# 2400万人断网：乌克兰最大运营商核心网被毁事件深度复盘 > **概述**：2023年12月12日凌晨，乌克兰最大电信运营商Kyivstar遭网络攻击，约2400万移动用户瞬间失联，九成以上IT基础设施被远程擦除——这不是一次数据窃取，而是运营商网络史上首次“整网IT层被物理级抹掉”的破坏型攻击。乌克兰安全局（SBU）事后将攻击者锁定为俄军总参情报总局（GRU）下属的Sandworm部队。本文以运维一线视角，完整还原这条“潜伏7个月→夺取虚拟化管理权→同时擦除主机与备份→借对手网络复活”的攻击链与重建史，并给出可直接落地的七条防御清单。核心问题只有一个：当核心网已经云化，运营商最深的护城河为什么一夜之间变成了最大的爆破面？ --- ## 一、史上第一次：运营商不是“被黑”，是“被抹掉” 干了十几年核心网，我们这行对“重大故障”的定义，无非几类：割接失败回滚、单平面宕机、信令风暴、光缆中断。最坏的情况，也预设了一个前提——**设备还在，数据还在，无非是“不干活”**。双机热备、异地容灾、离线备份，防的都是“设备不干活”。 2023年12月12日的Kyivstar事件，把这个前提砸碎了。 那一天早晨，乌克兰用户醒来发现：Kyivstar手机没信号，打不通，也接不到；短信发不出去；家庭宽带中断。这不是拥塞，不是宕机——**是网元连同宿主机、虚拟机、配置、用户数据、备份，一起被远程擦除了**。据Kyivstar CEO Oleksandr Komarov事后对媒体透露，公司超过九成的IT基础设施（据称约95%）被毁，数千台虚拟机被同时擦除。 在运营商的历史上，这是第一次有一个国家级运营商的“数字本体”被从管理面整层抹掉。断网、断话、断短信，2400万人在战时的国家里集体静默。 ## 二、Kyivstar是谁：一国通信的底座 理解影响的量级，得先理解Kyivstar在乌克兰的位置。 - **规模**：乌克兰第一大移动运营商，约2400万移动用户，另有百万级家庭宽带用户，母公司是总部在阿姆斯特丹的跨国运营商VEON； - **地位**：1997年即开始提供GSM服务，是乌克兰移动通信事实上的基准网；覆盖率与质量长期领先； - **战时角色**：2022年俄乌开战后，它承担的早已不只是“打电话”——乌克兰的空袭警报推送、政务App（Diia）、银行远程服务、POS收单，大量跑在移动数据网上； - **结构特点**：战前即推进核心网NFV化与IT云化，大量网元以虚拟机/云工作负载形态运行在数据中心里。 最后一点，是理解这次攻击的技术关键：**Kyivstar的核心网，很大程度上已经是“软件”了**。传统电信核心网是专用硬件加封闭系统，攻击者即使进来也难以一步摧毁；而NFV之后，EPC、IMS、HSS、计费、网管，全都是跑在x86虚拟化平台上的工作负载。IT域与网络域的边界，在技术上已经消失。 边界消失，意味着攻击面合并。 ## 三、七个月潜伏：攻击链完整复盘 据SBU事后公布（2024年3月正式归因）与美国CISA、NSA、FBI联合乌克兰监管机构在2024年12月发布的联合公告，这条攻击链的时间跨度令人窒息。 **起点不是12月12日，而是2023年5月。** 据SBU通报，攻击者早在2023年5月就通过一家供应链合作伙伴的被入侵账户/设备获得了初步立足点，随后在网络内部潜伏、横向移动长达7个月。期间Kyivstar没有发出有效告警。 攻击者的目标非常清晰，且步步为营： 1. **立足**：从供应链侧进入内网，使用“就地取材”（Living off the Land）手法，大量利用系统自带管理工具与合法远程访问通道，尽量避免投放容易被查杀的恶意文件； 2. **扩权**：逐步窃取凭据、提权，最终拿下域环境和虚拟化管理平台（VMware vSphere/vCenter一层）的管理员级权限——**这是整个事件的胜负手**； 3. **侦察与准备**：摸清虚拟机拓扑、备份体系位置、宿主机分布，为“一击必杀”做长期准备； 4. **清除备份**：在破坏前破坏备份体系，确保受害者无法快速回滚； 5. **擦除**：2023年12月12日凌晨同时引爆，对数千台虚拟机、宿主机与数据存储执行擦除，IT层与云化网元几乎同时死亡。 据联合公告披露，攻击者还针对Linux宿主与虚拟化层部署了后门与擦除工具组合，实现持久化与最终破坏；其TTP特征（GRU背景、对能源与电信关键设施的打击偏好）与Sandworm（编号74455部队）历史行动（NotPetya、Industroyer、多次乌克兰电网攻击）高度一致。SBU于2024年3月正式公开归因。 ### 事件时间线 | 时间 | 事件 | 关键影响 | |---|---|---| | 2023年5月 | 经供应链伙伴被入侵渠道获得初始立足点 | 内网潜伏开始，无有效告警 | | 2023年5月–12月 | LOTL手法横向移动，窃取凭据、提权 | 逐步拿下域控与虚拟化管理平台权限 | | 2023年12月上旬 | 破坏准备：定位备份、备妥擦除工具 | 备份体系被列入打击清单 | | **2023年12月12日凌晨** | **同时擦除数千台虚拟机/宿主机/数据存储** | **约2400万用户断网断话，95%左右IT设施被毁** | | 12月12日白天 | 启动与lifecell等竞争对手的紧急全国漫游 | 用户借对手网络恢复基本通信 | | 12月13日 | 网内短信服务恢复 | 空袭警报通道部分修复 | | 12月14–15日 | 家庭宽带、移动数据逐步恢复 | 银行POS、政务应用陆续可用 | | 12月20日前后 | 移动语音、国际漫游等主体服务基本恢复 | 历时约8天的全量重建 | | 2024年3月 | SBU正式归因Sandworm | 公布2023年5月起潜伏等关键细节 | | 2024年12月 | 美乌多机构发布联合安全公告 | 公开TTP：LOTL、虚拟化层后门与擦除工具 | | 2025年 | 乌方披露Sandworm两年来渗透至少11家乌克兰电信机构；Kyivstar于8月登陆纳斯达克（代码KYIV） | 事件进入行业史册 | ## 四、12·12当天：2400万人的静默意味着什么 对运营商工程师来说，“全网静默”这个场景值得逐层拆解它到底砸中了什么： **1. 通信本体。** 语音、短信、移动数据同时中断。注意：不是劣化，是中断。云化部署的EPC/IMS与IT系统在同一个虚拟化平台上，管理面失守后一起被擦——这在传统专用设备时代是不可想象的单点。 **2. 战时生命线。** 乌克兰的空袭警报相当程度上依赖运营商向用户推送短信/电话。Kyivstar的2400万用户在部分时段收不到警报。在一座城市头顶有导弹飞行的国家，这直接是**人命关天**的通信降级。 **3. 金融与支付。** 乌克兰的银行卡交易验证、POS收单高度依赖移动数据网络。当天Kyivstar用户刷卡、扫码大面积不可用，ATM与商户收单受波及。同日，Monobank、PrivatBank等多家银行自述遭遇网络攻击——金融与电信基础设施被同步打击，是典型的组合拳。 **4. 经济账。** 据VEON及外媒披露口径，恢复与安全加固的投入达数千万美元量级（未经官方精确证实）；更大的代价是战时国家通信信任的损伤——CEO Komarov公开道歉，并承认核心设施需要重建。 ## 五、处置与重建：借对手的网活下来 如果说攻击链展示了攻击者的工程能力，那么处置过程则展示了运营商自救的工程韧性。有三步值得所有同行写进应急预案。 ### 第一步：向竞争对手借网 事发当天，Kyivstar启动了与lifecell的**紧急全国漫游**，随后扩展至其他运营商网络。用户终端自动驻留到竞争对手的网上，先保证“能打通电话、能收到警报”，再谈恢复自家网络。 这是乌克兰电信史上头一遭。商业上是竞争者，灾难面前互为灾备——**全国漫游（National Roaming）作为业务连续性工具**的价值，被这次事件一笔写入行业教科书。 ### 第二步：在废墟上重建IT层 由于虚拟化层、配置与在线备份同归于尽，重建基本等于“把公司IT重装一遍”：新建虚拟化平台、逐个恢复网元镜像、重灌签约数据、重配网管与BSS。到12月13日恢复短信，14–15日恢复宽带与移动数据，12月20日前后主体服务基本恢复——**约8天时间，从零拉起一张2400万用户的网**。 这个速度的前提，是散落在体系外的部分离线数据副本与设备商侧的软件资产幸存。事后Kyivstar大幅推进关键数据与网元的异地、异权属备份（将部分关键资产交由境外云托管），本质上就是把“备份”从虚拟化平台的管理域里搬出去。 ### 第三步：查因、归因、加固 SBU与国家特殊通信与信息保护局（SSSCIP）联合调查，2024年3月归因Sandworm并公布关键细节；2024年12月，CISA/NSA/FBI与乌方联合发布安全公告，把TTP完整交给行业。Kyivstar随后按零信任思路重构了访问控制与特权账户管理。 ### 恢复时间线 ```mermaid timeline title Kyivstar事件：从入侵到复活 2023-05 : 供应链伙伴被入侵 : 攻击者进入内网潜伏 2023-05~12 : 横向移动7个月 : 夺取域控与vCenter管理权 : 清除备份准备 12月12日 : 凌晨同时擦除数千台VM : 2400万用户断网 : 启动对lifecell紧急全国漫游 12月13日 : 网内短信恢复 : 空袭警报通道部分修复 12月14~15日 : 家庭宽带与移动数据恢复 : 支付场景陆续可用 12月20日前后 : 语音/国际漫游基本恢复 : 全量重建约8天 2024-03 : SBU正式归因Sandworm 2024-12 : 美乌联合公告披露完整TTP 2025-08 : Kyivstar登陆纳斯达克（KYIV） ``` ## 六、根因三层拆解：这不是“防火墙没配好” 事后复盘，根因远不止“有漏洞没打”。这个事件真正的教学价值在于三个层面。 ### 第一层：管理面就是新的“核心机房” 虚拟化平台的管理平面（vCenter/OpenStack/云管）聚合了对**所有**网元与IT系统的完全控制权。传统机房里，物理接触一台设备需要人到现场；NFV之后，拿到管理面权限等于拿到了整个机房的总钥匙。攻击者7个月里只干一件事：从供应链边缘一路打到管理面管理员。 **管理面的访问控制、堡垒化、行为审计，应该按“核心机房门禁”的等级来做，而不是按“一个Web系统”的等级。** ### 第二层：备份必须离开攻击者的权限域 这次最致命的细节是：**备份与生产环境在同一个管理域里**。攻击者拿下管理面后，顺手把备份一起擦了——这让8天的“极限重建”成为可能，否则可能是数周的瘫痪甚至数据永久丢失。 3-2-1备份原则（3份副本、2种介质、1份离线异地）在运营商语境下的落地，意味着：HLR/HSS签约数据、网元配置、镜像仓库，必须有攻击者权限域之外的副本——离线磁带、跨组织托管、跨云异地，并且**定期做恢复演练**。没有演练过的备份，等于没有备份。 ### 第三层：7个月的潜伏为什么无人察觉 LOTL手法刻意不留恶意文件，端点查杀天然失明。能发现它的只有行为侧信号：异常的凭据使用、非工作时段的管理面操作、横向的WinRM/RDP/SSH流量、供应链账户的异常会话。这要求运营商把**ITDR（身份威胁检测）与东西向流量分析**纳入网管监控体系——而绝大多数网络运维部门的告警视图里，至今只有网元KPI，没有“某个服务账号凌晨三点登录了vCenter”。 ### 攻击链与防御卡点 ```mermaid flowchart TD A[供应链伙伴被入侵
初始访问] -->|供应商账户最小权限
第三方接入审计| B[内网潜伏
LOTL手法] B -->|凭据使用行为分析
ITDR检测| C[窃取凭据·提权] C -->|特权账户管理PAM
管理面MFA| D[夺取vCenter/域控] D -->|管理面操作审计
异常时段告警| E[定位并清除备份] E -->|离线异地备份
权限域隔离| F[同时擦除
数千台VM] F --> G[2400万用户断网] G --> H[紧急全国漫游
借对手网络] H --> I[离线副本+厂商资产
8天重建] I -.->|教训回流| A ``` ## 七、攻防对照：破坏型、窃密型与事故型 把Kyivstar放进更大的坐标系，才能看清它的独特性。对照近两年行业里另外两类典型“大事故”： | 维度 | Kyivstar（破坏型） | Volt Typhoon/盐台风（潜伏窃密型） | KDDI 2022断网（事故型） | |---|---|---|---| | 目标 | 摧毁通信能力本身 | 长期潜伏、静默采集 | 无攻击者，纯粹升级事故 | | 入口 | 供应链伙伴账户 | 边缘设备/凭据窃取 | 割接操作触发 | | 战术特征 | LOTL+管理面夺权+擦除 | 生活于土地，极少恶意载荷 | 配置/流程缺陷 | | 持续时间 | 全量恢复约8天 | 可潜伏数月至数年 | 61小时 | | 后果形态 | IT层物理级抹除、备份同毁 | 关键设施被预置破坏通道 | 大规模语音数据中断 | | 防御重点 | 管理面堡垒化、离线备份 | 溯源排查、边缘资产盘点 | 割接演练、回滚预案 | | 给同行的启示 | 竞争对手可以是灾备伙伴 | “看不见的入侵”需要行为检测 | “人为流程”是最大故障源 | 三类事件对应三套完全不同的防御体系。多数运营商的灾备体系是为第三类设计的（双机热备、割接预案），部分开始为第二类建设（态势感知、流量溯源）——而Kyivstar证明了第一类的防御是**空白**：没有任何一套常规容灾方案，防得住“管理员权限的攻击者把备份一起删了”。 ## 八、给运营商的七条可落地清单 以18年核心网与运维一线的视角，我把这场事故压缩成七条能直接写进明年的工作计划的东西： 1. **把虚拟化管理面按核心机房对待**：vCenter/OpenStack/云管入口堡垒化、强MFA、专网专用、禁止从办公域直达； 2. **备份离开攻击者权限域**：签约数据、配置、镜像必须有离线或跨组织副本，备份系统凭据独立于域控，每季度做真恢复演练； 3. **供应链账户最小权限+定期重审**：给第三方承包商的任何远程通道，默认只读、限时、全程录像式审计； 4. **告警视图加入“身份行为”**：在网管KPI之外，引入服务账号异常登录、非工作时段管理面操作、横向远程访问突增的检测与告警； 5. **预签全国漫游应急预案**：与同市场竞争对手预先签订紧急漫游协议并定期演练——商业竞争者，灾难互备者； 6. **社会功能双通道**：空袭警报、应急通知类业务，除短信外启用Cell Broadcast等不依赖HLR签约状态的通道； 7. **做一次“擦除型攻击”桌面推演**：假设明天早上vCenter被格式化，TL/DR走一遍谁有离线副本、多久能拉起、多久能找回2400万用户的签约数据——推演一次，比十份PPT有用。 ## 九、后续：从灰烬到纳斯达克 这个故事的尾声颇具戏剧性。2025年，乌方披露Sandworm两年来渗透了至少11家乌克兰电信机构——Kyivstar不是目标，是样板。而Kyivstar本人在完成重建与安全加固之后，于2025年8月通过SPAC合并登陆纳斯达克，股票代码KYIV，成为乌克兰企业登陆美股的标志性事件。 一个被国家级黑客“抹掉过”的运营商，两年后以更高的安全水位上市融资——在战火中完成这场“被打碎又长出骨头”的进化，这可能是通信行业近十年最好的韧性案例。 ## 结语 我们这行习惯把“网络安全”当作信息安全部门的事，把“网络稳定”当作运维部门的事。Kyivstar用一个2400万用户的静默黎明证明：**在云化核心网时代，这两件事是同一件事**——你的虚拟化管理平台，既是运维工具，也是攻击者的终点站；你的备份，既是回滚手段，也是最后的抵抗阵地。 下次审视自家网管拓扑时，不妨问一句：如果今晚有人拿着管理员权限走进我们的vCenter，我们明天早上还能找回多少东西？ 想清楚这个问题，比读完这篇文章重要得多。 --- ## 参考来源 > 说明：本次创作过程中实时检索工具权限受限，无法逐一抓取全文核验。以下来源均为该事件长期稳定的一手或权威二手来源，个别细节（如损失金额、恢复精确时点）已在上文标注“据公开报道/未经官方证实”，建议读者以官方通报为准。 3. [CISA Cybersecurity Advisory AA24-338A](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-338a) — 2024年12月美乌多机构联合公告，披露Sandworm对乌克兰关键设施（含电信）的LOTL攻击与TTP 4. [Security Service of Ukraine (SBU) 官网](https://www.sbu.gov.ua) — 2024年3月正式归因及“2023年5月起潜伏”等调查结论的原始通报方 5. [VEON 官网](https://www.veon.com) — Kyivstar母公司，事件影响、投入与后续（含2025年纳斯达克上市）的公司口径 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。