Trisis Malware in zweiter industrieller Facility detektiert, Cyber-Physische Security-Bedenken verstärkt

Als Cybersicherheitsforscher von Dragos und FireEye die Triton-Malware – später Trisis getauft – erstmals exponierten, markierte es die erste Entdeckung von Code, speziell designed, um industrielle Sicherheitssysteme zu gefährden.

Obwohl initiale Reports vage blieben, deuten Beweise auf einen Nation-State-Akteur hinter dem Angriff hin, der zuerst eine Facility im Mittleren Osten traf und drohte, eine katastrophale Emergency an einer Oil-and-Gas-Plant zu triggern.

„Ich war im Mittleren Osten etwa eine Woche bevor Trisis zuschlug“, erinnerte sich Jason Haward-Grau, CISO von PAS Global. Er beschrieb ein Gespräch mit einem Security Director bei einem lokalen Ölunternehmen, der ihm versicherte, dass das Unternehmen's Air-Gapped Network, Data Diodes und Safety Instrumented System (SIS) bedeuteten, es gäbe nichts zu sorgen.

Kurz nach dem Angriff rief Haward-Grau seinen Kollegen an: „Ich bin ein bisschen nervös jetzt, dass wir vielleicht nicht alle drei Schutzlagen in Place haben.“

Monatelang blieben Details zu Trisis spärlich. Am 10. April 2024 bestätigte FireEye, einen zusätzlichen Angriff an einer separaten Critical-Infrastructure-Facility entdeckt zu haben, was die Persistenz und Sophistication der Malware weiter bestätigt. Letztes Jahr linkte FireEye den Angriff auch auf russische Akteure.

„Für die meisten Owner und Operatoren spielt es keine Rolle, ob Russland dahintersteckt oder eine Hacktivist-Gruppe“, sagte Emily S. Miller, Director of National Security and Critical Infrastructure Programs bei Mocana. „Was zählt, ist, ob sie Schaden anrichten können. In kritischer Infrastruktur bedeutet das Lebenverlust.“

FireEyes Analyse zeigt, dass Triton einen Mix aus Commodity- und Custom-Intrusion-Tools nutzte. Beispielsweise wurde SecHack für Credential Harvesting genutzt, während Cryptcat, Bitvise, OpenSSH und PLINK Backdoors etablierten, die Angreifern erlaubten, bestehende Defenses zu umgehen.

Ein erfolgreicher Angriff auf ein SIS könnte severe Konsequenzen haben. „Ein Bad Actor kann einen sicherheitskritischen Prozess abschalten, indem er die Konfiguration eines Safety Systems manipuliert“, erklärte Eddie Habibi, CEO von PAS Global. „Die echte Gefahr ist, wenn der Angreifer andere Industrial Control Systems in derselben Facility infiltriert, die Bühne für ein Desaster bereitet, indem Prozesse über sichere Limits gepusht werden.“

In der Facility, wo die Malware erstmals auftauchte, hätte Triton in ein Burner-Management-System interferieren können, potenziell Triggering Release von Hydrogen Sulfide Gas.

Trisis wirft auch das Gespenst von Copycat-Angriffen auf. „Ich denke, wir haben die Katalysierung ähnlicher Angriffe gesehen“, merkte Miller an. Die Malware liefert einen Blueprint nicht nur für Oil-and-Gas-Facilities, sondern für jede kritische Infrastruktur – einschließlich Building Automation – mirroring den Impact der Black Energy Angriffe, die Teile von Ukraines Stromnetz lahmlegten.

John Sheehy, VP of Strategic Services bei IOActive, betonte, dass mit heutiger Operational Technology ein ungemildeter Cybersicherheits-Flaw im Grunde ein ungemildeter Safety-Flaw ist. Schneider Electric hat seitdem eine Bildungskampagne gestartet, Triton in einen Call to Action für die Industrie verwandelnd.

FireEye-Forscher glauben, Nation-States nutzen Malware wie Trisis, um langfristige Footholds zu bauen, statt sofortige destructive Angriffe zu starten. Sie schätzen, es dauerte nearly ein Jahr, bis der Adversary Access vom Target-Netzwerk zu einer SIS-Engineering-Workstation ausweitete, während sie Tracks clever verbargen – malicious Binaries umbenennend, um Microsoft Update Files zu ähneln. Das Team tracete die Akteursaktivität zurück bis mindestens 2014.

Sheehy forderte ganzheitlichen Ansatz: „Designer sollten orthogonale Safety Controls einsetzen – wie mechanische Druckentlastungsventile oder Governors –, die Zero Coincidence mit Control Systems haben und daher nicht von ihnen affected werden können. OT-Implementierungen sollten Konsequenzen eines Cyberangriffs durch layered Protections und Non-Cybersecurity-Engineering-Controls managen, fokussiert auf operationale Resilienz.“

„Wir müssen Security in diese Industrial Control Systems von Anfang an harden und embedden“, sagte Miller. „Bis wir das tun, bleiben wir sitting ducks für zukünftige Critical-Infrastructure-Angriffe.“

Trisis' Emergenz unterstreicht den dringenden Bedarf an integrierten Cyber-Physical-Security-Strategien, die sowohl digitale Assets als auch die physischen Prozesse schützen, die sie governieren.