Malware Trisis détecté dans une seconde installation industrielle, amplifiant les préoccupations cyber-physiques

Quand des chercheurs en cybersécurité de Dragos et FireEye ont exposé pour la première fois le malware Triton — plus tard surnommé Trisis — cela a marqué la première découverte de code spécifiquement conçu pour mettre en péril les systèmes de sécurité industriels.

Bien que les rapports initiaux étaient vagues, les preuves pointent vers un acteur État-nation derrière l'attaque, qui a d'abord ciblé une installation au Moyen-Orient et menacé de déclencher une urgence catastrophique dans une usine pétro-gazière.

« J'étais au Moyen-Orient environ une semaine avant que Trisis ne frappe », se rappelle Jason Haward-Grau, CISO de PAS Global. Il a décrit une conversation avec un directeur sécurité chez une compagnie pétrolière locale qui l'assurait que le réseau air-gapped de l'entreprise, les diodes de données, et le système instrumenté de sécurité (SIS) signifiaient qu'il n'y avait rien à craindre.

Peu après l'attaque, Haward-Grau a appelé son collègue pour dire : « Je suis un peu nerveux maintenant qu'on n'ait peut-être pas les trois couches protectrices en place. »

Pendant des mois, les détails sur Trisis sont restés rares. Le 10 avril 2024, FireEye a confirmé avoir découvert une attaque additionnelle dans une installation critique séparée, confirmant davantage la persistance et sophistication du malware. L'an dernier, FireEye a aussi lié l'attaque à des acteurs russes.

« Pour la plupart propriétaires et opérateurs, peu importe si la Russie était derrière ou un groupe hacktiviste », a dit Emily S. Miller, directrice programmes sécurité nationale et infrastructures critiques chez Mocana. « Ce qui compte c'est s'ils peuvent causer du mal. En infrastructure critique, ça signifie perte de vies. »

L'analyse FireEye montre que Triton exploitait un mélange d'outils d'intrusion commodity et custom. Par exemple, SecHack était utilisé pour le credential harvesting, tandis que Cryptcat, Bitvise, OpenSSH et PLINK établissaient des backdoors permettant aux attaquants de contourner les défenses existantes.

Une attaque réussie sur un SIS pourrait avoir de sévères conséquences. « Un mauvais acteur peut arrêter un processus critique de sécurité en manipulant la configuration d'un système de sécurité », a expliqué Eddie Habibi, CEO de PAS Global. « Le vrai danger est quand l'attaquant infiltre d'autres systèmes de contrôle industriels dans la même installation, préparant le terrain pour un désastre en poussant les processus au-delà des limites sûres. »

Dans l'installation où le malware est apparu premièrement, Triton aurait pu interférer avec un système de gestion brûleur, potentiellement déclenchant une libération de gaz sulfure d'hydrogène.

Trisis soulève aussi le spectre d'attaques copycat. « Je pense qu'on a vu la catalyzation d'attaques similaires », a noté Miller. Le malware fournit un blueprint pas seulement pour installations pétro-gaz mais pour toute infrastructure critique — incluant l'automatisation de bâtiments — miroir de l'impact des attaques Black Energy qui ont paralysé des parties du réseau électrique ukrainien.

John Sheehy, VP services stratégiques chez IOActive, a insisté qu'avec la technologie opérationnelle d'aujourd'hui, une faille cybersécurité non atténuée est essentiellement une faille sécurité non atténuée. Schneider Electric a depuis lancé une campagne éducative, transformant Triton en appel à l'action pour l'industrie.

Les chercheurs FireEye croient que les États-nations peuvent utiliser des malwares comme Trisis pour construire des pieds-à-terre long-terme plutôt que lancer des attaques destructives immédiates. Ils estiment qu'il a fallu près d'un an à l'adversaire pour étendre l'accès du réseau cible à une workstation ingénierie SIS, tout en cachant habilement leurs traces — renommant binaires malveillants pour ressembler à des fichiers update Microsoft. L'équipe a aussi tracé l'activité des acteurs jusqu'à au moins 2014.

Sheehy a exhorté une approche holistique : « Les concepteurs devraient employer des contrôles de sécurité orthogonaux — comme soupapes de surpression mécaniques ou gouverneurs — qui ont zéro coïncidence avec les systèmes de contrôle et ne peuvent donc pas être affectés par eux. Les implémentations OT devraient gérer les conséquences d'une cyberattaque via protections en couches et contrôles engineering non-cybersécurité, focalisant sur la résilience opérationnelle. »

« Nous devons durcir et embarquer la sécurité dans ces systèmes de contrôle industriels dès le tout début », a dit Miller. « Jusqu'à ce qu'on le fasse, nous continuerons à nous laisser sitting ducks pour futures attaques infrastructure critique. »

L'émergence de Trisis souligne le besoin urgent de stratégies cyber-physiques intégrées qui protègent à la fois les actifs digitaux et les processus physiques qu'ils gouvernent.