概述

2024年下半年起，一个被称为「盐台风」（Salt Typhoon）的网络间谍组织渗透了美国至少九家主流电信运营商——AT&T、Verizon、T-Mobile均被点名。最戏剧性的一点是：他们进入的不是普通业务系统，而是依据CALEA法案建造的政府合法监听系统，读取了监听名单、超百万用户的通话元数据，甚至特朗普与哈里斯竞选班子的通话记录。本文以2025年8月CISA联合22国机构发布的官方公告AA25-239A为主轴，拆解其攻击链、时间线、处置过程，以及给所有电信网维护者的三条教训。

目录

• 一、事件全貌：监听系统成了「自助监听台」
• 二、时间线：八个月，从渗透到清剿
• 三、攻击链拆解：没有零日，全是「基础卫生」欠账
• 四、影响评估：九大运营商、百万用户元数据、竞选班子通话
• 五、处置与监管：制裁、收网与「改用端到端加密」
• 六、老兵视角：三条写进值班手册的教训
• 七、结论：门没锁的时代该结束了

一、事件全貌：监听系统成了「自助监听台」

先说清楚「盐台风」是谁。这个名字是微软威胁情报团队起的行业俗称，同一伙活动在美国官方文件里有多个代号：RedMike、OPERATOR PANDA、UNC5807、GhostEmperor。CISA在2025年8月27日发布的网络安全公告AA25-239A里干脆放弃了商业化命名，统一称之为「APT攻击组织」，并将活动追溯至至少2021年。这份公告由NSA、CISA、FBI领衔，联合澳大利亚、加拿大、英国、新西兰、日本、德国、荷兰、波兰、西班牙等22个国家和地区的机构共同签发，覆盖范围包括电信、政府、交通、酒店和军事基础设施网络。

公告点名了三家为其情报体系提供「网络产品与服务」的中国公司：四川聚信和网络科技有限公司、北京寰宇天穹信息技术有限公司、四川智信锐捷网络科技有限公司，称其客户包括解放军多个单位和国家安全部下属机构。中国政府对此予以否认，称相关指控为美方抹黑。本节内容均为公告原文事实转述，罪名指控与否，读者自辨。

对通信工程师来说，真正值得盯着看的是一句短评：攻击者盯上的不是用户数据库，而是CALEA系统。CALEA（Communications Assistance for Law Enforcement Act）是1994年美国通过的法案，强制运营商在网内自费建设「合法监听能力」——当法院下发窃听令时，运营商必须能把指定号码的通话、短信、位置实时交给执法部门。换句话说，每个美国运营商网络里都预装了一套「国家级监听接口」。

盐台风干的事情，用运维的语言描述就是：绕过法院，直接登录了运营商替FBI值班的监听网关。据atthacked.com等安全媒体的复盘，攻击者读取了监听任务下发清单（也就是「谁正在被监听」的名单本身），并对目标人员实施了数月未被察觉的通信采集。美国参议员Mark Warner对此的评语被广泛引用：这是「美国历史上最严重的电信网络入侵事件」。

这里面藏着一个所有通信人都该记住的悖论：你按法律要求建的后门，总有一天会被别人走。区别只在于走的人是谁。

二、时间线：八个月，从渗透到清剿

下表按公开信息梳理了事件关键节点。需说明：媒体报道时间线与官方公告存在交叉，标注「据报道」的条目来自媒体复盘而非官方逐字确认。

从8月渗透到10月被媒体曝光，中间隔了两个月；从曝光到22国联合发公告、把TTP和IOC（失陷指标）全量公开，又隔了十个月。这个节奏本身就是信息：国家级对手的驱逐不是一次割接，而是一场以季度计的持久战。

三、攻击链拆解：没有零日，全是「基础卫生」欠账

CISA公告里最扎眼的一句话，值得每个网工抄进笔记本：「迄今未观察到零日漏洞利用」。

也就是说，这支让美国参议员定义为「史上最严重电信入侵」的队伍，用的全是公开已久、补丁早已发布的已知漏洞。攻击链如下：

flowchart TD
    A["边界设备暴露公网<br/>VPN墙/路由器/防火墙"] --> B["利用已知CVE登门<br/>连零日都省了"]
    B --> C["借Web UI认证绕过<br/>建15级管理账号"]
    C --> D["改ACL放行自家IP<br/>惯用名access-list 20"]
    D --> E["开SSH高位端口<br/>22x22做持久化"]
    E --> F["设备内抓包<br/>截TACACS+认证凭据"]
    F --> G["篡改TACACS+服务器<br/>指向攻击者控制的IP"]
    G --> H["复用网管存档凭据<br/>配置归档系统成跳板"]
    H --> I["SPAN镜像流量<br/>GRE与IPsec隧道回传"]
    I --> J["摸进监听网关<br/>与用户数据库拖库"]
    J --> K["借运营商对等互联<br/>把数据洗出网络"]

公告列出的主要「入场券」如下表。全部是老熟人，全部有补丁。

进去之后的手法，更像是把一本「网安基础卫生手册」反过来念：

持久化。改ACL把攻击者IP加进白名单（公告观察到他们爱用access-list 20这个名字）；在非默认高位端口开SSH（端口号偏爱22x22或xxx22的编码规律）；在IOS XR设备上打开宿主Linux的sshd_operns服务（TCP/57722），建一个名为cisco的本地账号并加入sudoers——用一台思科设备上最不起眼的名字，藏最要命的后门。

凭据窃取。用设备自带的抓包功能定向截获TCP/49端口的TACACS+认证流量（文件名就叫tac.pcap），因为至少有一台设备的配置里，TACACS+共享密钥是用Cisco Type 7这种可逆编码存的——抓到包就等于拿到密钥。更讽刺的是，公告还观察到攻击者直接复用RANCID等配置自动归档系统的凭据去枚举全网设备：运维自动化的钥匙串，成了攻击者的横移通道。

隐蔽与采集。在思科设备的Guest Shell容器里跑工具、存文件、做中继——容器内的活动默认不进设备syslog，天然规避监控；开启SPAN/RSPAN/ERSPAN镜像会话定向采集流量；建GRE/IPsec隧道。公告明确记录，至少一起案例中攻击者用GRE和MPLS隧道把数据传回中国。外发路径同样讲究：利用运营商之间的对等互联（peering）直接外带，因为「对等连接缺省缺少数据策略约束」。

清场。删日志、停日志外发、撤销容器。攻击者还会攻陷邮件服务器和管理员终端，监控防守者是否察觉自己被察觉。

看懂了吗？这套组合拳里没有一项需要顶尖漏洞研究能力，需要的只是：暴露在公网的管理界面、Telnet与SNMPv2c、Type 7密码、community string叫public和private的设备、从不审计的配置基线。CISA在公告里给出的整改清单，本质上是一份「把1990年代的网络管理习惯清理干净」的作业——而美国多家一线运营商，2024年还没交完这份作业。

四、影响评估：九大运营商、百万用户元数据、竞选班子通话

影响面分三层看。

第一层：网络所有者。 官方口径为至少9家美国电信与互联网服务企业遭渗透，AT&T、Verizon、T-Mobile等巨头均确认。T-Mobile对外表示其通过异常检测发现了攻击者并完成清除；各运营商普遍执行了大规模凭据轮换与设备重建。CISA公告的签发国家名单（美、澳、加、英、新、日、德、意、荷、波、西、捷、芬等）本身就是影响面的注脚——这些国家的情报机构联合调查，说明受害网络远不止美国。

第二层：数据与通信内容。 据22国公告，被窃取的「运营商持有数据」包括：用户签约信息、通信内容、客户记录与元数据、网络拓扑与设备配置清单、各类口令。据State of Surveillance等媒体汇总，被访问的用户元数据规模在百万级以上；更敏感的是监听任务清单本身——谁被法院授权监听、监听了什么，一览无余。此外据多家媒体报道，特朗普、万斯及哈里斯竞选班子人员的通话遭到截听，这也是事件从「行业新闻」升级为「政治事件」的转折点。

第三层：信任层。 这个最隐蔽也最深远。当「运营商替政府监听」的通道被第三方接管，被监听者与监听者之间的保密契约就崩了——律师与当事人、线人与FBI、政府高官之间。安全圈当时的共识是：这不再是丢数据，是丢掉了整个通信保密体制的信用。后续CISA罕见地建议美国高敏感人群改用端到端加密应用，等于官方承认：运营商话音和短信，在某些威胁模型下已默认不安全。

五、处置与监管：制裁、收网与「改用端到端加密」

处置动作沿三条线展开。

第一条线：猎杀与驱逐。 CISA公告给了非常具体的清剿指导，而且反复强调一件事：收网必须同步，动作必须留证。因为部分驱逐会打草惊蛇——攻击者一旦感知调查，会立刻潜入关联网络、启动备用后门。公告建议：先摸清全部失陷范围，再一次性并行动作；驱逐前先取活体证据（进程、套接字、盘上文件）；用NDI方法论校验固件完整性；对Guest Shell容器、SPAN会话、TACACS+重定向、非标端口SSH逐项狩猎。公告甚至给了可直接落地的 hunting 细节：盯mycap.pcap/tac.pcap文件名、18xxx端口段、22x22端口规律、TCP/57722监听。

第二条线：追责与制裁。 2025年1月17日，财政部OFAC制裁了上海黑客人员Yin Kecheng（涉入侵财政部网络）与四川聚信和公司（涉盐台风活动）；3月5日追加制裁。制裁的实际杀伤力有限，但官方归因的象征意义明确——把一起「黑客事件」正式定性为国家级行为。

第三条线：监管补课。 FCC在2024年12月5日发布《盐台风攻击的影响与FCC应对》情况说明书，随后推进针对运营商网络安全风险管理的规则制定，方向是要求运营商建立网络安全计划并接受年度评估认证。英国方面，其《2021年电信安全法》及配套行为准则被CISA公告列为参考范本——这部法律早就要求运营商对网络风险「设计即安全」，盐台风之后被反复拿出来对照。

还有一个容易被忽略的动作：CISA与FBI在2025年1月发布《移动通信最佳实践》，核心建议只有一条——用支持端到端加密的通信工具，明文短信能不用就不用。让全世界最强大的监听体制的母国，官方建议公民绕开运营商信道，这是这起事件最深远的产业信号。

六、老兵视角：三条写进值班手册的教训

以下是笔者的个人观点部分，基于十八年核心网与运维一线经验，供同行参考。

教训一：管理面裸奔，是电信网最大的单点风险。 看CISA的失陷手法清单，你会发现攻击者几乎没碰「通信」本身——他们全程在管理面活动：SNMP写操作改配置、TACACS+截凭据、Web UI建账号。我们这代运维是看着「网管网是内网、内网就是可信」的假设长大的，但盐台风证明了对等互联就是新的入口：你的业务网与几十家运营商直连，任何一家的失陷设备都能成为跳板。CISA给的处方很明确：管理面独立VRF且禁止向业务面发起连接、SNMP只留v3并收紧写权限、Telnet/HTTP全关、口令用Type 8存储、AAA命令记账全开。这些配置很多人会嫌麻烦——但对比「史上最严重电信入侵」这个title，麻烦得很值。

教训二：合法监听系统是你自己建的国家级后门，请按最高等级看管。 这不是对美国体制的讽刺，而是对所有国家的通用提醒。任何特权通道——监听网关、运营商级抓包平台、信令采集系统（7号信令、Diameter探针同理）——本质上都是「绕过端到端加密的能力」，它的存在就是攻击面的存在。实操建议三条：监听系统与业务网、管理网物理隔离；对监听网关的每一次查询做独立审计与异常告警（本次事件中，正是「对CALEA网关的未授权查询」暴露了攻击）；供应商交付的监听接口默认配置，一律当作不安全配置重新加固。3GPP在5G SBA里用SEPP对网间信令做强制保护，方向是对的——能力可以存在，但每一跳都必须有身份、有加密、有审计。

教训三：驱逐比发现更难，别指望一次割接解决问题。 传统故障处理讲究「定位、隔离、恢复」，三小时收工。但面对会监控防守者、会跨网潜逃、会在容器里藏工具的对手，处置逻辑完全不同：打草惊蛇等于失败。这要求运营商平时就具备三样东西——全网配置基线与自动diff审计（让access-list 20这种改动活不过一小时）、管理面最小化（让攻击者无处可去）、以及预设好的「同步收网」预案（让驱逐一次完成）。说到底，网络安全和网络安全事故的差别，就像割接方案和割接预案的差别：前者人人会写，后者决定你半夜是被叫起来抢修，还是照常睡觉。

七、结论：门没锁的时代该结束了

盐台风事件最值得回味的细节，不是「中国黑客」的标签，而是CISA那句轻描淡写的实话：没看到零日，全是已知漏洞。九大运营商、百万用户元数据、竞选班子通话、监听清单本身——这一整串震惊美国的后果，入场券只是几台没打补丁的边界路由器、一些Type 7密码和一串public的SNMP community。

对运营商而言，这件事的账很好算：攻击者只需要找到你一遍没锁的门；而你需要守住所有的门。对监管者而言，FCC的规则制定和英国的电信安全法指向同一个方向——网络安全义务从「自愿建议」变成「持证上岗」。对每一个网工而言，今晚就可以做的三件事：拉一遍全网配置和授权基线做diff，关掉所有不加密的管理协议，去看看你的监听网关和信令采集平台上，最近一次登录是谁、从哪来。

门没锁的时代，结束于每一次认真的diff。

参考来源

1. CISA Advisory AA25-239A: Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide — 本文主轴来源，NSA/CISA/FBI联合22国机构发布，含完整TTP、 exploited CVE清单、狩猎指南与IOC
2. U.S. Treasury Sanctions Company Associated with Salt Typhoon（JY2792） — 2025年1月17日OFAC制裁公告，官方归因文件
3. FCC: Implications of Salt Typhoon Attack and FCC Response — FCC监管应对的事实说明书（2024年12月5日）
4. State of Surveillance: Salt Typhoon — The Worst Telecom Hack in American History — 事件全景复盘，含九大运营商名单、百万级元数据与Warner参议员评语
5. Cloudskope: Salt Typhoon 2024-25 China US Telecom Hack — 攻击时间线梳理，含2024年8月最早渗透时间的判断
6. CRS: Salt Typhoon Hacks of Telecommunications（IF12798） — 美国会研究处的政策简报，用于交叉验证制裁与监管反应

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。