有美國媒體今天用頭版報(bào)道了此前納斯達(dá)克服務(wù)器被感染的事件，指惡意軟件靠2個(gè)零日漏洞攻入納斯達(dá)克系統(tǒng)。

文章指，盡管納斯達(dá)克證券交易所在計(jì)算機(jī)安全上大撒金錢，卻仍然對黑客大開中門。納斯達(dá)克軟件遭受攻擊一事第一次被報(bào)道是在2011年2月，今天的報(bào)道給出了關(guān)于此次攻擊事件更多的細(xì)節(jié)。

2010年，美國聯(lián)邦調(diào)查局發(fā)現(xiàn)納斯達(dá)克系統(tǒng)與外界存在不尋常的網(wǎng)絡(luò)活動(dòng)，表明系統(tǒng)被惡意軟件感染。聯(lián)邦調(diào)查局納通知了納斯達(dá)克交易所，交易所此前已經(jīng)知道系統(tǒng)存在漏洞，但忘了將漏洞的事通知?jiǎng)e的部門。聯(lián)邦調(diào)查局、國家安全局、中央情報(bào)局和美國財(cái)政部4個(gè)部門隨即開始了一個(gè)為期五個(gè)月的調(diào)查。

彭博做的調(diào)查報(bào)告稱，4個(gè)部門五個(gè)月的調(diào)查最后發(fā)現(xiàn)，納斯達(dá)克系統(tǒng)里存在惡意軟件，惡意軟件利用了兩個(gè)未提名字的安全漏洞。而這些安全漏洞并沒有對應(yīng)的補(bǔ)丁存在。商業(yè)雜志彭博沒能找出是哪一款軟件被攻擊，也未能確定零日漏洞是用于感染系統(tǒng)或是用于偷盜數(shù)據(jù)及其他細(xì)節(jié)。

文章指，經(jīng)過對攻擊代碼的分析，找到的跡象表明惡意軟件的設(shè)計(jì)與俄羅斯聯(lián)邦安全局的間諜軟件類似。根據(jù)美國國家安全局的說法，該惡意軟件可以在極大程度上擾亂交易所的運(yùn)作。

但彭博指，該惡意軟件的出處其實(shí)存在很多可能。

據(jù)說四個(gè)部門對漏洞的調(diào)查從一開始就頻頻受阻，原因是交易所內(nèi)的安全程序以及實(shí)施做得太差。一些日常的服務(wù)器日志大多無效，而這些日志對查明攻擊活動(dòng)是很有幫助的。

調(diào)查人員分析了網(wǎng)絡(luò)流量活動(dòng)后發(fā)現(xiàn)了多個(gè)感染，據(jù)推測，惡意軟件在交易所獲得數(shù)據(jù)后即將數(shù)據(jù)發(fā)送到別的地方，導(dǎo)致了信息的泄露。但沒人知道是否涉及金錢以及涉及的金額是多少。

不過一名調(diào)查員稱，交易所的那些服務(wù)器是“一潭臟水”。

鑒于事件的嚴(yán)重性，山姆大叔著手檢查10美國銀行，以確定納斯達(dá)克是否交叉污染了這些銀行。有幾家銀行不同意被檢查，但那些被檢查的銀行都沒有感染納斯達(dá)克的惡意軟件。然而，幾乎所有銀行的計(jì)算機(jī)安全方案都十分松散，在受到同類攻擊時(shí)肯定會被感染。

2011年2月，納斯達(dá)克對客戶發(fā)出相關(guān)的警告通知，指交易所受到攻擊，同年10月又提供了更多的細(xì)節(jié)。納斯達(dá)克老總Robert Greifeld當(dāng)時(shí)曽表示，交易所在計(jì)算機(jī)安全上花了近10億美元。

如果彭博社的調(diào)查結(jié)果是準(zhǔn)確的，筆者就有些搞不清楚這些錢都花在什么上了。國家安全局前局長曽經(jīng)愿意每月拿60萬美元為銀行做安全顧問。這樣看來，或許他的收費(fèi)也不是那么離譜。