追踪跟踪者：迄今为止最先进的流氓系统

从去年开始，我们就在移动运营商的通讯网络中检测到了SS7攻击。在这周，我们也发布了大量有关SS7攻击的研究报告。与之前的发现有所不同，我们现在还发现有攻击者利用SS7网络来进行跟踪、信息收集、通信拦截和网络欺诈等恶意行为。根据我们之前所得到研究结果，这种攻击活动将会对全球的各个行业产生影响。在这篇文章中，我们将会给大家介绍有关SS7攻击的一些知识，这种类型的攻击非常的复杂，但是也非常有趣。我们认为这是一种先进的定位追踪技术，这种技术的功能和工作机制此前从未被公开。当人们对SS7网络的安全性进行公开讨论时，人们普遍认为这种技术相较于之前类似的技术而言要更加的先进。

全球各大通信运营商都非常重视用户的隐私保护，而且也非常重视他们通信网络的安全性能，而我们的研究结果也是同这些通信运营商合作得出的。我们对SS7定位攻击技术进行了分析，并且发现，与其他一些相对简单的攻击相比，这种攻击更加的复杂，而且也更加难以防范。这种技术可以算得上是目前最复杂，最难以防范，而且是最有趣的攻击技术了，因为这种技术代表着网络攻击已经提升了一个高度（我们将在文中给大家进行介绍），这样的提升需要相当大的投资，黑客们所花费的时间和精力让这种攻击技术达到了一种前所未有的高度。为了让大家更好地理解这种攻击技术所到达的技术高度，我们将会给大家介绍四个当前最活跃，最先进的跟踪平台。下面所列出的名称是AdaptiveMobile在其内部所使用的名字，但是它们每一个都是非常具有代表性的实体，它们可以对全世界的每一个人进行追踪。

先进的SS7追踪平台实例

SS7-监控//WODEN

这种系统所采用的主要技术是：首先发送一个SS7数据包，数据包中会带有SRI（发送路由信息）命令，攻击者可以利用这个命令来追踪用户的移动网络，并且获取用户的信息。接下来，攻击者还要继续使用命令PSI（提供用户信息）来获取用户的Cell-ID（位置信息）。这些“奇特”的命令可以让攻击者获取到足够的信息，并对用户进行定位跟踪。但是在现实世界中，这种攻击的实施过程往往会非常的复杂，因为有时会遇到信息采集失败的情况，但是攻击者也可以在同一时间进行多个查询。在我们的观察和研究中，我们还发现平台自身还会不断地使用SRI-SM命令来扫描目标网络，并从目标网络中收集各种信息。我们在下方给出了一个时序图，这张图片以不同的颜色显示了在不同的时间段，用户被追踪的情况：

这种技术的复杂和新颖之处在于它所使用的数据包组合，而且这种攻击起源于西欧国家的各大主要移动运营商。但这也并不意味着运营商需要直接对他们的通信平台负责。这些通信平台实际上并不在这些国家境内，而且分配给那些平台的IP地址实际上也并不由运营商控制。至于平台所进行的活动，这些平台能够跟踪来自世界其他国家的用户，但我们发现，这些平台会主动对来自中东的用户发送跟踪请求。

SS7-监控//ASMAN

我们在这一部分所要讨论的是一个分布式全球分散控制系统。听起来与WODEN系统差不多，但是ASMAN可以利用多个源地址来进行跟踪攻击。除此之外，ASMAN的多个源地址并不是同一国家中的SS7网络源地址，但是却能够统一对手机用户进行跟踪。其进行跟踪的主要地址来源于中东地区，但是它也在非洲，欧洲，和亚洲地区有平台备份。

这些系统之前并没有多大的区别，它们都可以利用PSI数据包来跟踪用户，并利用SS7网络来采集用户信息。这类系统有一个特点，攻击者可以利用多种手段来跟踪目标用户。在我们所观察到的网络跟踪行为中，这些平台对用户的跟踪操作可以被设置为每天一次。攻击者不仅可以设置特定的跟踪时间间隔，而且还可以从目标设备中挖掘出更多的用户数据。

我们可以从上图中看到，从2015年至2016年，大量的用户都被跟踪了。而且很明显的是，有的用户几乎每天都会被跟踪。

SS7-监控//MANNAN

MANNAN平台是一个全球性的系统，与ASMAN类似，它也有多个攻击源点可以选择。但是，它的影响范围更加大，它几乎已经渗透了全球SS7网络中所有的网络站点。而且值得注意的是，该平台的多系统协作机制设计得非常巧妙，我们在研究过程中发现，在一个不到三分钟的周期内，该平台能够利用PSI数据包来对多个国家的网络进行攻击，并尝试对移动用户进行定位。

这种协调机制使得MANNAN平台变得极其的复杂，因为暂且不论这种平台所需要的资金投入，同时建立，维护，并控制多个国家的多个SS7网络也会耗费大量的时间和精力。这一平台主机的通信网络运营商往往位于较小的国家之中，因为在小国家中这类资源比较容易获得。

上面所给出的时序图显示的是单一用户的信息。

SS7-监控//HURACAN

最后的这个平台系统位于美洲的一个国家。值得注意的是，这种平台一旦被激活，它的攻击范围将比之前三个平台要大得多。不仅是因为它能够利用PSI和PSL命令来进行极其复杂的定位攻击，而且它还能够进行一系列其他类型的攻击，例如利用ISD数据包来截获用户的通讯信息，这种类型的攻击在理论上是可行的，但是我们目前还没有在现实生活中检测到这种攻击。

上图显示的是关于HURACAN平台的数据。在上图所示的时间周期中，该平台曾尝试追踪并拦截用户的通讯信息。

分析和结论

从我们的分析中可以清楚地看到，这一产业已经存在并活跃多年了。这种系统的运行机制和它们与SS7网络进行交互的方式也表明，这类平台长期以来都能够访问通信运营商的网络。除此之外，也有迹象表明，这类平台目前仍在不断地发展，目的就是为了避免被安全防护系统所检测到，并提升平台的攻击效率。而且这些平台的研发人员很有可能也在尝试使用新的方法来阻碍安全研究人员研发出针对这类平台的防护措施。