揭秘勒索病毒背后黑客组织：偷了NSA网络武器库，多次卖病毒

　　

　　黑客中的“军火贩子”

　　在声称盗取了“方程式组织”的攻击武器之后，影子经纪人开始在网上拍卖这些文件。

　　影子经纪人表示，如果他们收到超过100万比特币，他们就会释放他们已经拥有的更多的黑客工具。但那次拍卖最终只获得了价值25美元的比特币。

　　2016年10月，影子经纪人停止了销售，并开通了类似众筹的活动。他们表示，如果最终他们完成10000比特币的众筹目标，就将提供给参与众筹的人每人一份黑客工具。当两个月后，该组织的众筹尝试再次宣告失败。

　　但影子经纪人并没有因此放弃利用这批文件赚钱的努力。他们之后开始在ZeroBin上小批量地销售黑客工具。2017年1月，该组织以750比特币的价格出售一批能够绕过杀毒软件的Windows黑客工具。

　　有媒体评价称，“影子经纪人”好像黑客中的军火商。他们时常会贩卖高级的攻击武器，有时也贩卖重要的世界军政信息。他们喜欢在竞争对手之间贩卖武器，客户在发现对手的攻击能力和本人一样后，很自然就会成为“影子经纪人”的回头客，以求购更新的“武器”配备。

　　今年4月8日，影子经纪人在medium.com博客网站上发表博文，其中公开了曾经多次拍卖失败的方程式组织Equation Group(为NSA提供服务专门对国外进行间谍活动的组织的黑客工具包——EQGRP-Auction-Files。现在任何人都可以去解密这个文件，获取其中的一些有价值的东西。

　　通过网友的解密，该工具包中包括：rpc.cmsd——针对Solaris-基于Unix的操作系统的远程0day漏洞；TOAST框架——国家安全局的TAO团队用来清除的Unix wtmp文件的事件日志；ElectricSlide工具——模拟中文浏览器的工具；NSA访问涉及巴基斯坦移动运营商Mobilink的GSM网络的证据等等。

　　泄密美国国安局资料

　　继2016年的拍卖失败以后，影子经纪人最重要的发布发生在今年4月中旬，该组织声称获得了NSA黑客工具的详细信息，据说美国政府正是利用这些工具入侵国际银行系统，侦查各国间资金流向，监控中东和拉美国家银行间的资金往来。

　　影子经纪人从“方程式组织”获取的这份300M的泄密文档显示，其中的黑客工具主要针对微软的Windows系统和装载环球银行间金融通信协会（SWIFT）系统的银行。这些恶意攻击工具中，包括恶意软件、私有的攻击框架及其他攻击工具。根据已知资料，其中至少有设计微软23个系统漏洞的12种攻击工具，而这次造成勒索病毒的永恒之蓝，不过12种的其中之一。

　　不过，随后SWIFT否认了曾被黑客攻入。

　　按照英国广播公司的说法，如果4月曝光的资料和工具被确认来自NSA，这将是“棱镜”事件后，NSA遭遇的最严重“爆料”。

　　《连线》在报道中称，连前美国国家安全局工作人员爱德华·斯诺登也认为，影子经纪人盗取了NSA的“武器库”似乎是真的。因为由该组织提供的恶意软件中，包含了与NSA在内部文件中使用的相同的16个字符的识别码。

　　谁是影子经纪人？

　　尽管在互联网上兴风作浪，但至今没有人知道影子经纪人究竟是谁。

　　此前，斯诺登曾发表了一系列推特分析，NSA恶意软件的分段式服务器攻击并非前所未有，他认为，从间接证据来看影子，经纪人与俄罗斯当局有关。不过，路透社在评论文章中称，如果俄罗斯是影子经纪人背后的力量，那么俄罗斯就不会公布数据被盗的情况。

　　美国知名作家兼记者詹姆斯·班福德（James Bamford）则分析指出，影子经纪人有可能来自美国安全部门的内部人士。在斯诺登2013年公布NSA的相关文件中，出现了与影子经纪人泄露内容相同的代码——名为SecondDate-3021.exe的恶意软件中的一串数字，同时出现在斯诺登和影子经纪人发布的文件中。

　　一份言语学分析报告显示，“影子经纪人”在运用英语时有明显错误，显然是为了迷惑别人，让人误以为这一黑客组织成员并非以英语为母语。英俄双语翻译阿列克谢·科瓦列夫也赞同这种观点：“有太多破绽暴露了作者的母语是英语。”

　　更多精彩文章：

　　回复 　　获得以下图文等信息 论坛 　　可进入微论坛畅谈 任意 　　官方机器人陪聊 首页 　　查看技术文档（逐步更新中） 留言 　　进入留言板 相册 　　国内外大牛真容