一、FireEye紅隊工具被竊事件概述
2020年12月8日，火眼公司（FireEye）在其官方網站發布公告稱[1]，“高度復雜的威脅行動者”攻擊了其內網并竊取了用于測試客戶網絡的紅隊（Red Team）工具。紅隊機制是一組經過組織和授權的安全專家，模仿潛在的攻擊者并使用工具對企業進行攻擊，以評估企業的檢測和響應能力以及系統的安全狀況。FireEye以高級網絡威脅防護服務為自身定位的美國企業，為其客戶提供紅隊工具，實現可以模擬多個威脅行為體活動以進行安全測試評估。
FireEye表示，此次事件是由具有一流攻擊能力的國家發動的攻擊。攻擊者專門制定了針對FireEye的攻擊手段，使用了一些之前從未見過的新技巧。攻擊者在戰術方面受過高度訓練，執行時紀律嚴明且專注，并使用對抗安全工具和取證檢查的方法執行隱蔽的攻擊行動。被竊取的紅隊工具的范圍從用于自動化偵察的簡單腳本到類似于CobaltStrike和Metasploit等公開可用技術的整個框架。FireEye聲稱泄漏工具不包含0day漏洞利用工具，被盜取的部分紅隊工具此前已發布給社區，或已經在其開源虛擬機測試套件CommandoVM中[2]。
圖1-1 CommandoVM的構建（引自Freebuf）
FireEye聲稱，目前正在與聯邦調查局和包括微軟在內的其他主要合作伙伴積極展開調查，且尚未看到任何攻擊者泄露或使用這些被盜取的紅隊工具。但為了防止潛在攻擊者利用被竊取的紅隊工具進行網絡攻擊，已針對Snort、Yara、ClamAV和OpenIOC等公開可用技術在GitHub上發布了300多種對策，并發布了需要更新補丁的CVE列表[3]。公布的紅隊工具檢測規則中分為60個大類，304個小類。從檢測規則的名稱上看，對應的紅隊工具除1個macOS系統后門工具和2個Linux木馬外均應用于Windows系統。規則文件主要采用了Snort、Yara、ClamAV和OpenIOC四種開源安全檢測框架規則編寫，其中包括29個Snort規則文件、164個Yara規則文件、23個ClamAV規則文件、88個OpenIOC規則文件[4]。
二、從威脅框架視角對失竊工具的能力評估
FireEye公司被竊的相關工具根據名稱主要分為APT工具、后門、黑客工具、DLL劫持工具等，既有腳本和二進制工具，也有相關利用框架。
盡管FireEye這些工具不涉及0day漏洞，但基于FireEye高水平的紅隊能力，在面對脆弱的單點系統和難以全面有效修復的漏洞的系統時，其依然是可以高效利用的。
安天CERT梳理本次被竊密工具對應的ATT&CK能力映射圖譜，可以看出本批工具可以實現的戰術動作覆蓋了ATT&CK威脅框架12個戰術階段中的11個，可以實現46個戰術動作，在目標未打全對應補丁的情況下，有較強的目標殺傷力：
圖2-1 工具對應的ATT&CK映射圖譜
三、網絡軍火擴散和泄露影響歷史事件的回顧
FireEye紅隊工具被竊是一起典型的武器級惡意代碼和漏洞利用工具失竊事件。安天較早關注了網絡軍火的擴散和泄露問題，并進行了持續的跟蹤研究。2015年5月27日安天發布APT分析報告《一例針對中國政府機構的準APT攻擊中所使用的樣本分析》[5]（點擊查看），即針對某國攻擊組織使用Cobalt Strike對我有關部委進行攻擊進行了分析曝光。并在報告中指出“我們需要提醒各方關注的是，鑒于網絡攻擊技術所存在的極低的復制成本的特點，當前已經存在嚴峻的網絡軍備擴散風險?！?/p>
近些年來，網絡軍火泄露時有發生，以下列舉近幾年來較為典型的事件：
Hacking Team攻擊工具源代碼泄露
2015年7月，安全公司HackingTeam數據被竊，多達400G數據被公之于眾，包括Hacking Team RCS遠程控制系統套件等各類程序源碼、郵件、漏洞研究報告以及商務信息等。Hacking Team在意大利米蘭注冊了一家軟件公司，主要向各國政府及法律機構銷售入侵及監視功能的軟件。其RCS遠程控制系統可以監測互聯網用戶的通訊、解密用戶的加密文件及電子郵件，記錄Skype及其他VoIP通信，也可以遠程激活用戶的麥克風及攝像頭。安天CERT負責人李柏松在2015年ISC峰會上，做了《網絡安全威脅中的商業軍火》對此事件進行了分享。
圖3-1 被泄露的商業木馬RCS的部分功能和所支持的平臺
影子經紀人泄露方程式組織的攻擊工具
2016年8月，一個自稱“影子經紀人”（The Shadow Brokers）的個人（或組織）聲稱入侵了網絡間諜組織“方程式”（Equation）[6]，并以100萬比特幣（當時約價值5.6億美元）的價格，公開拍賣所掌握的方程式組織的攻擊工具?！胺匠淌浇M織”被認為是美國國家安全局NSA下屬機構。為證明成功入侵的真實性，影子經紀人于當月13日在開源項目托管平臺GitHub加密發布了這些攻擊工具，并有意將其中的少量攻擊工具以明文形式發布。
圖3-2 影子經紀人第一次泄露列表
影子經紀人泄露——“永恒之藍”（Eternalblue）等系列0day漏洞攻擊工具
2017年4月14日，影子經紀人（Shadow Brokers）再次曝光了Equation Group（方程式組織）使用的一批“武器級”漏洞利用工具，這批工具覆蓋了Windows主流操作系統的全部版本，涉及多個開放服務端口，如下圖所示進行分析梳理。而在2017年5月12日，在全球爆發的大規?！癢annaCry”（中文名稱魔窟）勒索軟件感染事件[7]正是利用這批“網絡軍火”中基于445端口傳播擴散的SMB漏洞——MS17-010，其被稱為“永恒之藍”（Eternalblue）漏洞。WannaCry事件對全球包括企業、醫療、電力、能源、銀行、交通等多個行業均造成不同程度的影響。安天CERT在2017年4月7日發布的《2016年網絡安全威脅的回顧與展望》[8]中提到“網絡軍火”的擴散全面降低攻擊者的攻擊成本和勒索模式帶動的蠕蟲的回潮不可避免等趨勢，這一判斷被一個月后流行的魔窟蠕蟲所不幸證實。
圖3-3 2017年泄露的NSA網絡軍火裝備與相關漏洞、系統版本關系圖
APT34的黑客工具泄露
2019年3月，一個自稱“Lab Dookhtegan”的個人（或組織）在社交軟件telegram上泄露了APT34的黑客工具。其中包括PoisonFrog（遠控工具）、Webmask（DNS隧道工具）、HyperShell和HighShell（WebShell），同時公布了一些APT34組織成員的照片。
圖3-4 APT34相關被竊工具
紅隊工具被逆向重新編譯的源代碼公開泄露
2020年10月31日，在GitHub 上有用戶上傳了名為Cobalt Strike的文件夾，是滲透測試工具Cobalt Strike 4.0通過逆向重新編譯的源代碼。
圖3-5 CobaltStrike GitHub庫
除了Cobalt Strike4.0的源代碼之外，該用戶還上傳了“冰蝎”動態二進制加密網站管理客戶端和“哥斯拉”Shell管理工具的源代碼。
圖3-6 冰蝎 GitHub庫
圖3-7 哥斯拉 GitHub庫
四、安天的事件響應和對抗特點
安天在第一時間啟動了應急分析和響應，并依托FireEye所公布的線索在安天賽博超腦分析平臺中進行了關聯數據提取，結合FireEye公布的相關信息，針對安天產品客戶發布了對應本次事件的“高級威脅追溯包”。
小貼士：高級威脅追溯包是安天針對安天智甲終端防御系統、探海威脅檢測系統、追影威脅分析系統等產品提供的一項可訂閱增值服務。安天對監測到的APT攻擊活動，有針對性的輸出增強型的規則、情報信標和關聯信息，通過一個安天自定義的復合文件格式發布。以充分發揮安天引擎和產品能力，利用多分支冗余檢測機制，有效對抗相關工具的變換。同時針對一些通用工具被某個組織加工利用后形成的特殊版本，實現特定的組織和行動標簽輸出，在反病毒引擎的告警名稱外，提供更為豐富的信息。
從安天長期跟蹤相關事件所獲得的經驗來看，軍火級網絡工具公開后再被利用時，通常會經過了免殺改造或社工構造，因此以流失武器的HASH值作為威脅情報信標，其效果通常是極為有限的，甚至是完全無效的。而從本事件來看，盡管FireEye除Hash外，也提供了Snort、Yara、ClamAV和OpenIOC相關規則，但依托開源工具進行規則匹配，其在規?；蛻魣鼍跋碌牟渴鸪杀竞褪褂么鷥r都是較高的，對使用者也有較高要求。
安天AVL SDK反病毒引擎是目前國內唯一的全平臺、全規則惡意代碼檢測引擎。安天認為，反病毒引擎是最高效精準的威脅情報驅動器。其將威脅情報的價值，從“痛苦金字塔”的HASH等簡單機讀信標規則，提升到有較高抗變換能力的層面，實現更強的武器/工具（Tools）的定性和指向能力。安天為戰略客戶開放反病毒引擎的多種規則擴展接口，使之可以轉化Yara等多種開源格式規則，以及進行二進制級別的規則擴展，從而有效地發揮安天反病毒引擎在脫殼、解包、虛擬執行等深度預處理能力。同時采用黑白雙控模式實現孤立可疑對象，可以全面提升惡意代碼免殺的構造難度。
目前，安天全線產品包含安天智甲終端防御系統（IEP）、安天探海威脅檢測系統（PTD）、安天追影威脅分析系統（PTA）均能有效檢出相關流失軍火。安天威脅情報客戶，亦可以通過安天威脅情報綜合分析平臺（ATID）查詢相關工具的關聯信息。
圖4-1 安天智甲終端防御系統（IEP）的檢測效果實測
圖4-2 安天探海威脅檢測系統（PTD）的檢測效果實測
五、對事件引發的思考
FBI等美方機構將對事件的懷疑引向了俄羅斯相關機構，但目前并未流傳出可以進行事件歸因溯源的其他信息，火眼本身在遏制工具泄露可能產生的關聯影響方面是積極的，但對于事件過程則是諱莫如深的。因此以一次攻擊行動來評價，很容易產生在這些攻擊工具并包含所謂高價值的0day利用工具，而認為這是一場效費比較低的攻擊行動。一種可能是，這些攻擊工具并非攻擊者本身的目標，相對于類似敏感客戶資料、產品源碼等核心資料，在安全服務中所使用的工具，可能是被較多內部人員有權限獲取的資源。但獲得相關資源，本身或者已經到達了攻擊方此次所能到達的能力極限，或者其殺傷鏈至此被火眼發現阻斷，使相關“戰果”也成為了攻擊終點。另外一種可能則是，這是攻擊方近乎陽謀的戰略威懾。即選擇美方在對抗高級威脅的支點型廠商作為打擊對象，但又規避了更敏感的，易于引發沖突的政治和軍事目標，旨在以有限的能力宣誓的方式達成威懾。
而從防御者的角度，仍要深入關注事件可能產生的次生影響。惡意代碼、漏洞利用工具和攻擊平臺，包括這些工具的源代碼，并不是這個時代的稀缺品。攻擊者或攻擊組織長期以來可在網絡中搜索下載、或購買到大量成熟的攻擊工具和源碼，可以很容易修改、加工、定制代碼，以繞過安全產品的檢測。但軍火級攻擊裝備的擴散和失竊，仍是需要高度關注的突發事件，因其可造成網絡安全迅速發生攻防失衡。高能力的攻擊者一般利用0day漏洞利用工具和高級惡意代碼定向攻擊高價值的目標，但網絡軍火或紅隊工具擴散后，工具利用有可能被迅速泛化，被用于展開大范圍的撒網攻擊嘗試，如擴展僵尸網絡或通過勒索軟件、挖礦木馬等方式進行大面積的價值收割。這種失控的泄露將降低了攻擊成本，專屬定向攻擊能力快速轉化為普遍性的攻擊能力，造成大面積的安全事件。同時，也存在另一種風險可能，即定向性攻擊武器，可能被其他第三方獲得后，投放到第四方，實現干擾分析獵殺的視線，導致戰略誤判。從早期的黑天鵝事件，到后期開始破窗效應化，使用戶必須加強對此類事件的關注，并以此檢驗產品和服務提供方的安全能力。相關事件，并不單純導致工具的泛化利用，例如斯諾登事件中ANT裝備體系的曝光，和維基解密對CIA相關攻擊裝備的曝光，盡管沒有到達代碼和核心技術原理，但全面提高了各類威脅行為體的作業想象力。
與此同時，知名安全廠商遭遇入侵，已經接連發生。從歷史上看，此前已經發生了包括著名白名單防御廠商Bit9遭遇入侵，且簽名私鑰被竊取事件；疑似來自以色列的情報機構利用Duqu 2.0高級惡意代碼入侵卡巴斯基事件；傳聞Symantec、McAfee和趨勢公司被黑客組織Fxmsp入侵事件等。安全廠商既是客戶的賦能者，本身也是高價值目標，自我安全防范形勢日趨嚴峻，值得高度警惕。
FireEye在支撐美國政府全球霸權輸出中扮演的角色并不為我們認同，其對中國不遺余力的抹黑更令人感到反感。但從技術對抗的角度看，其在受到入侵后，坦誠公開和快速響應的態度，以及在這一響應過程中所展示出的能力底蘊，則亦值得尊重和學習。而通過生態聯動，其細粒度封堵止損，壓縮攻擊者活動空間的模式，也值得我國在網絡安全治理時借鑒參考。
六、附錄—需要更新補丁的CVE及其補丁列表
從目前獲悉的事件情況及FireEye公司所公布的防護規則來判斷，此次事件目前所涉及的漏洞清單以及對應的補丁鏈接如下：
