## 概述 2024年下半年起，一个被称为「盐台风」（Salt Typhoon）的网络间谍组织渗透了美国至少九家主流电信运营商——AT&T、Verizon、T-Mobile均被点名。最戏剧性的一点是：他们进入的不是普通业务系统，而是依据CALEA法案建造的政府合法监听系统，读取了监听名单、超百万用户的通话元数据，甚至特朗普与哈里斯竞选班子的通话记录。本文以2025年8月CISA联合22国机构发布的官方公告AA25-239A为主轴，拆解其攻击链、时间线、处置过程，以及给所有电信网维护者的三条教训。 ## 目录 - 一、事件全貌：监听系统成了「自助监听台」 - 二、时间线：八个月，从渗透到清剿 - 三、攻击链拆解：没有零日，全是「基础卫生」欠账 - 四、影响评估：九大运营商、百万用户元数据、竞选班子通话 - 五、处置与监管：制裁、收网与「改用端到端加密」 - 六、老兵视角：三条写进值班手册的教训 - 七、结论：门没锁的时代该结束了 ## 一、事件全貌：监听系统成了「自助监听台」 先说清楚「盐台风」是谁。这个名字是微软威胁情报团队起的行业俗称，同一伙活动在美国官方文件里有多个代号：RedMike、OPERATOR PANDA、UNC5807、GhostEmperor。CISA在2025年8月27日发布的网络安全公告AA25-239A里干脆放弃了商业化命名，统一称之为「APT攻击组织」，并将活动追溯至**至少2021年**。这份公告由NSA、CISA、FBI领衔，联合澳大利亚、加拿大、英国、新西兰、日本、德国、荷兰、波兰、西班牙等**22个国家和地区的机构**共同签发，覆盖范围包括电信、政府、交通、酒店和军事基础设施网络。 公告点名了三家为其情报体系提供「网络产品与服务」的中国公司：四川聚信和网络科技有限公司、北京寰宇天穹信息技术有限公司、四川智信锐捷网络科技有限公司，称其客户包括解放军多个单位和国家安全部下属机构。中国政府对此予以否认，称相关指控为美方抹黑。本节内容均为公告原文事实转述，罪名指控与否，读者自辨。 对通信工程师来说，真正值得盯着看的是一句短评：**攻击者盯上的不是用户数据库，而是CALEA系统**。CALEA（Communications Assistance for Law Enforcement Act）是1994年美国通过的法案，强制运营商在网内自费建设「合法监听能力」——当法院下发窃听令时，运营商必须能把指定号码的通话、短信、位置实时交给执法部门。换句话说，每个美国运营商网络里都预装了一套「国家级监听接口」。 盐台风干的事情，用运维的语言描述就是：**绕过法院，直接登录了运营商替FBI值班的监听网关**。据atthacked.com等安全媒体的复盘，攻击者读取了监听任务下发清单（也就是「谁正在被监听」的名单本身），并对目标人员实施了数月未被察觉的通信采集。美国参议员Mark Warner对此的评语被广泛引用：这是「美国历史上最严重的电信网络入侵事件」。 这里面藏着一个所有通信人都该记住的悖论：**你按法律要求建的后门，总有一天会被别人走**。区别只在于走的人是谁。 ## 二、时间线：八个月，从渗透到清剿 下表按公开信息梳理了事件关键节点。需说明：媒体报道时间线与官方公告存在交叉，标注「据报道」的条目来自媒体复盘而非官方逐字确认。 | 时间 | 事件 | 信息来源 | | --- | --- | --- | | 2021年起 | 官方确认该组织对全球电信、政府、交通网络的间谍活动开始 | CISA公告AA25-239A | | 2024年8月 | 对美国电信与ISP网络的本轮渗透活动最早可追溯至此时 | 据Cloudskope等安全分析 | | 2024年10月初 | 多家美国媒体曝光运营商入侵事件，微软将其命名为Salt Typhoon | 据媒体报道 | | 2024年10月底 | 媒体报道特朗普、万斯及哈里斯竞选团队人员通话遭截听 | 据State of Surveillance等 | | 2024年12月3日 | FBI、CISA、NSA、ODNI发布联合声明，确认至少9家美国通信企业被入侵 | 据FBI/CISA联合声明 | | 2024年12月5日 | FCC发布《盐台风攻击的影响与FCC应对》情况说明书 | FCC官网 | | 2025年1月 | CISA发布《移动通信最佳实践》，建议公众改用端到端加密通信 | CISA官方指南 | | 2025年1月17日 | 财政部OFAC制裁Yin Kecheng与四川聚信和公司 | 财政部新闻稿JY2792 | | 2025年3月5日 | 财政部对相关中国黑客实体追加制裁 | 财政部新闻稿SB0042 | | 2025年8月27日 | CISA联合22国机构发布AA25-239A，公布完整TTP与IOC | CISA公告 | | 2026年3月前后 | 多家安全媒体证实FBI用于管理监听令的CALEA系统本身确认遭入侵 | 据安全媒体报道 | 从8月渗透到10月被媒体曝光，中间隔了两个月；从曝光到22国联合发公告、把TTP和IOC（失陷指标）全量公开，又隔了十个月。**这个节奏本身就是信息**：国家级对手的驱逐不是一次割接，而是一场以季度计的持久战。 ## 三、攻击链拆解：没有零日，全是「基础卫生」欠账 CISA公告里最扎眼的一句话，值得每个网工抄进笔记本：**「迄今未观察到零日漏洞利用」**。 也就是说，这支让美国参议员定义为「史上最严重电信入侵」的队伍，用的全是**公开已久、补丁早已发布**的已知漏洞。攻击链如下： ```mermaid flowchart TD A["边界设备暴露公网
VPN墙/路由器/防火墙"] --> B["利用已知CVE登门
连零日都省了"] B --> C["借Web UI认证绕过
建15级管理账号"] C --> D["改ACL放行自家IP
惯用名access-list 20"] D --> E["开SSH高位端口
22x22做持久化"] E --> F["设备内抓包
截TACACS+认证凭据"] F --> G["篡改TACACS+服务器
指向攻击者控制的IP"] G --> H["复用网管存档凭据
配置归档系统成跳板"] H --> I["SPAN镜像流量
GRE与IPsec隧道回传"] I --> J["摸进监听网关
与用户数据库拖库"] J --> K["借运营商对等互联
把数据洗出网络"] ``` 公告列出的主要「入场券」如下表。全部是老熟人，全部有补丁。 | 漏洞编号 | 受影响设备 | 攻击用途 | | --- | --- | --- | | CVE-2023-20198 | Cisco IOS XE | Web UI认证绕过，直接创建管理员账号 | | CVE-2023-20273 | Cisco IOS XE | 与上者链式使用，提权至系统root | | CVE-2024-3400 | Palo Alto PAN-OS | GlobalProtect未认证远程代码执行 | | CVE-2024-21887 | Ivanti Connect Secure | 命令注入，常与认证绕过漏洞串联 | | CVE-2018-0171 | Cisco Smart Install | 远程代码执行，六年前的老洞 | 进去之后的手法，更像是把一本「网安基础卫生手册」反过来念： **持久化**。改ACL把攻击者IP加进白名单（公告观察到他们爱用`access-list 20`这个名字）；在非默认高位端口开SSH（端口号偏爱`22x22`或`xxx22`的编码规律）；在IOS XR设备上打开宿主Linux的`sshd_operns`服务（TCP/57722），建一个名为`cisco`的本地账号并加入sudoers——用一台思科设备上最不起眼的名字，藏最要命的后门。 **凭据窃取**。用设备自带的抓包功能定向截获TCP/49端口的TACACS+认证流量（文件名就叫`tac.pcap`），因为至少有一台设备的配置里，TACACS+共享密钥是用Cisco Type 7这种**可逆编码**存的——抓到包就等于拿到密钥。更讽刺的是，公告还观察到攻击者直接复用RANCID等**配置自动归档系统**的凭据去枚举全网设备：运维自动化的钥匙串，成了攻击者的横移通道。 **隐蔽与采集**。在思科设备的Guest Shell容器里跑工具、存文件、做中继——容器内的活动默认不进设备syslog，天然规避监控；开启SPAN/RSPAN/ERSPAN镜像会话定向采集流量；建GRE/IPsec隧道。公告明确记录，至少一起案例中攻击者**用GRE和MPLS隧道把数据传回中国**。外发路径同样讲究：利用运营商之间的对等互联（peering）直接外带，因为「对等连接缺省缺少数据策略约束」。 **清场**。删日志、停日志外发、撤销容器。攻击者还会攻陷邮件服务器和管理员终端，**监控防守者是否察觉自己被察觉**。 看懂了吗？这套组合拳里没有一项需要顶尖漏洞研究能力，需要的只是：暴露在公网的管理界面、Telnet与SNMPv2c、Type 7密码、community string叫`public`和`private`的设备、从不审计的配置基线。CISA在公告里给出的整改清单，本质上是一份「把1990年代的网络管理习惯清理干净」的作业——而美国多家一线运营商，2024年还没交完这份作业。 ## 四、影响评估：九大运营商、百万用户元数据、竞选班子通话 影响面分三层看。 **第一层：网络所有者。** 官方口径为至少9家美国电信与互联网服务企业遭渗透，AT&T、Verizon、T-Mobile等巨头均确认。T-Mobile对外表示其通过异常检测发现了攻击者并完成清除；各运营商普遍执行了大规模凭据轮换与设备重建。CISA公告的签发国家名单（美、澳、加、英、新、日、德、意、荷、波、西、捷、芬等）本身就是影响面的注脚——**这些国家的情报机构联合调查，说明受害网络远不止美国**。 **第二层：数据与通信内容。** 据22国公告，被窃取的「运营商持有数据」包括：用户签约信息、通信内容、客户记录与元数据、网络拓扑与设备配置清单、各类口令。据State of Surveillance等媒体汇总，被访问的用户元数据规模在百万级以上；更敏感的是**监听任务清单本身**——谁被法院授权监听、监听了什么，一览无余。此外据多家媒体报道，特朗普、万斯及哈里斯竞选班子人员的通话遭到截听，这也是事件从「行业新闻」升级为「政治事件」的转折点。 **第三层：信任层。** 这个最隐蔽也最深远。当「运营商替政府监听」的通道被第三方接管，被监听者与监听者之间的保密契约就崩了——律师与当事人、线人与FBI、政府高官之间。安全圈当时的共识是：这不再是丢数据，是**丢掉了整个通信保密体制的信用**。后续CISA罕见地建议美国高敏感人群改用端到端加密应用，等于官方承认：运营商话音和短信，在某些威胁模型下已默认不安全。 ## 五、处置与监管：制裁、收网与「改用端到端加密」 处置动作沿三条线展开。 **第一条线：猎杀与驱逐。** CISA公告给了非常具体的清剿指导，而且反复强调一件事：**收网必须同步，动作必须留证**。因为部分驱逐会打草惊蛇——攻击者一旦感知调查，会立刻潜入关联网络、启动备用后门。公告建议：先摸清全部失陷范围，再一次性并行动作；驱逐前先取活体证据（进程、套接字、盘上文件）；用NDI方法论校验固件完整性；对Guest Shell容器、SPAN会话、TACACS+重定向、非标端口SSH逐项狩猎。公告甚至给了可直接落地的 hunting 细节：盯`mycap.pcap`/`tac.pcap`文件名、`18xxx`端口段、`22x22`端口规律、TCP/57722监听。 **第二条线：追责与制裁。** 2025年1月17日，财政部OFAC制裁了上海黑客人员Yin Kecheng（涉入侵财政部网络）与四川聚信和公司（涉盐台风活动）；3月5日追加制裁。制裁的实际杀伤力有限，但官方归因的象征意义明确——把一起「黑客事件」正式定性为国家级行为。 **第三条线：监管补课。** FCC在2024年12月5日发布《盐台风攻击的影响与FCC应对》情况说明书，随后推进针对运营商网络安全风险管理的规则制定，方向是要求运营商建立网络安全计划并接受年度评估认证。英国方面，其《2021年电信安全法》及配套行为准则被CISA公告列为参考范本——这部法律早就要求运营商对网络风险「设计即安全」，盐台风之后被反复拿出来对照。 还有一个容易被忽略的动作：CISA与FBI在2025年1月发布《移动通信最佳实践》，核心建议只有一条——**用支持端到端加密的通信工具，明文短信能不用就不用**。让全世界最强大的监听体制的母国，官方建议公民绕开运营商信道，这是这起事件最深远的产业信号。 ## 六、老兵视角：三条写进值班手册的教训 以下是笔者的个人观点部分，基于十八年核心网与运维一线经验，供同行参考。 **教训一：管理面裸奔，是电信网最大的单点风险。** 看CISA的失陷手法清单，你会发现攻击者几乎没碰「通信」本身——他们全程在管理面活动：SNMP写操作改配置、TACACS+截凭据、Web UI建账号。我们这代运维是看着「网管网是内网、内网就是可信」的假设长大的，但盐台风证明了**对等互联就是新的入口**：你的业务网与几十家运营商直连，任何一家的失陷设备都能成为跳板。CISA给的处方很明确：管理面独立VRF且禁止向业务面发起连接、SNMP只留v3并收紧写权限、Telnet/HTTP全关、口令用Type 8存储、AAA命令记账全开。这些配置很多人会嫌麻烦——但对比「史上最严重电信入侵」这个title，麻烦得很值。 **教训二：合法监听系统是你自己建的国家级后门，请按最高等级看管。** 这不是对美国体制的讽刺，而是对所有国家的通用提醒。任何特权通道——监听网关、运营商级抓包平台、信令采集系统（7号信令、Diameter探针同理）——本质上都是「绕过端到端加密的能力」，它的存在就是攻击面的存在。实操建议三条：监听系统与业务网、管理网物理隔离；对监听网关的每一次查询做独立审计与异常告警（本次事件中，正是「对CALEA网关的未授权查询」暴露了攻击）；供应商交付的监听接口默认配置，一律当作不安全配置重新加固。3GPP在5G SBA里用SEPP对网间信令做强制保护，方向是对的——**能力可以存在，但每一跳都必须有身份、有加密、有审计**。 **教训三：驱逐比发现更难，别指望一次割接解决问题。** 传统故障处理讲究「定位、隔离、恢复」，三小时收工。但面对会监控防守者、会跨网潜逃、会在容器里藏工具的对手，处置逻辑完全不同：**打草惊蛇等于失败**。这要求运营商平时就具备三样东西——全网配置基线与自动diff审计（让`access-list 20`这种改动活不过一小时）、管理面最小化（让攻击者无处可去）、以及预设好的「同步收网」预案（让驱逐一次完成）。说到底，网络安全和网络安全事故的差别，就像割接方案和割接预案的差别：前者人人会写，后者决定你半夜是被叫起来抢修，还是照常睡觉。 ## 七、结论：门没锁的时代该结束了 盐台风事件最值得回味的细节，不是「中国黑客」的标签，而是CISA那句轻描淡写的实话：**没看到零日，全是已知漏洞**。九大运营商、百万用户元数据、竞选班子通话、监听清单本身——这一整串震惊美国的后果，入场券只是几台没打补丁的边界路由器、一些Type 7密码和一串`public`的SNMP community。 对运营商而言，这件事的账很好算：攻击者只需要找到你一遍没锁的门；而你需要守住所有的门。对监管者而言，FCC的规则制定和英国的电信安全法指向同一个方向——网络安全义务从「自愿建议」变成「持证上岗」。对每一个网工而言，今晚就可以做的三件事：拉一遍全网配置和授权基线做diff，关掉所有不加密的管理协议，去看看你的监听网关和信令采集平台上，最近一次登录是谁、从哪来。 门没锁的时代，结束于每一次认真的diff。 ## 参考来源 1. [CISA Advisory AA25-239A: Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide](https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-239a) — 本文主轴来源，NSA/CISA/FBI联合22国机构发布，含完整TTP、 exploited CVE清单、狩猎指南与IOC 2. [U.S. Treasury Sanctions Company Associated with Salt Typhoon（JY2792）](https://home.treasury.gov/news/press-releases/jy2792) — 2025年1月17日OFAC制裁公告，官方归因文件 3. [FCC: Implications of Salt Typhoon Attack and FCC Response](https://www.fcc.gov/document/implications-salt-typhoon-attack-and-fcc-response) — FCC监管应对的事实说明书（2024年12月5日） 4. [State of Surveillance: Salt Typhoon — The Worst Telecom Hack in American History](https://stateofsurveillance.org/articles/surveillance/salt-typhoon-telecom-hack/) — 事件全景复盘，含九大运营商名单、百万级元数据与Warner参议员评语 5. [Cloudskope: Salt Typhoon 2024-25 China US Telecom Hack](https://www.cloudskope.com/breaches/salt-typhoon-telecom-breach-2025) — 攻击时间线梳理，含2024年8月最早渗透时间的判断 6. [CRS: Salt Typhoon Hacks of Telecommunications（IF12798）](https://www.congress.gov/crs_external_products/IF/PDF/IF12798/IF12798.14.pdf) — 美国会研究处的政策简报，用于交叉验证制裁与监管反应 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。