Por Que Malware Triton Ainda Ameaça Segurança Industrial: Visão de Especialista da Schneider Electric

No final de 2017, um sofisticado ciberataque conhecido como Triton (também chamado Trisis) visou o sistema de desligamento de segurança de uma instalação no Oriente Médio. Descoberto pela firma de cibersegurança Dragos em novembro de 2017, o malware poderia ter desencadeado falha catastrófica — potencialmente matando pessoal e liberando químicos perigosos. Felizmente, a tentativa do Triton de desabilitar o sistema de segurança Triconex deu errado, ativando o desligamento de emergência que buscava suprimir e revelando o ataque.

Dragos rotula o grupo por trás do ataque como "Xenotime" e alerta que eles podem lançar futuros ataques disruptivos ou destrutivos. O incidente também fornece um blueprint perigoso para outros atacantes desejando visar safety instrumented systems (SIS).

Schneider Electric escolheu transparência sobre silêncio. Andrew Kling, Diretor de Cibersegurança e Arquitetura de Sistemas, explicou: "Sabíamos que certo nível de abertura era requerido. Uma vez que a verdadeira natureza do ataque foi entendida, percebemos a seriedade e o chamado à ação industry-wide que demandava." Kling também escreveu One Year After Triton: Building Ongoing, Industry-Wide Cyber Resilience para compartilhar lições aprendidas.

[IoT Security Summit – Aprenda a proteger a stack completa de IoT, da nuvem à edge ao hardware. Garanta seu ingresso agora.]

O que diferencia Triton é que foi o primeiro malware conhecido desenhado para atacar um safety instrumented system. Kling nota: "Isso não foi um exploit legacy one-off; foi uma tentativa deliberada de minar controles de segurança para ganho estratégico. Ignorá-lo seria inaceitável."

O quão ciente a indústria está do Triton e da ameaça mais ampla a sistemas de segurança industrial?

Andrew Kling: "Consciência da indústria deve ser 100%. Todos devem agir imediatamente. Rodamos serviço dedicado de detecção de malware para controladores Triconex, oferecemos a todos clientes, e não detectamos compromissos adicionais. Este é o primeiro serviço que detecta malware diretamente em um dispositivo de segurança."

Que papel a Schneider Electric desempenha em educar a indústria?

Kling: "Estamos pedindo resposta coletiva — clientes, provedores de serviço, OEMs e vendors de rede devem priorizar sistemas de segurança tão ferozmente quanto controles de processo. Através de comitês de padrões, colaboramos com pares para compartilhar lições e promover melhores práticas. Transparência é chave; explicamos detalhes do ataque e técnicas usadas para que outros possam se defender."

O que sabemos sobre os atacantes?

Kling: "Atribuição permanece incerta; especulação sobre envolvimento de nation-state existe, mas evidência concreta falta. O que sabemos é que atacantes possuíam conhecimento especializado de arquitetura de sistema de segurança, processadores embarcados e protocolos proprietários. Seu malware continha múltiplos bugs que inadvertidamente acionaram o desligamento de segurança, sugerindo recursos limitados ou testing. Não obstante, o skill set requerido é non-trivial e indica adversário altamente motivado."

Conselho para organizações industriais preocupadas com ciberrisco?

Como membro do working group ISA99's IEC 62443, Kling recomenda alinhar procurement com padrão de cibersegurança IEC 62443. "Ao licitar novos sistemas de segurança ou controle de processo, especifique conformidade IEC 62443. Centenas de homens-anos de trabalho de especialistas definem o que segurança significa em automação industrial. Ao selecionar produtos certificados e parceiros de entrega, você alavanca essa expertise coletiva sem se tornar um especialista em cibersegurança você mesmo."

Schneider também colabora com agências do governo dos EUA como NCCIC/ICS-CERT, garantindo que melhores práticas de segurança de tecnologia operacional (OT) sejam compartilhadas pela comunidade. A comunidade de cibersegurança OT permanece tightly knit, com colaboração regular para abordar ameaças emergentes.