憑中式英文鎖定上海幫

【明報專訊】到底曼迪昂特的報告，是怎樣將「上海幫黑客」與61398部隊扯上關係？

根據曼迪昂特從公開資料查證，江蘇龍海建工集團2007年初在浦東新區高橋鎮大同路208號，興建了佔地13萬平方呎、可容納2000人辦公的「61398部隊中心大樓」。根據中國電話簿資料，大同路上還設有該部隊的司令部。報告列舉了中國電訊一份「關於總參二局需使用我公司通信管道的請示」的備忘文件內容，當中明確註明61398部隊正是負責刺探網絡情報的「總參三部二局」的代號。


遙控露馬腳 揭用簡體字鍵盤

報告指出，中國最活躍的一個黑客組織，過去7年入侵過近150間機構的電腦系統，在1905宗個案中，97%可追溯到是上海IP位址，而對這些IP位址的分析，可發現攻擊源頭主要來自上海4組網絡，當中兩組位於浦東新區。


報告提到，上海幫黑客常用Remote Desktop(下稱RD)這套常見遙控程式工具，去遙控大批殭屍電腦，但由於RD軟件會要求遙控者的電腦，提供一些重要資料給受控方，包括遙控者所用電腦的鍵盤輸入字款，他們正是以此查出，遙控者所用的鍵盤輸入語言，97％都是簡體中文。


報告詳列觀察到的上海幫黑客活動，與61398部隊所知的特徵比較，認為若浦東不是中國政府刺探網絡情報的中心，很難想像官方對當地竟存在這樣龐大的黑客集團懵然不知，唯一的可能答案是，上海幫黑客就是61398部隊。


報告認為，這些以完美英語佈電郵陷阱、引美國公司上釣的黑客，可能由61398部隊招攬。報告指出，該部隊積極招募哈爾濱工業大學、浙江大學計算機學院的畢業生。有意投考61398部隊的學生，甚至獲校方介紹報讀個別電腦專業或英語課程。報告稱，雖然電郵陷阱中所用的英語很完美，但惡意程式中出現的英文文法欠佳，卻反映編寫程式的黑客非以英語為母語（見表）。程式中部分暗語更是中文，例如「連接肉雞」（connecting to rouju）中的「肉雞」，就是指中毒的電腦。另外，黑客在登記cnndaily.com、gmailboxes.com等網域企圖魚目混珠時，亦露出馬腳，例如向網域機構以美國地址登記，卻串錯地方名，甚至填上中國電話號碼字頭+86而非美國字頭的+1。