在过去一年，我们对Havex恶意程序家族及其背后的组织保持了高度的关注。Havex被认为以不同工业领域为目标进行攻击的恶意软件，并且在最初的报告中，该恶意软件对能源行业尤为感兴趣。

Havex的主要构成为通用的远程木马(RemoteAccessTrojan，RAT)和用PHP编写的服务器程序。可以在服务器的代码中看到“Havex”这个名字。

在2014年的春天，我们发现Havex开始对工业控制系统(IndustrialControlSystems，ICS)有特殊的兴趣，该恶意软件背后的组织使用了一个创新型木马来接近目标。攻击者首先把ICS/SCADA制造商的网站上用来供用户下载的相关软件感染木马病毒，当用户下载这些软件并安装时实现对目标用户的感染。

我们收集并分析了Havex的88个变种，主要分析了它们的访问目标、从哪收集数据、网络和机器。这一分析发现Havex通信用的C&C服务器多达146个，并且有1500多个IP地址向C&C服务器通信，从而识别最终的受害者。