朝鲜黑客10月24日完成216服务器目标清单 美国占49个

216台服务器的目标清单于10月24日收尾

与朝鲜关联的黑客在10月24日(星期六)完成了一份包含216台网页服务器的目标清单,五天之后,Binance宣布损失63亿美元。清单中美国以49个目标居首。网络安全公司Cyfirma获取了该组织的内部聊天记录,并以“高置信度”将这一行动归因于Lazarus Group,即朝鲜最知名的国家黑客组织。这些记录来自攻击者用于协调行动的一个私密频道,可以锁定清单完成的日期,却未记载行动从何时开始,公告对这一时间空白也未作解释。国别分布上,日本以47台服务器排在第二,印度31台,韩国30台,韩国的具体数字于星期日经当地报道披露。上述四个国家合计占216台服务器中的157台,而美国49个的单国数量是清单中最大的一份。这伙人专门搜寻运行PHP的服务器。PHP是支撑全球约69%网站的服务端语言,据Tenable引用的W3Techs数据,这正是某一类漏洞能够在整个互联网上大规模铺开的原因。清单中每一条都是网页服务器,而非终端用户设备,也就是说这次储备攻击瞄准的是基础设施,不是个人电脑或手机。两个被称作PHP2Shell的严重缺陷,可以让攻击者接管任何未打补丁的受影响版本服务器。清单完成与Binance损失之间五天的时间差是外界关注的焦点,不过公告本身并未在这场储备行动与交易所失窃之间画上等号。

PHP2Shell与五天的补丁窗口

这对漏洞位于整个行动的核心,名字本身就描述了攻击路径:从PHP处理环节的缺陷,一步步走到对主机的完全远程控制。PHP的维护者在10月21日发布了针对两个漏洞的修复。五天之后,美国网络安全和基础设施安全局(CISA)将这两个缺陷列入其在野利用目录,也就是联邦机构视为紧急修复优先事项的清单。对任何在生产环境运行PHP的机构来说,这五天就是实际意义上的截止期限。补丁装得晚,或者重启了应用却没有重建PHP运行时的运营者,暴露面依然存在。聊天记录也写明了这次储备行动的目的。代号“操作员1”的成员写道:“我们需要财务成果,以及任何能通向财务、交易或钱包资料的东西。”按公告的表述,这类要求涵盖一切可能把队伍引向资金的路径:交易所登录凭证、交易权限、加密货币期货账户,或者存储的钱包数据。记录中没有任何内容把范围限定在某个地区或某个平台。操作员还吹嘘了战果,声称216台服务器中大部分“已经埋好了东西”,清单随后已扩至581个目标。Cyfirma对这两点均未证实。它对清单本身的判断很干脆:“出现在清单上意味着被锁定,不代表已被攻陷。”公告没有点名任何已确认的受害方,也没有说明美国那49台服务器分属哪些行业。这种沉默是有意的:该公司的证据基础就是那个聊天频道本身,而非服务器取证。至于处置办法,正如Cyfirma威胁公告所述,只有两步:先给PHP打补丁,再重启所有PHP进程。该公司警告,只更新网站程序等于把门继续敞着。

Binance问题悬而未决

Cyfirma的公告没有提及Binance。联邦调查局(FBI)已单独指认朝鲜策划了这起交易所失窃,美国检方正在寻求扣押其中12亿美元的赃款。链上分析机构此前的研报还认定,朝鲜黑客同样是Bitget 3.87亿美元失窃案的幕后黑手。清单与Binance损失相隔五天,但没有任何已公开的证据能把时间上的巧合变成因果。即便不算这次216服务器行动,与朝鲜关联、围绕交易所的已确认损失在扣押案和Bitget案中已经累计约16亿美元。这个区分对持币者很实际:一台被攻破的网页服务器本身触及不了自托管的钱币,无论用户手里是硬件签名设备还是Tangem Pay这类产品;而托管余额所依赖的交易所基础设施,历来是该网络关联团伙的打击对象,从跨链桥到交易所内部系统都是如此。截至星期日,Cyfirma的公告就是最后一份书面结论:目标锁定已确认,实际攻陷未证实。