越南黑客的“生死象征”

一些越南黑客多年来一直在系统地监视持不同政见者，其中包括德国。巴伐利亚广播公司（BR）和德国《泰晤士报》周刊的一项调查显示，受害者感到德国政府抛弃了他们。

在收到警告之前，bui Thanh hieu支付了200欧元的出席费，在斯图加特附近的一次会议上发言。不过，后来他被警告说，越南特工可能已经潜入了这一事件。Bui Thanh hieu是越南最**的博主之一。大多数德国人都知道越南是一个拥有美丽海滩和美味食物的度假胜地。Bui记录了越南的另一面：一个恐吓批评者的一党制国家；一个允许腐败和官僚暴政的政权。

对越南人来说，“新闻自由”只是一个看不见摸不着的概念，而布伊则向越南观众展示了警察用警棍殴打不满者的照片。据他说，他因工作被安全部队“拘留了十几次”。2013年，他逃到德国，从那以后，裴成秋一直在柏林生活和工作。他在Facebook上有数十万粉丝，自称“粉丝”。当然，他想回家，但他在接受采访时说，“如果我回去，我只能进监狱。”。他还说，他的父母被叫到警察局，警察因为没有好好教育孩子而虐待他们。

越南战争结束后，数十万越南人因饥饿和恐怖政权逃离祖国。一些流亡海外的越南人成立了协会，从2002年开始每年举行**，有时在法国，有时在美国，2018年在斯图加特附近。在为期四天的聚会中，他们谈论了越南光明的未来。他们希望今后，****不会被关进监狱，也不会时不时遭受酷刑。

黑客邮件

布一接到警告就取消了行程。他担心自己可能会受到监视，担心越南政府可能会向德国伸出援手。然而，他并不知道黑客的触角已经到达了他的邮箱。

布依非常谨慎。他原以为黑客已经盯上他一段时间了，但这次，他们却有备而来。黑客们显然知道他要去斯图加特参加一个会议，并以此来勾引他。开会前六个星期，他收到了一份请柬。这是一封黑客发来的邮件，里面有恶意软件。他命令进来。

Bui于2018年12月12日收到此邮件。寄件人的地址与原地址非常相似，但加了“th”。附件的下载格式不正确。预览图像不显示，只显示“文件名”。显示“Docx”和链接。点击链接下载的不是斯图加特会议邀请，而是恶意软件。这个图形的地址和链接被处理，一些字母被隐藏。

在监视下，独自一人

这种网络攻击是经过精心准备和安排的。受害者只需点击两下鼠标就会受到攻击，所以这对持不同政见者来说是非常危险的。BR和时代周刊进行了几个月的研究，发现有许多受害者，包括反对派成员和人权活动人士，其中许多人在德国感到孤立。如果他们幸运的话，信息安全专家会通知他们网站已经被黑客入侵，但否则，德国政府通常不会与他们联系。结果还表明，他们无能为力。在网络间谍案件中，帮助持不同政见者的既定程序很少。

经过与受害者、调查人员和德国**情报机构负责人等20多人的对话，我们大致勾勒出了这些黑客的全貌，并推测他们的目的是为了维护越南的战略利益。研究还揭示了黑客所犯的错误。因此，我们的记者团队成功地发现了哪些网站被用来传播恶意软件，然后发现黑客多年来一直试图监控受害者。

“调度员”担心线人曝光

两年后，也就是2020年夏天，白先生接受记者采访时，得知黑客给他发了假会议邀请函。他首先担心的是他的线人。”如果我的笔记本电脑里有恶意软件，政府就会知道是谁向我提供了这些信息”，这也会影响到执政党和国家机关的线人，使他们处于危险之中。一位信息安全专家同意对他的电脑进行恶意软件扫描，记者小组为他们建立了联系。对于bui来说，最重要的是以防万一。这个专家与越南无关。

Bui Thanh hieu，“风衣”？Felix burchardt，《时代周刊》

布依和一小群人来开会。德国几乎每个城市都有人帮助他，柏林也不例外。当布依从支持者的车里出来时，阳光明媚。他的背包上写着“放轻松”，这是布依的信条。他拉直帽子，为自己点了一支烟。一位支持者给他指派了一位能把计算机术语翻译成越南语的人。

当bui将笔记本电脑和密码交给信息安全专家时，该专家保证至少不会在未经协商的情况下**任何文件。他说他大约一小时后就准备好了。布依很少有面部表情。两会期间，他的脸上只露出了一瞬间内心的感受——那一刻，他得知黑客在监视他的电脑。

网络攻击留下线索

可能很难找出袭击的幕后黑手，但并非不可能，因为袭击会留下痕迹。原则上，这些痕迹是可以抹去的，但信息安全专家和情报机构有时会追踪这些黑客组织好几年，更何况黑客也会犯错。

在bui案中，这些痕迹指向一个可能代表越南政府行事的团体。专家们给这个组织起了许多名字，其中“apt32”和“海莲”是最**的两个代号。在与十多位信息安全专家交谈后，bui同意这个越南组织是专门监测其同胞的。

BR和时代周刊记者组通过技术调查证实了这一点。研究小组发现了数百台受感染的电脑，表明黑客可能特别关注的目标群体是：越南公民。海莲有一个配备齐全的数字工具箱放置恶意软件。他们还使用一些新方法从被监控的计算机中获取数据。

“海莲”向病毒发出指令，诱导用户访问属于“海莲”的预设网站。信息安全公司ESET发现，网站的前半部分包含重要信息，因为这是黑客给被监控计算机起的名字。一些电脑名称透露更多信息，如“东盟”。海莲一直在攻击东盟的电脑，并在2017年成功入侵。可以了解到，一个与东盟无关的人可以将他们监控的东盟电脑命名为“东盟”。

该小组评估了信息安全公司farsight的数据库。Farsight在数据库中详细说明了域名和IP地址之间的关系。这些数据是多年前收集的，显示哪些电脑受到黑客监控。通过数据库，记者小组联系了数百个电脑名，其中只有80个指向越南名字的用户。一些计算机名称包含缩写，表明这些用户为国家机构工作。

广泛的任务

信息安全公司crowdstrike副总裁兼情报主管亚当·迈耶斯（Adam Meyers）多年来一直在监控越南黑客社区。”他们自2012年以来一直很活跃，经常攻击居住在中国、越南、柬埔寨、菲律宾或德国的人。”。他补充说，黑客的目标是能源、金融、酒店和汽车行业，以及政府、媒体和人权组织。”我们所说的黑客组织不是在他们父母的地下室发动黑客攻击的六个人，而是一个军事组织。我们说的是计算机网络运行中最重要的实体，一个健全的民族国家的组织，能够完成广泛的任务。”另一位不愿透露姓名的it安全专家称，海莲是“世界上最活跃的五大黑客组织之一”。

没有明确证据表明越南政府向该组织发出了命令，但有证据可供遵循。越南驻柏林大使馆被要求就此事发表评论，他们坚决否认越南是网络攻击的幕后黑手，并拒绝任何此类指控：“必须依法谴责和严惩网络攻击和威胁网络安全的行为。”大使馆还说，越南准备与国际社会合作，防止未来的攻击。不过，一位在德国安全部门工作、关注各国及其黑客的人士告诉《时代周刊》（BR and time week）：“在越南这样的国家，没有政府的指示，黑客组织不可能发动如此大规模的攻击。”

让我们回到裴成秋惊呆的那一刻。信息安全专家对他的电脑进行了探测，以确定是否有黑客的踪迹，然后给了他一个令人惊讶的答案。他仔细地听着译文，好像每一个细节对他都很重要。Bui想知道他是否需要警告他的线人，以及安全专家是否检查了他的邮箱。他说，就在几个月前，他发现了另一封可疑的电子邮件。

专家没有发现任何恶意软件。听了这话，他显得很惊讶。他似乎坚信会有黑客的踪迹。毕竟，bui强调他打开了电子邮件，这应该足以让黑客侵入他的电脑，但专家们什么也没有得到。专家怀疑黑客已经抹去了他们的踪迹。他还说，他需要更多的时间进行进一步的分析，这可能需要几个小时和几天。此刻，小布松了一口气。

网络间谍更容易摆脱

布将未受感染的笔记本电脑塞进背包，谈起了他在德国的生活。”我不知道这里是否安全，但不管怎样，这里比越南安全得多。如果我在德国不安全，我在任何地方都不会安全。”

现在他知道，仅在2019年，他就收到了海莲的三封电子邮件，这意味着他们试图对他的笔记本电脑发动三次攻击。在这三起事件中，他的笔记本没有留下任何痕迹。但这些事件表明黑客正在窥探他的秘密。即使贝到目前为止很幸运，好运也不可能永远伴随着他。

网络间谍活动使各国能够跨国界监控自己的“眼中钉”。与其训练特工潜入驾驶舱，把窃听者放在行政楼层，不如利用互联网线路发送病毒。”一位正在追捕政府黑客的信息安全专家说：“你不需要全方位的监控。”如果你想知道别人在说什么，只需打开手机上的麦克风。”

网络间谍的另一个优势是，他们比传统特工更容易摆脱指控。传统**商的行为一旦公之于众，就会引发2017年的国际丑闻。越南前官员、商人崔宣成（Trinh Xuan Thanh）与女友在柏林大铁尔加滕公园散步时，据报道，越南特勤局的一名特工从一辆面包车上跳下，将他们拖进车里。他们绑架他们的理由是逮捕逃往德国的贪官，违反了国际法。他们还在柏油路上砸碎了陈的女友的胳膊，砸碎了陈的手机。

崔元成在党内精英的权力斗争中失败，离开了越南。他在越南被人痛恨，甚至人们都谴责他是一个腐败的政客，开着一辆价值25万美元的雷克萨斯在河内大摇大摆。他被绑架后不久，就出现在越南国家电视台。他在河内被判处无期徒刑。

这次行动可能在经济和外交上都付出了高昂的代价，越南和德国的外交关系已经中断。

德国智库德国国际政治与安全事务研究所（German Institute of international political and security affairs）研究黑客攻击的马蒂亚斯·舒尔茨（Matthias Schulze）说，“在网络世界，此类攻击吸引的关注较少，安全级别也不是很高。”这为获取信息打开了大门，网络攻击的各种“好处”几乎鼓励各国建立黑客组织。非常划算，成本低，回报高。”

黑客目的地：慕尼黑

目标：宝马

2019年春季以来，黑客通过越南与宝马的贸易对宝马进行网络攻击。越南目前正在建设汽车工业，因此发动机不断从慕尼黑的宝马运往河内，黑客也不断从河内攻击宝马。比尔的调查显示，袭击持续了几个月。但黑客尚未侵入慕尼黑的网络并带走敏感数据。虽然不能百分之百肯定是工业间谍，但很有可能。宝马尚未发表任何公开声明。

Br和时代周刊的另一项技术分析揭示了黑客的活跃程度。因为“海莲”可能会犯错误，我们可以看到数以百计的网站被黑客建立起来传播他们的恶意软件。

在用户浏览网站之前，浏览器会检查用户的身份。通常，每个网站都有自己的数字标识，即安全证书。如果两个不同的网站拥有相同的证书，那么它们属于同一个人。这就是海莲出现的地方。在信息安全公司DomainTools的数据库中，记者调查组发现，大约280个“海联”网页使用了相同的证书。网络安全公司riskiq的专家也找到了证书并追踪到了“海莲”。

柏林，间谍之城

这是柏林一座简陋的办公楼：窗帘拉得很紧，温度很低，身着西装、戴着耳机的保安守在门口。这座大楼是德国联邦宪法保护局。房间里有一张巨大的会议桌，与人数不多的面试官形成鲜明对比。桌子上放着一个电子装置，这是《时代》杂志和《时代》记者唯一能带进门的电子装置。手机和笔记本电脑只能送上门。

德国**安全特工、联邦宪法保护局主席托马斯·哈尔登旺平静地评论说，情报部门“比以前更健全”。几十年来，间谍故事大多只存在于电影中，但现在在网络攻击大会上，德国极端主义与恐怖主义联合防御中心的相关工作组越来越喜欢以“间谍只是传说”为借口。

哈尔登旺最近宣布柏林为“间谍之都”。他在接受英国《商业评论》和《时代周刊》采访时解释说，德国是中欧的重要国家，因此外国有关部门对德国政治非常感兴趣。”德国是国际关系的广泛参与者，许多华侨华人住在这里。2016年土耳其政变失败后，土耳其古伦运动的支持者受到监控，而伊朗则试图恐吓反对派成员。

与此同时，正如哈尔登旺所说，网络攻击已经成为许多外国机构的“**手段”。联邦宪法保护局从2014年开始观察海莲的黑客，他们注意到这些黑客“对一些有越南背景的团体感兴趣”这是我们认为与越南有明显联系的另一个证据，”哈尔登旺说。然而，没有明确的证据指向越南，尤其是其情报部门。

程序不完善

哈尔登旺描述了反间谍工作的一个核心问题。当海莲活跃在德国时，联邦宪法保护局向国内汽车业发出警告。德国政府和行业之间有一套完整的程序。”当持不同政见者被监视的时候就不同了。如果我们发现持不同政见者受到威胁，我们将与警方讨论进一步的措施。”警察负责立即保护。

然而，网络间谍活动往往是一种准备活动。我们无法从电子邮件中看出网络间谍活动是否会发展成真正的威胁。据哈尔登旺说，协助警察是联邦宪法保护局的任务之一。然而，他说，“没有哪个警察局能日夜守护这一大群人。”。

几个月过去了，警察一直没有接电话

吴群勇就是一个典的例子。现在他怀疑自己能否依赖德国政府。几个月前，他得知自己成为黑客攻击的目标，但没有人帮助他。Vu是越南人权运动网站否决权网络的负责人。他在欧洲议会前发表讲话，会见了德国联邦议院的政客，还会见了德国总统施泰因迈尔。

人权工作者Vu Quoc dung。©巴西

2020年5月12日，朋友们问武是否发了一封关于越南政府的邮件。电子邮件地址与他本人及其签名非常相似，但这封电子邮件是海莲发给他的侄子和一位报道越南社会的德国日报记者的。“否决权”网络提起诉讼，但案件数月来一直没有进展。

在工作中，VU的侄子huy学会了识别含有病毒的电子邮件。”当我从一个新的电子邮件地址收到一封带有附件的电子邮件时，我会非常谨慎。出于好奇，他写了一封回信。不到两个小时后，黑客竟然回答了——所谓的“武叔叔”——并问他“怎么了”那不是我叔叔的语气。

专业黑客软件“钴攻击”

信息安全公司volexity的专家Steven Adair解释说，如果有人下载黑客发送的文件，他们的技术人员会安装名为“cobalt attack”的专业黑客软件。他分析了包含恶意软件的电子邮件。”“钴攻击”是美国一家公司的软件，价格是每年数千欧元。这个软件框架非常强大，以至于美国政府不得不同意将其出售给许多国家。专家们一接到企业的指令，就会立即使用该软件对其信息安全进行合法检测。

可以说，海联的黑客们也在测试政府和企业网络的信息安全，虽然他们是活跃的、非法的。史蒂文·阿代尔说，如果他们拿到了，他们会把数据排回服务器。

史蒂文·阿代尔认识伍克·邓很长时间了。2017年，人权组织“否决”的网站遭到黑客攻击后，Adair联系了该组织。除了“否决”网站，黑客还占领了100多个网站。”这些网站的绝大多数，大约80到90个与越南有关。越南天主**的网站和当地一家新闻网站也成为攻击目标，还有一家钢铁公司的网站，该公司的越南工厂给越南带来了巨大的环境问题。

阿代尔分析了“否决”网站，并删除了黑客的工具他解释说，他估计，在每天10万名访问者中，只有10人可能对黑客感兴趣一旦他们锁定某人，黑客就会改变网站的外观。这就是黑客如何获取这些人的登录数据，以他们的名义阅读和发送电子邮件。

多年后，从他们的邮件中可以看出，“‘海莲’的黑客们仍然将目标锁定在了吴群勇身上，这显然是一起网络间谍案。”我们把邮件的文本从越南语翻译成德语，并详细解释了我们为什么提出刑事指控。但当Br和《泰晤士报》联系到他时，警方负责人回信称，此案最终由诈骗部门处理。警方显然试图通过电话和电子邮件与武某联系。然而，Br和《泰晤士报》却发现，他们错把电子邮件发到了黑客的地址。应记者要求，警方再次邀请武某接受笔录。

“否决”网站试图在这段时间内保护自己，即使这很可能是徒劳的，VU解释说：“我认为作为一个小组织，我们不可能**一批可能得到国家支持的黑客。”在VU看来，德国政府是罪魁祸首我们希望，当人权团体成为攻击目标时，国家或警察能够尽**努力保护他们。”

德国联邦政府的任务

奥尔兰根纽伦堡大学国际刑法和国际法教授克里斯托夫·萨弗林（Christoph safferling）和武（vu）持相同观点。他说，保护这些人是联邦政府的任务，也是宪法规定的义务。”他补充说，人们必须意识到问题的严重性：“这些人不是偶然来到这里的外国人。他们是我们社会的一部分，必须能够在这里和平自由地生活。”

“海莲”黑客只是想阻止他们的自由生活，这就是他们名字的含义。2011年，当他们开始活动时，他们给自己起了一个越南名字：Sinh Tu lenh，一个控制生死的隐喻。这个名字来源于金庸小说中的“生死象征”。在越南，金庸的武侠小说和电影非常受欢迎。

任何使用这种魅力的人都可以使别人服从他。受害者将遭受极度的痛苦，只有在服从法师的命令后才会得到解脱。恶意软件是海莲的生死象征。黑客，就像小说中的人物一样，控制着受害者，或者更确切地说，控制着政权抨击者的键盘、屏幕和文件，直到他们屈服。

结束

作者：

Hakan Tanriverdi、Max Zierer、Ann Kathrin Wetter（BR）、Kai Biermann、Thi Do Nguyen（Zeit在线）