2
| 本文作者： 謝幺 | 2017-05-04 08:48 |
本文作者：謝幺 ，雷鋒網(wǎng)網(wǎng)絡(luò)安全作者。
最致命的可能是張牙舞爪的猛獸，也可能是腳邊悄然無(wú)聲的蛇蝎。
前不久朝鮮大核搞核試驗(yàn)的消息鬧得沸沸揚(yáng)揚(yáng)，卻沒(méi)有太多人關(guān)注另一則新聞：
2017年4月底韓國(guó)媒體稱，網(wǎng)絡(luò)安全公司賽門鐵克發(fā)布了一個(gè)報(bào)告，估測(cè)朝鮮網(wǎng)絡(luò)攻擊集團(tuán)對(duì)世界多國(guó)銀行發(fā)動(dòng)了攻擊，竊取資金超過(guò)一千億韓元（折合人民幣6.13億元）。
除此之外，已有證據(jù)表明，朝鮮網(wǎng)絡(luò)攻擊的目標(biāo)包括孟加拉國(guó)、越南、厄瓜多爾、波蘭等國(guó)銀行，目前已經(jīng)從這些國(guó)家的銀行盜竊了至少 9400 萬(wàn)美元。
核武器研發(fā)靠“燒錢”來(lái)提高震懾力，網(wǎng)絡(luò)武器卻能肆無(wú)忌憚地從其他國(guó)家搶錢。這也難怪有媒體報(bào)道，金正恩曾說(shuō)過(guò)這樣一句話：“網(wǎng)絡(luò)戰(zhàn)能力是與核武器和導(dǎo)彈共同保障我軍打擊能力的尚方寶劍”。
這讓人不免聯(lián)想到上個(gè)月在監(jiān)獄病逝的，80年代香港三大賊王之一的葉繼歡。他生前曾多次手持 AK47 沖鋒槍對(duì)射警方，搞了一大堆軍火，搶了整條街的金店，最后搶到的總值也就 1000 萬(wàn)港元。而 2016 年底發(fā)生的孟加拉國(guó)央行盜竊案，黑客或許只用了一臺(tái)電腦一根網(wǎng)線就偷走了 8100 萬(wàn)美元，創(chuàng)造了有史以來(lái)最大的銀行搶劫案。該案件目前已被多個(gè)安全組織認(rèn)定為朝鮮黑客所為。
▲香港一代“賊王”葉繼歡，圖片來(lái)自網(wǎng)絡(luò)
據(jù)雷鋒網(wǎng)了解，孟加拉銀行盜竊案中，黑客因?yàn)檗D(zhuǎn)賬時(shí)把轉(zhuǎn)賬機(jī)構(gòu)的名字中的“foundation”被寫(xiě)成了“fandation” 而被發(fā)現(xiàn)，否則他們將盜走10億美元。10億美元什么概念？葉繼歡拿著 AK-47 當(dāng)煙花放，天天橫掃金店也得連著搶兩年，還得全年無(wú)休。
關(guān)于朝鮮黑客部隊(duì)的說(shuō)法其實(shí)由來(lái)已久，說(shuō)法不一。今天雷鋒網(wǎng)宅客頻道就和大家一起扒一扒朝鮮黑客的故事。
朝鮮組建網(wǎng)絡(luò)戰(zhàn)斗部隊(duì)，第一個(gè)對(duì)付目標(biāo)多半是誰(shuí)？韓國(guó)無(wú)疑，事實(shí)也是如此。
早在十多年前，韓國(guó)媒體就開(kāi)始持續(xù)地公開(kāi)指責(zé)來(lái)自朝鮮的網(wǎng)絡(luò)攻擊。2010 年之后攻擊事件越來(lái)越多，僅在 2013 年一年內(nèi)就發(fā)生了多起大型黑客攻擊事件，比如：
2013年3月，韓國(guó)爆發(fā)歷史上最大規(guī)模的黑客攻擊，韓國(guó)主要銀行、媒體、以及個(gè)人計(jì)算機(jī)均受到影響。大量企業(yè)，包括國(guó)內(nèi)主流的銀行、電視臺(tái)計(jì)算機(jī)都被破壞及癱瘓，導(dǎo)致無(wú)法提供服務(wù)，大量資料被竊取。
2013年6月，韓國(guó)青瓦臺(tái)總統(tǒng)府在內(nèi)的16家網(wǎng)站遭攻擊，并陷入癱瘓。一些被黑網(wǎng)站首頁(yè)出現(xiàn)“偉大的金正恩領(lǐng)袖”等紅色詞句。
2013年7月，韓國(guó)總統(tǒng)府、國(guó)防部、外交通商部等政府部門和主要銀行、媒體網(wǎng)站等再次遭到分布式拒絕服務(wù)(DDoS)攻擊，癱瘓時(shí)間長(zhǎng)達(dá)4小時(shí)。
雖然韓國(guó)方面堅(jiān)定不移地認(rèn)定是朝鮮政府干的，卻拿不出確鑿的技術(shù)性證據(jù)。最關(guān)鍵的是，就算證據(jù)確鑿了，又能怎么辦呢？
▲配字：“就喜歡你看不慣我，又干不掉我的樣子”
從那之后，這個(gè)從外部看來(lái)與世隔絕的國(guó)家，朝鮮的黑客實(shí)力開(kāi)始得到真正意義上的廣泛關(guān)注。人們?cè)絹?lái)越好奇，這樣一個(gè)國(guó)家的網(wǎng)絡(luò)作戰(zhàn)水平到底怎樣，他們又是怎么培養(yǎng)出一流水準(zhǔn)黑客的呢？
▲朝鮮官兵在使用電腦，圖片來(lái)自網(wǎng)絡(luò)
一位匿名韓國(guó)政府官員曾向美國(guó)媒體 CNN 透露，朝鮮有一個(gè)網(wǎng)絡(luò)作戰(zhàn)部門，隸屬于朝鮮軍方旗下的間諜機(jī)構(gòu)偵察總局。韓國(guó)政府認(rèn)為，在數(shù)次朝鮮針對(duì)外國(guó)機(jī)構(gòu)的網(wǎng)絡(luò)攻擊中，起核心作用的就是121局。
2014年，一個(gè)曾擔(dān)任過(guò)朝鮮政府電腦專家的叛逃者張世烈（ Jang Se-yul） 向媒體透露，朝鮮有一個(gè)人數(shù)眾多的部隊(duì)，專門從事針對(duì)其他國(guó)家的網(wǎng)絡(luò)戰(zhàn)，而且水平超出了外界的想象。在他的口中，神秘的“121局”逐漸浮出水面。
張世烈說(shuō)，121局大約由1800名網(wǎng)絡(luò)戰(zhàn)士組成，大部分黑客都來(lái)自平壤自動(dòng)化大學(xué)。
這個(gè)學(xué)校是什么來(lái)歷呢？據(jù)韓國(guó)國(guó)防部資料顯示，朝鮮軍方從 20 世紀(jì) 80 年代開(kāi)始就十分重視電腦和網(wǎng)絡(luò)人才的培養(yǎng)。在1981年建立了朝鮮第一所專職培養(yǎng)黑客和電子戰(zhàn)部隊(duì)的秘密軍事學(xué)院 : 美林學(xué)校，后來(lái)更其名為平壤自動(dòng)化大學(xué)。
▲ 朝鮮黑客 ，圖片來(lái)自網(wǎng)絡(luò)
名曰“自動(dòng)化”，但其實(shí)朝鮮人民軍內(nèi)部稱其為電子戰(zhàn)學(xué)校。（宅客：這種稱呼風(fēng)格有點(diǎn)像中國(guó)的二炮部隊(duì)，小時(shí)候我真以為只是普通的炮兵部隊(duì)，后來(lái)才知道是現(xiàn)代化火箭軍。）
自動(dòng)化大學(xué)的入學(xué)篩選非常嚴(yán)格，一個(gè)班只收 100 名學(xué)生，申請(qǐng)者卻有 5000 人之多。人們趨之若鶩的主要原因是朝鮮黑客的生活條件比普通朝鮮人好太多，既有專門提供的繁華區(qū)域住房，又能將家人接來(lái)同住，還有機(jī)會(huì)出國(guó)去掙美元。
通常，朝鮮黑客會(huì)從娃娃抓起，青少年時(shí)期就被選拔出來(lái)進(jìn)行專業(yè)的黑客訓(xùn)練。在正式加入 121局之前，要接受接近 9年的嚴(yán)格訓(xùn)練。訓(xùn)練后還會(huì)根據(jù)攻擊國(guó)家的不同，被分配到不同的小組，派往相應(yīng)的國(guó)家呆上兩年以上，適應(yīng)當(dāng)?shù)氐恼Z(yǔ)言和文化。
在學(xué)校的時(shí)候，他們每天上六節(jié)課，每節(jié)課90分鐘，學(xué)習(xí)各種編程語(yǔ)言和操作系統(tǒng)，除了花費(fèi)大量的時(shí)間分析微軟的 Windows 操作系統(tǒng)等程序，還要研究如何攻破美國(guó)、韓國(guó)等敵對(duì)國(guó)家的電腦信息系統(tǒng)。他們還有一個(gè)核心任務(wù)，開(kāi)發(fā)屬于自己的黑客程序和電腦病毒。在網(wǎng)絡(luò)作戰(zhàn)方面，他們?cè)谧灾餮邪l(fā)的道路上摸索。
張世烈說(shuō)，朝鮮軍方的黑客可以隨意上網(wǎng)，完全不受限制，他們很了解外面世界發(fā)生的一切，也知道朝鮮是多么的封閉和落后，但是絕大部分依然不愿意離開(kāi)朝鮮，不愿意背棄自己的國(guó)家，哪怕韓國(guó)為他們提供工作。
▲朝鮮士兵用韓國(guó)防部長(zhǎng)當(dāng)靶子練習(xí)射擊，圖片來(lái)自網(wǎng)絡(luò)
張世烈認(rèn)為，朝鮮黑客的技術(shù)水平不遜于谷歌或者美國(guó)中情局的頂級(jí)程序員，甚至可能會(huì)更好。畢竟 “朝鮮為它準(zhǔn)備了 20年?！?/strong>
一個(gè)貧窮、資源匱乏的國(guó)家如何下這么大的力氣去搞網(wǎng)絡(luò)戰(zhàn)？原因很簡(jiǎn)單：便宜。
對(duì)于朝鮮來(lái)說(shuō)，培養(yǎng)一名網(wǎng)絡(luò)間諜的收益和培養(yǎng)一名傳統(tǒng)士兵的收益完全無(wú)法比擬。張世烈說(shuō)， 朝鮮也許意識(shí)到自己在傳統(tǒng)戰(zhàn)爭(zhēng)領(lǐng)域幾乎沒(méi)有打贏的機(jī)會(huì)，但在數(shù)字世界依靠少量資源就可以攪亂大局。
▲金元帥利用現(xiàn)代化設(shè)備視察工作
2015年，另一位曾給121局的成員上過(guò)電腦課的脫北者金恒光（Kim Heung-Kwang）教授透露，雖然他教的是基礎(chǔ)電腦操作而不是黑客技術(shù)，但他發(fā)現(xiàn)，學(xué)生們很喜歡黑客人物，對(duì)于能成為“金正恩的網(wǎng)絡(luò)戰(zhàn)士”他們感到很自豪。
金教授稱，121 局希望仿造 Stuxnet 蠕蟲(chóng)病毒，也就是名震江湖的震網(wǎng)病毒。美國(guó)和以色列黑客就曾經(jīng)成功用它來(lái)破壞伊朗的發(fā)電站離心機(jī)，造成核電站推遲發(fā)電。
在 2014 年之前，朝鮮黑客活動(dòng)消息多來(lái)自于韓國(guó)媒體，直到金元帥怒了。
2014 年，索尼影業(yè)出了一部黑金正恩的電影《The interview》（又名：刺殺金正恩），故事講的是一個(gè)記者借著采訪機(jī)會(huì)去刺殺金正恩的故事。情節(jié)不再贅述，我們單來(lái)看看他把金正恩黑成什么樣？隨便舉幾個(gè)例子：
1. 他生活在父親的陰影之下，時(shí)常覺(jué)得自己像個(gè)廢棄物。
2.金正恩最愛(ài)看美劇《生活大爆炸》，美國(guó)流行女歌手 Katy Perry 的歌把他唱哭了。
3.影片里的金正恩有點(diǎn) Gay 里 Gay 氣的，請(qǐng)通過(guò)畫(huà)面自行體會(huì)。
此外，片中的金正恩還把屎拉在褲子里導(dǎo)致采訪中止。最后，金正恩乘坐的直升機(jī)爆炸了……他死了。
就這樣的情節(jié)，換在其他國(guó)家都指不定會(huì)發(fā)生什么，更何況朝鮮。該片在公布預(yù)告片時(shí)，就有朝鮮官方媒體發(fā)出警告，稱好萊塢上映有關(guān)刺殺朝鮮領(lǐng)導(dǎo)人的喜劇電影屬于”戰(zhàn)爭(zhēng)行為"，如果美國(guó)政府默認(rèn)或支持電影上映，我們將采取果斷而無(wú)情的對(duì)策”。
此后，朝鮮當(dāng)局又多次嚴(yán)厲斥責(zé)該電影“令人作嘔”，甚至連美國(guó)國(guó)內(nèi)也有不少人覺(jué)得這電影“不負(fù)責(zé)任”，會(huì)加劇地區(qū)局勢(shì)緊張。這種情況下，索尼公司不依不撓，依然緊鑼密鼓準(zhǔn)備公映該片。于是他們印證了“什么叫不作死就不會(huì)死”。
12月，索尼影業(yè)的網(wǎng)絡(luò)遭遇自稱“和平護(hù)衛(wèi)隊(duì)”的黑客團(tuán)體的攻擊，大量信息被泄露，從員工安全信息到內(nèi)部高管的郵件，以及大量新片的種子外泄、電影劇本，甚至索尼高管薪酬的詳細(xì)構(gòu)成全部流出。
當(dāng)月16日，黑客發(fā)出了最后通牒，警告所有前去看片的觀眾“別忘了911事件”，威脅要在放映地點(diǎn)發(fā)動(dòng)襲擊，嚇得美國(guó)多家院線紛紛決定撤銷放映該電影。 17日，索尼影業(yè)也不得不發(fā)表聲明，決定取消該電影在全球的一切發(fā)行計(jì)劃。
襲擊事件發(fā)生數(shù)月后，影響依然在發(fā)酵，電腦故障頻發(fā)，電郵持續(xù)被凍結(jié)等等。最終，因?yàn)楹诳凸魧?dǎo)致大量商業(yè)機(jī)密泄露以及其他不良影響，索尼影業(yè)董事長(zhǎng)艾米·帕斯卡引咎辭職。那次黑客襲擊也成為了史上最嚴(yán)重的十次黑客襲擊之一。
因?yàn)橐徊侩娪?，索尼影業(yè)大概哭瞎了。
然而，朝鮮官方并不承認(rèn)這次攻擊，也沒(méi)有直接的技術(shù)性證據(jù)表明就是他們干的。越是這樣，就越讓人琢磨不透，令人惴惴不安。一些安全公司和研究者開(kāi)始專門就這些大型黑客攻擊事件展開(kāi)研究。
2016年 ，孟加拉國(guó)、厄瓜多爾、菲律賓以及越南的央行陸續(xù)遭遇黑客攻擊，2月份，孟加拉國(guó)央行被盜走 8100 萬(wàn)美元，多家網(wǎng)絡(luò)安全公司介入調(diào)查，發(fā)現(xiàn)大量銀行攻擊來(lái)自同一個(gè)神秘的幕后組織——拉撒路（Lazarus），因?yàn)檫@一團(tuán)伙在攻擊銀行時(shí)所使用的計(jì)算機(jī)代碼類似，攻擊手法相同。最重要的是，其中一段用于消除攻擊證據(jù)的底層代碼和 2014 年黑客攻擊索尼影業(yè)時(shí)使用的代碼完全相同。
2016年12月韓國(guó)國(guó)防部對(duì)外表示，韓國(guó)軍方內(nèi)部網(wǎng)絡(luò)遭受黑客攻擊，導(dǎo)致內(nèi)含軍事機(jī)密的資料外泄，并明確表示“懷疑此次黑客攻擊是朝鮮所為”，因?yàn)榇舜喂舸a與朝鮮黑客常用代碼類似，因此朝鮮所為的可能性極高。
據(jù) CNN 報(bào)道，卡巴斯基（Kaspersky）、賽門鐵克（Symantec ）、火眼（Fireeye) 三家安全公司發(fā)布的報(bào)告，都把 Lazarus 黑客組織的來(lái)源指向了朝鮮。
這些安全機(jī)構(gòu)判定的主要依據(jù)有：
重復(fù)代碼：一般來(lái)說(shuō)黑客會(huì)重復(fù)利用他們開(kāi)發(fā)出來(lái)的代碼，在這方面，大量攻擊案件具有高度一致性。
密碼相同：多次攻擊事件都有一個(gè)用于保存病毒生成器的加密壓縮包，密碼是相同的。
韓語(yǔ)元素：Lazarus 的惡意軟件樣本中，有2/3的網(wǎng)絡(luò)犯罪可執(zhí)行文件包含了典型韓語(yǔ)元素。
活動(dòng)時(shí)間：針對(duì) Lazarus 團(tuán)伙的活動(dòng)時(shí)間調(diào)查表明，該團(tuán)伙的多數(shù)人生活在東八區(qū)或東九區(qū)，也就是中國(guó)和朝鮮之間。
▲卡巴斯基對(duì) Lazarus 組織的活動(dòng)時(shí)間進(jìn)行了分析
2017年初，卡巴斯基實(shí)驗(yàn)室又拿出了新的證據(jù)，認(rèn)定去年 Lazarus 犯罪團(tuán)伙，就是朝鮮黑客。
根據(jù)卡巴斯基實(shí)驗(yàn)室公布的報(bào)告書(shū)，Lazarus 團(tuán)伙在一次攻擊行動(dòng)中犯了一個(gè)錯(cuò)誤：一臺(tái)歐洲服務(wù)器出現(xiàn)了朝鮮政府專用的 IP 登錄記錄。
一般來(lái)說(shuō)，黑客攻擊時(shí)都會(huì)用代理服務(wù)器來(lái)隱藏自己真實(shí)的 IP 地址，但1月18日被發(fā)現(xiàn)有短暫的幾秒鐘連接了朝鮮的 IP，這是非常罕見(jiàn)的記錄?？ò退够鶕?jù)此判定，如果沒(méi)有人故意入侵了朝鮮政府的電腦來(lái)嫁禍，這就意味著和朝鮮有直接關(guān)系。
雷鋒網(wǎng)也發(fā)現(xiàn)一個(gè)現(xiàn)象：
Lazarus 在早年間的主要攻擊目標(biāo)是韓國(guó)和日本，攻擊手段主要為 DDOS（分布式拒絕服務(wù)）。近兩年他們卻無(wú)差別地襲擊了韓國(guó)、印度、馬來(lái)西亞、波蘭、烏拉圭、哥斯達(dá)黎加、埃塞俄比亞、加蓬、烏拉圭、臺(tái)灣等18個(gè)金融機(jī)構(gòu)、賭場(chǎng)、加密貨幣公司等，直接奔著錢去了。
有兩位國(guó)際安全專家在接受 CNN 采訪時(shí)懷疑，這可能是朝鮮為其核彈計(jì)劃斂財(cái)，作為一部分資金支持。
你以為到此就講完了嗎？ NO
稍稍注意，你會(huì)發(fā)現(xiàn)上文提到的關(guān)于朝鮮的負(fù)面信息，絕大多數(shù)來(lái)自韓國(guó)媒體，其次是美國(guó)、日本媒體。例如本文最開(kāi)頭那句 “金正恩曾說(shuō)：網(wǎng)絡(luò)戰(zhàn)能力是與核武器和導(dǎo)彈共同保障我軍打擊能力的尚方寶劍”，其實(shí)就是日本媒體報(bào)道的。
在對(duì)待朝鮮半島問(wèn)題，日本一些媒體不負(fù)責(zé)任的態(tài)度已經(jīng)被大家習(xí)以為常。比如今年1月底份，日本有一家小媒體放話美軍可能在2月底突襲朝鮮， 轟炸700個(gè)軍事?lián)c(diǎn)。日本各大媒體紛紛轉(zhuǎn)引報(bào)道，結(jié)果最后發(fā)現(xiàn)最初的消息源竟然來(lái)自于個(gè)人博客網(wǎng)站。
中國(guó)也曾經(jīng)歷過(guò)類似的事件。2009 年 Google 等幾十家美國(guó)公司受到黑客的攻擊后，《紐約時(shí)報(bào)》就在沒(méi)有充分證據(jù)的情況下，就稱該攻擊和中國(guó)的藍(lán)翔技校有關(guān)，之后也不了了之。
很多年前，西方媒體就不斷對(duì)中國(guó)黑客威脅論進(jìn)行鼓吹。如今又多俄羅斯和朝鮮兩大角色。
通過(guò)技術(shù)認(rèn)定朝鮮黑客的安全機(jī)構(gòu)也出過(guò)一些烏龍事件。
2017年3月，卡巴斯基實(shí)驗(yàn)室表示，過(guò)去一年中公司發(fā)現(xiàn)的 62 個(gè)加密勒索軟件家族中，47 個(gè)由俄羅斯人或說(shuō)俄語(yǔ)的人開(kāi)發(fā)。（詳見(jiàn)：戰(zhàn)斗民族的黑客又出來(lái)嚇人：3/4 的勒索軟件都是“說(shuō)俄語(yǔ)的人”做的！）
結(jié)果沒(méi)過(guò)多久，另一家安全公司的研究者就發(fā)現(xiàn)，許多惡意軟件樣本中的俄文看起來(lái)狗屁不通，看起來(lái)像是有人故意用翻譯軟件將語(yǔ)言翻譯成俄文的，企圖嫁禍俄羅斯人。（詳見(jiàn)：情節(jié)反轉(zhuǎn)！黑客嫁禍俄羅斯被揭穿：連俄文都寫(xiě)錯(cuò)了！ ）
到了 2017年3月，維基解密曝光美國(guó)中情局的 Vult 7 網(wǎng)絡(luò)武器軍火庫(kù)，揭露了美國(guó)中情局（CIA）企圖通過(guò)一款叫“Marble” 的工具，將病毒、惡意代碼、木馬的真實(shí)源代碼進(jìn)行混淆，讓取證調(diào)查人員無(wú)法溯源到CIA身上，順便嫁禍給其他國(guó)家。（詳見(jiàn)：美國(guó)中情局秘密文件曝光：企圖嫁禍中國(guó)、俄羅斯等別國(guó)黑客
Marble 的源代碼中有中文、俄文、朝鮮文、阿拉伯文、伊朗文字……
▲ 美國(guó)中情局泄露的黑客工具代碼
從這個(gè)角度來(lái)看，上文提到的所謂“朝鮮黑客”的證據(jù)：
重復(fù)代碼、密碼相同、韓語(yǔ)元素、活動(dòng)時(shí)間符合東八區(qū)九區(qū)、短暫連接朝鮮IP……
誰(shuí)又能保證，這些不是另一種更高明的嫁禍行為呢？
引用新華網(wǎng)記者楊駿的文字：
嫁禍“外國(guó)黑客”，個(gè)別政客和黨派可以增加政治資本，情報(bào)機(jī)構(gòu)和軍方可以獲得新的授權(quán)或預(yù)算，相關(guān)承包商可以獲得各類訂單，一些利益團(tuán)體才能維持網(wǎng)絡(luò)霸權(quán)——這猶如一條完整的產(chǎn)業(yè)鏈。因此，不拉黑其他國(guó)家，如何過(guò)得滋潤(rùn)呢？
真實(shí)情況如何，宅客不做猜測(cè)，這里只為讀者們提供更多信息量補(bǔ)充。不過(guò)話說(shuō)回來(lái)，不正因?yàn)檎嫦鄵渌访噪x，才顯得朝鮮黑客更加神秘？
▲刺殺金正恩劇照
----
附一則消息：就在雷鋒網(wǎng)編輯撰文時(shí)（5月2日），韓國(guó)媒體又發(fā)出報(bào)道，韓國(guó)防部表示已經(jīng)發(fā)現(xiàn)確鑿證據(jù)表明此前入侵韓軍方網(wǎng)絡(luò)的是朝鮮黑客。雷鋒網(wǎng)看了一下，證據(jù)大致還是上文提到的那些。
▲相關(guān)報(bào)道截圖，圖片來(lái)自百度搜索界面
本文作者：謝幺 ，雷鋒網(wǎng)網(wǎng)絡(luò)安全作者。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
