概述：2023年12月12日凌晨，乌克兰最大电信运营商Kyivstar遭网络攻击，约2400万移动用户瞬间失联，九成以上IT基础设施被远程擦除——这不是一次数据窃取，而是运营商网络史上首次“整网IT层被物理级抹掉”的破坏型攻击。乌克兰安全局（SBU）事后将攻击者锁定为俄军总参情报总局（GRU）下属的Sandworm部队。本文以运维一线视角，完整还原这条“潜伏7个月→夺取虚拟化管理权→同时擦除主机与备份→借对手网络复活”的攻击链与重建史，并给出可直接落地的七条防御清单。核心问题只有一个：当核心网已经云化，运营商最深的护城河为什么一夜之间变成了最大的爆破面？
干了十几年核心网，我们这行对“重大故障”的定义，无非几类：割接失败回滚、单平面宕机、信令风暴、光缆中断。最坏的情况，也预设了一个前提——设备还在，数据还在，无非是“不干活”。双机热备、异地容灾、离线备份，防的都是“设备不干活”。
2023年12月12日的Kyivstar事件，把这个前提砸碎了。
那一天早晨，乌克兰用户醒来发现：Kyivstar手机没信号，打不通，也接不到；短信发不出去；家庭宽带中断。这不是拥塞，不是宕机——是网元连同宿主机、虚拟机、配置、用户数据、备份，一起被远程擦除了。据Kyivstar CEO Oleksandr Komarov事后对媒体透露，公司超过九成的IT基础设施（据称约95%）被毁，数千台虚拟机被同时擦除。
在运营商的历史上，这是第一次有一个国家级运营商的“数字本体”被从管理面整层抹掉。断网、断话、断短信，2400万人在战时的国家里集体静默。
理解影响的量级，得先理解Kyivstar在乌克兰的位置。
最后一点，是理解这次攻击的技术关键：Kyivstar的核心网，很大程度上已经是“软件”了。传统电信核心网是专用硬件加封闭系统，攻击者即使进来也难以一步摧毁；而NFV之后，EPC、IMS、HSS、计费、网管，全都是跑在x86虚拟化平台上的工作负载。IT域与网络域的边界，在技术上已经消失。
边界消失，意味着攻击面合并。
据SBU事后公布（2024年3月正式归因）与美国CISA、NSA、FBI联合乌克兰监管机构在2024年12月发布的联合公告，这条攻击链的时间跨度令人窒息。
起点不是12月12日，而是2023年5月。
据SBU通报，攻击者早在2023年5月就通过一家供应链合作伙伴的被入侵账户/设备获得了初步立足点，随后在网络内部潜伏、横向移动长达7个月。期间Kyivstar没有发出有效告警。
攻击者的目标非常清晰，且步步为营：
据联合公告披露，攻击者还针对Linux宿主与虚拟化层部署了后门与擦除工具组合，实现持久化与最终破坏；其TTP特征（GRU背景、对能源与电信关键设施的打击偏好）与Sandworm（编号74455部队）历史行动（NotPetya、Industroyer、多次乌克兰电网攻击）高度一致。SBU于2024年3月正式公开归因。
| 时间 | 事件 | 关键影响 |
|---|---|---|
| 2023年5月 | 经供应链伙伴被入侵渠道获得初始立足点 | 内网潜伏开始，无有效告警 |
| 2023年5月–12月 | LOTL手法横向移动，窃取凭据、提权 | 逐步拿下域控与虚拟化管理平台权限 |
| 2023年12月上旬 | 破坏准备：定位备份、备妥擦除工具 | 备份体系被列入打击清单 |
| 2023年12月12日凌晨 | 同时擦除数千台虚拟机/宿主机/数据存储 | 约2400万用户断网断话，95%左右IT设施被毁 |
| 12月12日白天 | 启动与lifecell等竞争对手的紧急全国漫游 | 用户借对手网络恢复基本通信 |
| 12月13日 | 网内短信服务恢复 | 空袭警报通道部分修复 |
| 12月14–15日 | 家庭宽带、移动数据逐步恢复 | 银行POS、政务应用陆续可用 |
| 12月20日前后 | 移动语音、国际漫游等主体服务基本恢复 | 历时约8天的全量重建 |
| 2024年3月 | SBU正式归因Sandworm | 公布2023年5月起潜伏等关键细节 |
| 2024年12月 | 美乌多机构发布联合安全公告 | 公开TTP：LOTL、虚拟化层后门与擦除工具 |
| 2025年 | 乌方披露Sandworm两年来渗透至少11家乌克兰电信机构；Kyivstar于8月登陆纳斯达克（代码KYIV） | 事件进入行业史册 |
对运营商工程师来说，“全网静默”这个场景值得逐层拆解它到底砸中了什么：
1. 通信本体。 语音、短信、移动数据同时中断。注意：不是劣化，是中断。云化部署的EPC/IMS与IT系统在同一个虚拟化平台上，管理面失守后一起被擦——这在传统专用设备时代是不可想象的单点。
2. 战时生命线。 乌克兰的空袭警报相当程度上依赖运营商向用户推送短信/电话。Kyivstar的2400万用户在部分时段收不到警报。在一座城市头顶有导弹飞行的国家，这直接是人命关天的通信降级。
3. 金融与支付。 乌克兰的银行卡交易验证、POS收单高度依赖移动数据网络。当天Kyivstar用户刷卡、扫码大面积不可用，ATM与商户收单受波及。同日，Monobank、PrivatBank等多家银行自述遭遇网络攻击——金融与电信基础设施被同步打击，是典型的组合拳。
4. 经济账。 据VEON及外媒披露口径，恢复与安全加固的投入达数千万美元量级（未经官方精确证实）；更大的代价是战时国家通信信任的损伤——CEO Komarov公开道歉，并承认核心设施需要重建。
如果说攻击链展示了攻击者的工程能力，那么处置过程则展示了运营商自救的工程韧性。有三步值得所有同行写进应急预案。
事发当天，Kyivstar启动了与lifecell的紧急全国漫游，随后扩展至其他运营商网络。用户终端自动驻留到竞争对手的网上，先保证“能打通电话、能收到警报”，再谈恢复自家网络。
这是乌克兰电信史上头一遭。商业上是竞争者，灾难面前互为灾备——全国漫游（National Roaming）作为业务连续性工具的价值，被这次事件一笔写入行业教科书。
由于虚拟化层、配置与在线备份同归于尽，重建基本等于“把公司IT重装一遍”：新建虚拟化平台、逐个恢复网元镜像、重灌签约数据、重配网管与BSS。到12月13日恢复短信，14–15日恢复宽带与移动数据，12月20日前后主体服务基本恢复——约8天时间，从零拉起一张2400万用户的网。
这个速度的前提，是散落在体系外的部分离线数据副本与设备商侧的软件资产幸存。事后Kyivstar大幅推进关键数据与网元的异地、异权属备份（将部分关键资产交由境外云托管），本质上就是把“备份”从虚拟化平台的管理域里搬出去。
SBU与国家特殊通信与信息保护局（SSSCIP）联合调查，2024年3月归因Sandworm并公布关键细节；2024年12月，CISA/NSA/FBI与乌方联合发布安全公告，把TTP完整交给行业。Kyivstar随后按零信任思路重构了访问控制与特权账户管理。
timeline
title Kyivstar事件：从入侵到复活
2023-05 : 供应链伙伴被入侵 : 攻击者进入内网潜伏
2023-05~12 : 横向移动7个月 : 夺取域控与vCenter管理权 : 清除备份准备
12月12日 : 凌晨同时擦除数千台VM : 2400万用户断网 : 启动对lifecell紧急全国漫游
12月13日 : 网内短信恢复 : 空袭警报通道部分修复
12月14~15日 : 家庭宽带与移动数据恢复 : 支付场景陆续可用
12月20日前后 : 语音/国际漫游基本恢复 : 全量重建约8天
2024-03 : SBU正式归因Sandworm
2024-12 : 美乌联合公告披露完整TTP
2025-08 : Kyivstar登陆纳斯达克（KYIV）
事后复盘，根因远不止“有漏洞没打”。这个事件真正的教学价值在于三个层面。
虚拟化平台的管理平面（vCenter/OpenStack/云管）聚合了对所有网元与IT系统的完全控制权。传统机房里，物理接触一台设备需要人到现场；NFV之后，拿到管理面权限等于拿到了整个机房的总钥匙。攻击者7个月里只干一件事：从供应链边缘一路打到管理面管理员。
管理面的访问控制、堡垒化、行为审计，应该按“核心机房门禁”的等级来做，而不是按“一个Web系统”的等级。
这次最致命的细节是：备份与生产环境在同一个管理域里。攻击者拿下管理面后，顺手把备份一起擦了——这让8天的“极限重建”成为可能，否则可能是数周的瘫痪甚至数据永久丢失。
3-2-1备份原则（3份副本、2种介质、1份离线异地）在运营商语境下的落地，意味着：HLR/HSS签约数据、网元配置、镜像仓库，必须有攻击者权限域之外的副本——离线磁带、跨组织托管、跨云异地，并且定期做恢复演练。没有演练过的备份，等于没有备份。
LOTL手法刻意不留恶意文件，端点查杀天然失明。能发现它的只有行为侧信号：异常的凭据使用、非工作时段的管理面操作、横向的WinRM/RDP/SSH流量、供应链账户的异常会话。这要求运营商把ITDR（身份威胁检测）与东西向流量分析纳入网管监控体系——而绝大多数网络运维部门的告警视图里，至今只有网元KPI，没有“某个服务账号凌晨三点登录了vCenter”。
flowchart TD
A[供应链伙伴被入侵<br/>初始访问] -->|供应商账户最小权限<br/>第三方接入审计| B[内网潜伏<br/>LOTL手法]
B -->|凭据使用行为分析<br/>ITDR检测| C[窃取凭据·提权]
C -->|特权账户管理PAM<br/>管理面MFA| D[夺取vCenter/域控]
D -->|管理面操作审计<br/>异常时段告警| E[定位并清除备份]
E -->|离线异地备份<br/>权限域隔离| F[同时擦除<br/>数千台VM]
F --> G[2400万用户断网]
G --> H[紧急全国漫游<br/>借对手网络]
H --> I[离线副本+厂商资产<br/>8天重建]
I -.->|教训回流| A
把Kyivstar放进更大的坐标系，才能看清它的独特性。对照近两年行业里另外两类典型“大事故”：
| 维度 | Kyivstar（破坏型） | Volt Typhoon/盐台风（潜伏窃密型） | KDDI 2022断网（事故型） |
|---|---|---|---|
| 目标 | 摧毁通信能力本身 | 长期潜伏、静默采集 | 无攻击者，纯粹升级事故 |
| 入口 | 供应链伙伴账户 | 边缘设备/凭据窃取 | 割接操作触发 |
| 战术特征 | LOTL+管理面夺权+擦除 | 生活于土地，极少恶意载荷 | 配置/流程缺陷 |
| 持续时间 | 全量恢复约8天 | 可潜伏数月至数年 | 61小时 |
| 后果形态 | IT层物理级抹除、备份同毁 | 关键设施被预置破坏通道 | 大规模语音数据中断 |
| 防御重点 | 管理面堡垒化、离线备份 | 溯源排查、边缘资产盘点 | 割接演练、回滚预案 |
| 给同行的启示 | 竞争对手可以是灾备伙伴 | “看不见的入侵”需要行为检测 | “人为流程”是最大故障源 |
三类事件对应三套完全不同的防御体系。多数运营商的灾备体系是为第三类设计的（双机热备、割接预案），部分开始为第二类建设（态势感知、流量溯源）——而Kyivstar证明了第一类的防御是空白：没有任何一套常规容灾方案，防得住“管理员权限的攻击者把备份一起删了”。
以18年核心网与运维一线的视角，我把这场事故压缩成七条能直接写进明年的工作计划的东西：
这个故事的尾声颇具戏剧性。2025年，乌方披露Sandworm两年来渗透了至少11家乌克兰电信机构——Kyivstar不是目标，是样板。而Kyivstar本人在完成重建与安全加固之后，于2025年8月通过SPAC合并登陆纳斯达克，股票代码KYIV，成为乌克兰企业登陆美股的标志性事件。
一个被国家级黑客“抹掉过”的运营商，两年后以更高的安全水位上市融资——在战火中完成这场“被打碎又长出骨头”的进化，这可能是通信行业近十年最好的韧性案例。
我们这行习惯把“网络安全”当作信息安全部门的事，把“网络稳定”当作运维部门的事。Kyivstar用一个2400万用户的静默黎明证明：在云化核心网时代，这两件事是同一件事——你的虚拟化管理平台，既是运维工具，也是攻击者的终点站；你的备份，既是回滚手段，也是最后的抵抗阵地。
下次审视自家网管拓扑时，不妨问一句：如果今晚有人拿着管理员权限走进我们的vCenter，我们明天早上还能找回多少东西？
想清楚这个问题，比读完这篇文章重要得多。
说明：本次创作过程中实时检索工具权限受限，无法逐一抓取全文核验。以下来源均为该事件长期稳定的一手或权威二手来源，个别细节（如损失金额、恢复精确时点）已在上文标注“据公开报道/未经官方证实”，建议读者以官方通报为准。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。