本文讲的是 NSA监控全球反病毒厂商 英美除外，自由斯诺登网（Edwardsnowden.com）最新披露了一份美国NSA内部文件《An Easy Win：Using SIGINT to Learn about New Viruses（轻松的胜利：利用通信情报来了解新病毒）》，文件介绍了美国自2007年开始执行的“拱形”计划（Camberdada），主要对以俄罗斯卡巴斯基等为主的目标进行监控，以获取新的病毒样本及其他信息。
从这份秘密文档看，NSA充分利用了其在全球网络的布局的体系优势（类似棱镜等系统），监听获取全球用户上报给卡巴斯基的病毒样本，并对这些样本同样进行分析、遏制、反制等操作。
NSA在该文档中提出，可以让其TAO攻击组织分析这些恶意代码实现改造和重新重用，同时也可以有利于监控恶意代码的作者。NSA同时提出可以监控卡巴斯基对这些文件的响应频率，这一点有可能是NSA在担心卡巴斯基等产品是否会都本国攻击使用的恶意代码放行。
在这份文档的最后，NSA列出了其计划展开监控的“更多目标”，除作为主要目标的卡巴斯基外，还包括了13个欧洲国家和3个亚洲国家总计23个反病毒厂商。基本涵盖了英美国以外的几乎所有重要的反病毒厂商。其中包括了网络安全人士耳熟能详的大蜘蛛（俄罗斯）、比特梵徳（罗马尼亚）、小红伞（德国）、诺曼（挪威），值得我们注意的是中国厂商安天也进入目标。
这份文档为“五眼”安全联盟的绝密（TOP Secert）文档。五眼安全联盟是一个由美国发起的五国联合情报组织，其他四国为英国、澳大利亚、加拿大和新西兰，因此上述五国均无厂商上榜。如美国传统反病毒三巨头赛门铁克、迈克菲和趋势然不会上榜，而Comodo等美国中小杀毒厂商和英国著名反病毒厂商Sophos也在榜单之外。这或许说明上述厂商，已经和NSA建立了有利的互动通道，NSA不需要依赖这种方式就可以获取这些厂商的资源。
据安全专家分析，如果用户向反病毒厂商上报样本邮件途径美国监控的网络节点，就会被还原下来，美国情报机构可以获取这些样本，可以重新利用。同时也能观察安全厂商对样本的响应能力。
美、英、以色列等西方情报机构一再在寻求绕开安全防御手段的方法，以实现更深入隐蔽的入侵。这正好解释了在此前，在全球范围内拥有超过4亿用户的卡巴斯基实验室遭入侵的原因，卡巴斯基在报告中就指出，“入侵者的意图在于学习反病毒软件”。用户人工提交给厂商的样本往往是能够绕过厂商检测的样本，而NSA获取了这些样本的技巧就有利于所编写的木马避免被反病毒厂商检测到。相关报道也指出，“反病毒厂商的产品必然会成为入侵行动的阻碍，所以利用对软件的“反向工程”等手法来找出弱点所在，才能为情报机构的入侵计划扫清障碍。”
而此次代号为“Camberdata”的项目中所列举的厂商，显然就成了相关情报机构入侵行动的绊脚石。卡巴斯基在震网、方程式等进行的分析，显然让美国颜面无光；而安天也曾公开发布对震网、火焰等攻击行动的长篇分析报告。在相关文档中，有一段话解释了“CAMBERDADA”的目的：“类似卡巴斯基反病毒软件的这类安全产品持续对GCHQ的行动能力构成挑战，而软件反向工程的目的就是要一直跟踪此类软件的能力，否则我们的行为将被检测到”。
原文发布时间为：六月 24, 2015
本文作者：Venvoo
本文来自云栖社区合作伙伴安全牛，了解相关信息可以关注安全牛。
原文链接：http://www.aqniu.com/industry/8284.html
