# 盐台风潜入：美国九大运营商失守，这场两年才被发现的渗透给全球网工上了一课 ## 概述 2024年9月，《华尔街日报》曝光一场代号“盐台风”（Salt Typhoon）的网络渗透行动：至少9家美国电信运营商骨干网沦陷，通话元数据、短信记录甚至合法侦听系统（CALEA平台）被长期窃取，波及数十个国家。到2025年8月，FBI将受害范围更新为80多个国家的至少200家机构，2025年12月美国国会委员会邮箱系统再度中招。本文以CISA等六国机构官方加固指南与主流媒体公开报道为锚，复盘这场史上最大规模电信渗透的时间线、入侵路径与处置争议，并从一线网络工程师视角提炼可落地的防御清单：攻击者用的几乎全是已知漏洞，输的不是技术，是运维习惯。 ## 目录 - 一、先说清楚：「盐台风」到底是谁 - 二、时间线：一场潜伏两年才被发现的渗透 - 三、怎么进来的：全是「旧」漏洞，没有一个0day - 四、最疼的一刀：合法侦听系统沦陷 - 五、FBI的账本：200家机构、80多个国家 - 六、政府接招：从CISA指南到制裁与悬赏 - 七、网工视角：五条可以今天就落地的教训 - 八、结语：安全不是一张合规答卷 ## 一、先说清楚：「盐台风」到底是谁 “盐台风”这个名字是微软安全团队起的，业内叫法五花八门：Trend Micro叫它Earth Estries，卡巴斯基叫GhostEmperor，ESET叫FamousSparrow，Mandiant的编号是UNC2286。多个别名指向同一类活动——一家酒店、一ного政府机构、一家电信商，手法高度一致：内核态rootkit（卡巴斯基命名为Demodex）、反取证、长期潜伏。 ESET早在2021年就披露过FamousSparrow渗透酒店与政府机构的活动，GhostEmperor的内核rootkit同样是2021年的老对手。换句话说，这支队伍的手笔至少在2021年就有迹可循，只是到2024年9月才以“盐台风”之名站上头条。 归因方面，美方口径非常明确：美国财政部、FBI及多家安全厂商将该行动与中国国家安全部关联组织联系起来，2025年1月制裁了四川聚信和等三家涉事公司；中国驻外使馆则否认相关指控，称其为“毫无根据的抹黑”。本文不预设立场，只陈述双方公开表态——但无论归因结论如何，**九家美国电信商被长期渗透、侦听平台被盗用**这些事实本身，已经足够所有通信同行警醒。 值得一提的是它与“伏特台风”（Volt Typhoon）的区别：按《纽约时报》的分析，伏特台风瞄准水利、电力等关键基础设施，被认为是为破坏行动“预置跳板”；盐台风则更专注反情报目标与数据窃取——它要的不是炸掉网络，而是**把网络变成窃听器**。对运营商来说，后者其实更贴近日常威胁模型。 ## 二、时间线：一场潜伏两年才被发现的渗透 先把关键节点按公开报道捋一遍： | 时间 | 事件 | 信源 | |---|---|---| | 2021年 | ESET/卡巴斯基分别披露FamousSparrow与GhostEmperor活动 | ESET、Securelist | | 2023年前后 | 渗透开始；事后美方评估已潜伏1~2年 | 美官员（WSJ） | | 2024-09-26 | WSJ首曝“盐台风”渗透美国互联网/电信商 | WSJ | | 2024-10-05 | WSJ曝光合法侦听（CALEA）平台被盗用 | WSJ | | 2024-10-25 | NYT确认特朗普、万斯及哈里斯竞选团队手机/账号数据被窃 | NYT | | 2024-11-15 | T-Mobile确认被入侵 | WSJ | | 2024-12-03 | CISA/NSA/FBI+澳加新发布通信基础设施加固指南 | CISA | | 2024-12-27 | 美白宫通报第9家电信商沦陷 | AP | | 2024-12-30 | AT&T、Verizon宣布已清除攻击者 | TechCrunch | | 2025-01-17 | 美财政部制裁四川聚信和 | 美财政部 | | 2025-04-25 | FBI悬赏1000万美元征集盐台风线索 | Ars Technica | | 2025-06 | Bloomberg披露某美国电信商被入侵比无线商曝光早一年；Viasat被证实为受害方；加拿大某电信商2月被入侵 | Bloomberg、Ars Technica | | 2025-07-15 | DHS报告：某州国民警卫队网络被渗透近一年 | NBC | | 2025-08-27 | FBI与多机构联合通报：至少200家机构、80多国，三家中国公司提供“网络服务” | NBC、联合报告 | | 2025-11 | 澳洲安全情报组织（ASIO）负责人公开点名盐台风类组织长期窥探澳电信网 | Guardian、Reuters | | 2026-01-07 | FT曝光美国会众议院多委员会邮箱系统被渗透，归因盐台风 | FT | | 2026-02-03 | 参议员Cantwell要求传唤AT&T/Verizon CEO作证，并指两家公司拖延交出Mandiant安全评估报告 | Reuters | 这张表里最值得咀嚼的是两行：**2023年前后就开始潜伏**，和**2026年还在开听证会**。从入侵到曝光隔了差不多两年，从曝光到“收尾”又拖了超过一年——一次APT事件的生命周期，比绝大多数运营商的网优专项还长。Bloomberg 2025年6月的报道更扎心：早在无线商事件曝光前一年，就已经有一家美国电信商被拿下，只是没人发现，也没人通报。 用一张图压缩这条时间线： ```mermaid timeline title 盐台风事件关键节点（2023-2026） 2023 : 渗透开始（美方事后评估潜伏1至2年） 2024-09 : WSJ曝光多家美国电信商被渗透 2024-10 : CALEA合法侦听平台被盗用曝光 2024-12 : 六机构联合发布通信网加固指南 : 第9家电信商确认沦陷 2025-01 : 财政部制裁涉事公司 : AT&T与Verizon宣布完成清除 2025-08 : FBI通报200家机构80多国受害 2026-01 : 美国会委员会邮箱被渗透 2026-02 : 参议院推动两大运营商CEO听证 ``` ## 三、怎么进来的：全是「旧」漏洞，没有一个0day 这是整场事件里对一线工程师最有冲击力的部分。根据CISA与多家机构的联合分析，盐台风的初始突破手段毫无“高级”可言——**全是早就发布了补丁的已知漏洞**。被打穿的不是5G核心网的SBA接口，也不是什么量子加密链路，而是边缘的、暴露在公网的、忘了打补丁的防火墙、VPN网关和路由器： | CVE | 涉及产品 | 问题 | |---|---|---| | CVE-2023-20198 / CVE-2023-20273 | Cisco IOS XE Web管理界面 | 认证绕过+提权，2023年曾被大规模扫爆 | | CVE-2018-0171 | Cisco Smart Install | 2018年的老洞，至今仍有设备开着 | | CVE-2024-21887 / CVE-2023-46805 | Ivanti Connect Secure | 认证绕过+命令注入 | | CVE-2024-3400 | Palo Alto PAN-OS GlobalProtect | 任意文件创建致命令注入 | | CVE-2023-48788 | FortiClient EMS | SQL注入 | | CVE-2021-26855 | Microsoft Exchange | ProxyLogon，2021年的洞 | | CVE-2022-3236 | Sophos Firewall | 代码注入 | | CVE-2025-5777 | Citrix NetScaler Gateway | 未认证内存读取（2025年仍在利用） | 看懂了吗？从2018年到2025年，横跨七年的CVE清单。攻击者的打法不是砸保险柜，而是**挨个拧每扇没锁的门**。电信运营商的网络规模太大、设备生命周期太长，任何一台“没人记得还开着Web管理口”的IOS XE路由器，都是入口。 进来之后的手法才见功力，CISA指南里点名的几招值得逐条对照自家网络： - **改ACL加白名单IP**：在受害设备上给自己开管理通道； - **开SSH/RDP/FTP端口**：标准端口和非标准端口都开，专门躲基于端口的检测； - **在设备上建GRE/IPsec隧道**：利用运营商最不设防的协议——因为这俩本来就是网络自己的“合法流量”； - **钻进Cisco Guest Shell容器**：在IOS XE内置的Linux容器里跑工具、中转数据，容器内活动网管系统基本看不见； - **多跳中继**：开源跳板工具串联多国VPS，命令与控制链路拉长到取证困难。 注意一个共同点：**所有动作都发生在网络设备自身之上**。运营商的安全预算大量投向了服务器侧EDR、终端杀毒和云WAF，而承载这一切的骨干路由器，恰恰是检测体系最大的盲区——它没有EDR，日志常常只在本机，配置变更靠人肉，谁改的、什么时候改的、改了什么，很多局站根本说不清。 ## 四、最疼的一刀：合法侦听系统沦陷 如果说边缘设备失守是“运维之耻”，那2024年10月被WSJ曝光的这一刀就是“行业之耻”了：攻击者渗透进了运营商用于响应法院授权侦听请求的**CALEA系统**——美国执法机关依法接入的合法监听平台。 这个系统的地位怎么形容都不为过：它是运营商网络里**唯一合法地、全方位地采集用户通信元数据（在某些场景下包括通话内容）**的子系统。谁控制了它，谁就等于拿到了一台“官方级监听器”，不用自己搭任何采集设施。WSJ的报道确认，攻击者借此获取了上百万用户的通话与短信元数据——时间戳、主被叫号码、IP地址，其中大量集中在华盛顿特区；对部分高价值人物，甚至拿到了通话录音。特朗普、万斯的手机和哈里斯竞选团队员工的账号据NYT报道均在受害范围内，白宫副国家安全顾问Anne Neuberger承认被直接访问的名单里“很大一部分是政府关注目标”。 给不做核心网的读者翻译一下这套系统的运维含义：它通常是一个相对独立的采集与交付子系统，接在核心网元（如MSC/IMS/EPC的合法侦听接口）之后，把侦听结果按标准格式交给执法部门。它的特点是**权限极高、流量极大、但日常几乎没有业务变更**——正是那种“建好十年没人动过、密码策略还是出厂设置”的影子系统。合规审计看它，看的是“法院文书齐不齐”，不是“补丁打没打”。 这一刀对所有运营商的启示非常直接：**你网络里权限最高的系统，往往就是防护最欠账的系统**。侦听平台、信令采集平台、话单网关、计费稽核——这些“只进不出、外人看不见”的内部系统，在攻击者眼里恰恰是金矿。它们不直接面向用户，出了事也没有用户投诉来当“告警”，安静得可怕。 ## 五、FBI的账本：200家机构、80多个国家 2024年底大家的注意力都在美国九大电信商（Verizon、AT&T、T-Mobile、Spectrum、Lumen、Consolidated Communications、Windstream等）身上，但2025年8月27日FBI与多家机构发布的联合通报把盘子彻底掀开：**盐台风已渗透80多个国家的至少200家机构**，并且点名四川聚信和、北京寰宇天穹、四川智芯锐界三家公司为其提供“网络服务”支撑——微软等机构的归因也指向国家背景，涉事方则全部否认。 受害面早已溢出电信行业：DHS 2025年7月的报告披露某州陆军国民警卫队网络被渗透近一年，网络设计文档、配置文件被成批打包带走——这直接帮助攻击者理解美国通信网络的架构；酒店、政府机构（ESET早年披露）；美国卫星通信商Viasat（Bloomberg，2025年6月）；加拿大某电信商（Ars Technica，2025年6月）；2025年11月ASIO负责人Mike Burgess公开确认类似组织长期窥探澳大利亚电信与关键基础设施；2025年12月至2026年1月，美国众议院多个委员会的邮箱系统被渗透并归因于此。Darktrace在2025年10月披露的新一轮入侵中，攻击者已经在用CVE-2025-5777（Citrix NetScaler）这类当年的新洞——**这条战线没有停火日**。 更值得玩味的是“清除是否完成”的罗生门。AT&T和Verizon在2024年12月底宣布已将攻击者逐出网络，但2026年2月3日，参议院商务委员会资深成员Cantwell致信主席Cruz，要求传唤两家CEO到听证会说明网络当前安全状况，并指控两家公司聘请Mandiant做了安全评估、却迟迟不向委员会提供评估报告（Reuters报道）。一次被官方宣告“已处置”的安全事件，两年后仍在被立法机构追问证据链——这就是APT事件的另一个特征：**驱逐容易，证明驱逐了很难**。内核rootkit加上“活在地面上”的渗透习惯，让“我们确认干净了”变成一句需要第三方取证报告背书、甚至国会听证背书的话。 ## 六、政府接招：从CISA指南到制裁与悬赏 美方的应对分三条线，每条线都值得国内同行对照： **技术线：CISA牵头出加固指南。** 2024年12月3日，CISA、NSA、FBI联合澳大利亚、加拿大、新西兰四国网络安全中心发布了《通信基础设施增强可见性与加固指南》，Cisco和Google Cloud参与了编写。这份文件不是泛泛而谈的PPT，里面全是具体到命令行的动作项，下一节详述。 **执法线：制裁与悬赏。** 2025年1月17日，美国财政部制裁四川聚信和；4月，FBI开出1000万美元悬赏——与抓Lazarus成员的赏格同级。把钱花在“点名到人”上，是一种公开的归因表态。 **监管线：把安全变成牌照问题。** 据行业媒体报道，FCC在事件曝光后推动要求运营商对网络安全风险管理进行年度认证的规则制定程序，并于2025年初启动“Secure Our Networks”计划——思路是把“你敢不敢签字保证网络安全”变成运营商每年必须回答的合规问题。同期值得注意的细节是：原本负责调查此事件的美国网络安全审查委员会（CSRB）在2025年4月被解散（NYT报道），调查职能出现真空，这也是Cantwell在2026年还在追要Mandiant报告的原因之一——**监管拉抽屉，企业就得补窟窿**。 ```mermaid flowchart TB A["暴露在公网的防火墙/VPN网关/路由器"] -->|"利用已知CVE"| B["获取设备管理权限"] B --> C["改ACL 加SSH密钥 开监听端口"] C --> D["GRE/IPsec隧道加多跳中继"] D --> E["横移进入核心网管理域"] E --> F["Guest Shell容器内驻留"] F --> G["收割配置/凭据/流量"] G --> H["落点一：CALEA侦听平台"] G --> I["落点二：话单元数据系统"] G --> J["落点三：客户网络设计文档"] ``` ## 七、网工视角：五条可以今天就落地的教训 CISA那份指南40多页，我按一线可执行度筛出五条，附上对照动作。这不是理论清单，每一条都对应盐台风用过的真实手法。 **第一，管理面与业务面物理分离，设备不许碰公网。** 指南的要求是带外管理网（Out-of-Band Management）与业务承载网物理隔离，管理流量只能来自专用管理工作站（DAW），禁止任何设备管理口暴露公网。盐台风的初始突破全部来自公网可达的管理面——Web界面、VPN网关、EMS服务器。今晚就可以做的一件事：把全网设备的管理地址表导出来，逐条问“这个地址公网能不能路由到”，答不上来的按能处理。 **第二，设备不是自己配置的可信源。** 这是整份指南里最颠覆传统运维认知的一句：配置必须集中存储、集中下发，设备本地配置只做对照，不作为事实标准。传统做法是设备上改完再备份到RDC——方向反了。攻击者改ACL、加隧道、开端口都是在设备本地动手脚，如果你的事实标准在设备上，你连“它被改过”都发现不了。配置漂移检测（变更窗口之外任何配置变化都告警）要从“最佳实践”升级为“红线”。 **第三，把Cisco专属后门一个个焊死。** 指南点名了四条，命令我原文抄录：`no vstack`（关Smart Install，2018年的洞到2024年还在被用）、`guestshell disable`（关容器，掐掉攻击者最爱的驻留点）、`no ip http server`和`no ip http secure-server`（关Web管理，CVE-2023-20198的入口）、VTY线路配`transport input ssh`加`transport output none`（禁telnet、禁设备主动外连——盐台风正是靠改VTY出口做横移）。这几条命令在存量网上批量执行，一个晚上能干完，性价比极高。 **第四，日志出设备、出楼宇、出异地。** 指南要求：AAA日志强制送集中日志服务器并加密传输（IPsec/TLS），**异地保留副本**，防止攻击者清理本机日志；SNMP只许v3且加密认证；SSH只许v2、RSA密钥至少3072位、DH至少group 16。配套的组织动作是给网络设备也建立“行为基线”：路由更新异常、GRE/IPsec隧道数量变化、新增监听端口，都要有告警规则。盐台风在网络设备上建隧道跑了快两年，不是没有日志，是没人看。 **第五，账号体系照 weakest link 加固。** 网络设备密码用Type-8存储（Type-5/7是老古董，Type-7等于明文），TACACS+密钥用Type-6加密；所有访问网络设备的账号强制防钓鱼MFA（FIDO2或硬件PKI，短信验证码不算）；本地账号只留应急、每次使用后改密；AAA服务器不要与办公AD同源——办公网被打穿时，核心网的钥匙串不能挂在同一棵树上。审计范围必须覆盖“服务账号”：盐台风大量利用的就是那些有高权限、没人认领、从来不过期的账号。 最后补一条指南之外的观察：这次事件里真正发现问题的是流量分析和第三方取证，而不是厂商设备自带的任何“安全大脑”。对运营商而言，与其迷信某盒子的AI检测徽章，不如先把配置基线、日志外送、管理面隔离这三件“无聊”的事做扎实——AI安全运营是放大器，放大的是你已有的基本功。标准层面，3GPP对网络产品安全保障（SCAS）有完整规范，允许多种部署实现，具体行为以各厂家官方文档为准，但“先能看见、再谈防御”的原则没有例外。 ## 八、结语：安全不是一张合规答卷 复盘到2026年2月，盐台风事件给全行业留下的账单是：九家美国电信商、数百个国家的两百余家机构、被窃听的政要电话、被拖走的国民警卫队网络图纸，以及一场至今没有结案的国会听证。 而对每一个坐在网管终端前的工程师，这件事的本质其实简单得残忍：攻击者没有破解任何加密，没有发现任何0day，他们只是**把全网当成一台台没打补丁、没改默认配置、没人看日志的服务器**，挨个试门锁，试了两年。运营商最大的资产是那张覆盖一切的网，最大的负债也是——任何一个省公司机房里那台2016年上架、Web口朝公网、密码五年没换的IOS XE，都是整张网的短板。 网络可靠性的下一个十年，不能只算可用率小数点后几个9了。当一张能通到世界每一角的网，同时也能被世界某一角悄悄看光，**看得见自己的网络，才是真正的自己人**。 --- ## 参考来源 1. [Salt Typhoon — Wikipedia](https://en.wikipedia.org/wiki/Salt_Typhoon) — 本事件最完整的时间线聚合，引用WSJ、NYT、AP、NBC、Reuters、FT、Bloomberg等一线报道（2024-2026），含归因、别名体系、CVE清单与TTP 2. [Enhanced Visibility and Hardening Guidance for Communications Infrastructure — CISA/NSA/FBI/ASD/CCCS/NCSC-NZ联合指南](https://www.cisa.gov/resources-tools/resources/enhanced-visibility-and-hardening-guidance-communications-infrastructure) — 2024年12月3日发布，本文防御清单（带外管理、`no vstack`、Guest Shell关闭、Type-8密码等）的官方出处 3. [FCC（美国联邦通信委员会）官网](https://www.fcc.gov) — 追踪运营商网络安全年度认证等监管规则的官方入口（相关规则进展据行业媒体报道，以FCC正式文件为准） 4. 事件细节（CALEA平台失守、200家机构/80国规模、Mandiant报告争议、国会听证等）分别经WSJ（2024-10-05）、NBC News（2025-08-27）、Reuters（2026-02-03）、FT（2026-01-07）报道，均经上述Wikipedia词条引用可查 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。