61398部隊黑客被曝光過程 zt

最近2星期的熱點話題是：天朝61398部隊的禦用駭客。今天轉載一些網文和圖片，八卦一下禦用駭客被曝光的過程。
話說美國方麵這次掌握的材料已經很充分了（看完本文，你會意識到這點）。但是天朝外交部擺出一副"死豬不怕開水燙"的架勢，打死不承認。

★圖片若幹

在此次事件中，最有價值的信息，就是美國計算機安全公司 Mandiant 發布的報告。這份報告算是比較詳細的，介紹了禦用駭客的種種事跡和入侵手法。對網絡安全有興趣的同學，這份報告值得一讀。
考慮到很多讀者比較懶，俺貼出該報告的其中幾張截圖，再配上俺的簡要解說。


◇中國電信授權61398部隊接入上海005中心

這是中國電信的一個內部文件（截圖下方是發現該文件的網址）。
裏麵明確提到了：61398部隊隸屬總參三部二局，位於高橋（上海浦東）。

 

◇禦用駭客常用的工具

這是禦用駭客收集用戶口令的工具。

 

◇禦用駭客使用的 IP 地址

下麵幾張是美國方麵監控到的，入侵美國公司所用的 IP 地址，有相當多的攻擊來源，是來自於上海市浦東區高橋鎮。

 
 

可能會覺得奇怪：這幫禦用駭客難道不用代理嗎？
俺來解釋一下：
1.
禦用駭客的人數很多，素質也是參差不齊。
人多了之後，難免會有人不遵守紀律。有些人估計是嫌麻煩，沒做到 "入侵的全過程都通過代理"。
隻要有 1% 的人出現疏忽，那麽整個團隊所在的位置就會被曝光。
2.
禦用駭客跟民間駭客不同。民間駭客搞入侵，一旦暴露有可能會被抓。所以，有經驗的民間駭客會更小心謹慎。而禦用駭客是朝廷的人，不用擔心被抓。因為缺乏心理上的顧慮，也就沒有那麽小心謹慎。

某些替朝廷辯護的五毛會說，這是別國的黑客利用中國的肉雞做跳板。
如果真的是這樣，那就非常奇怪了：為啥別國的黑客碰巧都用了上海浦東區高橋鎮的網段當肉雞？而且碰巧高橋鎮還駐紮著一個解放軍的網絡戰部隊？

◇被人肉的駭客之一：汪東（網名 Ugly Gorilla）

他暴露的主要問題在於，他使用了相同的郵箱（[e-mail]），相同的網名（UglyGorilla）注冊了如下網站：
1. 中國軍網
該網站隸屬《解放軍報》旗下。2004年，張召忠（赫赫有名的天朝戰略忽悠局局長）做客該網站，接受網友的在線提問。當時汪東曾向張召忠在線提問，問題內容是關於"中國網絡戰"。
看來張召忠的忽悠能力很強啊。連禦用駭客都成為他的粉絲了。
2. rootkit.com
這是國外知名的黑客網站，專門提供 "木馬/後門" 等方麵的資料。
該網站後來被大名鼎鼎的 "匿名黑客組織" 攻破並爆庫，用戶數據庫中就有[e-mail]，且注冊該帳號的 IP 地址（58.246.255.28）來自上海浦東高橋。
3. www.pudn.com
國內開發人員網站，美國安全專家在該網站上查到了注冊用戶 UglyGorilla 的真名是 "汪東"。

另外，他還喜歡處處留名——在自己開發的木馬工具中，寫了如下簽名：
“v1.0 No Doubt to Hack You, Writed by UglyGorilla, 06/29/2007”

細心的同學應該已經發現了，這句簽名存在英語的語法錯誤。美國專家顯然也發現這一點。他們還整理了一個清單，列出了入侵美國公司的木馬軟件中，存在的各種英語語法錯誤。截圖如下：
 

下麵兩張圖片，是 Mandiant 報告中關於 "汪東" 的部分。
 
 

關於 "汪東" 的案例，給大夥兒的教訓就是：
如果你要從事有危險的網絡活動，一定不要混用網絡帳號（包括：郵箱、IM、網站用戶名、等）。
比如俺這個 "編程隨想" 的身份，涉及到的所有網絡帳號（包括 G+、Twitter、等）都是單獨的，跟俺日常使用的帳號完全隔離。
不光帳號隔離，連上網操作俺都是在不同的虛擬機中分別進行。

◇被人肉的駭客之二：DOTA
 
此人注冊了很多郵箱（比如[e-mail] - [e-mail]），主要用來偽造不同身份，搞社會工程學的入侵。

Mandiant 的報告提到說，由於創建的帳號太多，所以口令管理是一件麻煩事。DOTA 經常使用基於鍵盤布局的口令（比如 1qaz@WSX#EDC）。這種口令表麵上複雜，其實強度不夠。
很可能是因為 DOTA 的口令不夠強，某些郵箱帳號被 Mandiant 的專家攻破了。下麵是 DOTA 的某個 Gmail 郵箱的截圖。
拿到 DOTA 的 Gmail 郵箱之後，DOTA 的很多入侵行為就顯而易見了。
 

Mandiant 的報告還提到說，DOTA 除了使用基於鍵盤布局的口令，還使用了這個口令（2j3c1k）。Mandiant 的專家懷疑，2j3c1k 對應於中文 "2局3處1科"（61398部隊隸屬總參3部2局）。
另外，DOTA 注冊郵箱使用了手機接收驗證碼，所以他的手機也被曝光了，號碼是 159-2193-7229（中國移動上海號段）

關於 "DOTA" 的案例，給大夥兒的教訓就是：
網絡帳號的密碼一定要強。你在不同網站使用的密碼一定要不同，而且要讓人看不出規律。

◇其它圖片

下麵這張是：61398部隊的成員發表的信息安全相關論文
 
下麵這張是：61398部隊在浙江大學招收定向研究生
 

 

所有跟帖： 

• 據我所知，老中這方麵還是菜鳥，和老黴相比小巫見大巫。。。這種典型賊喊捉賊！ -zhmz888- ♂ (0 bytes) () 05/21/2014 postreply 23:01:44

• +1. -winxue11- ♂ (0 bytes) () 05/21/2014 postreply 23:49:04

• 哈哈，天朝黑客真心不是菜鳥，是牛逼。行不更名,坐不改姓。 -foobar- ♂ (78 bytes) () 05/22/2014 postreply 08:40:23

• 無論美國或中國，也無論什麽目的，未經許可偷偷進入別人計算機都是可恥 -草原-- ♀ (0 bytes) () 05/22/2014 postreply 10:36:14

• +1, 尤其是國家公務人員 -Guoluke2- ♂ (0 bytes) () 05/22/2014 postreply 13:59:49

• 問你一個問題：王偉撞機事件，大家都知道美國間諜飛機在幹嗎，美國有沒有覺得羞愧？你怎麽評價？ -薛成- ♂ (0 bytes) () 05/23/2014 postreply 06:29:59

• 說計算機呢，怎麽扯到飛機了？ -slow_quick- ♂ (0 bytes) () 05/23/2014 postreply 09:35:50

• 說的是為人原則。 -薛成- ♂ (0 bytes) () 05/23/2014 postreply 11:11:44

• 美國不是人，是國，嗬嗬 -slow_quick- ♂ (0 bytes) () 05/23/2014 postreply 11:37:45

• 草原是不是人？ -薛成- ♂ (0 bytes) () 05/24/2014 postreply 08:22:22

• 王母娘娘下凡塵 -slow_quick- ♂ (0 bytes) () 05/25/2014 postreply 13:04:20

• 兒孫個個都是賊 -大地- ♂ (66 bytes) () 05/25/2014 postreply 22:11:00

• 美國在公海上飛行，完全合法，有啥羞愧？共匪攻擊在公海上飛行的飛機才是流氓。共匪飛行員的下場也非常可悲。 -180511- ♂ (0 bytes) () 05/26/2014 postreply 15:30:24

• 都在公海裏飛，兩邊都說對方撞的。要愛因斯坦相對論才能研究。 -slow_quick- ♂ (0 bytes) () 05/26/2014 postreply 20:52:48

• 速度慢的偵察機如何撞速度快的戰鬥機？ -180511- ♂ (0 bytes) () 05/31/2014 postreply 09:23:18

• 中國方麵說是美機轉彎撞到中機尾巴 -slow_quick- ♂ (0 bytes) () 05/31/2014 postreply 17:25:04

• 還是別在電腦攤討論這類問題，放憤青攤比較好 -slow_quick- ♂ (0 bytes) () 05/26/2014 postreply 20:54:28

• 小的時候和人吵架總是會說“你不看我怎麽知道我在看你”，這種事情都是彼此彼此的。 -latex- ♂ (0 bytes) () 05/22/2014 postreply 16:59:56

• 回複：61398部隊黑客被曝光過程 zt -bypassus- ♀ (531 bytes) () 06/10/2014 postreply 05:18:53

• 回複：61398部隊黑客被曝光過程 zt -bypassus- ♀ (535 bytes) () 06/10/2014 postreply 05:21:22