【今天3·15，辽宁发布八大典型案例！】全省市场监管系统始终将维护好广大消费者合法权益作为根本出发点和落脚点。2021年以来，紧盯民生领域群众反映强烈、社会舆论关注的突出问题，聚焦商标侵权、消费欺诈、违规收费、违法广告、食品安全等方面的违法行为，综合施策、“铁拳”出击，依法查处了一批有社会影响力的案件，有力维护了公平竞争的市场秩序。全年共查办案件2.9万件，移送司法机关110件，真正做到了“让监管长出牙齿，让违法者付出代价”。
在“3·15国际消费者权益日”到来之际，为促进市场主体守法诚信经营，提升广大消费者自我保护意识，增强人民群众的消费信心，激发消费潜力，促进经济社会高质量发展，辽宁省市场监督管理局公布一批典型案例，加大“铁拳”打击的宣传力度，保护消费者合法权益。
案例1：沈阳鑫临沃汽车配件有限公司销售侵犯商标专用权商品案
2021年7月，沈阳市市场监管局根据举报线索，对沈阳鑫临沃汽车配件有限公司一处仓库进行检查，现场发现大量涉嫌侵犯某公司商标专用权的工程机械专用油、空调主副滤芯、推力杆、推力杆维修包、板簧、水箱等商品。经商标权利人鉴定，均为侵权商品，货值36.08万元。经查，当事人为赚取利润，购进涉案侵权商品并在沈阳市销售，已销售的商品货值金额为19.58万元。
当事人的上述行为，违反了《中华人民共和国商标法》相关规定并涉嫌犯罪，市场监管部门依据《行政执法机关移送涉嫌犯罪案件的规定》相关规定，依法将案件移送公安机关处理。
案例2：大连小宋水产经营店欺诈消费者案
2021年1月，消费者在大连市小宋水产经营店购买了帝王蟹、龙虾等5种海鲜产品。当天，消费者发现其购买的海鲜产品实际重量与商家声称的重量不符，随后将此事投诉至市场监管部门。在市场监管部门执法人员、市场管理人员及消费者共同现场见证下，对消费者购买的海鲜产品进行了重新称重，发现5种海鲜产品中的4种产品存在不同程度的缺斤短两情况。经查，按照实际重量，水产经营店应当收取消费者1.48万元，实际收取1.86万元，多收取0.38万元。经检验，该水产经营店使用了不合格电子计价秤3台。同时该水产经营店未建立食用农产品进货查验记录制度，未如实记录食用农产品的名称、数量、进货日期以及供货者名称、地址、联系方式等内容，未保存相关凭证。
当事人的上述行为，分别违反了《中华人民共和国消费者权益保护法》《中华人民共和国食品安全法》《中华人民共和国计量法》相关规定，存在使用不合格计量器具、欺诈消费者和未建立进货查验制度等违法行为。市场监管部门依法没收电子计价秤3台、没收违法所得0.47万元、罚款4.94万元，并吊销其营业执照。
案件3：本溪市平山区中心供销合作社新合作向阳配送中心擅自使用与他人包装装潢近似的标识案
2021年1月，本溪市市场监管局根据举报线索，对本溪市平山区中心供销合作社新合作向阳配送中心涉嫌“傍名牌”行为开展调查。经查，本溪市平山区中心供销合作社新合作向阳配送中心与本溪市某饮料厂签订委托代工生产合同，自2020年11月至2021年1月，共生产辽东特产“山里红V8”果汁饮料300箱，该批果汁饮料与辽宁桓仁王城饮品有限公司生产的有一定影响的“王城”牌“山里红V8”果汁饮料的包装、装潢高度近似。案发时，共销售33箱，违法经营额0.88万元。
当事人的上述行为，违反了《中华人民共和国反不正当竞争法》有关规定，已构成擅自使用与他人有一定影响的商品名称、包装、装潢等近似的标识的违法行为。市场监管部门依法责令当事人停止违法行为、没收未售出的“山里红V8”果汁饮料267箱，并处以罚款0.5万元。
案例4：东港市平安气体有限公司未经许可擅自从事气瓶充装活动和使用充装超期未检及超过使用年限气瓶案
2021年7月6日，丹东市市场监管局执法人员在对东港市平安气体有限公司进行现场监督检查时发现，该公司正在充装的15支钢制无缝气瓶（氧气），涉嫌存在超过安全技术规范要求的检验周期的问题。经丹东市特种设备监督检验所检验，该批气瓶存在超期未检或已报废问题，均不符合安全技术规范要求。此外，执法人员在现场发现17支低温绝热气瓶和1个充装液氧的充装口，该公司还存在未取得液氧充装资质擅自充装的行为。
当事人的上述行为，违反了《中华人民共和国特种设备安全法》有关规定，已构成充装不符合安全技术规范气瓶和未经许可擅自从事液氧充装的违法行为。市场监管部门依法责令当事人立即改正违法行为，对全部超期未检气瓶进行送检，对超过使用年限的气瓶进行强制报废，并处罚款15万元。
案例5：营口市双鱼信息技术有限公司违法发布教育培训广告案
2021年7月，营口市双鱼信息技术有限公司自行设计、制作并在其微信公众号发布广告，含有“可签约保分”“24小时陪伴监督……最低提分80分，最高312分”等内容。同时还以文字形式在“历年战绩”栏目中列举了6名学生的姓名、入学分数、高考成绩及被录取大学名称，以表格形式列举了20名学生的姓名、科目、入学分数、中高考分数、提升分数，以及6名学生的“2021年普通高考录取信息查询”截图。
当事人的上述行为，违反了《中华人民共和国广告法》“教育、培训广告不得对教育培训效果作出保证性承诺并利用受益人形象作推荐证明”的禁止性规定，构成违法发布教育、培训广告行为。市场监管部门依法责令当事人改正违法行为，在相应范围内消除影响，处以罚款2万元。
案例6：铁岭市昌图县温某涉嫌销售侵犯“MOUTAI”“茅台”注册商标专用权白酒案
2021年9月，铁岭市昌图县市场监管局接到消费者投诉，称其通过网络向温某购买2箱（共计24瓶）贵州飞天茅台酒涉嫌假冒侵权。昌图县市场监管局委托贵州茅台酒股份有限公司鉴定并出具产品鉴定报告：投诉人所购买的24瓶“贵州飞天茅台酒”外包装特征与该公司生产的产品不符，结论为均属假冒“MOUTAI”“茅台”注册商标专用权的产品，违法经营额共计6.31万元。
当事人的上述行为，违反了《中华人民共和国商标法》相关规定并涉嫌犯罪，市场监管部门依据《行政执法机关移送涉嫌犯罪案件的规定》相关规定，依法将案件移送公安机关处理。
案例7：凌源市中心医院违法收取停车费案
凌源市中心医院在其停车场收费文件有效期到期后，自2020年1月1日至2021年9月6日，在没有取得相应收费批复文件的情况下，擅自沿用失效文件中的收费标准收取停车服务费。并在凌源市市场监管局提醒告诫后，拒不改正。经查，违法期间共计收取停车服务费124.9万元。
当事人的上述行为，违反了《价格违法行为行政处罚规定》有关规定，构成擅自制定属于政府定价范围内的服务价格的违法行为。市场监管部门依法责令当事人改正违法行为，没收未退还的多收价款124.9万元，罚款187.36万元，合计312.26万元。
案例8：盘锦辽东湾新区诚意冷冻加工厂生产销售标签不合法的预包装食品案
盘锦辽东湾新区诚意冷冻加工厂生产销售的173箱预包装食品（酱焖带鱼罐头）的标签中钠、碳水化合物的数值不符合GB28050-2011标签明示要求，违法货值金额1.47万元；生产经营无标签的预包装食品（黄花鱼罐头、带鱼罐头）44箱，违法货值金额0.45万元。
当事人的上述行为，违反了《中华人民共和国食品安全法》有关规定，构成生产销售标签不符合食品安全法规定预包装食品、生产无标签预包装食品违法行为。市场监管部门依法责令当事人改正违法行为，没收违法所得、没收违法生产经营的食品，罚款4.41万元。（记者 : 赵铭）
在“3·15国际消费者权益日”到来之际，为促进市场主体守法诚信经营，提升广大消费者自我保护意识，增强人民群众的消费信心，激发消费潜力，促进经济社会高质量发展，辽宁省市场监督管理局公布一批典型案例，加大“铁拳”打击的宣传力度，保护消费者合法权益。
案例1：沈阳鑫临沃汽车配件有限公司销售侵犯商标专用权商品案
2021年7月，沈阳市市场监管局根据举报线索，对沈阳鑫临沃汽车配件有限公司一处仓库进行检查，现场发现大量涉嫌侵犯某公司商标专用权的工程机械专用油、空调主副滤芯、推力杆、推力杆维修包、板簧、水箱等商品。经商标权利人鉴定，均为侵权商品，货值36.08万元。经查，当事人为赚取利润，购进涉案侵权商品并在沈阳市销售，已销售的商品货值金额为19.58万元。
当事人的上述行为，违反了《中华人民共和国商标法》相关规定并涉嫌犯罪，市场监管部门依据《行政执法机关移送涉嫌犯罪案件的规定》相关规定，依法将案件移送公安机关处理。
案例2：大连小宋水产经营店欺诈消费者案
2021年1月，消费者在大连市小宋水产经营店购买了帝王蟹、龙虾等5种海鲜产品。当天，消费者发现其购买的海鲜产品实际重量与商家声称的重量不符，随后将此事投诉至市场监管部门。在市场监管部门执法人员、市场管理人员及消费者共同现场见证下，对消费者购买的海鲜产品进行了重新称重，发现5种海鲜产品中的4种产品存在不同程度的缺斤短两情况。经查，按照实际重量，水产经营店应当收取消费者1.48万元，实际收取1.86万元，多收取0.38万元。经检验，该水产经营店使用了不合格电子计价秤3台。同时该水产经营店未建立食用农产品进货查验记录制度，未如实记录食用农产品的名称、数量、进货日期以及供货者名称、地址、联系方式等内容，未保存相关凭证。
当事人的上述行为，分别违反了《中华人民共和国消费者权益保护法》《中华人民共和国食品安全法》《中华人民共和国计量法》相关规定，存在使用不合格计量器具、欺诈消费者和未建立进货查验制度等违法行为。市场监管部门依法没收电子计价秤3台、没收违法所得0.47万元、罚款4.94万元，并吊销其营业执照。
案件3：本溪市平山区中心供销合作社新合作向阳配送中心擅自使用与他人包装装潢近似的标识案
2021年1月，本溪市市场监管局根据举报线索，对本溪市平山区中心供销合作社新合作向阳配送中心涉嫌“傍名牌”行为开展调查。经查，本溪市平山区中心供销合作社新合作向阳配送中心与本溪市某饮料厂签订委托代工生产合同，自2020年11月至2021年1月，共生产辽东特产“山里红V8”果汁饮料300箱，该批果汁饮料与辽宁桓仁王城饮品有限公司生产的有一定影响的“王城”牌“山里红V8”果汁饮料的包装、装潢高度近似。案发时，共销售33箱，违法经营额0.88万元。
当事人的上述行为，违反了《中华人民共和国反不正当竞争法》有关规定，已构成擅自使用与他人有一定影响的商品名称、包装、装潢等近似的标识的违法行为。市场监管部门依法责令当事人停止违法行为、没收未售出的“山里红V8”果汁饮料267箱，并处以罚款0.5万元。
案例4：东港市平安气体有限公司未经许可擅自从事气瓶充装活动和使用充装超期未检及超过使用年限气瓶案
2021年7月6日，丹东市市场监管局执法人员在对东港市平安气体有限公司进行现场监督检查时发现，该公司正在充装的15支钢制无缝气瓶（氧气），涉嫌存在超过安全技术规范要求的检验周期的问题。经丹东市特种设备监督检验所检验，该批气瓶存在超期未检或已报废问题，均不符合安全技术规范要求。此外，执法人员在现场发现17支低温绝热气瓶和1个充装液氧的充装口，该公司还存在未取得液氧充装资质擅自充装的行为。
当事人的上述行为，违反了《中华人民共和国特种设备安全法》有关规定，已构成充装不符合安全技术规范气瓶和未经许可擅自从事液氧充装的违法行为。市场监管部门依法责令当事人立即改正违法行为，对全部超期未检气瓶进行送检，对超过使用年限的气瓶进行强制报废，并处罚款15万元。
案例5：营口市双鱼信息技术有限公司违法发布教育培训广告案
2021年7月，营口市双鱼信息技术有限公司自行设计、制作并在其微信公众号发布广告，含有“可签约保分”“24小时陪伴监督……最低提分80分，最高312分”等内容。同时还以文字形式在“历年战绩”栏目中列举了6名学生的姓名、入学分数、高考成绩及被录取大学名称，以表格形式列举了20名学生的姓名、科目、入学分数、中高考分数、提升分数，以及6名学生的“2021年普通高考录取信息查询”截图。
当事人的上述行为，违反了《中华人民共和国广告法》“教育、培训广告不得对教育培训效果作出保证性承诺并利用受益人形象作推荐证明”的禁止性规定，构成违法发布教育、培训广告行为。市场监管部门依法责令当事人改正违法行为，在相应范围内消除影响，处以罚款2万元。
案例6：铁岭市昌图县温某涉嫌销售侵犯“MOUTAI”“茅台”注册商标专用权白酒案
2021年9月，铁岭市昌图县市场监管局接到消费者投诉，称其通过网络向温某购买2箱（共计24瓶）贵州飞天茅台酒涉嫌假冒侵权。昌图县市场监管局委托贵州茅台酒股份有限公司鉴定并出具产品鉴定报告：投诉人所购买的24瓶“贵州飞天茅台酒”外包装特征与该公司生产的产品不符，结论为均属假冒“MOUTAI”“茅台”注册商标专用权的产品，违法经营额共计6.31万元。
当事人的上述行为，违反了《中华人民共和国商标法》相关规定并涉嫌犯罪，市场监管部门依据《行政执法机关移送涉嫌犯罪案件的规定》相关规定，依法将案件移送公安机关处理。
案例7：凌源市中心医院违法收取停车费案
凌源市中心医院在其停车场收费文件有效期到期后，自2020年1月1日至2021年9月6日，在没有取得相应收费批复文件的情况下，擅自沿用失效文件中的收费标准收取停车服务费。并在凌源市市场监管局提醒告诫后，拒不改正。经查，违法期间共计收取停车服务费124.9万元。
当事人的上述行为，违反了《价格违法行为行政处罚规定》有关规定，构成擅自制定属于政府定价范围内的服务价格的违法行为。市场监管部门依法责令当事人改正违法行为，没收未退还的多收价款124.9万元，罚款187.36万元，合计312.26万元。
案例8：盘锦辽东湾新区诚意冷冻加工厂生产销售标签不合法的预包装食品案
盘锦辽东湾新区诚意冷冻加工厂生产销售的173箱预包装食品（酱焖带鱼罐头）的标签中钠、碳水化合物的数值不符合GB28050-2011标签明示要求，违法货值金额1.47万元；生产经营无标签的预包装食品（黄花鱼罐头、带鱼罐头）44箱，违法货值金额0.45万元。
当事人的上述行为，违反了《中华人民共和国食品安全法》有关规定，构成生产销售标签不符合食品安全法规定预包装食品、生产无标签预包装食品违法行为。市场监管部门依法责令当事人改正违法行为，没收违法所得、没收违法生产经营的食品，罚款4.41万元。（记者 : 赵铭）
#美国安局网络间谍又一主力装备曝光#细思极恐！美国安局网络间谍又一主力装备曝光！让你的信息大门敞开
在日前美国国家安全局（NSA）组织针对全球数亿公民及行业龙头企业长达十余年的网络攻击被曝光后，美国国安局网络攻击武器库中的又一种主力装备露出马脚。
国家计算机病毒应急处理中心14日正式发布了美国国家安全局专用“NOPEN”远程木马技术分析报告，将美国情治部门的网络间谍手段揭露在世人面前。
《环球时报》记者注意到，根据报告描述，“NOPEN”远程木马一旦被植入受害者计算机，就会成为“潜伏者”，随时向攻击者敞开“金库大门”，各种机密数据、敏感信息“一览无余”。有证据显示，该款木马已经控制全球各地海量的互联网设备，窃取了规模庞大的用户隐私数据。
“NOPEN”远控木马分析报告
近日，国家计算机病毒应急处理中心对名为“NOPEN”的木马工具进行了攻击场景复现和技术分析。该木马工具针对Unix/Linux平台，可实现对目标的远程控制。根据“影子经纪人”泄露的NSA内部文件，该木马工具为美国国家安全局开发的网络武器。“NOPEN”木马工具是一款功能强大的综合型木马工具，也是美国国家安全局接入技术行动处（TAO）对外攻击窃密所使用的主战网络武器之一。
一、基本情况
“NOPEN”木马工具为针对Unix/Linux系统的远程控制工具，主要用于文件窃取、系统提权、网络通信重定向以及查看目标设备信息等，是TAO远程控制受害单位内部网络节点的主要工具。通过技术分析，我单位认为，“NOPEN”木马工具编码技术复杂、功能全面、隐蔽性强、适配多种处理器架构和操作系统，并且采用了插件式结构，可以与其他网络武器或攻击工具进行交互和协作，是典型的用于网络间谍活动的武器工具。
二、具体功能
“NOPEN”木马工具包含客户端“noclient”和服务端“noserver”两部分，客户端会采取发送激活包的方式与服务端建立连接，使用RSA算法进行秘钥协商，使用RC6算法加密通信流量。
该木马工具设计复杂，支持功能众多，主要包括以下功能：内网端口扫描、端口复用、建立隧道、文件处理（上传、下载、删除、重命名、计算校验值）、目录遍历、邮件获取、环境变量设置、进程获取、自毁消痕等。
三、技术分析
经技术分析与研判，该木马工具针对Unix/Linux平台，可在主控端和受控端之间建立隐蔽加密信道，攻击者可通过向目标发送远程指令，实现远程获取目标主机环境信息、上传/下载/创建/修改/删除文件、远程执行命令、网络流量代理转发、内网扫描、窃取电子邮件信息、自毁等恶意功能。该木马工具包含主控端（Client）和受控端（Server）两个部分，具体分析结果如下：
（一）主控端功能分析
文件名：Noclient
MD5：188974cea8f1f4bb75e53d490954c569
SHA-1：a84ac3ea04f28ff1a2027ee0097f69511af0ed9d
SHA-256：ed2c2d475977c78de800857d3dddc739
57d219f9bb09a9e8390435c0b6da21ac
文件大小：241.2KB（241192 字节）
文件类型：ELF32
文件最后修改时间：2011-12-8 19:07:48
支持处理器架构：i386, i486, i586, i686, sparc, alpha, x86_64, amd64
支持操作系统：FreeBSD、SunOS、HP-UX、Solaris、Linux
主控端的主要功能是连接受控端和向受控端发送指令并接收受控端回传的信息：
1、连接目标受控端
主控端通过以下命令行连接目标受控端：
noclient [参数1：目标主机IP地址]:[端口号（默认为32754）]
连接成功后会组合采用RC6+RSA加密算法，在主控端与受控端之间建立加密信道。并回显主控端与被控端基本信息，包括：IP地址和端口号、软件版本、当前工作目录、进程号（PID）、操作系统版本和内核版本、日期时间等。同时主控端建立监听端口（默认为1025），接受受控端的反向连接。
2、命令控制
主控端与被控端成功建立连接后，攻击者可通过主控端控制台向受控端发送指令，该木马工具提供的指令非常丰富。开发者还给出了详细的指令帮助说明。
其中远程控制指令如下所示：
-elevate：提升权限
-getenv：获取环境变量
-gs：未知
-setenv：设置环境变量
-shell：返回命令行接口
-status：查看当前连接状态、本地与远程主机环境信息
-time：查看本地与远程主机的日期、时间和时区信息
-burn：终止控制并关闭远程进程
-call ip port：设置回连IP地址和端口号
-listen port：设置监听端口号
-pid：查看远程受控端进程ID
-icmptimetarget_ip [source_ip]：远程Ping目标地址，查看时延
-ifconfig：查看远程主机的IP地址设置和MAC地址
-nslookup：远程对指定域名进行解析
-ping：远程Ping目标地址，用于内网探测
-trace：远程traceroute
-fixudp port：指定UDP传输端口
另外，还有一些隐藏指令并没有被在控制台帮助中列出，如“-hammy”、“-trigger”、“-triggerold”和“-sniff”等。经研判可能是与其他网络武器或攻击工具之间的功能调用接口。
（二）受控端功能分析
文件名：noserver_linux
MD5：9081d61fabeb9919e4e3fa84227999db
SHA-1：0274bd33c2785d4e497b6ba49f5485caa52a0855
SHA-256：4acc94c6be340fb8ef4133912843aa0e
4ece01d8d371209a01ccd824f519a9ca
文件大小：357KB（356996 字节）
文件类型：ELF32
文件最后修改时间：2011-12-8 19:07:48
受控端被加载运行后会默认监听32754端口。
受控端程序为了干扰和对抗分析，进行了去符号操作，结合代码功能，分析受控端程序的主要功能如下所示：
1.KillProc、kill：终止指定进程
2.Chmod：为指定对象赋权限
3.GetCWD：获得当前工作目录
4.GetPid：获得当前进程ID
5.DeleteFile_Dir：删除指定文件或目录
6.GetFileMD5：获得指定文件MD5摘要
7.GetPCInfo：获得所在主机环境信息
8.Recv：上传、下载数据
9.Connect：建立socket连接
受控端根据主控端指令组合调用相应模块执实现相关恶意操作。
四、使用环境
“NOPEN”木马工具支持在Linux、FreeBSD、SunOS、Solaris、JUNOS和HP-UX等各类操作系统上运行，同时兼容i386、i486、i586、i686、i86pc、i86、SPARC、Alpha、x86_64、PPC、MIPS、ARM以及AMD64等多种体系架构，适用范围较广。根据监控情况，该木马工具主要用于在受害单位内网中执行各类攻击指令，结合其他取情、嗅探工具，级联窃取核心数据。
五、植入方式
“NOPEN”木马工具支持多种植入运行方式，包括手动植入、工具植入、自动化植入等，其中最常见的植入方式是结合远程漏洞攻击自动化植入至目标系统中，以便规避各种安全防护机制。此外，TAO还研发了一款名为Packrat的工具，可用于辅助植入“NOPEN”木马工具，其主要功能为对“NOPEN”木马工具进行压缩、编码、上传和启动。
六、使用控制方式
“NOPEN”木马工具主要包括8个功能模块，每个模块支持多个命令操作，TAO主要使用该武器对受害机构网络内部的核心业务服务器和关键网络设备实施持久化控制。其主要使用方式为：攻击者首先向安装有“NOPEN”木马工具的网内主机或设备发送特殊定制的激活包，“NOPEN”木马工具被激活后回连至控制端，加密连接建立后，控制端发送各类指令操作“NOPEN”木马工具实施网内渗透、数据窃取、其他武器上传等后续攻击窃密行为。
在日前美国国家安全局（NSA）组织针对全球数亿公民及行业龙头企业长达十余年的网络攻击被曝光后，美国国安局网络攻击武器库中的又一种主力装备露出马脚。
国家计算机病毒应急处理中心14日正式发布了美国国家安全局专用“NOPEN”远程木马技术分析报告，将美国情治部门的网络间谍手段揭露在世人面前。
《环球时报》记者注意到，根据报告描述，“NOPEN”远程木马一旦被植入受害者计算机，就会成为“潜伏者”，随时向攻击者敞开“金库大门”，各种机密数据、敏感信息“一览无余”。有证据显示，该款木马已经控制全球各地海量的互联网设备，窃取了规模庞大的用户隐私数据。
“NOPEN”远控木马分析报告
近日，国家计算机病毒应急处理中心对名为“NOPEN”的木马工具进行了攻击场景复现和技术分析。该木马工具针对Unix/Linux平台，可实现对目标的远程控制。根据“影子经纪人”泄露的NSA内部文件，该木马工具为美国国家安全局开发的网络武器。“NOPEN”木马工具是一款功能强大的综合型木马工具，也是美国国家安全局接入技术行动处（TAO）对外攻击窃密所使用的主战网络武器之一。
一、基本情况
“NOPEN”木马工具为针对Unix/Linux系统的远程控制工具，主要用于文件窃取、系统提权、网络通信重定向以及查看目标设备信息等，是TAO远程控制受害单位内部网络节点的主要工具。通过技术分析，我单位认为，“NOPEN”木马工具编码技术复杂、功能全面、隐蔽性强、适配多种处理器架构和操作系统，并且采用了插件式结构，可以与其他网络武器或攻击工具进行交互和协作，是典型的用于网络间谍活动的武器工具。
二、具体功能
“NOPEN”木马工具包含客户端“noclient”和服务端“noserver”两部分，客户端会采取发送激活包的方式与服务端建立连接，使用RSA算法进行秘钥协商，使用RC6算法加密通信流量。
该木马工具设计复杂，支持功能众多，主要包括以下功能：内网端口扫描、端口复用、建立隧道、文件处理（上传、下载、删除、重命名、计算校验值）、目录遍历、邮件获取、环境变量设置、进程获取、自毁消痕等。
三、技术分析
经技术分析与研判，该木马工具针对Unix/Linux平台，可在主控端和受控端之间建立隐蔽加密信道，攻击者可通过向目标发送远程指令，实现远程获取目标主机环境信息、上传/下载/创建/修改/删除文件、远程执行命令、网络流量代理转发、内网扫描、窃取电子邮件信息、自毁等恶意功能。该木马工具包含主控端（Client）和受控端（Server）两个部分，具体分析结果如下：
（一）主控端功能分析
文件名：Noclient
MD5：188974cea8f1f4bb75e53d490954c569
SHA-1：a84ac3ea04f28ff1a2027ee0097f69511af0ed9d
SHA-256：ed2c2d475977c78de800857d3dddc739
57d219f9bb09a9e8390435c0b6da21ac
文件大小：241.2KB（241192 字节）
文件类型：ELF32
文件最后修改时间：2011-12-8 19:07:48
支持处理器架构：i386, i486, i586, i686, sparc, alpha, x86_64, amd64
支持操作系统：FreeBSD、SunOS、HP-UX、Solaris、Linux
主控端的主要功能是连接受控端和向受控端发送指令并接收受控端回传的信息：
1、连接目标受控端
主控端通过以下命令行连接目标受控端：
noclient [参数1：目标主机IP地址]:[端口号（默认为32754）]
连接成功后会组合采用RC6+RSA加密算法，在主控端与受控端之间建立加密信道。并回显主控端与被控端基本信息，包括：IP地址和端口号、软件版本、当前工作目录、进程号（PID）、操作系统版本和内核版本、日期时间等。同时主控端建立监听端口（默认为1025），接受受控端的反向连接。
2、命令控制
主控端与被控端成功建立连接后，攻击者可通过主控端控制台向受控端发送指令，该木马工具提供的指令非常丰富。开发者还给出了详细的指令帮助说明。
其中远程控制指令如下所示：
-elevate：提升权限
-getenv：获取环境变量
-gs：未知
-setenv：设置环境变量
-shell：返回命令行接口
-status：查看当前连接状态、本地与远程主机环境信息
-time：查看本地与远程主机的日期、时间和时区信息
-burn：终止控制并关闭远程进程
-call ip port：设置回连IP地址和端口号
-listen port：设置监听端口号
-pid：查看远程受控端进程ID
-icmptimetarget_ip [source_ip]：远程Ping目标地址，查看时延
-ifconfig：查看远程主机的IP地址设置和MAC地址
-nslookup：远程对指定域名进行解析
-ping：远程Ping目标地址，用于内网探测
-trace：远程traceroute
-fixudp port：指定UDP传输端口
另外，还有一些隐藏指令并没有被在控制台帮助中列出，如“-hammy”、“-trigger”、“-triggerold”和“-sniff”等。经研判可能是与其他网络武器或攻击工具之间的功能调用接口。
（二）受控端功能分析
文件名：noserver_linux
MD5：9081d61fabeb9919e4e3fa84227999db
SHA-1：0274bd33c2785d4e497b6ba49f5485caa52a0855
SHA-256：4acc94c6be340fb8ef4133912843aa0e
4ece01d8d371209a01ccd824f519a9ca
文件大小：357KB（356996 字节）
文件类型：ELF32
文件最后修改时间：2011-12-8 19:07:48
受控端被加载运行后会默认监听32754端口。
受控端程序为了干扰和对抗分析，进行了去符号操作，结合代码功能，分析受控端程序的主要功能如下所示：
1.KillProc、kill：终止指定进程
2.Chmod：为指定对象赋权限
3.GetCWD：获得当前工作目录
4.GetPid：获得当前进程ID
5.DeleteFile_Dir：删除指定文件或目录
6.GetFileMD5：获得指定文件MD5摘要
7.GetPCInfo：获得所在主机环境信息
8.Recv：上传、下载数据
9.Connect：建立socket连接
受控端根据主控端指令组合调用相应模块执实现相关恶意操作。
四、使用环境
“NOPEN”木马工具支持在Linux、FreeBSD、SunOS、Solaris、JUNOS和HP-UX等各类操作系统上运行，同时兼容i386、i486、i586、i686、i86pc、i86、SPARC、Alpha、x86_64、PPC、MIPS、ARM以及AMD64等多种体系架构，适用范围较广。根据监控情况，该木马工具主要用于在受害单位内网中执行各类攻击指令，结合其他取情、嗅探工具，级联窃取核心数据。
五、植入方式
“NOPEN”木马工具支持多种植入运行方式，包括手动植入、工具植入、自动化植入等，其中最常见的植入方式是结合远程漏洞攻击自动化植入至目标系统中，以便规避各种安全防护机制。此外，TAO还研发了一款名为Packrat的工具，可用于辅助植入“NOPEN”木马工具，其主要功能为对“NOPEN”木马工具进行压缩、编码、上传和启动。
六、使用控制方式
“NOPEN”木马工具主要包括8个功能模块，每个模块支持多个命令操作，TAO主要使用该武器对受害机构网络内部的核心业务服务器和关键网络设备实施持久化控制。其主要使用方式为：攻击者首先向安装有“NOPEN”木马工具的网内主机或设备发送特殊定制的激活包，“NOPEN”木马工具被激活后回连至控制端，加密连接建立后，控制端发送各类指令操作“NOPEN”木马工具实施网内渗透、数据窃取、其他武器上传等后续攻击窃密行为。
#两会声音# 【全国政协委员何报翔：推广远程医疗，需破“三难题”】“预计未来十年，我国远程医疗服务将呈快速发展态势。”民革中央副主席、民革湖南省委会主委何报翔建议，①完善机制，激发参与主体积极性；②加强网络建设，强化信息平台的整合共享；③面向市场需求拓展“远程医疗+养老、慢性病健康监护”等服务范围，探索远程医疗服务包等市场化模式。https://t.cn/A66GS56X
✋热门推荐