声称这一攻击由国新办指挥，[50][51]但他之后在《纽约时报》的访问里面撤回了这一说法，说不知道谁指挥了针对Google的攻击。[52]

影响

[编辑]

当地时间2010年3月22日，Google在官方博客宣布，由于极光行动中公司遭受的攻击以及后续调查中发现的邮箱监控行为，他们即日起已经停止中国网站google.cn搜索服务的审查行为，包括网页搜索、图片搜索、新闻这三项服务；访问google.cn的用户会被转到香港站点google.com.hk，Google会在这个站点向中国用户提供不受审查的搜索结果。[53]

极光行动促使Google重新设计公司的安全架构，启动了名为BeyondCorp（英语：BeyondCorp）的内部项目，尝试建立一套不依赖传统网络边界、而是基于设备与用户身份进行细粒度访问控制的安全架构；无论用户处于公司内部网络还是外部网络，均需通过身份与设备状态验证才能访问内部应用。这一模型在之后被看作是零信任网络的早期实践案例。[54][55][56]

参见

[编辑]

参考文献

[编辑]
  1. ^ 1.0 1.1 1.2 A new approach to China. Google Inc. 2010-01-12 [2010-01-18]. （原始内容存档于2010-01-13） （英语）. 
  2. ^ 《极光行动》发现疑中国黑客攻谷歌线索. 美国之音. 2010-01-29 [2017-01-26]. （原始内容存档于2020-08-08）. 
  3. ^ 3.0 3.1 Operation “Aurora” Hit Google, Others. McAfee, Inc. 2010-01-14 [2010-01-18]. （原始内容存档于2012-01-17） （英语）. 
  4. ^ 4.0 4.1 Adobe Investigates Corporate Network Security Issue. 2010-01-12 [2010-01-18]. （原始内容存档于2011-05-11） （英语）. 
  5. ^ Juniper Networks investigating cyber-attacks. MarketWatch. 2010-01-15 [2010-01-18]. （原始内容存档于2021-02-25） （英语）. 
  6. ^ Rackspace Response to Cyber Attacks. [2010-01-18]. （原始内容存档于2010-01-18） （英语）. 
  7. ^ 7.0 7.1 Cha, Ariana Eunjung; Ellen Nakashima. Google China cyberattack part of vast espionage campaign, experts say. The Washington Post. 2010-01-14 [2010-01-18]. （原始内容存档于2021-02-11） （英语）. 
  8. ^ Branigan, Tania. Google investigates China staff over cyber attack. The Guardian. 2010-01-18 [2026-09-03]. ISSN 0261-3077 （英国英语）. 
  9. ^ 9.0 9.1 Google probing possible inside help on attack. Reuters. 2010-01-19. 
  10. ^ 10.0 10.1 Google Warns of China Exit Over Hacking - WSJ.com. online.wsj.com. [2026-09-08]. （原始内容存档于2010-01-15） （英语）. 
  11. ^ Attack on Google said to hit password system. NBC News. 2010-04-20 [2026-09-03] （英语）. 
  12. ^ Markoff, John. Cyberattack on Google Said to Hit Password System - NYTimes.com. 纽约时报. [2026-09-03]. （原始内容存档于2010-04-23）. 
  13. ^ 13.0 13.1 Zetter, Kim. Report: Google Hackers Stole Source Code of Global Password System. Wired. 2010-04-20 [2026-09-05]. ISSN 1059-1028 （美国英语）. 
  14. ^ Juniper confirms cyber attack after Google case. Reuters. 2010-01-16. 
  15. ^ Nakashima, Ariana Eunjung Cha and Ellen. Google China cyberattack part of vast espionage campaign, experts say. 2010-01-14 [2026-09-08]. ISSN 0190-8286 （美国英语）. 
  16. ^ Morgan Stanley Was Hit By Chinese ‘Aurora’ Hackers. NBC News. 2011-03-01 [2026-09-08] （英语）. 
  17. ^ Chinese ‘Aurora’ Hackers Hit DuPont. NBC News. 2011-03-09 [2026-09-12] （英语）. 
  18. ^ Hacking of DuPont, J&J, GE Were Undisclosed Google-Type Attacks. Bloomberg.com. [2026-09-12]. （原始内容存档于2022-06-15） （英语）. 
  19. ^ Nakashima, Ellen. Chinese hackers who breached Google gained access to sensitive data, U.S. officials say. The Washington Post. 2013-05-20 [2026-09-03]. ISSN 0190-8286 （美国英语）. 
  20. ^ 20.0 20.1 Trojan.Hydraq | Symantec. www.symantec.com. [2026-09-07]. （原始内容存档于2010-05-08）. 
  21. ^ Hydraq - An Attack of Mythical Proportions | Symantec Connect. www.symantec.com. [2026-09-07]. （原始内容存档于2010-06-04） （英语）. 
  22. ^ 22.0 22.1 22.2 Zetter, Kim. Google Hack Attack Was Ultra Sophisticated, New Details Show. Wired. 2010-01-14 [2026-09-05]. ISSN 1059-1028 （美国英语）. 
  23. ^ Google Hackers Targeted Source Code of More Than 30 Companies | Threat Level | Wired.com. www.wired.com. [2026-09-05]. （原始内容存档于2010-04-24） （美国英语）. 
  24. ^ Branigan, Tania; Anderson, Kevin. Google attacks traced back to China, says US internet security firm. The Guardian. 2010-01-14 [2026-09-07]. ISSN 0261-3077 （英国英语）. 
  25. ^ Paul, Ryan. Researchers identify command servers behind Google attack. Ars Technica. 2010-01-14 [2026-09-08] （英语）. 
  26. ^ ThreatExpert Blog: Trojan.Hydraq Exposed. blog.threatexpert.com. [2026-09-07]. （原始内容存档于2010-01-21）. 
  27. ^ "Operation Aurora" Leading to Other Threats. McAfee. 2010-01-15 （英语）. 
  28. ^ Security Advisory 979352 Released - The Microsoft Security Response Center (MSRC) - Site Home - TechNet Blogs. blogs.technet.com. [2026-09-03]. （原始内容存档于2010-09-29） （英语）. 
  29. ^ Hack of Google, Adobe Conducted Through Zero-Day IE Flaw | Threat Level | Wired.com. www.wired.com. [2026-09-05]. （原始内容存档于2010-04-27） （美国英语）. 
  30. ^ Microsoft Security Bulletin MS10-002 - Critical: Cumulative Security Update for Internet Explorer (978207). www.microsoft.com. [2026-09-05]. （原始内容存档于2010-01-23）. 
  31. ^ Microsoft fixes 8 IE holes, including one used in attacks. CNET. [2026-09-05]. （原始内容存档于2017-08-29） （英语）. 
  32. ^ The Trojan.Hydraq Incident | Symantec Connect. www.symantec.com. [2026-09-07]. （原始内容存档于2010-01-24） （英语）. 
  33. ^ HBGary Threat Report: Operation Aurora | HBGary. www.hbgary.com. [2026-09-12]. （原始内容存档于2010-02-15） （英语）. 
  34. ^ Markoff, John. Evidence Found for Chinese Attack on Google. The New York Times. 2010-01-19 [2026-09-12]. ISSN 0362-4331 （美国英语）. 
  35. ^ Markoff, John; Barboza, David. 2 China Schools Said to Be Tied to Online Attacks. The New York Times. 2010-02-19 [2026-09-07]. ISSN 0362-4331 （美国英语）. 
  36. ^ Markoff, John; Barboza, David. 2 China Schools Said to Be Tied to Online Attacks. The New York Times. 2010-02-19 [2026-09-12]. ISSN 0362-4331 （美国英语）. 
  37. ^ 安天实验室安全研究与应急处理中心. 多家企业网络入侵事件传言的同源木马样本分析报告. [2010-02-04]. （原始内容存档于2010-02-02）. 
  38. ^ ‘Google’ Hackers Had Ability to Alter Source Code | Threat Level | Wired.com. www.wired.com. [2026-09-05]. （原始内容存档于2010-03-26） （美国英语）. 
  39. ^ The Elderwood Project (Infographic). symantec.com. 2012-09-07. （原始内容存档于2012-09-09） （英语）. 
  40. ^ Stealing US business secrets: Experts ID two huge cyber 'gangs' in China. Christian Science Monitor. [2026-09-07]. ISSN 0882-7729. 
  41. ^ 谷歌中国称将停止内容审查. 金融时报. 金融时报. 2010-01-13 [2010-01-14]. （原始内容存档于2010-01-15）. 
  42. ^ 谷歌考虑全面退出中国市场. 华尔街日报. 华尔街日报. 2010-01-13 [2010-01-14]. （原始内容存档于2010-01-16）. 
  43. ^ Adobe Investigates Corporate Network Security Issue (Adobe Featured Blogs). blogs.adobe.com. [2026-09-05]. （原始内容存档于2010-01-16） （英语）. 
  44. ^ Clinton, Hillary. Statement on Gogole Operations in China. US Department of State. 2010-01-12 [2010-01-18]. （原始内容存档于2018-06-01） （英语）. 
  45. ^ Chinese govt seeks information on Google intentions. Xinhua (China Daily). 2010-01-13 [2010-01-18]. （原始内容存档于2020-03-24） （英语）. 
  46. ^ Congress to Investigate Google Charges Of Chinese Internet Spying. AHN. 13 January 2010 [2010-01-18]. （原始内容存档于2010-03-28） （英语）. 
  47. ^ 王晨：网络媒体要切实担负起维护网络安全的责任. 人民日报. 2010-01-14 [2010-01-18]. （原始内容存档于2020-03-23）. 
  48. ^ 曹国星. 中国官方： 中国互联网是开放的 但是网上监控很有必要. 法国国际广播电台. 2010-01-14 [2010-01-18]. （原始内容存档于2010-01-17）. 
  49. ^ 2010年1月14日外交部发言人姜瑜举行例行记者会. 中国外交部网站. 2010-01-14 [2010-01-18]. 
  50. ^ Google Update: Prc Role in Attacks and Response Strategy (报告). Wikileaks. 2010-01-26. 
  51. ^ Chinese blamed for Google attack. Al Jazeera. [2026-09-05] （英语）. 
  52. ^ Glanz, James; Markoff, John. Vast Hacking by a China Fearful of the Web. The New York Times. 2010-12-04 [2026-09-07]. ISSN 0362-4331 （美国英语）. 
  53. ^ Drummond, David; SVP; Development, Corporate; Officer, Chief Legal. A new approach to China: an update. Official Google Blog. [2026-09-08] （英语）. 
  54. ^ Transparency in the shadowy world of cyberattacks. Google. 2022-07-19 [2026-09-08] （美国英语）. 
  55. ^ BeyondCorp 零信任企业安全. Google Cloud. [2026-09-08] （中文（中国大陆））. 
  56. ^ Ward, Rory; Beyer, Betsy. BeyondCorp: A New Approach to Enterprise Security. 2014 [2026-09-08] （英语）. 
取自“https://zh.wikipedia.org/w/index.php?title=极光行动&oldid=95380579”