Havex / Dragonfly RAT OT

Définition

Havex est un cheval de Troie d'accès distant (RAT) utilisé par le groupe APT Dragonfly (également connu sous les noms Energetic Bear, Crouching Yeti ou Berserk Bear) dans des campagnes de cyberespionnage ciblant les secteurs industriels et énergétiques en Europe et en Amérique du Nord entre 2011 et 2014 principalement, avec des résurgences documentées jusqu'en 2018. Havex est remarquable dans l'histoire de la cybersécurité OT pour avoir été l'un des premiers malwares à intégrer un module de découverte OPC (OLE for Process Control), permettant d'énumérer automatiquement les serveurs OPC sur le réseau compromis et de collecter des informations détaillées sur les systèmes industriels : liste des tags de données disponibles, types d'équipements connectés, paramètres de configuration. Cette fonctionnalité permettait à Dragonfly de cartographier en détail les installations industrielles victimes sans déclencher d'actions visibles. Le mode d'infection initial de Havex était particulièrement sophistiqué : Dragonfly a compromis les sites web de fournisseurs de logiciels industriels légitimes (Matrikon, MB Connect Line, eWon) pour y déposer des installateurs de logiciels industriels valides mais trojanisés. Les opérateurs OT téléchargeant des mises à jour légitimes installaient également le malware, contournant toutes les défenses périmètriques. Havex communiquait avec ses serveurs C2 via HTTP, se fondant dans le trafic web normal. Les données collectées (configurations OPC, inventaires d'équipements industriels) ont été exfiltrées vers des serveurs C2 sous contrôle de Dragonfly, permettant la constitution d'une base de connaissances extensive sur les cibles industrielles potentielles. L'objectif était le cyberespionnage industriel et la préparation d'opérations de sabotage ultérieures si nécessaire.