# 盐台风在核心网住了四年 **概述**：2025年8月27日，美国NSA、CISA、FBI联合澳大利亚、加拿大、英国、日本、德国等共13个国家的23家安全与情报机构，发布编号AA25-239A的联合通报，公开了一份针对全球电信运营商的国家级入侵活动完整档案——这就是业界所称的“盐台风”（Salt Typhoon）。通报披露的IP活动时间窗最早可追溯到2021年8月，最近持续到2025年6月，受影响网络横跨美国、澳大利亚、加拿大、英国、新西兰等多国。最颠覆认知的结论是：整个攻击过程中**没有使用任何零日漏洞**。本文以这份通报为主轴，复盘攻击者如何仅凭旧漏洞、弱口令和运维疏忽住进电信核心网四年，以及运营商工程师今晚就能动手的八条自查。 ## 目录 - 一、先说结论：一颗零日都没有 - 二、被点名的运营商与幕后“承包商” - 三、进门：边缘设备上的旧锁 - 四、住下：把运维工具变成作案工具 - 五、失守的合法监听面 - 六、驱逐为何这么难 - 七、今晚就能做的八条自查 - 结语 ## 一、先说结论：一颗零日都没有 对于习惯了"APT=天价零日武器库"叙事的工程师来说，AA25-239A最刺眼的一句话藏在技术细节开头：*"Exploitation of zero-day vulnerabilities has not been observed to date"*——迄今未观察到任何零日漏洞利用。 一个国家级攻击组织，在多家顶级运营商的核心网里潜伏数年，用的全是公开多时的已知CVE、没改的默认口令、以及配置里的历史遗留问题。通报里有一句话值得所有网优网维人员抄在工位上：这些攻击者"在利用被入侵基础设施中公开已知的CVE和其他可避免弱点方面，取得了相当大的成功"。 按惯例先给时间线，细节在后文展开： | 时间 | 事件 | 出处 | | --- | --- | --- | | 2021年8月 | 通报所附IP指标中最早的活动记录 | CISA AA25-239A | | 2024年10月初 | 美国媒体首次报道多家美国电信企业被渗透 | 美国国会研究服务处（CRS）报告IF12798 | | 2024年11月 | FBI与CISA发布联合声明，确认境外国家级背景 | 公开事件档案 | | 2024年12月 | CISA与FBI发布《通信基础设施增强可见性与加固指南》 | 通报引用资源 | | 2025年1月 | 美方制裁一名相关个人与一家网络安全公司 | CRS报告IF12798 | | 2025年8月27日 | 13国23家机构联合发布AA25-239A | CISA | 安全业界给这个活动起过一堆名字：Salt Typhoon（微软命名）、RedMike、UNC5807、GhostEmperor、OPERATOR PANDA。通报特意说明：官方不采纳任何商业命名，统称"APT攻击者"。这种命名上的克制，恰恰说明活动横跨的厂商情报口径太杂——但技术事实是收敛的。 ## 二、被点名的运营商与幕后“承包商” 这次事件在美国国内的量级，可以从两个数字感受。 第一个数字是受害面。据Cloudskope等公开事件档案梳理，被确认涉及的美国电信运营商至少九家，公开报道中点名过AT&T、Verizon、T-Mobile；单家运营商的潜伏时长据称达到八个月量级。CRS报告明确写道，美国政府的调查关注点包括“窃取客户通信和执法信息，以及针对政治人物”——据CRS转述的公开调查信息，攻击者可能接触过总统候选人的通信，这意味着未加密的语音通话和短信理论上可被回捞。 第二个数字来自美国政府的反应机制。按CRS的报告，这是美国政府历史上**第四次**成立"网络统一协调组"（Cyber UCG）——前三次分别用于2021年微软Exchange入侵、2021年SolarWinds供应链事件和2023年俄乌战争的国内备战协调。一个入侵事件能凑齐这个规格，说明它已经不单是安全事件，而是被当作国家级危机处置。 2025年8月的联合通报则进一步点名了三家中国企业：四川聚信和网络科技有限公司、北京寰宇天穹信息技术有限公司、四川智信锐捷网络科技有限公司，称其为包括多支军队单位和情报机构在内的客户提供网络产品与服务——需要说明，这是美方通报的单方面指控口径。此前2025年1月，美国政府已据此制裁了一名个人和一家网络安全公司（据CRS报告）。 ## 三、进门：边缘设备上的旧锁 攻击者从哪里进来？通报给出的入口清单，每个电信工程师都眼熟——那些常年挂在互联网上的边缘设备： - **CVE-2023-20198 + CVE-2023-20273**：Cisco IOS XE Web管理界面的认证绕过+提权组合拳。2023年10月轰动全网的老洞，攻击者用URL双重编码混淆请求路径（例如`/%2577eb%2575i_%2577sma_Http`）来绕过检测规则，直接通过WSMA端点创建特权15账号； - **CVE-2024-3400**：Palo Alto防火墙GlobalProtect的未认证RCE； - **CVE-2024-21887**（串联CVE-2023-46805）：Ivanti Connect Secure的命令注入； - **CVE-2018-0171**：Cisco Smart Install远程代码执行——注意，这是**2018年**的洞，通报发布时仍在实战中被利用。 通报还提醒，Fortinet、Juniper、诺基亚路由器、Sierra Wireless等设备同样在疑似目标清单上，攻击者具备打击其他厂商设备的能力，具体防护以各厂家官方加固文档为准。 除了直接打，还有两条更隐蔽的路：一是**借道**——把与目标无关的第三方设备（哪怕是某个小ISP的客户路由器）打下来当跳板，利用运营商之间天然存在的信任互联（provider-to-provider链路）横向渗入；二是**猜口令**——通报直言，`cisco/cisco`这类弱凭据"被持续利用"。 整条攻击链从进门到出网，可以用一张图概括： ```mermaid flowchart TD A["公网暴露的边缘设备
老CVE长期未修"] --> B["认证绕过加提权
拿下设备控制权"] B --> C["建特权账号
ACL塞进攻击者IP"] C --> D["Guest Shell容器内跑工具
躲开设备日志"] D --> E["改TACACS+服务器指向
抓49端口认证流量"] E --> F["tac.pcap经FTP导出
回捞管理员口令"] F --> G["SPAN镜像加GRE隧道
持续收用户流量"] G --> H["借运营商互联链路
把数据送出网"] ``` ## 四、住下：把运维工具变成作案工具 进门的只是入口，真正让这次事件成为经典的，是攻击者在设备里“住下来”的手法——**几乎每一样都是电信运维的日常工具**。 **第一招：配置里藏后门。** 攻击者修改ACL放行自己的IP，而且有命名强迫症——多数叫`access-list 20`，被占用就换10或50。开SSH服务时专挑高位端口，端口号习惯用`22x22`或`xxx22`的样式；HTTP管理口则爱用`18xxx`段。这些模式在多起入侵中反复出现，直接成了通报里的猎杀特征。 **第二招：住进容器。** Cisco IOS XE和NX-OS支持一个叫Guest Shell的机内Linux容器（LXC），本意是给运维跑自动化脚本用。攻击者发现：容器里的进程活动**不进设备syslog**。于是在里面跑Python工具（比如打Smart Install的siet.py）、用pip装依赖、把抓来的配置和PCAP暂存在bootflash里，用完还能`guestshell destroy`毁尸灭迹。检测必须靠AAA命令记账+容器日志+网外遥测三路并用——通报原话：*do not rely on device syslog alone*。 **第三招：劫持认证协议。** 这是全案最狠的一手。攻击者用Cisco嵌入式抓包功能精准抓TCP/49端口的TACACS+流量： ``` monitor capture mycap match ipv4 protocol tcp any any eq 49 monitor capture mycap export bootflash:tac.pcap ``` 抓到包还不够解密？没关系——如果设备配置里的TACACS+共享密钥是用Type 7（可逆编码）存的，从配置里捞出来就能离线解密。更直接的场景是：改路由器的TACACS+服务器指向攻击者控制的IP，网管一登录，账号口令白送。拿到网络管理员的凭据，整张网就是他们的了。 **第四招：镜像流量、隧道出网。** 攻击者在受害设备上开SPAN/RSPAN/ERSPAN镜像会话收集特定客户网络的流量，再建GRE/mGRE/IPsec隧道把数据打包——这些隧道混在运营商动辄几百G的合法隧道洪流里，极难察觉。最后一步更精妙：**借对等互联出网**。通报指出，peering链路之间天然缺乏"对方能给我递什么数据"的策略约束，攻击者直接滥用这个信任边界把数据搬运出去。至少一起案例中，数据是走GRE和MPLS隧道送回的。 另外两个值得记录的细节：一是攻击者会利用配置归档系统（通报点名RANCID）的自动化凭据横向扫荡全网设备——你的配置备份体系，成了他们的内网地图；二是在Cisco IOS XR上，攻击者开启了宿主Linux的`sshd_operns`服务（监听TCP/57722），新建本地用户并塞进sudoers，直接拿到操作系统级root——从网元CLI到宿主机，防线被整个击穿。横向移动用的还是开源多跳代理工具STOWAWAY，外传文件用的是Go语言编写的自研SFTP客户端（通报附了完整Yara规则）。 ## 五、失守的合法监听面 这次事件里最炸裂的一页，是CRS报告确认的调查方向：公开报道指向攻击者染指了**法院授权监听**的辅助系统——即依据法律程序供执法机构接入的合法监听（Lawful Intercept）基础设施。 这个层面的失守意味着什么？合法监听系统的设计目标是“运营商配合执法”，接口权限极高、可触达指定用户的通话内容和元数据。一旦这类系统被第三方控制，等于监听能力本身被武器化——理论上可以反向对任意目标执行“监听”。据公开事件档案，FBI与CISA确认攻击者接触过此类系统，且调查关注点包括政治人物的通信。 对网络架构师而言，这里有一个残酷的推论：**合法监听面越大，核心网的攻击面越大**。你为合规多部署的每一套高权限接口，都是潜在攻击者眼里的高价值目标。这类系统与生产网的隔离等级、操作审计、账号生命周期管理，理应按最高标准执行——而不是当作“只有执法部门会用所以没人碰”的孤岛。 ## 六、驱逐为何这么难 通报里有一段话，圈内人读来会倒吸凉气：**部分清理会打草惊蛇**。攻击者经常同时拿下企业的邮件服务器或管理员的工作终端/账号，专门用于监控防守方是否察觉——你在告警系统里加的那条新规则、你在会议室里讨论的那次“清理计划”，可能对方比你的安全总监知道得还早。 因此通报给出的处置建议是：先全面摸清入侵范围，再**一次性同步驱逐**——先抓取现场证据（进程列表、socket、板载文件），再全量清除。顺序错了，轻则对方转入更深的潜伏，重则触发其在其他网络的破坏性动作。 监管层面，连锁反应已经发生：2024年12月CISA与FBI先发布了通信基础设施的增强可见性与加固指南，2025年8月的联合通报则是全球协同的升级版；通报的引用资源里还专门列了英国《2021年电信安全法》及配套实施守则、ETSI特权访问工作站（PAWS）技术规范。可以预见，“电信核心网安全要接受监管审查”正在从倡议变成各国的硬性要求。 ## 七、今晚就能做的八条自查 把AA25-239A几十页的缓解建议压缩成网维人员可执行的清单，按优先级排序： **1. 管理面隔离。** 所有网管服务（SSH/HTTPS/SNMP/TACACS+）严格收进带外管理网或管理VRF，确保该VRF与用户面、peering面无路由泄漏，出向只放行AAA/syslog/遥测采集器。这是整个防御体系的地基。 **2. 清理弱认证。** SNMP只留v3（authPriv模式），community是`public/private`的设备今晚就改；配置里出现Type 7编码的密码视为事故级风险，迁移到Type 8（PBKDF2）；密钥类共享串用Type 6加密存储；管理认证尽量公钥化，关掉Telnet和明文HTTP。 **3. 按指纹建告警。** 高位SSH端口（22x22/xxx22样式）、18xxx样式HTTPS监听、IOS XR的TCP/57722监听、名为`access-list 20`的陌生ACL、`mycap.pcap`/`tac.pcap`命名规律——这批特征直接抄进SIEM规则，是官方给的免费情报。 **4. Guest Shell治理。** 不用就`guestshell disable`（NX-OS再加`guestshell destroy`）；要用的环境，把容器的启停和`chvrf`/`dohost`调用全部纳入TACACS+命令授权并告警，容器日志单独送SIEM。 **5. AAA命令记账全开。** 所有特权命令执行记录落账，特别是抓包（monitor capture）、镜像会话（monitor session）、隧道配置、AAA服务器指向变更这几类命令——攻击者改的就是它们，正常运维很少碰。 **6. 配置基线审计。** 拉全网运行配置与授权基线做差异比对：路由表里多出的静态路由、ACL里多出的IP、指向外部的FTP/TFTP流量、AS间解释不了的隧道。通报反复强调change management，原因很简单——这种入侵**没有恶意软件可查杀**，唯一的异常信号就是配置漂移。 **7. BGP与隧道加固。** eBGP会话开GTSM（TTL security）、上TCP-AO认证、严格前缀与AS路径过滤、配置maximum-prefix；审计穿越安全边界的每一条隧道。 **8. 固件完整性校验。** 对关键网元做固件哈希比对（参照NSA的NDI方法论），确认运行镜像与厂商官方库一致，升级到仍在维护的版本——跑EOL系统的设备，本质上是给攻击者留门。 ## 结语 复盘完这四年的潜伏，最值得记住的不是攻击者是谁，而是他们怎么进来的：**没有零日，没有魔法，只有2023年的老洞、2018年的老洞、没改的community和可逆的密码。** 通报里那些被反复利用的弱点，在任何一个规范的网维流程里都活不过一个季度巡检。 电信网络的价值正在从“管道”变成“国家的一切通信的底座”，它因此成为最高级别情报活动的目标。对运营商工程师来说，这一次的教训朴素得近乎残忍：把网管面的卫生搞好，把配置基线盯住，把那些“方便运维”的内置功能管起来——安全水位，就藏在你每天敲的那些命令行里。 ## 参考来源 1. [AA25-239A: Countering Chinese State-Sponsored Actors Compromise of Networks Worldwide to Feed Global Espionage System](https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-239a) — 本文主轴，NSA/CISA/FBI与13国23家机构联合通报（2025年8月27日发布） 2. [CRS报告 IF12798: Salt Typhoon Hacks of Telecommunications Companies and Federal Response Implications](https://www.congress.gov/crs_external_products/IF/PDF/IF12798/IF12798.15.pdf) — 美国国会研究服务处事件梳理（2025年1月23日更新版） 3. [FBI: Joint Cybersecurity Advisory Related to Salt Typhoon](https://www.fbi.gov/video-repository/salttyphoon082725.mp4/view) — FBI就联合通报发布的官方视频说明 4. [Salt Typhoon U.S. Telecommunications Intrusion Campaign（事件档案）](https://threatpedia.wiki/campaigns/salt-typhoon-telecom-intrusion-campaign/) — 事件脉络与FBI/CISA确认要点汇总 5. [Salt Typhoon 2024-25: China US Telecom Hack（事件档案）](https://www.cloudskope.com/breaches/salt-typhoon-telecom-breach-2025) — 受影响运营商数量与潜伏时长的第三方梳理 6. [Salt Typhoon Global Advisory 事件追踪页](https://www.16sectors.org/incident/INC-0130) — 2021年8月至2025年6月活动窗口的第三方归档 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。