近日，Belden最新的有關(guān)Havex病毒新變種——Dragonfly惡意軟件的分析指出，該惡意軟件目標(biāo)鎖定在了包裝消費(fèi)品行業(yè)，特別是制藥業(yè)，而非先前認(rèn)為的能源行業(yè)。

Dragonfly是繼Stuxnet之后又一強(qiáng)大的病毒，它的目標(biāo)就是侵入特定的工業(yè)控制系統(tǒng)（ICS）。它包含一個(gè)工業(yè)協(xié)議掃描儀，可搜索TCP端口44848（歐姆龍和羅克韋爾自動(dòng)化使用），102（西門子使用）和502（施耐德電氣使用）上的設(shè)備。據(jù)工業(yè)通信專家Belden介紹，這些協(xié)議和產(chǎn)品在包裝和制造應(yīng)用尤其是消費(fèi)性包裝品行業(yè)，特別是制藥業(yè)有更大范圍的安裝。

Dragonfly：攻擊信息盜取

Belden委任領(lǐng)先的獨(dú)立ICS安全專家JoelLangill對(duì)Dragonfly惡意軟件進(jìn)行更深入的調(diào)查。他專注于在反映真實(shí)環(huán)境下ICS配置的系統(tǒng)上運(yùn)行惡意代碼并觀察惡意軟件所產(chǎn)生的影響。

他發(fā)現(xiàn)在成千上萬個(gè)可能的ICS供應(yīng)商中，被惡意軟件認(rèn)定為目標(biāo)的并不是能源行業(yè)中的提供商。而是，包括制藥業(yè)在內(nèi)的消費(fèi)性包裝產(chǎn)品行業(yè)中最為常用。

Langill還報(bào)告說，Dragonfly惡意軟件與另外一個(gè)叫EpicTurla的病毒頗為相像，很可能兩者都是由同一團(tuán)隊(duì)操縱的。EpicTurla目標(biāo)是制造業(yè)企業(yè)的知識(shí)產(chǎn)權(quán)。

“基于本人所做的調(diào)查和對(duì)制藥業(yè)的了解，我得出了Dragonfly惡意軟件的目標(biāo)就是制藥業(yè)的結(jié)論，”Langill說到，“其潛在危害包括專利配方和生產(chǎn)批次序列步驟，以及顯示制造工廠容量和生產(chǎn)能力的網(wǎng)絡(luò)和設(shè)備信息被盜取。”

Belden網(wǎng)絡(luò)安全業(yè)務(wù)首席技術(shù)官EricByres介紹說：“有關(guān)Dragonfly惡意軟件的一個(gè)有趣現(xiàn)象就是，它鎖定目標(biāo)在ICS信息的目的不是為了引起故障，而是為了竊取知識(shí)產(chǎn)權(quán)--很可能是為其盜版所用。”首席技術(shù)官和其他高管要了解這一攻擊并確保有可對(duì)付的技術(shù)和產(chǎn)品。

“安全性研究人員和黑客已識(shí)別出很多工業(yè)生產(chǎn)產(chǎn)品中所存在的漏洞，”他補(bǔ)充說到，“為了防止Dragonfly攻擊，很重要的一點(diǎn)是制造企業(yè)要通過最新的最佳實(shí)踐政策和工業(yè)專用安全技術(shù)來保護(hù)核心ICS的安全?，F(xiàn)在，我們知道Stuxnet和Flame潛伏在其目標(biāo)網(wǎng)絡(luò)中已有數(shù)年--一旦發(fā)現(xiàn)這些類似病毒進(jìn)行破壞或者竊取商業(yè)機(jī)密再進(jìn)行保護(hù)措施，為時(shí)已晚。”

Havex：狩獵工控設(shè)備

在2014年的春天，人們發(fā)現(xiàn)Havex開始對(duì)工業(yè)控制系統(tǒng)(IndustrialControlSystems，ICS)有特殊的興趣，該惡意軟件背后的組織使用了一個(gè)創(chuàng)新型木馬來接近目標(biāo)。攻擊者首先把ICS/SCADA制造商的網(wǎng)站上用來供用戶下載的相關(guān)軟件感染木馬病毒，當(dāng)用戶下載這些軟件并安裝時(shí)實(shí)現(xiàn)對(duì)目標(biāo)用戶的感染。

最初，人們分析Havex的主要目標(biāo)是能源部門相關(guān)的組織，而且，也確實(shí)發(fā)現(xiàn)曾經(jīng)被用于針對(duì)一些歐洲公司實(shí)施工業(yè)間諜活動(dòng)，并成功入侵1000多家歐洲和北美能源公司。

Havex的新變種有能力主動(dòng)掃描用來控制關(guān)鍵基礎(chǔ)設(shè)施、制造領(lǐng)域的SCADA系統(tǒng)中的OPC服務(wù)器。

OPC是一種通信標(biāo)準(zhǔn)，允許基于Windows的SCADA系統(tǒng)之間或者其他工業(yè)控制系統(tǒng)應(yīng)用程序和過程控制硬件之間進(jìn)行通信。新的Havex變種可以收集存儲(chǔ)在使用OPC標(biāo)準(zhǔn)的被入侵客戶端或服務(wù)端的系統(tǒng)信息和數(shù)據(jù)。

FireEye的研究人員在其官方博文中稱，“攻擊者已經(jīng)利用Havex攻擊那些能源部門一年多了，但暫時(shí)仍然不清楚受影響行業(yè)及工業(yè)控制系統(tǒng)的的受害程度。我們決定更詳盡地檢查Havex的OPC掃描組件，以便更好地理解當(dāng)掃描組件執(zhí)行時(shí)發(fā)生了什么以及可能產(chǎn)生的影響。”

該安全公司的研究人員建立了一個(gè)典型的OPC服務(wù)器環(huán)境對(duì)新變種的功能進(jìn)行實(shí)時(shí)測試。工業(yè)控制系統(tǒng)或SCADA系統(tǒng)包括OPC客戶端軟件以及與其直接交互的OPC服務(wù)端，OPC服務(wù)端與PLC串聯(lián)工作，實(shí)現(xiàn)對(duì)工控硬件的控制。

一旦進(jìn)入網(wǎng)絡(luò)后，Havex下載器就會(huì)調(diào)用DLL導(dǎo)出功能，啟動(dòng)對(duì)SCADA網(wǎng)絡(luò)中OPC服務(wù)器的掃描。為了定位潛在的OPC服務(wù)器，該掃描器模塊使用微軟的WNet(Windowsnetworking)功能如WNetOpenEnum和WNetEnumResources，以此枚舉網(wǎng)絡(luò)資源或存在的連接。

“掃描器建立了一個(gè)可以通過WNet服務(wù)進(jìn)行全局訪問的服務(wù)器列表，然后檢查這個(gè)服務(wù)器列表以確定是否有向COM組件開放的接口。”

通過使用OPC掃描模塊，Havex新變種可以搜集有關(guān)聯(lián)網(wǎng)設(shè)備的任何細(xì)節(jié)，并將這些信息發(fā)回到C&C服務(wù)器供攻擊者分析。以此看來，這個(gè)新變種貌似被用作未來情報(bào)收集的工具。

這是第一個(gè)用作OPC掃描的"在野"樣本，很有可能這些攻擊者是把這個(gè)惡意軟件作為試驗(yàn)品以供未來使用。