內存運行：病毒會在內存中運行時自動判斷CPU負載情況，只在輕載時運行，以避免系統速度表現異常而被發現。關機后代碼消失，開機病毒重啟。

　　精選目標：由于鈾濃縮廠使用了西門子S7-315和S7-417兩個型號的PLC（可編程邏輯控制器），病毒就把它們作為目標。如果網內沒有這兩種PLC，病毒就潛伏。如找到目標，病毒利用Step 7軟件中漏洞突破后臺權限，并感染數據庫，于是所有使用該軟件連接數據庫的人的電腦和U盤都被感染，他們都變成了病毒輸送者。

　　巧妙攻擊：在難以察覺中，病毒對其選中的某些離心機進行加速，讓離心機承受不可承受的高轉速而損毀。初期伊朗人還以為這種損壞僅僅是設備本身的質量問題，直到發現大量設備損毀之后，才醒悟過來，但為時已晚。

　　2017年5月13日，坊間被一款名為WanaCrypt0r 2.0的比特幣勒索病毒爆發的消息刷屏，該病毒大規模集中爆發于英國醫療機構以及中國高校。一時間，人人自危，談勒索病毒色變。剛剛應對完過去這一波勒索病毒，很多人還沒有喘過氣來，當年6月27日晚間，一波大規模PetyaWrap勒索蠕蟲病毒攻擊再度席卷全球。近百個國家的政府部門、銀行、電力系統、通信系統、企業以及機場等都不同程度地受到影響。不少依靠網絡設備進行“無紙辦公”的政府部門，重新用上了紙文件，加油站、醫療設備停止運行，待搶救的病人只能等死。

　　劍上涂毒，見血封喉；偽裝潛伏，擇機爆發。這是“毒劍”的顯著特點。

　　由此可見，軟件的漏洞讓諸如“震網”這類病毒變得無比狡猾，且讓病毒攻擊變得很有針對性。誰能說賽博通道是安全的？誰又能說在我國某地或某企業的內網中，一定沒有類似“震網”病毒存在呢？

　　軟件后門之“陰劍”

　　目前國內在用的工業軟件中，國外的軟件普遍具有明顯優勢。在大型央企、國企、民企等關鍵企業中，國外軟件占據壟斷地位。這些軟件多數為美、歐、日等西方發達國家開發，并且絕大多數對中國客戶不開放源代碼，特別是近年來這些軟件又都融合了互聯網技術。

　　根據筆者多年來在企業調研和在市場上觀察到的種種現象，在泄露商業機密和軍工機密的案例中，除了國外黑客網絡攻擊和木馬病毒植入之外，國外軟件的數據“走后門”現象也十分普遍。這種現象大致源于兩種情況：

　　一是軟件原廠商為了改進產品質量，對用戶使用軟件產品的情況進行跟蹤。廠商希望通過收集使用大數據，找出用戶的使用習慣和操作不便之處，以便在后期版本中改進軟件功能。這種收集數據的出發點是善意的，通常也用“是否愿意加入XX產品的改進計劃”的名義問詢用戶的意愿。

　　二是完全出于某種不可告人的目的，特定設計的軟件“后門”。如果安裝使用軟件的電腦是聯網的，那么某些“廠商所需數據”就在以某種觸發機制（如按照累積量）隨機或定時發送。如果電腦是不聯網（如物理隔絕）的，那么就伺機尋找網絡發送。其實這種發送機制已經就是“明偷暗搶”了。只不過，用戶可能知道，也可能不知道，即使知道了也沒辦法制止。因為軟件代碼都是不可見的二進制執行代碼，通常很難查出這種后門發送數據的代碼處于軟件中的位置。

　　陰損之劍，殺人無形；每日一劍，傷皮放血。這是“陰劍”的顯著特點。

　　企業里的各種殺毒軟件，對軟件后門是發現不了的，因為軟件后門并非病毒，而是前門緊閉，后門洞開，開門揖盜。長此以往，情況就會變得嚴重。國外軟件廠商（和情報部門）甚至能對央企、國企的人事變動、管理規章、內部報價、產品數據、合同文本、談判條款等機密數據一清二楚，即使在服務器物理隔絕的狀態下，有些數據仍可能外泄。

　　為錢賣鑰之“鬼劍”

　　6月25日，發生在兩年前的國內一個工程領域的盜竊大案宣判，案值涉及近10億元，首犯僅判4年半，內鬼獲刑兩年半。

　　事情起源于2016年3月，國內某工程機械企業不斷接到各地分公司反饋稱，多臺已銷售出的設備突然失聯，從該企業的控制大屏幕上莫名其妙地“消失”了。隨后，“消失”的設備越來越多，數量多達千臺，價值近10億元。

　　該企業檢查發現，連接設備的遠程監控系統（簡稱ECC系統）被人非法解鎖破壞，使該企業對在外的工程機械設備失去了網絡監控能力。

　　國內大部分工程機械企業都會在泵車中安裝類似的遠程操控系統，系統內置的傳感器會把泵車的GPS位置信息、耗油、機器運行時間等數據傳回總部。因為這類大型設備較為昂貴，客戶很難一次全款買斷，往往采用“按揭銷售”的形式購買：泵車開機干活就付錢，停機就無需付費，這原本是一個對雙方都有利的“結果經濟”模式。工程機械企業對泵車的基本控制思路是，如果客戶每個月正常還款，則泵車運行正常；如果還款延后，泵車的運行效率會降為正常情況下的30%至50%；如果一再拖延，泵車就會被鎖死，無法運轉。