有美國媒體今天用頭版報道了此前納斯達克服務器被感染的事件，指惡意軟件靠2個零日漏洞攻入納斯達克系統(tǒng)。

文章指，盡管納斯達克證券交易所在計算機安全上大撒金錢，卻仍然對黑客大開中門。納斯達克軟件遭受攻擊一事第一次被報道是在2011年2月，今天的報道給出了關于此次攻擊事件更多的細節(jié)。

2010年，美國聯邦調查局發(fā)現納斯達克系統(tǒng)與外界存在不尋常的網絡活動，表明系統(tǒng)被惡意軟件感染。聯邦調查局通知了納斯達克交易所，交易所此前已經知道系統(tǒng)存在漏洞，但忘了將漏洞的事通知別的部門。聯邦調查局、國家安全局、中央情報局和美國財政部4個部門隨即開始了一個為期五個月的調查。

彭博做的調查報告稱，4個部門五個月的調查最后發(fā)現，納斯達克系統(tǒng)里存在惡意軟件，惡意軟件利用了兩個未提名字的安全漏洞。而這些安全漏洞并沒有對應的補丁存在。商業(yè)雜志彭博沒能找出是哪一款軟件被攻擊，也未能確定零日漏洞是用于感染系統(tǒng)或是用于偷盜數據及其他細節(jié)。

文章指，經過對攻擊代碼的分析，找到的跡象表明惡意軟件的設計與俄羅斯聯邦安全局的間諜軟件類似。根據美國國家安全局的說法，該惡意軟件可以在極大程度上擾亂交易所的運作。

但彭博指，該惡意軟件的出處其實存在很多可能。

據說四個部門對漏洞的調查從一開始就頻頻受阻，原因是交易所內的安全程序以及實施做得太差。一些日常的服務器日志大多無效，而這些日志對查明攻擊活動是很有幫助的。

調查人員分析了網絡流量活動后發(fā)現了多個感染，據推測，惡意軟件在交易所獲得數據后即將數據發(fā)送到別的地方，導致了信息的泄露。但沒人知道是否涉及金錢以及涉及的金額是多少。

不過一名調查員稱，交易所的那些服務器是“一潭臟水”。

鑒于事件的嚴重性，山姆大叔著手檢查10美國銀行，以確定納斯達克是否交叉污染了這些銀行。有幾家銀行不同意被檢查，但那些被檢查的銀行都沒有感染納斯達克的惡意軟件。然而，幾乎所有銀行的計算機安全方案都十分松散，在受到同類攻擊時肯定會被感染。

2011年2月，納斯達克對客戶發(fā)出相關的警告通知，指交易所受到攻擊，同年10月又提供了更多的細節(jié)。納斯達克老總Robert Greifeld當時曽表示，交易所在計算機安全上花了近10億美元。

如果彭博社的調查結果是準確的，筆者就有些搞不清楚這些錢都花在什么上了。國家安全局前局長曽經愿意每月拿60萬美元為銀行做安全顧問。這樣看來，或許他的收費也不是那么離譜。