Havex RAT
O Havex RAT é um Trojan de acesso remoto que faz parte do kit de ferramentas de um grupo de hackers russo patrocinado pelo estado denominado Energetic Bear ou Dragonfly. No momento de sua descoberta, o Havex RAT estava entre as cinco ameaças de malware desenvolvidas para visar especificamente sistemas de controle industrial para exfiltração de dados. As vítimas do Havex eram principalmente dos Estados Unidos e da Europa e pertenciam a um subconjunto específico de indústrias - setores de energia, aviação, farmacêutico, defesa e petroquímica.
Uma vez implantado no sistema visado, o Havex inicia uma digitalização abusando do protocolo OPC (Open Platform Communications) para mapear a rede industrial da vítima. Deve-se observar que o módulo de digitalização OPC da Havex funciona apenas no antigo padrão OPC baseado em DCOM (Distributed Component Object Model). A ameaça coleta todas as informações que está programada para exfiltrar e enviá-las para a infraestrutura de Comando e Controle (C2, C&C) do hacker que estava hospedada em sites comprometidos. O Havex também pode executar as funções de uma ameaça backdoor típica, como a entrega de cargas adicionais de malware. Foi observado que a Havex derrubou o coletor de informações mais potente Karagany, que é capaz de roubar credenciais, fazer capturas de tela e transferir arquivos.
Sites Legítimos Hackeados para Distribuir o Havex
Vários vetores de ataque estiveram envolvidos na campanha que distribuiu o Havex. Os hackers implantaram e-mails de spear-phishing com anexos armados, mas também comprometeram sites legítimos e os abusaram. Primeiro, eles poderiam forçar esses sites de fornecedores a redirecionar todas as vítimas desavisadas para páginas corrompidas que entregam o Havex. A segunda tática foi muito mais sinistra, pois os hackers injetaram a Havex no software legítimo oferecido pelos sites dos fornecedores comprometidos. Esse método tem a vantagem de contornar certas medidas anti-malware, pois os usuários autorizam os downloads especificamente, pensando que estão obtendo o aplicativo original que desejam. Entre os fornecedores comprometidos estavam MESA Imaging, eWON/Talk2M e MB Connect Line.
