一次网络入侵，可能停留在窃取邮件，也可能沿着控制系统影响电力、生产和物流。国家背景APT之所以值得警惕，在于攻击者有能力围绕目标持续行动。但读懂这类事件，还要分清三个问题：实际发生了什么，谁对攻击作出了归因，以及证据能够支持怎样的法律结论。

一  从乌克兰停电看网络攻击的现实后果

2015年12月23日，乌克兰三家配电企业遭到协同攻击，约22.5万用户停电数小时，数十座变电站受到影响。调查人员发现，攻击者利用远程访问能力进入控制环境，操作断路器，又破坏部分计算机数据和通信设备。用户经历的是停电，电力企业还要应对控制系统受损。[1]

攻击在停电之前已经展开。技术复盘指出，攻击者先通过钓鱼邮件建立入口、搜集凭据，随后利用缺少多因素认证保护的远程访问通道，逐步接近控制系统。停电时，对客服中心的电话拒绝服务攻击又妨碍了故障反馈。[1]

工程师通过人工操作恢复了供电，但控制系统没有随之恢复原状。美国爱达荷国家实验室的回顾指出，两个月后，相关企业仍依靠人工操作部分变电站。这个细节比“停电几小时”更能说明问题：一次攻击结束后，业务的脆弱状态可能还会持续。[1]

这起事件通常被视为首起得到广泛确认、由网络攻击直接造成的电力中断。美国司法部2020年公布的起诉材料指控，俄罗斯军事情报机构GRU第74455部队人员参与了2015年和2016年乌克兰电网攻击。上述内容属于检方指控，不等于已经作出的有罪判决。[2]

二  APT的能力和行动方式

APT是Advanced Persistent Threat的缩写，译为“高级持续性威胁”。NIST的定义强调资源、专业能力、持续追求目标，以及随防守措施调整行动的能力。许多APT被研究机构或政府认定具有国家背景，但“国家支持”不是这一技术概念的必备条件，APT也不是刑法上的罪名。[3]

“高级”不意味着每次行动都依赖零日漏洞。攻击者也会使用已公开漏洞、被盗账户和现成工具，只要这些办法足以进入目标。“持续”主要指围绕目标长期投入、反复尝试，不等于每个样本都要潜伏数年。情报窃取本身就是APT的重要目的；破坏设备、干扰业务或提前建立访问能力，则是另外一些行动目标。

为便于理解，可以把常见过程分成侦察、进入系统、保持访问、内部扩展、执行任务、调整或撤离六个环节。这是科普性的归纳，不是固定的“六步杀戮链”。真实行动往往反复跨越这些环节，也可能在获得一个有效账户后直接接触关键数据。[4]

例如，鱼叉式钓鱼会根据收件人的工作设计邮件；水坑攻击会污染目标常访问的网站；供应链攻击借用软件或服务商的交付渠道。进入网络后，攻击者可能用已取得的密码哈希进行认证和横向移动，这才是Pass-the-Hash的含义，它不是一种“窃取哈希”的同义说法。类似技术细节需要放回具体攻击链，不能仅凭工具名字判断行动是否“高级”。[4]

图1  APT的概念与常见行动过程

三  面向中国的APT报告如何阅读

西北工业大学事件中的数字与归因

2022年9月，国家计算机病毒应急处理中心公布与360联合技术团队的调查报告，将西北工业大学相关攻击归因于美国国家安全局下属TAO。报告称，相关攻击使用了40余种工具，以及分布在17个国家的54台跳板机和代理服务器；技术团队在该校网络内发现1100余条渗透链路。[5]

这些数字应与报告的统计范围一起阅读。跳板机和代理服务器的位置，可以反映通信路径，却不能单独确定操作者的所在地。归因还需要结合样本、基础设施、操作方式和其他证据。公开通报提供了调查方的结论，但并不意味着全部取证材料已经公开，更不能代替司法机关对个案证据的审查。

海莲花及南亚相关行动的技术线索

海莲花常被称为OceanLotus或APT32。国内外安全厂商长期追踪其针对中国和东南亚多类目标的网络间谍活动。FireEye在2017年的报告中评估，该组织的行动与越南政府利益一致。[6]

腾讯在2019年的报告中发现，海莲花的部分后门采用与目标环境绑定的加密设计，解密依赖相应机器特征。研究人员缺少这些信息时，难以直接取得后续载荷，增加了分析成本。[6]

Patchwork在部分中文报告中被称为白象或摩诃草，不同厂商对这些别名和历史活动的划分并不完全相同。安天在2022年披露的一次相关攻击中，分析了利用CVE-2017-11882投递BADNEWS木马的样本；该样本会检查系统时区，在匹配中国标准时区后开展信息收集。[7]

BITTER在国内也常被称为蔓灵花。Proofpoint与Threatray在2025年的研究中评估，它高度可能为印度国家利益收集情报。奇安信披露的历史案例展示了一种账户窃取方式：攻击者冒充企业信息技术部门发送账户异常提醒，把员工引向仿冒邮箱登录页；骗取凭据后，再利用失陷邮箱向内部人员投递恶意附件。[8]

亚冬会通报不能把攻击总量等同于单一行为人

国家计算机病毒应急处理中心的监测报告称，2025年1月26日至2月14日，哈尔滨亚冬会赛事信息系统遭遇270167次境外网络攻击。哈尔滨警方随后公布相关调查结论，将有关行动归因于NSA，并通缉3名犯罪嫌疑人。前者是监测统计，后者是针对行为人的调查与指控；不能把监测统计中的每一次攻击都归于同一机构，也不能将通缉直接理解为定罪。[9]

阅读APT报告时，值得先看四件事：报告是谁发布的，技术证据公开到什么程度，归因使用了怎样的置信表述，统计数字覆盖的是哪些时间和目标。厂商活动代号、官方通报与司法认定各有用途，不能相互替代。

四  中国法下的责任与跨境追责

讨论境外APT，首先要审查我国刑法是否适用，再判断行为符合哪个罪名。刑法第6至第9条规定了相关适用依据。海外电网受袭、境外核设施遭破坏，可以帮助理解风险，但不能因为事件严重，就直接给行为人套用中国法上的罪名。[10]

侵入  取数  控制和破坏要分别判断

刑法第285条第一款针对违反国家规定，非法侵入国家事务、国防建设、尖端科学技术领域计算机信息系统的行为。这些法定系统不能笼统替换成所有“重要系统”。对其他系统，第二款规制非法获取数据或实施非法控制，并要求达到“情节严重”；只是未经授权进入，并不能当然推出第二款成立。[10]

第285条第三款关注向他人提供程序、工具的行为：提供专门用于侵入、非法控制系统的工具，或者明知他人实施相关违法犯罪仍予提供，并达到情节严重，才可能构罪。安全工具的研发、发布或使用，不会仅因具备某种技术能力就自动入罪，仍须审查工具属性、提供行为和主观明知等要件。[10][11]

第286条关注对系统功能、数据或应用程序的破坏，以及制作、传播破坏性程序等行为及其严重后果。非法操纵电网控制系统、恶意擦除业务数据，可能涉及这类评价；如果还危及公共安全或损坏其他受保护对象，也可能涉及其他罪名。第285条与第286条均有单位犯罪规定，组织化行动中还应审查单位责任和各参与人的具体作用。[10][11]

供应商被攻击与拒不履行义务不是同一回事

第286条之一规定拒不履行信息网络安全管理义务罪。它不是“安全事故罪”。需要审查行为人是否属于网络服务提供者，是否违反法律、行政法规规定的管理义务，是否经有权部门责令采取改正措施，有能力履行却拒不改正，并发生法定严重后果或其他严重情节。企业自身遭到入侵，并不当然满足这些条件；不构成刑事犯罪，也不意味着没有行政、民事或合同责任。[12]

按2026年现行网络安全法理解义务

《网络安全法》2025年修改的相关规定已自2026年1月1日起施行，部分条号和责任规则随之调整。现行第6条规定国家监测、防御和处置境内外网络风险，保护关键信息基础设施；第27条规定网络运营者的应急预案、风险处置和事件报告义务。[15]

现行第77条针对境外机构、组织或个人从事危害我国网络安全的活动，规定依法追究法律责任，范围已不再仅限于关键信息基础设施。造成严重后果时，有关部门还可依法采取冻结财产等必要制裁措施。这里要区分一般追责与制裁条件，不能把“造成严重后果”写成所有法律责任的统一前提。[15]

有管辖依据不等于跨境追责障碍已经消失

2022年两高一部关于信息网络犯罪刑事诉讼程序的意见，明确了犯罪地连接点以及并案、指定管辖等规则。它解决的是具体案件如何确定办案机关等程序问题，并非“只要沾网就能管”的无限授权，也不能替代刑法本身的涉外适用依据。主体识别、电子证据真实性与完整性、跨境取证和人员到案，仍须逐项解决。[16]

国家豁免也不能一概而论。《外国国家豁免法》主要处理涉及外国国家及其财产的民事案件；个人是否享有外国刑事管辖豁免，需要另行考察其身份、行为性质及相关国际法规则。国家背景并不意味着所有成员当然享有豁免，也不能据此一概否认可能存在的豁免。[17]

进一步说，技术归因、个人刑事责任与国家国际责任属于不同层次。国家责任还涉及行为能否在国际法上归于国家，以及是否违反国际义务。网络行动是否构成使用武力、武装攻击或武装冲突情境下的攻击，也有各自的判断条件。国际人道法适用于武装冲突中的相关网络行动；安全报告使用了“攻击”一词，并不意味着战争法规则已经自动启动。[18]

五  三起破坏性事件留下的不同教训

Stuxnet改变的是工业控制过程

2010年被公开发现的Stuxnet，展示了恶意代码对工业过程的干预能力。它针对特定西门子可编程逻辑控制器（PLC）及相关控制环境，改变控制指令、干扰离心机等设备运行，并掩盖异常。攻击效果取决于控制系统和实际工艺的组合。[19]

赛门铁克的技术报告描述了它如何结合多个Windows漏洞、移动存储介质传播及工业控制逻辑操纵，具备跨越隔离边界的能力。美国科学与国际安全研究所曾估计，Stuxnet可能与纳坦兹约1000台离心机的损坏或更换有关；其对浓缩活动的长期影响，难以用确切年数概括。[19][20]

这种针对性说明，工业网络安全不能只查服务器上是否存在病毒，还要核对控制逻辑、工程站权限和设备运行状态。公开技术分析能够还原攻击机制，但不能单凭代码样本确定国家层面的开发者身份。

乌克兰电网显示恢复能力同样需要保护

与Stuxnet对控制逻辑的针对性操纵不同，2015年乌克兰事件的重要环节是远程操作、凭据使用，以及对恢复条件的破坏。攻击者不必为每一步都开发零日工具；一旦远程访问和权限管理失守，正常控制功能也可能被反过来利用。保护备份、通信设备配置和人工处置能力，应与防止初始入侵同时考虑。[1]

NotPetya把局部入口变成全球业务中断

2017年6月27日，NotPetya首先借乌克兰会计软件M.E.Doc的更新链路投放，随后结合SMB漏洞利用、凭据窃取，以及WMI、PsExec等管理机制在网络中扩散。“永恒之蓝”是其中涉及的漏洞利用工具之一，不是全部传播路径。即使修补了相关漏洞，拥有足够权限的被盗凭据仍可能帮助恶意程序横向传播。[21]

NotPetya虽然展示赎金要求，关键恢复机制却无法正常工作。卡巴斯基据此分析，它主要服务于破坏，而非提供可兑现的付费解密流程。马士基2017年年报估计，该事件给公司带来的财务影响约为2.5亿至3亿美元。风险就这样沿企业网络和业务关系扩散。[22][23]

美国司法部2020年的起诉材料也将NotPetya指向GRU人员。2017年5月暴发的WannaCry则是另一事件；微软早在当年3月就发布了相关SMB补丁。修复方案已经存在，实际部署却没有同步完成，这段时间差给传播留下了空间。[2][24]

六  个人和组织可以做什么

APT的持续投入会增加防守难度，但这不意味着基础措施没有用。防御应覆盖进入系统、扩大权限、执行任务和恢复业务的全过程，避免把希望押在单一产品或一个技术名词上。

先保护账户和日常入口

• 对异常附件、登录要求和紧急付款指令换渠道核实。邮件来自熟悉的地址，并不能排除账户已经失陷。互联网来源文档默认不启用宏；确有业务需要时，通过组织批准的可信流程处理。

• 为邮箱、远程接入和管理员账户启用MFA，条件允许时优先采用抗钓鱼方案，例如FIDO2安全密钥或合适部署的通行密钥。短信、验证码和推送确认并非同等可靠，也可能遭遇钓鱼、推送轰炸等攻击。[25]

限制进入之后的扩散

• 及时处置高风险漏洞，盘点对外暴露服务，限制管理员和服务账户权限。工业控制系统的补丁与配置变更，还要评估生产安全、兼容性和回退条件。

• 分隔办公网、服务器区和工控环境，保护跨区与远程访问入口。不因连接来自内网就默认可信，对访问作明确认证和授权；这也是零信任强调的基本方向。[26]

• 结合终端检测、身份监测和网络日志发现异常。EDR能提供行为线索，但不能保证发现所有APT；现代终端防护也不只依靠特征码。集中保存日志、统一时间和控制日志访问权限，有助于后续调查。

把恢复和证据保全纳入日常工作

• 常见的3 2 1备份原则是三份数据副本、两种不同介质、一份异地保存；离线或不可变副本是应另外考虑的防破坏措施。备份账户与生产账户分离，并定期进行实际恢复测试。[27]

• 审查供应商的远程访问、更新发布和事件协作安排，及时撤销不再需要的权限。演练应包括发现异常后的隔离、凭据重置、证据保全、业务恢复及依法报告，不只验证能否“挡住攻击”。

一旦疑似发生有组织入侵，先按预案保全证据并控制影响，不要为了尽快清理而抹掉关键日志，也不要自行对远端系统实施所谓反击。技术处置、报案与依法报告可以并行推进。

七  结语

国家背景APT最难处理的地方，是攻击者可能围绕同一目标不断改变办法。一次清除恶意文件，未必意味着访问能力已经全部消失；一次恢复供电，也未必意味着控制系统已经恢复可信状态。防守必须继续追问入口、权限和恢复条件。

对公众而言，判断这类事件也需要同样的耐心。确认发生过什么，再看归因依据，最后讨论法律责任。夸大损失、把统计总量归给单一主体，或把所有网络攻击都叫作战争，都会妨碍我们理解真正需要防范的风险。

参考资料

资料核验日期为2026年9月4日。技术归因可能随新证据调整。法律部分为一般性普法说明，不构成对具体案件的法律意见。

[1] E ISAC与SANS 乌克兰电网攻击分析 2016 及INL后续回顾。 技术报告  INL回顾

[2] 美国司法部 六名GRU人员被起诉公告 2020。 原文

[3] NIST 高级持续性威胁定义。 原文

[4] Lockheed Martin行动模型与MITRE技术条目。 Cyber Kill Chain  Pass the Hash

[5] 国家计算机病毒应急处理中心 西北工业大学事件调查报告之一 2022。 原文

[6] FireEye关于APT32的研究 2017 及腾讯海莲花研究 2019。 FireEye  腾讯报告

[7] MITRE Patchwork条目与安天相关攻击分析 2022。 组织条目  样本分析

[8] Proofpoint与Threatray BITTER研究 2025 及奇安信历史案例。 归因研究  邮件案例

[9] 国家计算机病毒应急处理中心 亚冬会监测报告及警方通报 2025。 监测报告  警方通报

[10] 中华人民共和国刑法 现行文本。 国家法律法规数据库

[11] 两高 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释 2011。 原文

[12] 两高 关于办理非法利用信息网络及帮信等刑事案件适用法律若干问题的解释 2019。 原文

[13] 两高一部 关于办理帮助信息网络犯罪活动等刑事案件有关问题的意见 2025。 原文

[14] 中华人民共和国国家安全法与反间谍法。 国家安全法  反间谍法

参考资料 续

[15] 中华人民共和国网络安全法 2025年修正文本。 现行全文

[16] 两高一部 关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见 2022。 原文

[17] 中华人民共和国外国国家豁免法及国际法院逮捕令案资料。 法律全文  国际法院摘要

[18] 国际法委员会国家责任条款与红十字国际委员会网络行动立场。 国家责任条款  ICRC立场

[19] Symantec W32 Stuxnet Dossier技术报告 2011。 报告镜像

[20] 科学与国际安全研究所 Stuxnet与纳坦兹离心机研究 2010及2011。 初步研究  后续更新

[21] Microsoft NotPetya传播机制分析 2017。 原文

[22] Kaspersky NotPetya破坏性质分析 2017。 原文

[23] 马士基 2017年年度报告。 年报

[24] Microsoft WannaCry与已发布补丁说明 2017。 原文

[25] CISA与NSA 常见安全配置问题及抗钓鱼MFA建议 2023。 原文

[26] NIST 零信任架构 SP 800 207 2020。 原文CISA 备份原则与恢复措施建议 2023。 原文