Trisis вредонос обнаружен во втором промышленном объекте, усиливая кибер-физические security concerns

Когда кибербезопасность исследователи Dragos и FireEye впервые раскрыли Triton malware — позже названный Trisis — это маркировало первое обнаружение кода, специально спроектированного для угрозы промышленным safety системам.

Хотя первоначальные отчеты были смутными, доказательства указывают на nation-state актора за атакой, первой зацелившей объект на Ближнем Востоке и угрожавшей триггернуть катастрофическую аварию на нефтегазовом заводе.

«Я был на Ближнем Востоке примерно за неделю до удара Trisis», — вспомнил Джейсон Хаворд-Грау, CISO PAS Global. Он описал разговор с директором безопасности локальной нефте-компании, который заверил его, что air-gapped сеть компании, data diodes и safety instrumented system (SIS) означают, что не о чем беспокоиться.

Вскоре после атаки Хаворд-Грау позвонил коллеге сказать: «Я немного нервничаю теперь, что у нас может не быть всех трех защитных слоев на месте».

Месяцами детали о Trisis оставались скудными. 10 апреля 2024 FireEye подтвердило, что обнаружило дополнительную атаку на отдельном critical-infrastructure объекте, дальше подтверждая персистентность и изощренность малвари. В прошлом году FireEye также привязало атаку к российским акторам.

«Для большинства владельцев и операторов неважно, была ли Россия за этим или хактивист-группа», — сказала Эмили С. Миллер, директор национальной безопасности и критической инфраструктуры программ в Mocana. «Что важно — могут ли они причинить вред. В критической инфраструктуре это значит потерю жизней».

Анализ FireEye показывает, что Triton использовал микс commodity и custom intrusion инструментов. Например, SecHack использовался для credential harvesting, в то время как Cryptcat, Bitvise, OpenSSH и PLINK устанавливали бэкдоры, позволяющие атакующим обходить существующие защиты.

Успешная атака на SIS могла бы иметь тяжелые последствия. «Плохой актор может выключить safety-критичный процесс, манипулируя конфигурацией safety системы», — объяснил Эдди Хабиби, CEO PAS Global. «Реальная опасность — когда атакующий инфильтрует другие промышленные системы управления в том же объекте, ставя стадию для катастрофы, толкая процессы за безопасные лимиты».

В объекте, где малварь впервые появилась, Triton мог бы интерферировать с burner-management системой, потенциально триггеря выброс сероводородного газа.

Trisis также поднимает призрак copycat атак. «Я думаю, мы видели катализацию похожих атак», — отметила Миллер. Малварь предоставляет blueprint не только для нефтегазовых объектов, но для любой критической инфраструктуры — включая building automation — зеркаля импакт Black Energy атак, парализовавших части украинской энергосети.

Джон Шихи, вице-президент стратегических сервисов IOActive, подчеркнул, что с сегодняшними операционными технологиями, немитигированный кибербезопасностный фол — это по сути немитигированный safety фол. Schneider Electric с тех пор запустила образовательную кампанию, превращая Triton в call to action для индустрии.

FireEye исследователи верят, что nation-states могут использовать малварь вроде Trisis для построения долгосрочных footholds вместо немедленных деструктивных атак. Они оценивают, что потребовалось почти год для расширения доступа адверсари от сети цели к SIS engineering workstation, в то время как клеверно скрывая следы — переименовывая malicious бинарники под Microsoft update файлы. Команда также проследила активность акторов обратно к как минимум 2014 году.

Шихи призвал к гололистическому подходу: «Дизайнерам следует нанимать ортогональные safety контролы — такие как механические pressure relief клапаны или governors — у которых нулевое совпадение с control системами и которые поэтому не могут быть аффектед ими. OT реализации должны управлять последствиями кибератаки через слоистую защиту и non-кибербезопасностные инженерные контролы, фокусируясь на операционной resilience».

«Нам нужно укрепить и встроить безопасность в эти промышленные системы управления с самого начала», — сказала Миллер. «Пока мы этого не сделаем, мы продолжим оставлять себя сидячими утками для будущих critical-infrastructure атак».

Появление Trisis подчеркивает срочную необходимость интегрированных кибер-физических security стратегий, защищающих и цифровые активы, и физические процессы, которыми они управляют.