Trisis-malware gedetecteerd in tweede industriële faciliteit, cyber-fysieke beveiligingszorgen verergeren

Toen cybersecurity-onderzoekers bij Dragos en FireEye de Triton-malware – later gedoopt tot Trisis – voor het eerst blootlegden, markeerde het de eerste ontdekking van code specifiek ontworpen om industriële veiligheidssystemen in het geding te brengen.

Hoewel de initiële rapporten vaag waren, wijst bewijs op een nation-state actor achter de aanval, die eerst een faciliteit in het Midden-Oosten targette en dreigde een catastrofale noodsituatie op een olie- en gasfabriek te triggeren.

„Ik was in het Midden-Oosten ongeveer een week of zo vóór Trisas hit,” herinnerde Jason Haward-Grau, CISO van PAS Global. Hij beschreef een gesprek met een beveiligingsdirecteur bij een lokale oliebedrijf die hem verzekerde dat het bedrijf's air-gapped netwerk, data-dioden, en safety instrumented system (SIS) betekende dat er niets om te zorgen was.

Kort na de aanval belde Haward-Grau zijn collega om te zeggen: „Ik ben een beetje nerveus nu dat we misschien niet alle drie beschermende lagen in plaats hebben.”

Maandenlang bleven details over Trisis spaars. Op 10 april 2024 bevestigde FireEye dat het een additionele aanval op een afzonderlijke kritieke-infrastructuur-faciliteit had ontdekt, wat de malware's persistentie en sophisticatedheid verder bevestigde. Vorig jaar koppelde FireEye de aanval ook aan Russische acteurs.

„Voor de meeste eigenaren en operators maakt het niet uit of Rusland erachter zit of een hacktivist-groep,” zei Emily S. Miller, director van national security en critical infrastructure programs bij Mocana. „Wat er toe doet, is of ze schade kunnen aanrichten. In kritieke infrastructuur betekent dat verlies van levens.”

FireEye's analyse toont dat Triton een mix van commodity en custom intrusion-tools benutte. Bijvoorbeeld, SecHack werd gebruikt voor credential harvesting, terwijl Cryptcat, Bitvise, OpenSSH en PLINK backdoors vestigden die aanvallers toestaan bestaande verdedigingen te omzeilen.

Een succesvolle aanval op een SIS kan grave gevolgen hebben. „ Een slechte actor kan een veiligheidskritisch proces uitschakelen door de configuratie van een veiligheidssysteem te manipuleren,” legde Eddie Habibi, CEO van PAS Global, uit. „Het echte gevaar is wanneer de aanvaller andere industriële besturingssystemen in dezelfde faciliteit infiltreert, de basis leggen voor een ramp door processen verder te duwen dan veilige limieten.”

In de faciliteit waar de malware eerst verscheen, kon Triton interfereren met een burner-management-systeem, wat potentiieel een vrijlating van waterstofsulfid-gas kon triggeren.

Trisis verhoogt ook het spook van copycat-aanvallen. „Ik denk dat we de katalysatie van gelijkaardige aanvallen hebben gezien,” merkte Miller op. De malware biedt een blauwdruk niet alleen voor olie- en gasfaciliteiten maar voor elke kritieke infrastructuur – inclusief gebouwautomatisering – wat de impact van de Black Energy-aanvallen herroept die delen van Oekraïne's elektriciteitsnet lamden.

John Sheehy, vice president van strategische diensten bij IOActive, benadrukte dat met huidige operational technology, een ongemitigeerde cybersecurity-kwetsbaarheid essentieel een ongemitigeerde veiligheidskwetsbaarheid is. Schneider Electric heeft sindsdien een educatieve campagne gelanceerd, Triton omzettend in een call-to-action voor de industrie.

FireEye-onderzoekers geloven dat nation-states malware als Trisis kunnen gebruiken om langdurige voetpunten te bouwen in plaats van directe destructieve aanvallen te lanceren. Ze schatten dat het bijna een jaar kostte voor de adversary om toegang uit te breiden van het doelnetwerk naar een SIS-engineering-workstation, terwijl ze hun sporen slim verbergden – kwaadaardige binaries hernoemend naar Microsoft-update-bestanden. Het team traceerde de acteursactiviteit terug tot ten minste 2014.

Sheehy riep een holistische benadering op: „Ontwerpers zouden orthogonale veiligheidscontroles moeten gebruiken – zoals mechanische drukverlichtingskleppen of governors – die nul coincidentie hebben met de besturingssystemen en daarom niet door ze beïnvloed kunnen worden. OT-implementaties zouden de gevolgen van een cyberaanval moeten managen door gelaagde beschermingen en non-cybersecurity engineering controls, gefocust op operationele veerkracht.”

„We moeten beveiliging verharden en inbedden in deze industriële besturingssystemen vanaf het begin,” zei Miller. „Totdat we dat doen, zitten we als zittende eenden voor toekomstige kritieke-infrastructuur-aanvallen.”

Trisis's opduiken benadrukt de urgente noodzaak voor geïntegreerde cyber-fysieke beveiligingsstrategieën die zowel digitale asset als de fysieke processen die ze besturen beschermen.