訊：在過(guò)去一年，我們對(duì)Havex惡意程序家族及其背后的組織保持了高度的關(guān)注。Havex被認(rèn)為以不同工業(yè)領(lǐng)域?yàn)槟繕?biāo)進(jìn)行攻擊的惡意軟件，并且在最初的報(bào)告中，該惡意軟件對(duì)能源行業(yè)尤為感興趣。

(IndustrialControlSystems，ICS)有特殊的興趣，該惡意軟件背后的組織使用了一個(gè)創(chuàng)新型木馬來(lái)接近目標(biāo)。攻擊者首先把ICS/SCADA制造商的網(wǎng)站上用來(lái)供用戶下載的相關(guān)軟件感染木馬病毒，當(dāng)用戶下載這些軟件并安裝時(shí)實(shí)現(xiàn)對(duì)目標(biāo)用戶的感染。

　　我們收集并分析了Havex的88個(gè)變種，主要分析了它們的訪問(wèn)目標(biāo)、從哪收集數(shù)據(jù)、網(wǎng)絡(luò)和機(jī)器。這一分析發(fā)現(xiàn)Havex通信用的C&C服務(wù)器多達(dá)146個(gè)，并且有1500多個(gè)IP地址向C&C服務(wù)器通信，從而識(shí)別最終的受害者。

　　攻擊者利用被攻陷的網(wǎng)站、博客作為C&C服務(wù)器，如下為用于C&C服務(wù)器的一些實(shí)例。

　　我們還發(fā)現(xiàn)了一個(gè)額外的功能組件，攻擊者利用此組件從應(yīng)用于ICS/SCADA系統(tǒng)中的機(jī)器上盜取數(shù)據(jù)。這意味著攻擊者不僅僅對(duì)目標(biāo)公司的網(wǎng)絡(luò)感興趣，還有對(duì)這些公司的ICS/SCADA系統(tǒng)進(jìn)行控制的動(dòng)機(jī)。我們目前對(duì)這一動(dòng)機(jī)的緣由還不太清楚。

　　以包含木馬病毒的軟件安裝包作為感染媒介

　　HavexRAT以如下途徑進(jìn)行傳播，

　　(1)垃圾郵件

　　(2)漏洞利用工具