Jump ESP, jump!: 为什么（我认为）俄罗斯没有黑客攻击WADA

免责声明：此为个人观点。我并非归因分析专家，但事实证明世界上真正擅长归因分析的人并不多。本文缺乏实际证据，主要基于推测。

已知事实时间线

1. 2016年8-9月：WADA数据库遭黑客入侵并外泄
2. 8月15日：WADA警告利益相关者提防钓鱼邮件（链接）
3. 9月1日：fancybear.net域名被注册
4. 黑客内容在网站公开
5. 9月12日：@FancyBears推特账户创建并联系媒体
6. 西方媒体开始报道"俄罗斯黑客攻击WADA"
7. WADA声明泄露文件遭篡改（链接）

Threatconnect技术分析质疑

唯一指向俄罗斯的技术分析报告（链接）提出五点证据：

• 俄罗斯APT组织具备钓鱼攻击能力
• 钓鱼域名使用Fancy Bear曾用的域名注册商ITitch[.]com
• 其他关联域名通过Domains4bitcoins[.]com注册
• 域名注册时间与俄罗斯运动员禁赛时间吻合
• 使用1&1 mail.com邮箱注册域名符合Fancy Bear的TTP（战术、技术与程序）

问题在于：所有这些TTP都是公开信息，任何脚本小子都能伪造这些证据。更可靠的证据应是：非公开的恶意代码样本、专属服务器IP或注册邮箱等。

fancybear网站的矛盾点

若真是俄罗斯国家支持的黑客组织：

• 为何使用已被Crowdstrike曝光的"Fancy Bear"名称？
• 为何在网站上大量使用熊图案（明显俄罗斯象征）？
• 这种自曝身份的行为不符合国家黑客组织的隐蔽策略

技术细节分析

1. @anpoland账户疑点

• 视频中操作者无法双击（可能使用虚拟化控制台）
• 推特账户2010年注册但活动时间线异常
• 响应速度不符合TOR网络特征
• 可能使用比特币购买的服务器而非个人电脑

2. HTML源码中的韩文字符

• 网站初始版本包含韩文注释（存档链接）
• 被曝光后立即移除（存档链接）
• 可能来自韩语版WYSIWYG编辑器生成

归因分析双向论证

支持俄罗斯攻击论的依据：

• 俄罗斯因禁赛有报复动机
• 存在多项（虽薄弱）技术证据

反对俄罗斯攻击论的依据：

• 文件篡改不符合国家黑客行为模式（参见The Intercept文章）
• 所有证据均可被伪造
• 韩文字符若是假旗证据为何移除？
• 实际泄露未对WADA造成实质性损害

结论推测

本次攻击更可能来自：

• 受雇于俄罗斯敌对方的非专业黑客服务
• 通过伪造证据将矛头指向俄罗斯
• 文件篡改旨在破坏未来所有泄露内容的可信度

正如Patrick Gray所言：“俄罗斯成了新的中国，连我的作业都是俄罗斯人吃的”©

技术问答：

• 俄罗斯有能力攻击WADA吗？ → 是
• 是否是俄罗斯所为？ → 可能是否
• 是否国家支持的黑客组织？ → 高度怀疑
• 能否买到所有证据都指向俄罗斯的归因骰子？ → 已售罄

更新时间：2016年10月（根据TheGrugq指出Guccifer篡改文件的新证据）