Malware Trisis Detectado em Segunda Instalação Industrial, Amplificando Preocupações de Segurança Cyber-Física

Quando pesquisadores de cibersegurança da Dragos e FireEye expuseram pela primeira vez o malware Triton — posteriormente apelidado Trisis — marcou a primeira descoberta de código especificamente projetado para colocar em risco sistemas de segurança industriais.

Embora relatórios iniciais fossem vagos, evidências apontam para ator de estado-nação por trás do ataque, que primeiro atingiu uma instalação no Oriente Médio e ameaçou desencadear emergência catastrófica em planta de petróleo e gás.

"Estive no Oriente Médio cerca de uma semana antes do Trisis atingir", recordou Jason Haward-Grau, CISO da PAS Global. Ele descreveu conversa com diretor de segurança em empresa petrolífera local que o assegurou que a rede air-gapped da empresa, diodos de dados e safety instrumented system (SIS) significavam que não havia com o que se preocupar.

Pouco após o ataque, Haward-Grau ligou para seu colega dizendo: "Estou um pouco nervoso agora que talvez não tenhamos todas as três camadas de proteção no lugar."

Por meses, detalhes sobre Trisis permaneceram escassos. Em 10 de abril de 2024, a FireEye confirmou ter descoberto ataque adicional em instalação de infraestrutura crítica separada, confirmando ainda mais a persistência e sofisticação do malware. No ano passado, a FireEye também vinculou o ataque a atores russos.

"Para a maioria de proprietários e operadores, não importa se Rússia estava por trás ou grupo hacktivista", disse Emily S. Miller, diretora de programas de segurança nacional e infraestrutura crítica na Mocana. "O que importa é se eles podem causar dano. Em infraestrutura crítica, isso significa perda de vidas."

Análise da FireEye mostra que Triton alavancou mistura de ferramentas de intrusão commodity e custom. Por exemplo, SecHack foi usado para coleta de credenciais, enquanto Cryptcat, Bitvise, OpenSSH e PLINK estabeleceram backdoors que permitiram atacantes contornar defesas existentes.

Um ataque bem-sucedido em um SIS poderia ter consequências severas. "Um ator malicioso pode desligar processo crítico de segurança manipulando configuração de sistema de segurança", explicou Eddie Habibi, CEO da PAS Global. "O perigo real é quando o atacante infiltra outros sistemas de controle industrial na mesma instalação, preparando palco para desastre ao empurrar processos além de limites seguros."

Na instalação onde o malware apareceu primeiro, Triton poderia ter interferido com sistema de gerenciamento de queimador, potencialmente desencadeando liberação de gás sulfídrico.

Trisis também levanta espectro de ataques copycat. "Acho que vimos a catalisação de ataques similares", notou Miller. O malware fornece blueprint não apenas para instalações de petróleo e gás mas para qualquer infraestrutura crítica — incluindo automação predial — espelhando impacto dos ataques Black Energy que paralisaram partes da rede elétrica da Ucrânia.

John Sheehy, vice-presidente de serviços estratégicos na IOActive, enfatizou que com tecnologia operacional atual, falha de cibersegurança não mitigada é essencialmente falha de segurança não mitigada. A Schneider Electric lançou desde então campanha educacional, transformando Triton em chamado à ação para a indústria.

Pesquisadores da FireEye acreditam que estados-nação podem estar usando malware como Trisis para construir footholds de longo prazo em vez de lançar ataques destrutivos imediatos. Estimam que levou quase um ano para o adversário expandir acesso da rede do alvo para workstation de engenharia SIS, enquanto escondiam habilmente seus rastros — renomeando binários maliciosos para parecer arquivos de atualização Microsoft. A equipe também rastreou atividade dos atores até pelo menos 2014.

Sheehy instou abordagem holística: "Designers devem empregar controles de segurança ortogonais — como válvulas de alívio de pressão mecânicas ou governadores — que tenham zero coincidência com sistemas de controle e portanto não podem ser afetados por eles. Implementações OT devem gerenciar consequências de ciberataque através de proteções em camadas e controles de engenharia não-cibersegurança, focando em resiliência operacional."

"Precisamos endurecer e embutir segurança nestes sistemas de controle industrial desde o começo", disse Miller. "Até que façamos isso, continuaremos nos deixando patos sentados para futuros ataques a infraestrutura crítica."

A emergência do Trisis sublinha a necessidade urgente de estratégias integradas de segurança cyber-físicas que protejam tanto ativos digitais quanto processos físicos que governam.