中国研究员曝光美国“顶级后门”，背后公司是谁？

文 | 吕栋

2月23日，美国“顶级后门”攻击中国等国家和地区的完整证据链条，被奇安盘古实验室首次曝光。

观察者网查询发现，奇安盘古实验室的母公司正是科创板上市公司奇安信，这家公司曾和360公司有着千丝万缕的联系，但随着周鸿祎的退出，其持有的奇安信股份也被央企中国电子收购。由此，奇安信也被外界贴上“网络安全国家队”的标签，但奇安信目前的实控人和第一大股东仍是其董事长齐向东。

财报披露，由于选择高研发投入且人员快速扩张的发展模式，奇安信在上市前后持续亏损，最近五年总计亏损约30亿。上市当天市值一度冲高至千亿后，奇安信股价近期持续阴跌，截至发稿报69.84元/股，较上市之初的高点下跌51%，市值已经跌至476亿元。

奇安信股价走势

2月23日，北京奇安盘古实验室科技有限公司（下称：奇安盘古实验室）发布报告，披露了来自美国的后门——“电幕行动”（Bvp47）的完整技术细节和攻击组织关联。奇安盘古实验室指出，这是隶属于美国国安局（NSA）的超一流黑客组织——“方程式”所制造的顶级后门，用于入侵后窥视并控制受害组织网络，已侵害全球45个国家和地区。

奇安盘古实验室报告截图（下同）

报告披露，2013年，盘古实验室研究员在针对某国内要害部门主机的调查过程中，提取一个被复杂加密的疑似后门程序Bvp47，在不能完全解密的情况下，经研究发现这个后门程序需要与主机绑定的校验码才能正常运行，随后研究人员又破解了校验码，并成功运行了这个后门程序，从部分行为功能上断定这是一个顶级APT后门程序，但是进一步调查需要攻击者的非对称加密私钥才能激活远控功能，至此研究人员的调查受阻。

受害范围超过45个国家

2016年，知名黑客组织“影子经纪人”（The Shadow Brokers）宣称成功黑进了“方程式组织”，并于2016年和2017年先后公布了大量“方程式组织”的黑客工具和数据。盘古实验室成员从“影子经纪人”公布的文件中，发现了一组疑似包含私钥的文件，恰好正是唯一可以激活Bvp47顶级后门的非对称加密私钥，可直接远程激活并控制Bvp47顶级后门。可以断定，Bvp47是属于“方程式组织”的黑客工具。

随后，研究人员通过进一步研究发现，“影子经纪人”公开的多个程序和攻击操作手册，与2013年前美国中情局分析师斯诺登在“棱镜门”事件中曝光的NSA网络攻击平台操作手册中所使用的唯一标识符完全吻合。鉴于美国政府以“未经允许传播国家防务信息和有意传播机密情报”等三项罪名起诉斯诺登，可以认定“影子经纪人”公布的文件确属NSA无疑，这可以充分证明，方程式组织隶属于NSA，即Bvp47是NSA的顶级后门。

“影子经济人”的文档揭示受害范围超过45个国家287个目标，包括俄罗斯、日本、西班牙、德国、意大利等，持续十几年时间，某日本受害者被利用作为跳板对目标发起攻击。

报告显示，盘古实验室为多起Bvp47同源样本事件起了一个代号“电幕行动”。电幕（Telescreen）是英国作家乔治·奥威尔在小说《1984》中想象的一个设备，可以用来远程监控部署了电幕的人或组织，“思想警察”可以任意监视任意电幕的信息和行为。

2019年，中国网络安全机构曾披露，“方程式”和“索伦之眼”是业界认定的灭霸级别的两个高级持续性威胁（APT）组织，其后台都是美国国家安全局（NSA）。

其中，“方程式”组织在2000年到2015年间，对全球43个国家和地区的上万台主机实施了APT攻击，中国受攻击数量列于全球首位。“索伦之眼”主要针对中国、俄罗斯进行网络间谍活动，以窃取敏感信息为主。在针对中国地区的攻击中，有上百个计算机终端受影响。

美国国安局攻击窃密的目的，也不只是窃取国家情报，商业信息也是它们的目标。美国国家安全机构会直接通过网络攻击窃密，协助美国企业获得不公平的优势。

一个知名的案例是NSA在2013年利用“黑珍珠”（Blackpearl）计划对巴西国营石油公司（Petrobras）实施持续监控，每72个小时，美国政府就会收到一份关于巴西石油公司的更新报告。时任巴西总统罗塞夫表示，这证明美国网络行动的动机并非出于安全或反恐，而是具有“经济与战略”企图的商业间谍行为。

人民日报曾发文指出，无论是对国家重要信息，还是商业机构情报的窃取，美国无疑都有着不光彩的历史，却往往以疑邻盗斧的心态指责他国。

持续亏损的网安“国家队”

企查查信息显示，奇安盘古实验室，由科创板上市公司奇安信间接100%控股。

企查查截图（下同）

官网信息显示，奇安信成立于2014年。谈及创办奇安信的初衷，该公司董事长齐向东曾表示，2014年，“心脏滴血”漏洞、破壳漏洞先后曝光，国内超过三分之二的互联网软件、网站等不能保证用户通过互联网传递、存储信息的安全，影响之广，前所未有。于是，奇安信应运而生，“希望实现创新研发新一代企业级网络安全产品、技术和服务的目标。”

据奇安信披露，该公司专注网络空间安全市场，向政府、企业用户提供企业级网络安全产品和服务，目前已发展成为国内领先的基于大数据、人工智能和安全运营技术的网络安全供应商。除此之外，该公司还在印度尼西亚、新加坡、加拿大、中国香港等国家和地区开展网络安全业务。

奇安信官网截图

说到奇安信，就不得不提360。

奇安信上市之前，360曾是奇安信第二大股东，持股22.5856%。2019年4月12日，360发布公告称，将对外转让其所持奇安信的全部股权，并收回360品牌等所有授权，交易价格37.31亿元。对此，舆论解读为360与奇安信正式“分家”。

在此之前，这两家原本有千丝万缕联系的公司对于各自业务约定划分为：周鸿祎及其控制企业将主要从事针对消费类个人用户提供安全软硬件与服务业务；齐向东及其控制企业将主要从事针对企业类客户提供安全软硬件与安全服务的业务。

随着360退出，交易受让方宁波梅山保税港区明洛投资管理合伙企业（下称：明洛投资）浮出水面。企查查信息显示，明洛投资股权穿透后，其二位股东宁波麒飞网安科技有限公司（持股0.1%）和中电金投控股有限公司（持股99.9%），均为大型央企中国电子信息产业集团有限公司的子公司。也正因这场交易，奇安信被贴上“网络安全国家队”的标签。

齐向东是奇安信第一大股东和实控人（点击可放大）

中国电子是奇安信第二大股东

2019年4月之后，奇安信加紧上市步伐。2019年6月，证监会北京监管局官网发布公告，奇安信接受中信建投证券上市辅导，启动登陆科创板。从2020年5月11日招股书获上交所受理到正式登陆科创板，奇安信仅用时70天。

成立以来，奇安信曾多次为重大活动和会议提供网络安全保障工作，并于2019年12月26日成为奥运史上首家网络安全服务与杀毒软件官方赞助商，为北京2022年冬奥会和冬残奥会提供网络安全服务与杀毒软件。

这些也帮助奇安信的营收增长明显。财报显示，2017年-2020年，奇安信营收分别为8.21亿元、18.17亿元、31.54亿元和41.61亿元。但该公司的增速并不稳定，2017年-2020年的营收同比增长率分别为25.11%、121.22%、73.61%和31.93%。

wind数据截图

与此同时，登陆科创板的奇安信也一直背负着持续亏损的质疑。财报显示，2017-2020年，奇安信的归母净利润分别为-6.30亿元、-8.72亿元、-4.95亿元和-3.34亿元，四年间总计亏损达23.31亿元。

奇安信曾在2020年财报中解释称，该公司持续亏损的主要原因是选择了高研发投入且人员快速扩张的发展模式，为建设研发平台、布局“新赛道”产品、提升攻防竞争力、建立全国应急响应中心而进行了大量投入。

奇安信公告截图

2019年2020年，奇安信的研发支出为36.34亿元，占营收比重约为37%。

市场上也有观点认为，对于奇安信这样“抢滩”新基建的企业，不能只拿“盈利”这一标准进行衡量。2019年9月，工信部曾发文，到2025年，培育形成一批年营收超过20亿的网络安全企业，网络安全产业规模超过2000亿。相关数据显示，2018年中国网络信息安全市场规模仅为495.2亿元。

而奇安信2020年7月也曾透露，随着该公司四大研发平台基本建设完毕，额外研发需求将逐渐降低，研发效率将极大提升，这有利于在新兴领域取得先发优势。

但持续投入并没有帮奇安信明显扩张自己的份额。市场调研机构IDC披露的中国安全资源池研究报告显示，2019年，奇安信以18.1%的市场份额成为行业第一，2020年该公司的市场份额仅增长0.2个百分点。相比之下，深信服科技的市场份额增长1.7个百分点。

数据来源：IDC

2021年，奇安信仍没有扭亏，而且亏损幅度比上年扩大。今年1月26日发布的业绩预告显示，奇安信2021年预计实现营收56.70亿元到58.20亿元，同比增长36.26%到39.86%；归母净利润预计为-6.00亿元到-5.00亿元，与上年同期相比亏损增加49.54%到79.44%；预计扣非后的归母净利润为-8.30 亿元到-7.30 亿元，与上年同期相比亏损增加 35.37%到 53.91%。

奇安信在公告中提到，该公司于2020年度推出员工限制性股票激励计划，报告期内公司计提员工股份支付费用较2020年度增加2.56亿元，对该公司归母净利润产生一定影响。剔除上述影响，该公司净利润亏损较2020年度呈现收窄趋势。

奇安信2021年业绩预告截图

谈到市场对其亏损的质疑，齐向东对科创板充满感激：“正是科创板，把上市的标准从持续性盈利能力改为持续性经营能力，才让我们这些拥有核心技术和技术转化周期较长的优秀企业成功上市，并借助资本市场的力量进一步做大做强，公司在终端安全、大数据态势感知、物联网安全等新兴领域及‘新赛道’上进行了重点布局，抢占了市场先机。”