一 工业控制系统面临的信息安全威胁持续

随着两化融合的不断深入，越来越多的信息技术在工业领域得到应用。目前，超过80%的涉及国计民生的关键基础设施依靠工业控制系统（Industry Control System，ICS）来实现自动化作业。ICS已经成为国家关键基础设施的重要组成部分。2010年“震网”病毒以及后续“毒区”“火焰”等一系列ICS信息安全事件发生之后，越来越多的国家开始关注ICS的信息安全问题。近年来，全球发生在能源、民航、汽车、医疗、交通、核工业等领域的ICS信息安全事件不断被披露。攻击行为正逐步向工业生产和国民经济生活的各个关键领域渗透。2014年，ICS信息安全事件在全球各地仍然频频发生，新型攻击技术手段层出不穷。能源、关键制造、电力等重要基础设施的传统ICS是黑客攻击的重点。2014年4月，OpenSSL“心脏出血”漏洞被曝出，西门子、ABB等大量主流工控产品存在该漏洞；6月底，信息安全厂商Symantec和F-Secure的安全研究人员发现了一种专门针对ICS的恶意软件Havex，感染了1000多家欧美能源企业的ICS。10月底，美国工业控制系统网络应急响应小组（The Industrial Control Systems Cyber Emergency Response Team，ICS-CERT）曝出攻击者利用零日漏洞，通过BlackEnergy恶意软件对不同厂商的HMI进行攻击，被攻击厂商的系统包括GE、研华WebAccess、西门子WinCC。一系列的ICS信息安全事件表明针对ICS的信息安全攻击范围持续扩大，打击更加精准，ICS面临的信息安全威胁加剧。

（一）近千个能源企业的工控系统遭到Havex恶意软件攻击

2014年6月23日，芬兰信息安全厂商F-Secure曝光了一种专门针对工业控制系统/数据采集与监视控制系统（Industry Control System/Supervisory Control And Data Acquisition，ICS/SCADA）的恶意软件Havex。6月30日，另一家信息安全厂商Symantec发布了安全响应白皮书，称黑客组织“Dragonfly”利用Havex等木马攻击了欧美能源行业ICS。Havex木马是继“震网”后又一个专门针对ICS的恶意软件，引起了广泛关注。美国ICS-CERT也于6月25日和30日专门针对Havex木马发布了风险警告（ICS-ALERT-14-176-02）和风险通报（ICSA-14-178-01）。随后，研究人员发现了Havex木马的88个变种。

1.Havex介绍

经技术分析，Havex是一种与命令和控制（C&C）服务器通信的远程控制木马，也被称为Backdoor.Oldrea或Energetic Bear RAT，其核心是一个从C&C服务器下载和执行有效载荷（payload）的组件。攻击者利用一些已经被入侵的第三方网站（主要是博客等内容管理系统）作为C&C服务器来控制Havex木马，通过这些木马访问能源行业的目标网络并收集数据。目前已经发现了Havex木马的多个有效载荷，包括传统的下载、执行、Web密码恢复、痕迹清除等功能。值得注意的是，其中一个有效载荷会枚举所有连接的网络资源（例如计算机或共享资源），并利用微软DCOM接口来收集网络中连接的ICS设备和资源信息。该有效载荷能收集包括CLSID、服务器名称、程序ID、OPC版本、供应商信息、运行状态、组态、服务器带宽等在内的OPC服务器信息，同时也具备了枚举OPC标签（名称、类型、访问和ID）的能力。此外，ICS-CERT通过测试确定了Havex木马会引起多种常见OPC服务的间歇性崩溃。但在迄今为止已分析的Havex木马有效载荷中，尚未发现任何控制或改变所连接的控制系统设备的功能。OPC是基于Windows的软件程序与工业控制硬件设备通信的标准，广泛应用于工业自动化领域。很明显，Havex是一个专门针对ICS甚至关键基础设施的恶意软件。

2.传播方式

Havex木马的传播方式主要有三种：垃圾邮件、水坑式攻击和软件木马植入。

（1）垃圾邮件。2013年2～6月，“Dragonfly”通过向目标公司高管发送电子邮件的方式实施钓鱼式攻击，这些电子邮件中的PDF附件包含了恶意软件。电子邮件的主题一般与办公室管理相关，例如处理“账户”或“交付”问题。Symantec已经发现有7家公司收到此类垃圾邮件。

（2）水坑式攻击。从2013年5月起，攻击者开始使用Lightsout（也称之为Hello）漏洞利用工具作为攻击向量，入侵了大量与能源相关的网站并在这些网站嵌入了iframe框架。iframe框架会将网站访问者重新定向到另一个被入侵的托管了Lightsout工具的合法网站，然后通过Java程序或IE浏览器将Havex木马上传至受害者的计算机上。

（3）软件木马植入。攻击者开始采用一种新型的Havex木马传播方式。攻击者通过入侵ICS供应商的软件更新网址，将原来合法的软件安装包替换成捆绑有Ha