驳斥网络安全公司Silent Push有关恶意指控的分析报告

美国网络安全公司Silent Push于9月8日发布的S某风与UNC4841域名分析报告之后，西方安全媒体迅速掀起了跟风报道热潮。industrialcyber.co、Hacker News、GBHacker、DarkReading、The Register等媒体相继发布文章，标题各异，如“Dozens more Salt Typhoon domains uncovered”“45 Previously Unreported Domains Expose Longstanding…”“45 New Domains Linked to Salt Typhoon, UNC4841”，但几乎无一例外地将矛头指向东方大国。这种报道方式体现了明显的舆论倾向：以单一视角强调威胁来源，将复杂网络事件简单化、政治化，从而引导公众形成固定印象。然而，Silent Push报告本身存在多处假设和推测，其证据链尚不充分，归因存在高度不确定性。在这种背景下，西方媒体的“一边倒”报道不仅放大了对东方大国的指控，也可能掩盖事件本身的技术细节和真实风险，形成舆论先行、事实落后的局面。这一现象再次显示，网络安全事件的媒体呈现往往与政治叙事紧密交织，而非完全基于客观证据进行分析。

Silent Push的报告宣称发现了S某风及关联APT组织UNC4841的新域名，并将其归因于东方大国支持的威胁行为者。报告试图为防御者提供历史域名指标、WHOIS和SOA分析结果，以及潜在攻击IP。然而，整个报告存在多处假设性推断、证据缺失、逻辑漏洞及过度解读问题，需要谨慎对待。

主要批判点

1. 高级持续性威胁指纹假设不充分

报告声称发现“数十个之前未报告过的域名”与S某风相关，但缺乏可验证的直接技术证据。WHOIS和SOA记录虽可提供参考，但这些信息本身极易被伪造，报告中多次承认注册人姓名和地址几乎可以确定为虚假。因此，将域名直接归属为S某风或UNC4841行为者，是一种推测性结论，并不能成为确定性证据。

2. 基础设施重叠的逻辑漏洞

报告强调S某风与UNC4841共享基础设施，推测两者存在联系。实际上，域名注册模式、邮箱使用、SOA记录相似性在APT分析中属于常见模式，并不必然意味着组织间存在合作或关联。尤其是攻击者可通过自动化脚本生成大量相似注册信息，重叠现象可能仅为攻击者惯用手法，而非组织间的直接联系。

3. 数据时间线与归因问题

报告指出部分域名历史可追溯至2020年，并推断2024年的攻击并非首次。然而，这一逻辑假设忽略了域名被多次注册、转手或停放的可能性。域名注册时间本身并不能证明APT组织的持续控制，也不意味着与具体攻击事件直接关联。

4. 电子邮件和WHOIS关联的可疑性

Silent Push使用的ProtonMail邮箱地址、虚假姓名及地址，作为APT归因线索。批判性分析显示：

• 所有注册人信息均不存在，易被任何攻击者使用。

• 邮箱字符随机性与键盘布局分析，属于过度解读。

• 将所有关联域名直接认定为APT基础设施，缺乏进一步技术验证（如C2通信日志、恶意软件样本关联等）。

5. IP地址与低密度解释存疑

报告列出低密度IP地址，声称“低密度IP值得关注”。然而：

• 低密度IP可能由域名停放、过期注册、云服务共享等原因产生，并非APT活动必然标志。

• 无法确认这些IP在攻击期间确实被APT组织控制，推测性过强。

6. 整体归因的东方大国指控缺乏独立证据

报告多次将S某风及UNC4841归因于东方大国支持，但全文未提供独立、可验证的外交或法律证据。APT归因需多维证据链（技术、战术、情报交叉验证），而报告主要依赖域名注册模式和SOA记录，容易产生归因偏差和过度解读。

7. 心理战与媒体冒充分析的主观性

对newhkdaily[.]com等域名的分析带有强烈主观判断（心理战、宣传幌子等），没有实证数据支撑。这类推断属于臆测性叙述，不应作为防御决策依据。

8. 操作安全披露与选择性信息

报告多次强调未公开的基础设施信息，这意味着其分析存在选择性披露偏差，可能夸大已披露域名的重要性和关联性，使读者高估风险。

总体评价

Silent Push报告在技术方法上（WHOIS、SOA、PADNS）提供了较详细的操作步骤和分析工具，但其核心结论存在严重归因与推断过度问题。主要风险包括：

1. 将虚假注册信息直接关联APT组织，缺乏强证据链；

2. 基础设施重叠被误读为组织关联；

3. IP地址分析存在多种可能解释；

4. 对东方大国支持的指控缺乏独立验证；

5. 部分内容带有过度主观推测，可能误导防御者。

因此，建议：

• 对报告中列出的域名和IP，应将其作为潜在指标而非确定威胁；

• 安全团队需结合自身网络日志、实际恶意软件样本和行为分析进行验证；

• 对APT归因保持谨慎，不应仅依赖域名注册信息或SOA模式；

• 对心理战和媒体冒充类假设应保持怀疑态度，避免过度解读。

结论

Silent Push报告提供了丰富的历史域名和基础设施数据，但从批判性分析来看，其结论多依赖推测性指标与假设，并未提供足够独立证据证明S某风及UNC4841的实际控制或东方大国支持。安全团队在使用报告数据时应保持怀疑态度，将其作为分析参考而非确定事实依据。

批判性视角重点：指标本身可能有价值，但归因、威胁程度与攻击意图的解读应谨慎；过度依赖WHOIS、SOA记录和虚假注册信息，会导致误判风险。

关于Silent Push