Havex病毒開始對工業(yè)控制系統(tǒng)感染入侵

在過去一年，我們對Havex惡意程序家族及其背后的組織保持了高度的關(guān)注。Havex被認(rèn)為以不同工業(yè)領(lǐng)域為目標(biāo)進(jìn)行攻擊的惡意軟件，并且在最初的報告中，該惡意軟件對能源行業(yè)尤為感興趣。

Havex的主要構(gòu)成為通用的遠(yuǎn)程木馬(RemoteAccessTrojan，RAT)和用PHP編寫的服務(wù)器程序。可以在服務(wù)器的代碼中看到“Havex”這個名字。

在2014年的春天，我們發(fā)現(xiàn)Havex開始對工業(yè)控制系統(tǒng)(IndustrialControlSystems，ICS)有特殊的興趣，該惡意軟件背后的組織使用了一個創(chuàng)新型木馬來接近目標(biāo)。攻擊者首先把ICS/SCADA制造商的網(wǎng)站上用來供用戶下載的相關(guān)軟件感染木馬病毒，當(dāng)用戶下載這些軟件并安裝時實現(xiàn)對目標(biāo)用戶的感染。

我們收集并分析了Havex的88個變種，主要分析了它們的訪問目標(biāo)、從哪收集數(shù)據(jù)、網(wǎng)絡(luò)和機(jī)器。這一分析發(fā)現(xiàn)Havex通信用的C&C服務(wù)器多達(dá)146個，并且有1500多個IP地址向C&C服務(wù)器通信，從而識別最終的受害者。攻擊者利用被攻陷的網(wǎng)站、博客作為C&C服務(wù)器。

我們還發(fā)現(xiàn)了一個額外的功能組件，攻擊者利用此組件從應(yīng)用于ICS/SCADA系統(tǒng)中的機(jī)器上盜取數(shù)據(jù)。這意味著攻擊者不僅僅對目標(biāo)公司的網(wǎng)絡(luò)感興趣，還有對這些公司的ICS/SCADA系統(tǒng)進(jìn)行控制的動機(jī)。我們目前對這一動機(jī)的緣由還不太清楚。

利用垃圾郵件和漏洞工具是相當(dāng)簡單的傳播機(jī)制，我們對此不進(jìn)行深入分析。更值得關(guān)注的第三中方式，它可以被看做是水坑式攻擊(Water-holeattack)，因為攻擊者選擇ICS的供應(yīng)商作為中間目標(biāo)，來實現(xiàn)其對最終目標(biāo)的攻擊。

攻擊者利用網(wǎng)站的漏洞，入侵了網(wǎng)站，并將正常的供用戶下載的安裝軟件替換為包含木馬的安裝軟件。我們的研究者發(fā)現(xiàn)有三個廠商的主站被這種方式被攻入，在網(wǎng)站上提供的軟件安裝包中包含了HavexRAT。我們懷疑還會有更多類似的情況，但是尚未確定。

根據(jù)他們網(wǎng)站的內(nèi)容，這三家公司都是開發(fā)面向工業(yè)的設(shè)備和軟件，這些公司的總部位于德國、瑞士和比利時。其中兩個供應(yīng)商為ICS系統(tǒng)提供遠(yuǎn)程管理軟件，第三個供應(yīng)商為開發(fā)高精密工業(yè)攝像機(jī)及相關(guān)軟件。