网空恐吓动做体是网络空间进犯步履的滥觞，它们有不同的方针和动机，其本领也存在显然的层级差别。按照功课动机、进犯本领、把握资本等角度，安天将网空恐吓动做体区分为七个层级，离别是业余黑客、黑产结构、网络违法团伙或黑客结构、网络可怕结构、时时本领国度/地域动做体、高档本领国度/地域动做体、超高本领国度/地域动做体（参拜附件一）。个中，超高本领国度/地域动做体，或称为超高本领网空恐吓动做体，占有周密的范围建制，硕大的支持工程编制，把握编制化的进犯设施和进犯资本，能够停止最为隐秘和致命的网络进犯。安天曾将这类网络进犯称之为A2PT（即高档的高档可连接性恐吓）。
“方程式结构”（EquationGroup）恰是如许一种模范的超高本领网空恐吓动做体。年2月，由卡巴斯基试验室初度公布表露。卡巴斯基称其已活泼近20年，或许是暂时最繁杂的APT进犯结构之一[1]。安天多年来连接追踪“方程式结构”的恐吓动做，从年3月于今，前后公布了四篇剖析汇报：《批改硬盘固件的木马——谋求方程式结构的进犯组件》[2]，剖析了其部份木马模块组件和基于硬盘固件长久化的机理；《方程式部份组件中的加密手艺剖析》[3]，指导了其资本的加密法子；《从“方程式”到“方程组”——EQUATION进犯结构高档歹意代码的全平台本领剖析》[4]，指导了其木马载荷的全职掌系统平台遮蔽本领，并独家暴光了其针对Solaris和Linux的模范；《方程式结构EquationDRUG平台剖析》[5]，则构成了对其原子化功课木马的积木拼图。在这些办事中，咱们最大的可惜，莫过于这些剖析依旧逗留在歹意代码剖析的视角，咱们只可对在已完成进犯目标的现场的有限索取终于，联结基于恐吓谍报扩线关系到的模范，来敞开剖析办事。从业内已公布的剖析终于来看，不管对于方程式结构的步履，仍是对于一样来自超高本领网空恐吓动做体的“震网”[6]、“火焰”[7]、“毒曲”[8]等进犯步履，都根本竖立在，对所应用缺欠的旨趣剖析、对模范的逆向剖析，以及对模范效用机理的复盘之上。纵然这些办事一样是繁杂和困难的，但并不能隐藏警备者对超高本领网空恐吓动做体在策略和经过认知上的不够。这是由于，以“方程式结构”为代表的超高本领网空恐吓动做体有一套完备、周密的功课框架与法子编制；占有大范围支持工程编制、制式打扮备组合，停止周密的结构功课，高度寻觅功课经过的隐秘性、反溯源性，使其进犯看似“弹道无痕”，其冲破、存在、影响、连接直至平安撤出网络处境或系统的轨迹很难被觉察，致使防备者对其网空步履中现实的进犯手艺、策略和经过（TTP）以及响应轨迹知之甚少，包罗对于其从协商剖析、音信搜聚、处境塑造、前期观察，到进口冲破、横向挪动、长久化、隐秘对立、音信获得、恒久操纵等步履，没法在一切恐吓框架视角停止通盘的音信操纵妥协读。
跟着斯诺登的暴光，对于超高本领网空恐吓动做体的相干工程编制、设施编制，有了更多能够剖析的文件质料。而年，影子中人人的爆料，则让一批进犯设施浮出水面。一方面，这些缺欠欺诈功具和歹意代码载荷的外泄，被其余低层级的网空恐吓动做体加紧而宽泛的欺诈，包罗变成了魔窟（WannaCry）蠕虫大迸发等音信灾害；另一方面，这些音信也成为了平安协商者从完备的恐吓框架角度去剖析超高本领网空恐吓动做体的进犯步履全貌的极其名贵的协商资本。
个中在年4月14日，“影子中人人”暴光的数据中包罗一个名为SWIFT的文件夹，完备暴光了“方程式结构”针对SWIFT金融效劳供给商及合营火伴的两起网络进犯步履的详实音信：“JEEPFLEA_MARKET”和“JEEPFLEA_POWDER”。个中，年7月至年9月期间提倡的“JEEPFLEA_MARKET”进犯步履，针对中东地域最大的SWIFT效劳供给商EastNets，胜利偷取了其在比利时、约旦、埃及和阿联酋的上千个雇员账户、主机音信、登录凭单及经管员账号；“JEEPFLEA_POWDER”进犯步履，紧要针对EastNets在拉美和加勒比地域的合营火伴BCG（BusinessComputerGroup），但这回步履并未胜利。
安天CERT将多年对方程式结构的剖析先进与这一文件夹中所暴光的百般音信线索停止了组合复盘，复原了“方程式结构”对EastNets网络的进犯经过。经过复盘咱们能够看到，这是一同由超高本领网空恐吓动做体提倡，以金融根本设备为标的；从寰球多个地域的预设跳板机停止进犯；以0Day缺欠直接冲破两层网络平安做战并植入长久化后门；经过获得内部网络拓扑、登录凭单来肯定下一步进犯标的；以“永远”系列0Day缺欠冲破内网Mgmt（经管效劳器）、SAA生意效劳器和运用效劳器，以多个内核级（Rootkit）植入设施向效劳器系统植入后门；经过具备繁杂的指令编制和操纵成效平台对其停止长途操纵，在SAA生意效劳器上施行SQL足向来偷取多个标的数据库效劳器的关键数据音信的高档连接性恐吓进犯事项。
安天剖析小组力争以态势感知的办事思绪构成经过复盘，对超高本领网空恐吓动做体的进犯步履停止开始的抽丝剥茧，对接恐吓框架视角的解读，为紧急音信系统和关键音信根本设备的筹办、装备和运维者，供给对于怎样竖立有用的警备编制的参考根据。
2标的物业被进犯情景SWIFT引见SWIFT，全称SocietyforWorldwideInterbankFinancialTele