在过去的一年中，我们一直高度关注Havex恶意软件家族及其背后的组织。 Havex被认为是针对不同工业领域的恶意软件，在初始报告中，该恶意软件引起了能源行业的特别关注。 Havex的主要组件是通用远程木马（RemoteAccessTrojan，RAT）和用PHP编写的服务器程序。您会看到名称“ Havex”，在服务器的代码中。在2014年春季，我们发现Havex开始对工业控制系统（ICS）产生特别的兴趣。恶意软件背后的组织使用了创新的Trojan来接近目标。攻击者首先使用ICS / SCADA制造商网站上的相关软件感染特洛伊木马病毒，以供用户下载。用户下载并安装软件时，目标用户被感染。我们收集并分析了88个Havex变体，主要分析了它们的访问目标，收集数据，网络和机器的位置。该分析发现，有多达146个用于Havex通信的C＆amp; C服务器，并且有1,500多个IP地址与C＆amp; C服务器进行通信以识别最终受害者。攻击者将受感染的网站和博客用作C＆amp; C服务器。我们还发现了攻击者用来从ICS / SCADA系统中使用的计算机窃取数据的其他功能组件。这意味着攻击者不仅对目标公司的网络感兴趣，而且还具有控制这些公司的ICS / SCADA系统的动机。我们尚不清楚这种动机的原因。使用垃圾邮件和漏洞工具是一种相当简单的传播机制，我们将不对此进行深入分析。第三种方法更值得关注，它可以看作是水坑攻击，因为攻击者选择ICS供应商作为中间目标，以实现对最终目标的攻击。攻击者利用网站的漏洞入侵了网站，并用包含特洛伊木马的安装软件代替了供用户下载的常规安装软件。我们的研究人员发现，这三家制造商的主要网站都遭到了这种黑客攻击，并且该网站上提供的软件安装包中包括HavexRAT。我们怀疑还会有更多类似情况，但尚未确定。根据他们网站的内容，这三家公司都在为工业开发设备和软件。这些公司的总部位于德国，瑞士和比利时。两家供应商为ICS系统提供了远程管理软件，第三家供应商开发了高精度工业相机和相关软件。