2014年6月25日，ICS-CERT發(fā)布了題為“ICS Focused Malware”的安全通告ICS-ALERT-14-176-02。其中通報(bào)了一種類似震網(wǎng)病毒的專門針對(duì)工控系統(tǒng)攻擊的惡意代碼。安全廠商F-Secure首先發(fā)現(xiàn)了這種惡意代碼并將其作為后門命名為W32/Havex.A，F(xiàn)-Secure稱它是一種通用的遠(yuǎn)程訪問(wèn)木馬（RAT，即Remote Access Trojan）。

就像著名的專門設(shè)計(jì)用來(lái)破壞伊朗核項(xiàng)目的Stuxnet蠕蟲病毒一樣，Havex也是被編寫來(lái)感染SCADA和工控系統(tǒng)中使用的工業(yè)控制軟件，這種木馬可能有能力禁用水電大壩、使核電站過(guò)載，甚至可以做到按一下鍵盤就能關(guān)閉一個(gè)國(guó)家的電網(wǎng)。

根據(jù)ICS-CERT、F-secure、Symentec的研究表明：網(wǎng)絡(luò)攻擊者傳播Havex惡意軟件方式有多種，除了利用工具包、釣魚郵件、垃圾郵件、重定向到受感染的Web網(wǎng)站等傳統(tǒng)感染方式外，還采用了“水坑式”攻擊方式，即通過(guò)滲透到目標(biāo)軟件公司的Web站點(diǎn)，并等待目標(biāo)安裝那些合法APP的感染惡意代碼的版本。

ICS-CERT的安全通告稱，當(dāng)前至少已發(fā)現(xiàn)3個(gè)著名的工業(yè)控制系統(tǒng)提供商的Web網(wǎng)站已受到該惡意代碼的感染。顯然，這些惡意代碼的傳播技術(shù)使得攻擊者能夠獲得工控系統(tǒng)的訪問(wèn)權(quán)限，并安裝相應(yīng)的惡意代碼（后門程序或木馬）。而在安裝過(guò)程中，該惡意軟件會(huì)釋放一個(gè)叫做“mbcheck.dll”的文件，這個(gè)文件實(shí)際上就是攻擊者用作后門的Havex惡意代碼。

F-Secure聲稱他們已收集和分析了Havex RAT的88個(gè)變種，并認(rèn)為Havex及其變種多通過(guò)利用OPC標(biāo)準(zhǔn) 被用來(lái)從目標(biāo)網(wǎng)絡(luò)和機(jī)器獲取權(quán)限并搜集大量數(shù)據(jù)。具體表現(xiàn)為：該類惡意軟件會(huì)通過(guò)掃描本地網(wǎng)絡(luò)中那些會(huì)對(duì)OPC請(qǐng)求做出響應(yīng)的設(shè)備，來(lái)收集工業(yè)控制設(shè)備的操作系統(tǒng)信息、竊取存儲(chǔ)在開發(fā)Web瀏覽器的密碼、使用自定義協(xié)議實(shí)現(xiàn)不同C&C服務(wù)器之間的通信，然后把這些信息反饋到C&C服務(wù)器上（Havex的攻擊原理如下圖所示）。

同時(shí)FireEye公司的研究人員最近也聲稱發(fā)現(xiàn)了一個(gè)Havex的新變種，同樣認(rèn)為發(fā)現(xiàn)的Havex變種具備OPC服務(wù)器的掃描功能，并可以搜集有關(guān)聯(lián)網(wǎng)工控設(shè)備的信息，以發(fā)回到C&C服務(wù)器供攻擊者分析使用。這表明，雖然Havex及其變種最可能是被用作收集工控系統(tǒng)情報(bào)的工具，但攻擊者應(yīng)該不僅僅是對(duì)這些目標(biāo)公司的系統(tǒng)信息感興趣，而必然會(huì)對(duì)獲取那些目標(biāo)公司所屬的ICS或SCADA系統(tǒng)的控制權(quán)更感興趣。

最近多家安全公司的研究發(fā)現(xiàn)它多被用于從事工業(yè)間諜活動(dòng)，其主要攻擊對(duì)象是歐洲的許多使用和開發(fā)工業(yè)應(yīng)用程序和機(jī)械設(shè)備的公司。