概述：2024年秋天起，一个代号为「盐台风」（Salt Typhoon）的黑客组织渗透了美国至少九家主流电信运营商，最令人震惊的是——连警方的合法监听系统都失守了。FBI、CISA、NSA罕见联合发布行业指南，FCC动用1934年《通信执法法案》裁决运营商安全义务，美财政部制裁涉事中国公司。本文以CISA官方公告与加固指南为解读主轴，复盘这两年来的攻防全过程：黑客如何用八年前老旧漏洞和「就地取材」手法打进运营商核心网，运营商如何驱逐又防不住回归，以及这场战役给全球通信运维人留下的六条硬教训。
干过核心网的都知道，运营商网络里有一个「影子核心网」：合法监听（Lawful Interception，美国语境下叫CALEA平台）系统。它按法院令采集指定号码的通话内容和详单，是全网权限最高、最敏感的房间。这个房间平时谁都不能进，有独立的隔离要求，甚至运营商自己员工都碰不得。
2024年10月，《华尔街日报》曝光：与PRC政府关联的黑客攻入了美国多家主流运营商，目标直指这些监听平台。参议员罗恩·怀登随后致信监管机构，证实部分运营商的警方监听系统已被未授权访问。这个消息在华盛顿炸了膛——因为当时执法部门正在监听的政治人物电话，可能就存在被第三方「旁听」的风险。12月3日，FBI、CISA、NSA和ODNI四家机构发布罕见联合声明，确认了最坏的情形：大量通话详单记录（CDR）被盗，另有少数华盛顿特区政界人士的通话音频被截取。
对一个在核心网干了十八年的老运维来说，这件事的冲击不亚于任何一次全网瘫痪。断网是事故，监听系统失守是主权级事故——它意味着敌手已经走完了你最难走的路，坐在了你保卫最严的房间里。
「盐台风」是微软威胁情报团队起的名字，此后成为行业通用代号。其他安全厂商追踪的相关活动还包括Earth Estries、GhostEmperor、FamousSparrow等，各家对活动归并的口径不完全一致，但主流判断一致：这是一个长期针对电信与政府机构、以情报收集为目标的国家级行为体。
必须把它和Volt Typhoon（伏特台风）区分开，两者的战术定位完全不同：
| 维度 | Volt Typhoon | Salt Typhoon |
|---|---|---|
| 目标行业 | 电力、水务、港口等关键基础设施 | 电信运营商、ISP、政府机构 |
| 作战意图 | 预置后门，为潜在破坏行动做准备 | 长期情报收集，监听与数据窃取 |
| 技术风格 | 极度隐蔽，尽量不留痕迹 | 就地取材（LOFL），滥用系统自带工具 |
| 头号战利品 | 工控系统的控制权 | 通话详单、音频、监听平台权限 |
一句话概括：伏特台风在准备「拉闸」，盐台风在耐心「窃听」。对运营商而言，后者意味着攻击者不是路过，而是常住——它的KPI是在你的网络里活多久，而不是炸掉什么。
以公开报道与官方公告为准，这起事件的时间线如下：
| 时间 | 事件 |
|---|---|
| 2024年9-10月 | 《华尔街日报》等媒体曝光针对美国ISP与主流运营商的渗透，范围从宽带小商扩大到Verizon、AT&T、T-Mobile、Lumen等，矛头指向监听系统 |
| 2024年11月13日 | FCC一致通过声明性裁决：依据CALEA，运营商负有防止网络被非法接入的法定义务 |
| 2024年12月3日 | FBI/CISA/NSA/ODNI联合声明确认：大量通话详单被盗，少数政界人士通话音频被截取 |
| 2024年12月4日 | FBI官员公开建议民众改用端到端加密通信 |
| 2024年12月中 | CISA/FBI/NSA发布《电信行业增强可见性与加固指南》，全球首份电信行业专项官方指南 |
| 2024年12月底 | 据美媒报道，美国政府凭法院令联合运营商开展行动，将至少八家网络中的入侵者强制驱逐 |
| 2025年1月17日 | 美财政部OFAC制裁与盐台风工具链相关的中国公司四川巨臻安普信息技术有限公司 |
| 2025年2月 | 据报道，确认遭入侵的美国运营商总数达到至少九家；CISA发布联合公告AA25-039A，公布攻击手法检测规则 |
| 2025年7月 | Sophos披露名为Pandemic的Linux后门，受害者为一家亚洲ISP，媒体将其与盐台风活动关联 |
| 2025年至今 | 多国运营商陆续报告同类入侵，驱逐与回归反复拉锯，事件仍在发酵 |
这张表里最值得琢磨的是最后两行：这不是一次性事故，而是一场仍在进行的战争。驱逐不等于根治，被赶走的对手会换个洞回来。
根据CISA联合公告AA25-039A与各家安全厂商的报告，盐台风的攻击链可以概括为下图：
flowchart TD
A["老旧边界设备漏洞"] --> B["拿下VPN网关立足"]
B --> C["窃取并伪造凭据"]
C --> D["横向移动进核心内网"]
D --> E["转储域控数据库"]
D --> F["定位合法监听平台"]
F --> G["批量拉取通话详单"]
F --> H["定点截取通话音频"]
E --> I["自建隧道长期驻留"]
I --> J["分段回传情报"]
G --> J
H --> J
整条链路有三个鲜明特征，每一条都值得运营商背下来。
第一，入口是老洞，不是0day。 公告点名了边界设备上被利用的老旧漏洞，其中包括思科IOS上2018年就披露的SNMP远程代码执行漏洞CVE-2018-0171——一个打了八年补丁的洞，2024年还在成为国家级攻击的入口。原因并不神秘：运营商网络里的VPN网关、IPsec集中器、老式路由器，很多根本不在IT资产库里，不进漏洞扫描范围，重启窗口一年排不上一次。攻击者不需要最锋利的钥匙，只需要找到那扇你忘了上锁的门。
第二，进门之后「就地取材」（Living Off the Land）。 盐台风最让防守方头疼的地方是：它几乎不用定制恶意软件，全部使用Windows系统自带工具——whoami查身份、net group查域内账户、ntdsutil直接转储活动目录数据库、Certutil和BITSADMIN做数据搬运。这些操作在EDR眼里和运维工程师的日常操作几乎一样，传统基于恶意样本特征的告警体系完全失明。CISA为此在公告里给出了一条专用Snort检测规则（SID 40142），专门识别这类「合法工具的异常组合」——比如凌晨三点从跳板机发起的ntdsutil。
第三，直奔「影子核心网」。 攻击者进入内网后，目标不是普通业务系统，而是监听平台、BOSS旁路、信令采集这类高权限系统。这些系统为了配合执法，天然具备「拿到任何一个号码的全部通信数据」的能力，一旦失守就是灾难级泄露。
标准允许运营商在监听网关的部署形态上有多种实现，具体行为以各厂家官方文档为准，但共性教训只有一条：这类系统必须按「假设全网已沦陷」的标准做隔离，而不是按普通业务系统的标准。
影响面有三个层次。
用户层：通话详单记录泄露意味着什么？电话号码、通话时间、时长、基站位置——单独看是元数据，拼起来就是一部完整的行为志。你和谁联系、频率如何、深夜几点、常在哪个城区，社工与定点威胁分析所需的全部原料都在里面。官方联合声明的用词是「相当大的量」（a significant volume），拒绝公布具体条数，媒体普遍估计涉及用户以千万计，此数字未经官方证实。
行业层：至少九家美国主流运营商确认遭入侵，波及范围随后扩展到全球多国的运营商与ISP。更深远的是信任层面的损伤——运营商一直以来向用户承诺的核心资产是「通话的私密性」，现在这个承诺被证明在自己的监听环节就断了链条。
监管层：这件事暴露了一个悖论。合法监听系统是法律要求运营商建设的，它是攻击者眼中价值最高的目标；监听能力越强，网络的单点风险越高。FBI官员在2024年12月公开建议民众改用端到端加密通信，这句话的讽刺意味拉满——美国执法机构与科技公司就端到端加密争论了十年，坚决反对「加密到连自己都看不了」的正是执法系统自己。如今它亲口劝大家用上Signal。这一建议之后，端到端加密通信的普及明显加速，运营商的「明文管道」业务价值进一步被架空。
美国政府的应对组合拳，几乎每一拳都开了行业先例。
第一拳：法院令驱逐。 2024年12月底，据美媒报道，美国政府依据CALEA法院令，强制运营商配合执行一项联合清除行动，把盘踞在至少八家网络里的入侵者踢了出去。这是一次罕见的操作——政府借法律强制力，把「驱逐黑客」变成了运营商的法律义务而非技术选择。但后续报道显示，部分对手随后又试图回流，驱逐行动需要反复执行。
第二拳：官方指南。 2024年12月中旬，CISA、FBI、NSA联合发布《电信行业增强可见性与加固指南》，核心要求包括：边缘设备（VPN网关、防火墙、路由器）全部纳入资产台账并集中采集日志；日志传输到专用日志服务器并防止攻击者篡改；清零所有默认口令，管理面收敛暴露；启用抗钓鱼MFA；缩短凭据有效期，限制高危命令执行。这份指南说穿了就一句话：别指望样本告警，你要能看见「合法工具的异常使用」。
第三拳：监管定性。 2024年11月13日，FCC一致通过声明性裁决，认定CALEA第105条本身就要求运营商保障网络免受非法接入——安全不再是「尽力而为」的商业选择，而是法定义务。不履行，等着的是处罚和法律责任。
第四拳：源头制裁。 2025年1月17日，美财政部OFAC制裁了四川巨臻安普信息技术有限公司，指其向盐台风提供漏洞利用工具。制裁打不到攻击者本人，但打得到「漏洞军火商」的生意模式。
四个动作拼在一起，是一套完整的打法：技术驱逐解决存量，官方指南建立防线标准，监管裁决压实责任，源头制裁抬高成本。运营商级安全的治理，从来不是纯技术问题。
复盘两年攻防，站在一线运维的角度，我提炼六条能落地的硬建议。
1. 边界设备资产台账，先扫盲区。 把全网VPN网关、IPsec集中器、老式路由器逐一清点入册，对标CISA指南的最低要求。查三样：软件版本是不是还在厂商支持期内、默认口令是否清零、管理面是否暴露公网。八年老洞被打穿的故事，起点永远是「这台设备没人记得」。
2. 日志集中化，且不可篡改。 边缘设备、域控、监听平台的日志必须实时外送专用日志服务器，采用攻击者拿不到凭据的存储方式。本机日志在入侵者手里就是第一个被删除的东西——盐台风入侵后的标准动作就是清痕迹。
3. 把「合法工具异常组合」做成告警。 基线思维要变：不要只盯恶意文件，要盯「谁在什么时候用了什么系统工具」。ntdsutil出现在非域控机器上、凌晨的管理员权限whoami、Certutil往外部地址传文件——这三条规则的成本极低，误报可控，却正中LOFL手法的七寸。
4. 高权限旁路系统单独划防。 监听网关、信令采集、DPI、网管北向接口，这些系统的访问权限模型要按最高等级设计：独立认证域、跳板机+双人复核、全量操作审计、异常访问即时告警。它们泄一次密，等于全网泄密。
5. 演练按「已入侵」假设做。 别再演练「如何阻止入侵」，要演练「发现入侵后72小时怎么办」：怎么定位横移路径、怎么在驱逐时保住业务、怎么保住证据链。盐台风的案例证明，驱逐本身都可能被对手预判并反制。
6. 把供应链漏洞纳入运营，而不是纳入新闻。 2025年披露的Pandemic Linux后门提醒我们，攻击面在从Windows向服务器操作系统、开源组件延伸。厂商公告与漏洞情报要有人每天消化并映射到自己的资产台账，形成「公告-排查-修复-验证」的闭环工单，而不是收藏夹里的一篇文章。
盐台风这两年的攻防拉锯，给全球通信行业上了一课：国家级对手眼里，运营商不是管道，是宝藏。你的监听平台、信令系统、详单库，每一个都是情报金矿；而你网络里那些十年没重启的老网关，就是他们的大门。
这起事件没有「结案」二字。驱逐、回流、再驱逐的拉锯还会继续，监管的绞索只会越收越紧。对运维人来说，唯一正确的姿势是把「假设已被入侵」写进组织的肌肉记忆——台账清楚、日志完整、告警命中、预案演练。等到法院令和监管处罚找上门的那天，你唯一能拿出来的辩护证据，就是这几样东西。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。