网络攻击西工大NSA13人身份曝光 西工大遭网络攻击 源头是美国安局(3)

  TAO通过在西北工业大学运维管理服务器安装嗅探工具“饮茶”，长期隐蔽嗅探窃取西北工业大学运维管理人员远程维护管理信息，包含网络边界设备账号口令、业务设备访问权限、路由器等设备配置信息等。
  遭到嗅探的网络设备类型包括固定互联网的接入网设备(路由器、认证服务器等)、核心网设备(核心路由器、交换机、防火墙等)，也包括通信基础设施运营企业的重要设备(数据服务平台等)，内容包括账号、口令、设备配置、网络配置等信息。
  1、窃取西工大核心网络设备账号口令及配置信息
  北京时间20××年12月11日6时52分，TAO以位于日本京都大学的代理服务器(IP：130.54.××.××)为攻击跳板，非法入侵了西北工业大学运维网络的“telnet”管理服务器，上传并安装NOPEN木马，然后级联控制其内网监控管理服务器，上述2台服务器事先均已被安装“饮茶”嗅探工具。TAO远程操控木马检索并下载被压缩加密的监听记录文件，然后清痕退出。窃取数据包括路由器、核心网设备(核心路由器、交换机、防火墙)管理账号、口令、设备配置、网络配置等信息。
  2、多次窃取接入网认证设备账号口令及配置信息
  (1)北京时间20××年5月30日0时28分，TAO以位于日本的代理服务器(IP：210.135.××.××)为攻击跳板，非法入侵了西北工业大学运维网络“telnet”管理服务器，上传并安装NOPEN木马，然后级联控制其内网监控管理服务器，这2台服务器事先均已被安装“饮茶”嗅探工具，TAO远程操控木马检索并下载窃密记录文件后清痕退出。窃取数据包括接入网认证设备的账号、口令及配置信息。
  (2)北京时间20××年7月4日1时12分，TAO利用位于德国莱比锡技术经济和文化学院的代理服务器(IP：141.57.××.××)作为攻击跳板，非法入侵西北工业大学运维网络“telnet”管理服务器，上传并安装NOPEN木马工具，级联控制其内网监控管理服务器等其他3台服务器，这4台服务器事先均已被安装“饮茶”嗅探工具，TAO远程操控木马检索并下载窃密文件后清痕退出。
  (3)北京时间20××年10月11日10时35分，TAO利用位于韩国首尔国立江原大学的代理服务器(IP：210.115.××.××)作为攻击跳板，非法入侵西北工业大学运维网络监控管理服务器，上传并安装NOPEN木马工具，然后级联控制其内网备份服务器、认证服务器等其他4台服务器，这5台服务器事先均已被安装“饮茶”嗅探工具，TAO远程操控木马分别检索并下载窃取记录文件后清痕退出。
  (4)北京时间20××年10月19日2时46分，TAO以位于韩国大田的高等科学技术研究学院的代理服务器(IP：143.248.××.××)为攻击跳板，非法入侵西北工业大学运维网络“telnet”管理服务器，级联控制其内网监管服务器等其他2台服务器，这3台服务器事先均已被安装“饮茶”嗅探工具，TAO通过远程操控木马检索并下载窃密文件，然后清痕退出。
  (二)窃取西北工业大学网络设备运维配置文件和日志文件
  美国国家安全局“特定入侵行动办公室”(TAO)长期攻击入侵西北工业大学网络运维管理服务器，秘密窃取网络设备运维配置文件和日志文件。
  1、窃取西北工业大学网络运行日志文件