# 盐台风四年：美国电信网沦陷记 **概述**：2024年9月曝光、至今仍未画上句号的“盐台风”（Salt Typhoon）事件，是电信行业史上最严重的国家级网络渗透行动之一。美国官方先后确认九家电信/互联网服务商失陷，合法监听系统、上百万用户的通话元数据甚至高官通话录音被窃。本文以美国网络安全和基础设施安全局（CISA）2025年8月发布的23国联合通报AA25-239A为技术主轴，复盘四年时间线、拆解攻击链，并给一线网络工程师整理一份可直接落地的自查清单。一个反直觉的事实是：这支“顶级黑客”至今没有用过任何一个零日漏洞。 ## 目录 - 一、“盐台风”是谁：九家运营商、80个国家的共同敌人 - 二、四年时间线：从潜伏到曝光的完整复盘 - 三、攻击链拆解：不靠零日漏洞的“顶级黑客” - 四、最痛一刀：合法监听系统被反向利用 - 五、清剿为何这么难：一场抓不完的“网络搬家” - 六、全世界的反应：从FBI劝你开加密到23国联合通报 - 七、给通信工程师的七条自查清单 - 八、写在最后：电信网的安全逻辑正在被改写 ## 一、“盐台风”是谁：九家运营商、80个国家的共同敌人 “盐台风”是微软给这支黑客组织起的名字，业界其他厂商的叫法各不相同：卡巴斯基叫它Ghost Emperor，ESET叫FamousSparrow，Trend Micro叫Earth Estrie，Mandiant叫UNC2286。而美国官方在联合通报里刻意不用任何商业命名，统一称之为“APT攻击组织”。名字无所谓，重要的是归属：美国多家情报与执法机构认定，该组织受中国国家 MSS 支持运作——对此，中国驻外使馆公开否认，称相关指控是“无端和不负责任的抹黑诬蔑”。本文不纠缠地缘政治，只把双方说法原样摆出，重点放在技术事实本身。 受害规模是逐步坐实的。2024年12月，白宫确认第九家美国电信企业受害，被点名的包括Verizon、AT&T、T-Mobile、Spectrum、Lumen、Consolidated Communications和Windstream——既有全国性移动巨头，也有区域性固网运营商，说明攻击者并不挑牌子，挑的是“电信网络”这个资产本身。2025年8月，FBI给出的口径更进一步：全球至少200家机构、横跨80个国家受害。受害者名单里后来又加进了美国某州的国民警卫队、加拿大某电信公司、卫星通信商Viasat，甚至美国国会众议院多个委员会的邮件系统。 美国财政部2025年1月17日制裁的四川聚信和网络科技有限公司，以及通报中点名的北京寰宇天穹、四川智信锐捷两家公司，被指控为情报机关提供网络攻击产品与服务。Trend Micro的分析则指出，这是一支“分工明确、组织严密”的队伍，不同区域、不同行业的攻击由不同小组执行。 对电信从业者来说，真正值得记住的不是名字，而是一个事实：**这是第一次有国家级攻击者成建制地住进运营商的核心网络，并且以合法监听基础设施为直接目标**。它改写的不是某家公司的安全事件报告，而是整个行业对“网络边界”的认知。 ## 二、四年时间线：从潜伏到曝光的完整复盘 先看完整时间线。这里有个细节值得每个运维人咀嚼：媒体2024年9月才曝光，但CISA事后溯源显示，相关活动迹象最早可追溯到2021年8月，对美国电信业的渗透至少在曝光前一到两年就已开始——也就是说，**受害者是在被住了两年之后才知道家里进了人**。 | 时间 | 事件 | |---|---| | 2021年8月 | CISA联合通报溯源显示相关活动迹象最早出现 | | 2023年 | 美官方判定针对美国电信业的渗透行动自此前后开始 | | 2024年6月 | 彭博社 later 报道：某美运营商实际失陷时间比曝光的无线 breach 早一年 | | 2024年9月 | 《华尔街日报》等首次曝光“盐台风”入侵美国ISP | | 2024年10月 | WSJ曝出承载法院授权监听的CALEA系统被侵入 | | 2024年12月 | 白宫确认第九家运营商受害；FBI/CISA发布通信基础设施加固指南；Verizon、AT&T宣布已清除威胁 | | 2025年1月 | 美财政部制裁四川聚信和；某加拿大电信公司被曝失陷 | | 2025年4月 | FBI悬赏1000万美元征集盐台风线索 | | 2025年6月 | DHS报告披露某州国民警卫队被潜伏近一年；Viasat被确认为受害者 | | 2025年8月 | FBI称全球200家机构、80国受害；NSA/CISA/FBI等23国机构发布联合通报AA25-239A | | 2025年11月 | 澳大利亚ASIO负责人点名盐台风刺探澳电信与关键基础设施 | | 2025年12月 | 美国会众院多委员会邮件系统被入侵，后归因盐台风 | | 2026年2月 | 参议员坎特维尔要求传唤AT&T、Verizon CEO作证，指两家公司扣留Mandiant安全评估报告 | ```mermaid timeline title 盐台风四年大事记 2023 : 美官方判定渗透开始 2024-09 : 媒体首次曝光入侵运营商 2024-10 : 合法监听系统失守曝光 2024-12 : 九家运营商确认 : FBI发布加固指南 2025-04 : FBI悬赏1000万美元 2025-08 : 23国机构联合通报 : 全球200家机构确认受害 2025-12 : 美国会委员会邮件系统被入侵 2026-02 : 参议院推动运营商CEO听证 ``` 注意2026年2月这一条：事件曝光已近一年半，参议员坎特维尔仍在给参议院商务委员会主席克鲁兹写信要求召开听证会，理由是AT&T和Verizon委托Mandiant做了安全评估，却在国会调取时拿不出报告，两家公司声称“威胁已清除”的结论因此无法独立验证。一件安全事件的收尾拖成跨国攻防的连续剧，这在电信史上没有先例。 ## 三、攻击链拆解：不靠零日漏洞的“顶级黑客” AA25-239A是本文的技术主轴。这份由美国NSA、CISA、FBI，联合澳大利亚、加拿大、英国、日本、德国、法国之外的意大利、荷兰、波兰、西班牙等共23家机构联署的通报，把盐台风的整套打法摊开在了阳光下。我逐条读下来，最大的震撼是这一句：**“迄今未观察到零日漏洞利用”**。一支能攻穿九家美国运营商的国家级队伍，靠的全是公开已知的CVE和“可避免的薄弱配置”。 ### 被反复利用的入口 | CVE | 受影响设备/系统 | 危害 | |---|---|---| | CVE-2023-20198 | Cisco IOS XE Web管理界面 | 认证绕过，可直接创建管理员账号 | | CVE-2023-20273 | Cisco IOS XE Web UI | 认证后命令注入，提权至root | | CVE-2018-0171 | Cisco IOS/IOS XE Smart Install | 远程代码执行 | | CVE-2024-21887 | Ivanti Connect Secure | 命令注入，常与CVE-2023-46805组合使用 | | CVE-2024-3400 | Palo Alto PAN-OS GlobalProtect | 未认证远程代码执行 | | CVE-2021-26855 | Microsoft Exchange（ProxyLogon） | SSRF，可链式打到RCE | | CVE-2023-48788 | FortiClient EMS | SQL注入 | | CVE-2025-5777 | Citrix NetScaler Gateway | 未认证内存读取，2025年新添的利用项 | 清一色是边缘网络设备：VPN网关、防火墙、运营商路由器的Web管理面。这些设备常年暴露在互联网上，打补丁的优先级却往往排在业务系统之后——每个做过割接窗口排期的人都懂，路由器升级要动生产网，谁都不想碰。攻击者就是赌这个。 ### 站住脚之后：把网络设备变成“自己的机房” 盐台风的持久化手段清单，读起来像一份运营商网管操作手册，这是最让人后背发凉的地方： - **改ACL加白名单**：在设备访问控制列表里悄悄加上自己控制的IP，通报观察到攻击者偏好把ACL命名为"access-list 20"； - **开非标准端口**：把SSH架在22x22、xxx22这类高位端口上，HTTP管理面挪到18xxx段，专门躲开只盯标准端口的监控策略； - **挖隧道**：在设备上配置GRE、mGRE、IPsec隧道，把命令控制和数据回传伪装成“网内正常隧道流量”； - **住进容器**：利用网络设备自带的Guest Shell容器跑工具、存数据、做跳板——容器内的活动默认不在设备syslog里，等于在机房里隔出一间监控拍不到的小屋； - **改TACACS+指向**：直接把设备的认证服务器地址改成攻击者控制的IP，网管员每次登录，凭据自动送上门； - **用SNMP横向打**：利用"public""private"这类默认团体字枚举同团体组的其他设备，再用SNMP SET批量改配置。 通报里那个案例研究值得抄进每家运营商的内训教材：攻击者在IOS XE设备上敲了几条再正常不过的命令——`monitor capture mycap match ipv4 protocol tcp any any eq 49`，专抓TACACS+（TCP/49）认证流量，存成`tac.pcap`，再用FTP/TFTP导出。而设备配置里TACACS+共享密钥用的是Type 7这种可逆编码，抓到配置就能离线解密认证包，网管员的特权账号随之沦陷。**整套动作没有用任何恶意软件，全靠设备原生功能**——这就是“Living off the Land”：你没法查杀一个不存在的病毒。 ```mermaid flowchart TD A["暴露在互联网的边缘设备"] -->|利用已知CVE| B["取得初始控制权"] B -->|改ACL加白名单IP| C["建立持久驻留"] B -->|开非标准端口SSH| C C -->|架设GRE与IPsec隧道| D["横向移动"] C -->|在Guest Shell容器里跑工具| D D -->|抓取TACACS+认证流量| E["窃取网管员凭据"] D -->|SPAN镜像用户流量| F["收集元数据与通话内容"] E --> G["控制更多核心设备"] F --> H["经运营商对等互联通道把数据传出"] G --> H ``` 最后一跳尤其值得注意：数据外传大量滥用运营商之间的**对等互联（peering）通道**。海量对等流量本来就是运营商间的日常，把窃取的数据混进去，就像把私货塞进整列货运火车——这在监管和审计上几乎是个盲区。 ## 四、最痛一刀：合法监听系统被反向利用 如果说入侵路由器是“技术层面的坏消息”，那CALEA系统失守就是“行业层面的坏消息”。CALEA是美国的合法监听法案框架，运营商按法院令必须建设并维护一套能把指定用户通话、短信实时交给执法机关的系统。按《华尔街日报》2024年10月的报道，攻击者侵入的正是这套系统。 后果分两层。第一层是元数据：超一百万用户的通话与短信元数据（时间戳、主被叫号码、IP地址等）被窃，其中大部分集中在华盛顿特区——这个地理分布本身就说明了攻击意图。总统副国家安全事务助理纽伯格的表态是，被直接访问数据的“大量”个人属于“政府关注目标”。《纽约时报》报道，特朗普、万斯使用的电话以及哈里斯竞选团队的员工电话均在目标之列；部分情况下甚至拿到了通话录音。 第二层是信任层面的：**法院授权的监听通道，理论上只有执法机关和运营商 handful 个岗位能碰，现在多了一个外国情报机关**。这也把一个争论多年的老问题砸到了台面上——监听接口本身就是一种“带后门的系统”，平时由法律和权限体系保护，一旦权限体系被攻穿，它就从执法工具变成情报金矿。2024年12月，据多家美媒报道，FBI和CISA官员在发布会上罕见地公开建议美国民众使用端到端加密通信——让一个长期推动“加密后门”的执法体系劝大家用加密，这个转折本身就是对事件严重性的最好注脚。 ## 五、清剿为何这么难：一场抓不完的“网络搬家” Verizon和AT&T在2024年12月底宣布“威胁行为者已无法访问其网络”。但我建议大家把这句话和后续几件事放在一起读： **其一，攻击者住在基础设施里，不住在服务器里。** 杀毒、重装、换密码这些经典响应手段对“改配置驻留”几乎无效——配置库备份里可能也存着被改过的版本，固件完整性要靠哈希比对才能确认。CISA通报专门提醒：设备syslog不能作为唯一证据源，因为攻击者会清日志、停日志外发、在容器里干活，日志里记录的源IP甚至可能是本地地址。 **其二，驱离动作本身会打草惊蛇。** 通报原话值得全文背诵：在未摸清全部据点前做部分清除，攻击者会察觉调查正在进行，转移阵地并加固其他失陷网络，导致永远无法完成彻底驱逐。这要求受害者先做全网取证摸底，再一次性协同收网——对任何一家运营商的应急响应能力都是极限测试。 **其三，时间线一直在往前推。** 彭博社2025年6月报道，至少一家美国运营商的实际失陷时间比此前已知的无线 breach 早了一年。每多查一层，黑暗中的面积就扩大一圈。 **其四，验证机制本身失灵了。** 《纽约时报》2025年4月报道，第二次特朗普政府在上任后解散了网络空间安全审查委员会（CSRB）全体成员，其对盐台风事件的调查就此中断；2026年2月坎特维尔信件则直指运营商委托Mandiant做的评估报告未提交国会。**“我们清干净了”这句话由谁说了算、怎么验证，四年了仍没有答案**——这可能是整个事件留下的最尴尬的空白。 ## 六、全世界的反应：从FBI劝你开加密到23国联合通报 监管和技术两条线都在动。 技术侧，CISA、NSA、FBI于2024年12月3日发布《通信基础设施增强可见性与加固指南》，这是第一份明确写给“电信网管工程师”而非企业IT的联邦指南，核心主张包括：管理流量与业务流量物理隔离、走带外管理网，禁止从互联网管理设备；默认拒绝的ACL策略并记录所有拒绝流量；禁用Telnet、FTP、TFTP、SNMPv1/v2c等明文或过时协议；网络设备口令弃用可逆编码，管理认证强制防钓鱼MFA。2025年8月的AA25-239A则把这套要求升级成23国联合行动，联署名单里罕见地出现了德日意荷波西各国的情报机关——通报明确写了“电信业首当其冲”。 执法侧，2025年1月财政部制裁四川聚信和；4月FBI在“正义奖励”框架下开出1000万美元悬赏，与对基地组织头目的赏格同档，可见美方的定性之重。 监管侧，美国的FCC在事件后推进电信网络安全风险管理规则化；英国2021年《电信安全法》及其行动准则本来就是对盐台风式威胁的立法回应，Ofcom据此对运营商有直接执法权；澳大利亚ASIO负责人2025年11月公开点名盐台风和伏特台风正在刺探澳电信网络。可以看到一个清晰趋势：**电信网络安全正在从“行业自律”变成“牌照义务”**——网络没守住，可能直接触碰监管红线，这个逻辑未来几年会扩散到更多国家。 ## 七、给通信工程师的七条自查清单 道理讲再多，不如一份能周一早晨就执行的清单。以下七条整理自AA25-239A和12月加固指南，按性价比排序： | # | 检查项 | 具体动作 | |---|---|---| | 1 | 边缘设备补丁 | 对互联网暴露的VPN网关、防火墙、路由器Web面，按“已遭利用CVE优先”排序打补丁，对照CISA已知被利用漏洞目录 | | 2 | 配置基线核查 | 拉全网设备running-config与授权基线做diff，重点看ACL、本地账号、隧道、SPAN/PCAP配置；配置统一集中存储推送，设备自身不作为可信源 | | 3 | AAA与认证加固 | TACACS+/RADIUS共享密钥用强加密存储；共享密钥、enable密码弃用可逆或弱MD5编码；网管认证走防钓鱼MFA；清理默认口令和"cisco"类弱口令 | | 4 | 管理平面隔离 | 管理流量收敛到带外管理网或专用管理VRF，与业务/对等互联地址空间零互通；禁用管理面外连（如VTY出方向transport none） | | 5 | SNMP收紧 | 只用SNMPv3并启用认证加密，改掉默认团体字，限制可写OID，对SNMP SET改AAA服务器、开关隧道、改ACL的操作实时告警 | | 6 | 集中日志与命令审计 | 设备日志加密外送集中平台并异地留存；开启AAA命令记账，重点告警：包捕获启动、SPAN会话建立、guestshell启用、日志清除 | | 7 | 容器与固件完整性 | 不用的容器功能直接关闭；固件做哈希比对；对设备flash里的陌生文件（如莫名出现的.pcap）建立周期巡检 | 补充一条管理面的：通报特别提醒，抓到疑似入侵后，**响应动作要先做封序规划再动手**，避免打草惊蛇导致对手转移。换句话说，这类事件的应急指挥权应该在“懂网络的人”手里，而不是照着通用安全剧本一步步走。 ## 八、写在最后：电信网的安全逻辑正在被改写 干了这么多年核心网，我自己的感受是：盐台风事件终结了电信行业一个延续几十年的默认假设——“运营商城域网内部是可信的”。过去我们的安全模型是城堡式的：边缘有防火墙、有DPI，城门一守，城里随便走。盐台风证明了，对一支有耐心的国家级队伍，城门（暴露的边缘设备）迟早会开，而进城之后他们不烧不抢，**把自己变成网络配置的一部分**，用你的隧道传数据、用你的监听系统拿情报、用你的对等互联出口销赃。 三个判断留给各位： 第一，**“零日依赖症”该治了**。四年渗透九家运营商，没用一个零日漏洞——全部是迟到的补丁和疏忽的配置。预算有限时，把边缘设备补丁和管理面隔离的优先级提到业务功能之前，是这场事件用整个行业的面子换来的教训。 第二，**监听与元数据基础设施要按最高风险资产管理**。凡是具备“触碰用户通信内容能力”的系统，都应默认为攻击者的头号目标，做物理级隔离和最严格的访问审计。这个结论对任何国家的运营商都成立。 第三，**加密不是选项而是底线**。元数据可以不加密地躺在信令面，但它的情报价值已被证明不亚于内容本身。行业层面重新审视元数据的最小化采集与加密存储，恐怕是这场风波之后绕不开的议题。 事件还没有落幕：听证会还没开，报告还没交，80个国家里的受害者名单还在变长。对电信人来说，这不是一则可以划走的国际新闻——它是一份迟早会轮到自己网络头上的考卷。考试范围，CISA已经公开了。 ## 参考来源 1. [CISA联合通报 AA25-239A：Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide to Feed Global Espionage System](https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-239a) — 本文技术主轴，NSA/CISA/FBI等23家机构2025年8月联署，TTP、案例研究与加固建议的权威出处 2. [CISA/NSA/FBI：Enhanced Visibility and Hardening Guidance for Communications Infrastructure](https://www.cisa.gov/resources-tools/resources/enhanced-visibility-and-hardening-guidance-communications-infrastructure) — 2024年12月3日发布的首份面向电信网管工程师的联邦加固指南 3. [Salt Typhoon - Wikipedia](https://en.wikipedia.org/wiki/Salt_Typhoon) — 事件时间线汇总，原始引用包括WSJ、NYT、Reuters、Bloomberg、FT、NBC等媒体报道与美官方公告 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。