勒索病毒拷问③｜黑客称还将瞄准手机，准网络战级攻击来了吗

黑客组织“影子经纪人”日前再度发出警告称，将在6月披露更多窃自美国国家安全局的黑客工具，瞄准Windows 10、路由器、浏览器甚至是手机。这意味着，接下来全球可能面临新的网络安全威胁。

日前在全球肆虐的勒索软件“想哭”（WannaCry）据称即源自该组织外泄的黑客工具，上一波网络攻击发生时，全球150个国家的30万台电脑遭到攻击，其中，攻击对我国很多行业网络也造成极大影响，包括教育、石油、交通、公安等。

复旦大学网络空间治理研究中心主任沈逸对此给予了警告般的评估认为，“想哭”勒索软件是一次准网络战级别的攻击，“如果发生在战时，敌方对后勤系统及基础设施发动更为大型和专业化的网络攻击，其后果难以想象。”他对澎湃新闻（www.thepaper.cn）说。

“中国此番中招，一方面说明中国互联网的普及程度正迅速提高，但另一方面也说明从终端用户到政府部门对网络安全的重视程度还是不够，推进网络安全事业的发展需要科学合理的指导原则与方法。”中国国际战略学会学术部主任虞爽说。

对国家网络战能力的实战化检验

就在黑客组织“影子经纪人”再度发出警告之际，据联合早报18日报道，国际网络专家警告，一款名为Adylkuzz的恶意软件可能会以更隐秘的方式发动袭击，用户甚至无法立即发现电脑已受感染。

报道援引网络安全机构Proofpoint研究员戈迪耶的话说，他们发现新一波的网络攻击行动，“黑客利用美国国安局最近被揭露的黑客工具，虽然微软已修复了该漏洞，但（黑客）以更隐秘的方式（发动袭击），其目的也不同。” 他说，不同的是，Adylkuzz软件并不会为受感染电脑的文件加密，然后要求用户支付赎金，而是利用受感染的电脑来“挖掘”虚拟门罗币，然后把钱转入自己的户头。

Proofpoint还透露，受感染的电脑将无法进入视窗系统的分享资源，电脑和服务器的速度也会减弱，一些用户或许无法立即发现电脑已受感染。

如果以上警告成真，这将是对全世界网络安全的又一次新的考验。而距12日勒索病毒席卷全球150个国家，仅仅不到一周，对于这场网络袭击的定性仍有不同看法。

根据中国工业和信息化部国家互联网应急中心公布的数据显示，从5月13日9:30到5月14日10:30分的监测期间，监测发现全球约242.3万个IP地址遭受勒索软件“想哭”蠕虫病毒利用SMB漏洞攻击，被该勒索软件感染的ip地址数量近3.5万个，其中中国境内IP约1.8万个。

“从武器级的网络攻击能力扩散、以及对国家维护网络安全能力的考验来看，这就是一次准网络战级别的攻击，对所有国家网络战能力的一次实战化检验，因为它直接挑战了国家对网络攻击的防御及响应能力。”复旦大学网络空间治理研究中心主任沈逸对澎湃新闻表示。

不同于大多数学者及研究人员对此次事件黑客犯罪行为的定性，沈逸认为本次由“勒索”病毒引发的网络危机是一次国家框架下的网络安全事件，对中国的应对也构成直接挑战。

“这次事件发生后，不少公共服务机构、加油站随即纷纷中招。如果发生在战时，敌方对后勤系统及基础设施发动更为大型和专业化的网络攻击，其后果难以想象。”沈逸进一步说。

在美国著名智库兰德公司早在2015年9月发表的名为《美中军事记分卡：武力、地理和力量平衡的变迁》的报告中，就曾明确指出，美军如果对中国发起网络进攻，首选目标很可能就是军民共用的关键基础设施（如交通运输、导航、医疗、电力等相关领域的基础设施，和平时期为民用，战争时期可为军队提供保障）。

安天实验室的主要创始人兼首席技术架构师肖新光对澎湃新闻表示，这次事件的严重后果源自美国国家安全局（NSA）的网络武器失窃，这些网络武器用于攻击时的穿透性很强，在非战争条件下，网络武器通常是在情报作业中高度定向、谨慎使用的。

“但一旦网络武器流失到第三方，被大规模使用，就会造成大面积安全灾难。”肖新光说。

中国国际战略学会学术部主任虞爽认为，在过去，我们一些关键的基础设施与部门一直寄希望于内外网分离的方式，但目前看来这种想法已不符合网络攻防技术的发展潮流。“通过早前伊朗核设施遭遇‘震网’病毒的攻击一事也可以看出，物理隔离早已非万全之策。”她说。

不过，肖新光也强调，值得一提的是，在网络安全主管部门、行业机构和各安全企业的协力应对下，病毒在行业内网的传播扩散得到了快速遏制，度过了周一的“开机大考”。

网络领域应加强和民间融合

值得注意的是，在“勒索”病毒于5月12日爆发后，以安天、360等为代表的数家中国网络安全企业反应迅速，对于病毒特性、感染方式做出详细分析，并给互联网用户提供若干解决方案。

但是，尽管中国互联网公司近年来发展迅速，如腾讯、阿里巴巴等在市值上已可跻身世界前十，但在网络安全技术领域，中国企业在世界上排名仍然靠后。根据美国网络安全风险投资公司（Cybersecurity Ventures）发布的、获得业内普遍认可的全球安全企业创新500强榜单，在今年第一季度的排名上，一共只有5家中国大陆企业进入榜单，且均在前100名开外。其中，奇虎360位居第126位，其余还有瀚思、安天等。相比之下，美国有上百家企业进入榜单，且排名靠前。

据《北京晚报》16日报道，360企业安全集团总裁吴云坤15日在媒体通气会上表示，如果没有这次勒索病毒，大家仍会觉得网络安全问题离自己非常远。根据很多咨询机构的数据，中国政企机构安全投入占整个IT投入只有2%，而发达国家占到9%。所以，根本上还是要解决投入问题、意识问题和厂商的问题。

“目前，我国一些网络安全企业的生存状态并不是很乐观。一部分企业，从市场角度来说，它们能够获得的生存土壤是有限的，需要快速盈利的能力。但是，很多网络安全公司所做的事情是一个长线的问题，并不能获得短平快的收益，这种情况下国家就应该对网络安全企业的生态进行主动的塑造。”虞爽表示。

肖新光认为，我国当前网络安全产业最需要进行的是需求侧改革，即如何使我们的网络安全需求导向转为能有效应对威胁。从网络安全的属性来说，真正的高级威胁和深度威胁的一个特点是具有极大的定向性和隐蔽性，是一种客户不易看到的威胁。如果我们整个社会的认知与安全建设导向是以“眼不见为净”为标准，即看不见的威胁就不是威胁，只有产生社会影响的威胁才会收到重视，那将是极其危险的。“因为对手窃取我们相关的技术成果和情报之后，它是不会公开说出来的。”

虞爽也认为，应该从国家层面做一个规划和扶持。“以美国为例，它有专门的风投公司‘In-Q-Tel’（IQT）代表国家对初创的网络安全公司进行注资和扶持，例如现在闻名世界的火眼（Fire Eyes）及谷歌地球的前身Keyhole，其发展都离不开国家的扶持。”

此前，虞爽曾在《世界知识》撰文指出，网络安全博弈的根本在于技术，而技术发展与提升源自互联网产业。支撑美国在互联网技术上绝对优势地位的，既不是美国国防部，也不是白宫，而是像“八大金刚”（思科、IBM、谷歌、高通、英特尔、苹果、甲骨文、微软）、赛门铁克、火眼这样的互联网技术公司。

“中国的网络安全公司要想取得突破，必须让敢于并能够在危机出现时顶上去、抗住威胁压力的企业和机构获得支援，取得良好的生存环境。”沈逸表示，“美国网络技术的真正优势在于其整体生态，使需要得到支持的公司与机构能够得到支援。”

此外，虞爽还认为，“网络安全具有非常强的特殊性，传统武器的高精尖技术人才一般都在体制内；但在网络方面，掌握先进的网络攻防技术、乃至系统漏洞的人才，相当一部分都在民间。这反映了我国网络领域的官民两股力量之间需要携起手来，做到融合发展。”

建立网络空间防扩散机制的契机

但是，维护国家网络安全，除了需要在国内建立良好的网络安全产业整体生态，还需要有效的国际合作。有趣的是，“勒索”病毒肆虐全球后，尽管诸多专业机构及分析人士均把工具的源头指向美国国安局，但是美国却矢口否认。

美国国家安全顾问汤姆·波塞特15日对外表示，勒索赎金的代码不是由美国国安局的工具开发出来的。但是，他却回避了“勒索”病毒与国安局此前开发的网络间谍工具之间的关系。到16日，又传出“勒索”病毒可能与朝鲜有关的消息。

“对比美国政府在之前网络安全议题上高调的姿态，美国政府此次可以说是非常地低调。”沈逸说，“这说明，美国政府心虚了。”

事实上，对美国政府的指责还包括美国本土的互联网公司。微软总裁以及首席律师史密斯14日坦承微软公司负有第一责任去解决这些问题，但同时指责美国政府存在过失，认为政府在发现系统漏洞后应告知微软公司，而不是储备、售卖或者利用它们。

但是，美国《外交政策》网站15日刊文认为，微软的要求无疑是让美国国安局单方面解除所有武装，而这是国安局绝对不可能做的——“就像即便‘战斧’巡航导弹落入敌手，美国也不会放弃使用‘战斧’一样。国安局也不会因为一种网络武器的遗失而就此放弃。”

“美国政府在此次病毒事件中当然有应被指责之处，但是有效的指责并不应源自康德式的理想主义的出发点。”沈逸强调，“网络武器的研发是普遍存在的事实，道德主义的口号无助于解决网络军控的现实问题。美国政府在网络空间武器出现扩散后应对不当，才是外界应当抓住的痛点。”

沈逸认为，在原有网络间谍武器丢失后，美国政府除了应将漏洞告知微软公司，还应尽到通知各国政府、机构及个体用户的义务，以防止网络武器扩散在全球造成不可估量的损失。但是，美国政府的失职，使之成为各方指责的焦点所在。

“这是推进全球网络空间防扩散机制的好机会。”沈逸表示，“这既是中国彰显在网络安全问题上的大国地位的良机，也反衬出中国从2015年开始向全球倡导的建设网络空间命运共同体的必要性、正当性以及迫切性。”

但是，“网络空间不同于物理空间，又与物理空间紧密相连，因此地缘政治、大国博弈等物理空间的问题也会映射到网络空间，使虚拟空间的全球治理更为复杂，也更难。”虞爽认为，“目前，中美欧等国及发展中国家围绕全球网络治理体系的讨论，还没发展到怎么治理的议题，而是卡在谁来治的问题上。但这个问题不解决，其余的问题也很难向下延伸。”