翻译：360代码卫士

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

简言之，ELSA通过捕获附近公共热点的ID跟公公无线热点位置的全球数据库进行比对。ELSA由两个主要部分组成即处理组件（操作终端）和部署在目标Windows主机上的植入（Windows目标）。

ELSA系统首先会使用另外的CIA利用将恶意软件安装到启用了WiFi的目标设备上，以获取对设备的持续访问权限。随后它使用受感染电脑的WiFi硬件来扫描附件的可见WiFi访问点并记录它们的ESSID（扩展服务集标识符）、MAC地址和定期的信号强度。

为了收集数据，ELSA恶意软件并不要求目标电脑联网，而是要求恶意软件在启用了WiFi的设备上运行。维基解密指出，“如果目标设备联网，恶意软件就会自动尝试使用谷歌或微软的公共地理位置数据库解析设备位置并存储带有时间戳的经纬度数据”。收集的数据随后以加密形式存储在目标设备上以供后期提取。

CIA恶意软件本身并不会将这些数据传播到其服务器上，而是由CIA黑客通过另外的CIA利用和后门从设备下载加密的日志文件。随后黑客会解密日志文件并对目标开展进一步的分析。

ELSA项目能让CIA黑客根据目标环境和运营目标如“采样间隔、最大的日志文件规模和调用/持续方法”自定义或修改该植入。

CIA黑客随后会使用其它后端软件匹配所收集的访问点数据和通过公开地理位置数据库（来自谷歌和微软）的日志文件找到目标的确切位置。