TeamViewer據稱“被入侵”事件的研判及結論
2019年10月11日，火眼舉辦的FireEyeSummit大會上，幾張演講的PPT拍照被公開到網上，其中一張提及到一款非常流行的遠程控制軟件TeamViewer曾經疑似被黑客組織入侵，並稱其可以訪問安裝了TeamViewer的任何系統。
由於TeamViewer的易用性、靈活性及強大的遠控功能，其使用面非常大，此事件在國內安全圈中引起了極大關注。奇安信威脅情報中心紅雨滴團隊對TeamViewer相關的安全事件做了收集分析，FireEye所說的事件應該發生在數年前，新版本TeamViewer仍被受控的可能性較小，原因有以下兩點。
第一、根據FireEye的報告，其中提到了他們認為的TeamViewer被入侵的時間節點為2016年，而這可追溯到德國的一份報紙，如下圖所示：
新聞顯示TeamViewer黑客於2016年秋季針對的目標，當時該公司的專家發現可疑活動被迅速阻止，以防止造成重大損失。TeamViewer發言人透露，該公司調查了入侵的企圖，但沒有發現任何暴露****和敏感數據的證據。
Der Spiegel指出，TeamViewer並未向公眾披露安全漏洞：
“在2016年秋季，TeamViewer成為網絡攻擊的目標。我們的系統及時發現了可疑活動，以防止造成重大損失。由內部和外部網絡安全研究人員組成的專家團隊與負責機構緊密合作，成功抵禦了該攻擊，並使用所有可用的IT法證手段，未發現任何證據表明****或其他敏感信息被盜，即客戶計算機系統公司發言人說： “已被感染，或者TeamViewer源代碼已被篡改，盜竊或濫用。”
“出於謹慎考慮，TeamViewer隨後對其安全體系結構和IT基礎架構進行了全面審核，並通過適當措施進一步加強了它。”
第二、從FireEye之前的報告來看，見下圖，其稱儘管他們沒有第一手證據證明黑客組織入侵TeamViewer，但他們觀察到組織使用了TeamViewer賬號密碼作為多個目標的切入點，並曾發起過會話進行文件傳輸。
同樣，他也在報告中提及了，唯一一次得知Teamviewer被入侵的，僅發生在2016年。
而對於竊取TeamViewer憑證的方式有很多種，前些日子我們寫的一個名為零零狗的黑產組織，其便是專門進行TeamViewer賬號密碼竊取的木馬，因此對於本次事件的定性，我們不應該認為是入侵了TeamViewer，而是黑客組織獲取了目標Teamviewer賬號和密碼。
奇安信威脅情報中心紅雨滴團隊目前的結論是：在幾年前的2016年發生過黑客組織對於TeamViewer軟件廠商的攻擊並被發現和阻斷，但由於廠商未披露太多細節，所以具體的損害情況未知。但是，從紅雨滴團隊近期對網絡安全事件的常態化監控來看，並沒有發現近期TeamViewer被攻擊植入惡意代碼事件，所以不必產生不必要的恐慌，至於TeamViewer這個可能直接穿透防火牆的遠控軟件的使用是否符合公司和組織的安全策略還請慎重決擇。
最後，若用戶仍不放心，請時刻關注Teamviewer官方公告，開啟自動更新。
*本文作者：奇安信威脅情報中心