美国黑客之战(美国黑客联盟)

　　昨天的美国大选第二轮辩论，相信大家都有所耳闻，撕得那是一个风生水起，好生热闹！不过今年除了两位总统候选人备受关注之外，黑客攻击干扰大选的新闻也是屡屡见诸报端，引发了激烈的讨论。

　　美国大选流程

　　在谈黑客干预美国大选之前，我们先来了解下美国总统是怎么产生的。

　　1

　　预选 （时间：大选年的2-6月）

　　民主、共和两党分别选出本党总统候选人提名。

　　2

　　总统候选人提名大会 （时间：大选年的7-8月）

　　两党分别召开全国代表大会，选出本党的总统候选人，然后通过由总统候选人提名的副总统候选人，并制定正式的竞选纲领。

　　3

　　竞选运动 （时间：从全国代表大会结束时开始，到全国投票日）

　　总统候选人在全国展开各种活动拉票。

　　4

　　全国选举 （时间：大选年11月的第二个星期二）

　　选民到制定地点进行投票，在总统候选人之间作出选择，同时选出各州总统选举人

　　5

　　选举人团投票表决

　　总统选举人按该州选民投票结果投票，率先获得270张选举人票的候选人即当选美国总统。

　　选举人票：共538张

　　固定选票：每州2张（华盛顿3张）

　　剩余选票：共435张，按每州人口数分布

　　这个流程中的诸多环节，一旦电子化，就很容易被攻击。

　　黑客如何干预

　　说到攻击大选，大多数吃瓜群众会想象说，电子投票机被黑，本来要投给 A 的选票，投给了 B ，或者说投出的票不被计入。

　　但是，安全专家的结论却得出了这样的结论：虽然说投票机本身漏洞不少（已发现的有278个，而且没有一个已被指派CVE名称），但是它本身不构成问题。真正的攻击面是选民信息的处理方式。

　　攻击投票系统

　　我们先来分析一下攻击投票系统的可能性。

　　根据ballotpedia.org的统计，当下使用的绝大多数投票技术是基于纸投的，或者是电子竞投系统（DRE）但有纸质凭证备份。据统计，75%的选票由纸投产生，而且大部分电子投票机在投票时有纸质凭证记录；一旦发生投票舞弊，可追踪纸质凭证。

　　大约14%的选举人票将在摇摆州产生，这些摇摆州采用的部分投票机是只有DRE而没有纸质备份的——具体就是佛罗里达、弗吉尼亚和宾夕法尼亚。但是即便在这些地区，有些地方还是采用纸质选票进行投选，或者是采用DRE并有纸质票备份。完全采用DRE且没有纸质备份的有五个州——路易斯安娜、新泽西、南卡罗来纳、特拉华和佐治亚。

　　那么我们来看看剩下的电子投票系统。

　　FBI局长詹姆斯·科米（James Comey）认为美国的投票系统是很难、很难被入侵的，因为这个系统又“拙劣又分散”，并且没有联网，直接攻击基础设施的话，几乎不可能影响竞选结果。

　　“攻击者要篡改选票计数最大的障碍是，各州没有将电子投票系统标准化，而这些系统是五花八门的。”安全公司Rook Security的安全运营主管麦特·冈沃（Mat Gangwer）指出。但他同时表示，如果攻击者专门针对某个特定系统进行攻击，也会产生另一种威胁。为了成功影响国家选举结果，攻击者必须仔细挑选攻击的具体地点和内容。从宏观上看，黑客只需关注一些竞争比较激烈的州，这些州的结果可能影响最终获胜者。另外一个关键元素就是要聚焦那些没有纸质选票备份的地区，和即便产生摇摆也可信的人口稠密地区，而且这样的摇摆要足以影响到整个州的结果。预计的选民投票率高的话，也能给攻击行为打掩护。

　　那么只针对其中一个系统会发生什么情况呢？

　　上文提到的五个只用DRE没有纸质可追踪凭证的州，采用“选民准入卡”（voter access card），工作人员在每个选民进入投票站前向每个选民发放准入卡。这种卡虽然设计为每人只能使用一次，但是可供多个选民循环使用。这点就给了攻击者可乘之机。此前赛门铁克和云反击（CrowdStrike）的专家就已经确认，只需花费15美元，再加上中等程度的知识，就可以重置这个卡，进行多次投票。赛门铁克研究员布莱恩·瓦纳尔（Brian Varner）曾在拉斯维加斯黑帽子大会上展示，仅凭他一人就能在几分钟内重复投票400多次。攻击者不必离开投票站就可完成这种操作，而且监控投票人投票是违法的，这就给了攻击者更大的空间。

　　另外，机器老旧也使得这些设备很容易被攻破。布莱南司法中心研究人员克里斯托弗·法米格提（Christopher Famighetti）表示，目前40多个州使用的投票机机龄超过了10年。

　　话虽如此，完全没有纸质可追踪凭证的机投毕竟还是很有限的。在CSO Online的采访中，CloudPassage首席技术总监卡森·斯威特（Carson Sweet）就表示，有纸投备份的话，无论是篡改了投票机还是攻击了投票管理软件造成的电子计票异常，都能在抽查或者手动核实计票时被发现，而许多州都还在沿用这些做法。斯威特还认为，攻击几台机器是远远不够的，除非攻击者能够预见未来，知道哪个地方的500张选票最为关键。攻击者必须攻击足够多的机器才能确保胜利，要不然，有什么意义？

　　干扰竞选活动

　　阿卡迈的安全倡导者戴夫·刘易斯（Dave Lewis）表示：“要篡夺大选选举成果，不是小事，但并不是不可能。”他认为，要实现这个目的，就需要花费更多时间和精力收集目标信息。

　　攻击者会探查竞争对手的防御系统，寻找容易攻击的目标，比如安全防护不到位的系统。然后入侵系统，从对手处收集足够多的信息，比如竞选活动策略、选民名单跟邮箱等，从而应对竞争对手的政治举措。提前知悉对手的计划，对攻击者而言有益无害。而且，如果能够曝光对手团队的内部交流信息，可以令目标竞争对手名誉扫地。除此之外，攻击者还需要在社交网络上集中宣传，以扰乱民心。“我们已经见到类似的行为出现在美国本次的大选当中了，也在其他国家的选举活动中看到了，”刘易斯补充道。

　　这不禁让人联想到此前发生的邮件门系列事件（详情请见后文）。因为这个丑闻，当时希拉里的支持率一度被特朗普反超。

　　另外，民调数据也可被利用来破坏大选。“如果我是黑客，我就不会去攻击投票系统。我会等到民调数据收集完成后，去黑这些数据。大选将近，许多人关心民调数据；如果民调数据被操纵或者丢失，将导致竞选活动出现混乱，降低了最后选举结果的可信度，”Netskope产品管理副总裁阿莫尔·卡贝（Amol Kabe）表示。

　　不攻击机器，攻击人心

　　往年，黑客攻击大选都只是一个议题，但是今年不一样，因为攻击行为实实在在发生了，包括邮件门和选民注册数据库被窃等事件。

　　8月份，有人泄露了FBI的Amber TLP备忘录。备忘录中引述了多州信息共享及分析中心（MS-ISAC）给出的细节，称外国活动人士正使用普通扫描工具定位并攻击伊利诺伊州和亚利桑那州脆弱的选举系统。Salted Hash曾对这个备忘录进行了详细的报道，包括MS-ISAC和FBI公布的所有技术细节。

　　9月28日，FBI局长科米告诉众议院司法委员会：“毫无疑问，一些危险分子盯上了”选民注册系统。

　　科米表示：“已经有多种扫描活动发生，这些活动预示着潜在的入侵行为，除了7、8月份被入侵的选民注册数据库外，还有其他选民注册数据库可能遭到了入侵。我们正敦促各州，加强保护措施，并尽可能从国土安全部获取信息，保证系统是安全的。”

　　而在9月27日，美国国土安全部秘书杰·C·约翰逊（Jeh C. Johnson）告诉参议院国土安全及政府事务委员会，国土安全部已提议为国家和选举官员提供协助。

　　国土安全部提供的协助包括：对需联网系统远程进行网络安全扫描、现场风险漏洞测评、全天候对接应急响应中心、共享网络事件及最佳应对方法的相关信息、派驻网络安全顾问。

　　约翰逊表示：“目前已有18个州向我们申请协助。”而据媒体报道，目前已有20多个州的选民注册系统遭到攻击。

　　卡森·斯威特也认为比较有效的方式是攻击选民注册系统，攻击者可分离选民注册表中的物理签名，篡改选民社保号码后六位，也可将大量选民标记为“死亡”，或者直接删除选民信息，或者结合以上这些举措。如果大范围进行类似的操作，就会导致投票点一片混乱。而如果这些操作的量刚刚好、并且前后行动比较统一，就可能会归咎于管理不善、或者选民注册出错等等。“让对手的选民不能投票，我就可以在很大程度上影响投票和总的票数。”

　　黑客攻击干扰大选进程大事件（不完全统计）

　　1.2015年初，佐治亚州数百万选民数据，在意外情况下被发送给了一些机构，其中包括政党组织、新闻媒体以及一家持枪人士的杂志。据称，此次泄露和一个第三方的外包公司工作出现失误有关。

　　2.2015年12月，一数据库因配置不当，导致美国1.91亿选民信息泄露，包括姓名、家庭住址、投票ID、出生日期、电话号码。该数据库是在今年12月20日被一位名为Chris Vickery的白帽子发现，他自称能访问超过1.91亿美国公民的个人识别信息（PII）。

　　3.2015年12月，Salted Hash曝光，另一数据库也因配置不当，5600万选民数据泄露。

　　4.2016年3月，民主党总统竞选人希拉里被曝担任国务卿期间使用私人电子邮箱、非官方邮箱与他人通信。（邮件门）

　　5.2016年7月，维基揭秘网站公开了美国民主党高层内部绝密的19252封邮件与29段音频文件，显示希拉里涉及勾结民主党高层内定党内候选人，并参与了“洗钱”和操控媒体等多项丑闻。（邮件门2.0）

　　6.2016年7月，亚利桑那州和伊利诺伊州选民注册系统遭攻击，20万选民数据被窃取。

　　接下来，我们重点回顾给希拉里造成重创的事件——邮件门2.0。

　　邮件门2.0

　　https://www.bilibili.com/video/av5980624/

　　2016年6月17日，维基解密泄露出几千封美国民主党委员会（DNC）被盗邮件。直至7月29日，维基解密共泄露20000多封被盗邮件和29段录音材料。

　　2016年6月，维基解密首次公布了美国民主党委员会的机密文件，包括反对共和党总统候选人唐纳德·特朗普的研究报告，其中不乏“特朗普的政治没有核心”、“他只是一个邪恶的商人”等言论。其实这些言论也不是凭空捏造出来的，特朗普在成为共和党总统候选人的道路上常夸大其词，给对手起一些绰号，类似“低能量杰布”、“小马可”，贬低对方。

　　7月22日，维基解密再次公开了DNC高级职员往来的19252封电子邮件及8034份附件，美国上下一片哗然，不少选民将手中的选票投向特朗普。维基解密公布这些邮件的理由并不难理解，其创始人阿桑奇曾在希拉里在任美国国务卿期间被持续追杀。阿桑奇对于希拉里也是积怨已久。

　　泄密事件发生两天后一直处于劣势的特朗普首次民调支持率超过希拉里克林顿，双方支持率44%对39%。有专家预测，如果此时进行投票，特朗普将以15个百分点碾压希拉里，成为下任美国总统。

　　美国媒体纷纷对此事进行报道：

　　华盛顿邮报透露，“俄罗斯政府黑客”侵入了民主党全国委员会的计算机网络。

　　纽约时报：间谍组织发现俄罗斯与DNC被黑事件关联密切，特朗普本人多次向俄罗斯示好

　　怎么话锋一转，就把锅都甩给远方的俄罗斯了呢？

　　矛头纷纷指向俄罗斯

　　抛开政治因素，我们来分析一下为何媒体和众多安全公司把锅甩给了俄罗斯。

　　最早要追溯到今年4月9日的“邮件门1.0”事件，网络组织Anonymous在YouTube上传了一个视频，警告希拉里：“不要忘记你的所作所为，我们都知道你做了什么。”

　　此时的DNC预感到了他们的网络出现异常。为此DNC在5月份聘请了CrowdStrike网络安全公司，CrowdStrike安全人员很快就在在DNC网络上发现了两个“敌人”——“APT28”和“APT29”（APT是指高级持续性威胁攻击，是一种蓄谋已久的“恶意商业间谍威胁”）。这两个组织都被怀疑是俄罗斯的精干情报机构，其中APT29早在2015年8月就已经附着在DNC网络上。但并没有确凿证据证明这两个组织有合作关系。

　　6月15日，一个名为Guccifer2.0的推特帐户，发出一条标题为“一名黑客已独自攻下DNC服务器”的推特。该推特的内容大抵是：我已经将盗取的DNC邮件发送给维基解密，顺便嘲讽CrowdStrike的业务能力（FUCK！CrowdStrike）。

　　两天后事件爆发，各方开始怀疑是俄罗斯在背后策划了这次网络攻击

　　网络安全公司Fidelis首席安全官，贾斯汀·哈维说：

　　俄罗斯半个多世纪以来一直试图解散北约。而特朗普曾表态如果他成为美国总统，美国将会退出北约。俄罗斯方面可能就借此机会削弱克林顿的竞选外交政策的观点，来影响大选结果。

　　一个民族国家如果越过这条界线——试图影响美国总统大选的结果，那么网络安全将上升到一个全新的领域。

　　没错，特朗普在他的竞选之路上逐渐表现出要与俄罗斯更加友好的态度，外界就因此怀疑俄罗斯方面想要推特朗普上台而做出不利于希拉里竞选的举动。

　　两家相互竞争的网络安全公司，美国麦迪安网络安全公司（FireEye的子公司）和Fidelis，都证实了CrowdStrike的初步调查结果，确实是俄罗斯的黑客组织黑掉了DNC。

　　另一位NSA通缉犯——躲在俄罗斯的斯诺登表示：

　　如果确实是俄罗斯黑了DNC，那么他们应该受到谴责。但是FBI应该拿出确凿的证据。

　　但是这些线索都不足以断定俄罗斯是策划了本此攻击的始作俑者。

　　一些更“硬”的证据

　　上面提到的这些“证据”很大程度上不过是媒体臆测。而到了6月20日，美国专家拿出了确凿证据：这次攻击中用到的工具、方法、基础设施，甚至加密密钥，在以前的攻击中就能找到几乎一致的例子。所有这些证据都表明参与本此网络攻击的黑客组织就是来自俄罗斯的APT28。

　　其中最“硬”的证据莫过于两处相同的特殊恶意代码（稀有程度相当于人类指纹）。研究人员在DNC服务器中发现一条很特殊的恶意代码，该代码曾在德国联邦议院被黑事件中出现过，而俄罗斯国防部军事情报局当时也承认了，针对德国联邦议院的网络攻击就是俄方发起的。

　　但是随后，Guccifer2.0却发表推特认为本次事件与俄罗斯无关，并表示他是为自由而战。

　　我不喜欢俄罗斯人和他们那套外交政策，我也很讨厌你们把我划到他们那群人中。

　　他向媒体介绍，他是来自罗马尼亚的，和第一个GUCCIFER一样。GUCCIFER2.0介绍，他是去年9月通过利用 NGP VAN的未知漏洞成功入侵了民主党委员会的（NGP VAN是民主党委员会的一家软件供应商）。但是并没有证据表明他是途径NGP VAN进行攻击的。

　　我在几台电脑上都安装了木马，每周我都要从一台电脑到另一台电脑来来回回跑几趟。所以CrowdStrike他们很长时间都抓不到我。我知道他们的入侵检测系统非常好，但是我的启发式算法更胜一筹啊。

　　Guccifer2.0为了证明他的说法，公布了一些被送到维基解密出版的被盗DNC文件。但安全专家仍对此表示怀疑，甚至有些人认为Guccifer2.0是普京大帝派来歪曲宣传，替俄罗斯转移责任的民间发言人。

　　民主党的一位高级官员在邮件中发表声明：

　　我们的专家对自己的评估有十足的信息，俄罗斯政府的黑客是在演戏。我们相信，随后发布的一些东西和说法很可能是俄罗斯人在造谣！

　　最新回应

　　上周五（10月7日），美国政府正式指控俄罗斯黑客攻击干扰美国大选。美国国土安全部和负责选举安全的国家情报总监在联合声明中表示，现已“确定俄罗斯政府主导了最近美国人民、机构乃至美国政治组织遭到的邮件入侵事件。”

　　美国当局表示：“这些偷窃和泄露行为旨在干扰美国选举过程，俄罗斯政府对此类活动并不陌生。我们认为，基于这些行动的范围和敏感性，只有俄罗斯的最高级官员能够授权这些活动。”

　　美国当局还称可能采取包括经济制裁等措施，对该攻击行为进行回应。

　　议员提请立法

　　上周五，一名共和党议员声称，将提请立法，以推动实行这些制裁措施。科罗拉多州美国参议院议员科里·加德纳（Cory Gardner）称，他已计划提请立法，该法案将要求美国政府严查俄罗斯网络罪犯，并适时予以制裁。加德纳在一个声明中表示，“俄罗斯干预美国民主，直接威胁了我们的政治进程。”

　　在加德纳表态之前，美国多个情报机构就已将矛头指向俄罗斯，指责俄罗斯此前的攻击行为，攻击导致美国官员及机构的敏感邮件发生泄露。这些情报机构称，这些攻击是由俄罗斯发起的，企图干涉今年的美国总统选举。

　　去年年初，美国针对索尼影业黑客入侵事件制裁朝鲜，对10个朝鲜公民及3个机构进行制裁，禁止他们通过美国金融系统获得资金。而加德纳的提案可能与该制裁方法类似。

　　可能的制裁措施

　　美国政府并未表示将对俄罗斯采取行动。但是今年7月，白宫曾表示制裁可能是其中一种回应措施。当时，白宫新闻发言人埃里克·舒尔茨（Eric Schultz）说道：“政府有多种选择，包括由财政部发起经济制裁。”舒尔茨同时表示美国国防部及司法部也可能采取行动。

　　雷声大雨点小？

　　但是，A10 Networks网络运营总监蔡斯·卡宁汉姆（Chase Cunningham）并不认为美国将采取具体的回应措施。虽然美国情报机构公开指责俄罗斯黑客攻击美国大选，但是该声明是在星期五下午较晚的时间发出，那会儿大家都想着怎么过周末，可能都不会去注意。卡宁汉姆认为，选在这个时间点发声明，表示美国淡化这一指控。卡宁汉姆表示：“选举正在进行，总统又即将离任。不会发生什么事情的。人们会谴责，但是不会真正作出什么改变。”

　　然而，美国对俄罗斯网络攻击进行指责是很罕见的。周五的声明来自美国情报体系（U.S Intelligence Community），该机构由美国政府辖下的16个情报机构组成，包括CIA和FBI。

　　“当许多机构都对某个事情取得一致意见时，这个事情肯定是被彻查了的，”卡宁汉姆表示。与此同时，卡宁汉姆预计未来几周，还迎来更多针对选举的攻击行为。多个美国情报机构声称，俄罗斯政府利用维基解密等网站，泄露美国官员及政治团体的敏感文件。周五当天，维基解密公布了一些邮件，据称这些邮件是从希拉里的助手那里盗取的。

　　俄罗斯政府继续否认参与上述黑客行动。

　　来源/https://www.freebuf.com/articles/others-articles/110144.html

　　“炼石杯”网络空间安全技能大赛

以赛促学、以技会友

更有诸多大奖等你拿

详情咨询QQ群：478091920