有美國媒體今天用頭版報道了此前納斯達克服務(wù)器被感染的事件，指惡意軟件靠2個零日漏洞攻入納斯達克系統(tǒng)。

文章指，盡管納斯達克證券交易所在計算機安全上大撒金錢，卻仍然對黑客大開中門。納斯達克軟件遭受攻擊一事第一次被報道是在2011年2月，今天的報道給出了關(guān)于此次攻擊事件更多的細節(jié)。

2010年，美國聯(lián)邦調(diào)查局發(fā)現(xiàn)納斯達克系統(tǒng)與外界存在不尋常的網(wǎng)絡(luò)活動，表明系統(tǒng)被惡意軟件感染。聯(lián)邦調(diào)查局通知了納斯達克交易所，交易所此前已經(jīng)知道系統(tǒng)存在漏洞，但忘了將漏洞的事通知別的部門。聯(lián)邦調(diào)查局、國家安全局、中央情報局和美國財政部4個部門隨即開始了一個為期五個月的調(diào)查。

彭博做的調(diào)查報告稱，4個部門五個月的調(diào)查最后發(fā)現(xiàn)，納斯達克系統(tǒng)里存在惡意軟件，惡意軟件利用了兩個未提名字的安全漏洞。而這些安全漏洞并沒有對應(yīng)的補丁存在。商業(yè)雜志彭博沒能找出是哪一款軟件被攻擊，也未能確定零日漏洞是用于感染系統(tǒng)或是用于偷盜數(shù)據(jù)及其他細節(jié)。

文章指，經(jīng)過對攻擊代碼的分析，找到的跡象表明惡意軟件的設(shè)計與俄羅斯聯(lián)邦安全局的間諜軟件類似。根據(jù)美國國家安全局的說法，該惡意軟件可以在極大程度上擾亂交易所的運作。

但彭博指，該惡意軟件的出處其實存在很多可能。

據(jù)說四個部門對漏洞的調(diào)查從一開始就頻頻受阻，原因是交易所內(nèi)的安全程序以及實施做得太差。一些日常的服務(wù)器日志大多無效，而這些日志對查明攻擊活動是很有幫助的。

調(diào)查人員分析了網(wǎng)絡(luò)流量活動后發(fā)現(xiàn)了多個感染，據(jù)推測，惡意軟件在交易所獲得數(shù)據(jù)后即將數(shù)據(jù)發(fā)送到別的地方，導(dǎo)致了信息的泄露。但沒人知道是否涉及金錢以及涉及的金額是多少。

不過一名調(diào)查員稱，交易所的那些服務(wù)器是“一潭臟水”。

鑒于事件的嚴重性，山姆大叔著手檢查10美國銀行，以確定納斯達克是否交叉污染了這些銀行。有幾家銀行不同意被檢查，但那些被檢查的銀行都沒有感染納斯達克的惡意軟件。然而，幾乎所有銀行的計算機安全方案都十分松散，在受到同類攻擊時肯定會被感染。

2011年2月，納斯達克對客戶發(fā)出相關(guān)的警告通知，指交易所受到攻擊，同年10月又提供了更多的細節(jié)。納斯達克老總Robert Greifeld當(dāng)時曽表示，交易所在計算機安全上花了近10億美元。

如果彭博社的調(diào)查結(jié)果是準(zhǔn)確的，筆者就有些搞不清楚這些錢都花在什么上了。國家安全局前局長曽經(jīng)愿意每月拿60萬美元為銀行做安全顧問。這樣看來，或許他的收費也不是那么離譜。