Pourquoi le malware Triton menace encore la sécurité industrielle : l'expertise de Schneider Electric

Fin 2017, une cyberattaque sophistiquée connue sous le nom de Triton (aussi appelée Trisis) a ciblé le système d'arrêt de sécurité d'une installation au Moyen-Orient. Découverte par la firme de cybersécurité Dragos en novembre 2017, le malware aurait pu déclencher une défaillance catastrophique — tuant potentiellement du personnel et libérant des produits chimiques dangereux. Heureusement, la tentative de Triton de désactiver le système de sécurité Triconex s'est retournée contre lui, activant l'arrêt d'urgence qu'il cherchait à supprimer et révélant l'attaque.

Dragos étiquette le groupe derrière l'assaut « Xenotime » et avertit qu'ils pourraient lancer de futures attaques disruptives ou destructrices. L'incident fournit aussi un plan dangereux pour d'autres attaquants souhaitant cibler les systèmes instrumentés de sécurité (SIS).

Schneider Electric a choisi la transparence au silence. Andrew Kling, Directeur de la cybersécurité et de l'architecture système, a expliqué : "Nous savions qu'un certain niveau d'ouverture était requis. Une fois la vraie nature de l'attaque comprise, nous avons réalisé la gravité et l'appel à l'action industry-wide qu'elle exigeait." Kling a aussi rédigé One Year After Triton: Building Ongoing, Industry-Wide Cyber Resilience pour partager les leçons apprises.

[IoT Security Summit – Apprenez à sécuriser la stack IoT complète, du cloud à l'edge au hardware. Obtenez votre billet maintenant.]

Ce qui distingue Triton, c'est qu'il s'agissait du premier malware connu conçu pour attaquer un système instrumenté de sécurité. Kling note : "Ce n'était pas un exploit legacy one-off ; c'était une tentative délibérée de saper les contrôles de sécurité pour un gain stratégique. L'ignorer serait inacceptable."

À quel point l'industrie est-elle consciente de Triton et de la menace plus large pour les systèmes de sécurité industriels ?

Andrew Kling : "La conscience de l'industrie devrait être à 100 %. Tout le monde doit agir immédiatement. Nous opérons un service dédié de détection malware pour contrôleurs Triconex, l'offrons à tous les clients, et n'avons détecté aucune compromission additionnelle. C'est le premier service qui détecte le malware directement dans un dispositif de sécurité."

Quel rôle Schneider Electric joue-t-il dans l'éducation de l'industrie ?

Kling : "Nous appelons à une réponse collective — clients, fournisseurs de services, OEMs et vendeurs réseau doivent prioriser les systèmes de sécurité aussi férocement qu'ils le font pour les contrôles de processus. Via les comités de standards, nous collaborons avec des pairs pour partager les leçons et promouvoir les meilleures pratiques. La transparence est clé ; nous expliquons les détails de l'attaque et les techniques utilisées pour que d'autres puissent se défendre."

Que savons-nous des attaquants ?

Kling : "L'attribution reste floue ; des spéculations sur l'implication d'État-nation existent, mais les preuves concrètes manquent. Ce que nous savons, c'est que les attaquants possédaient une connaissance spécialisée de l'architecture des systèmes de sécurité, processeurs embarqués et protocoles propriétaires. Leur malware contenait plusieurs bugs qui ont involontairement déclenché l'arrêt de sécurité, suggérant des ressources ou tests limités. Néanmoins, le skill set requis est non-trivial et indique un adversaire hautement motivé."

Conseils pour les organisations industrielles concernées par le cyber-risque ?

En tant que membre du groupe de travail IEC 62443 d'ISA99, Kling recommande d'aligner les achats avec la norme de cybersécurité IEC 62443. "Quand on soumet un appel d'offres pour de nouveaux systèmes de sécurité ou contrôle de processus, spécifiez la conformité IEC 62443. Des centaines d'années-homme de travail d'experts définissent ce que la sécurité signifie dans l'automatisation industrielle. En sélectionnant des produits et partenaires de livraison certifiés, vous tirez parti de cette expertise collective sans devenir vous-même un spécialiste cybersécurité."

Schneider collabore aussi avec des agences gouvernementales US comme NCCIC/ICS-CERT, assurant que les meilleures pratiques de sécurité OT (technologie opérationnelle) sont partagées à travers la communauté. La communauté cybersécurité OT reste étroitement liée, avec une collaboration régulière pour adresser les menaces émergentes.