Il malware Triton è ancora una minaccia nel settore energetico globale.

Redazione RHC : 29 Marzo 2022 14:32

Recentemente l’FBI ha mandato un alert alla comunità energetica globale affermando che il malware Triton costituisce ancora oggi una seria minaccia per l’industria energetica,

Stando all’avviso dell’FBI, Triton (conosciuto anche come Trisis e HatMan) è stato progettato per fare in modo che i sistemi di sicurezza smettano di funzionare ed inizino ad operare in modo non sicuro.

Il malware Triton è diventato famoso nel 2017 quando è stato utilizzato per attaccare un impianto petrolchimico in Medio Oriente, attacco che gli Stati Uniti hanno attribuito al Russian Central Research Institute of Chemistry and Mechanics (TsNIIKhM) e, recentemente, hanno accusato Yevgeny Gladkikh (dipendente del TsNIIKhM) ed altri tre cittadini russi per attacchi informatici al settore energetico globale.

In un attacco avvenuto nel 2017, Triton è stato utilizzato per colpire il sistema di sicurezza Triconex della Schneider Electric che consente di spegnere in sicurezza le apparecchiature in caso di emergenza e, una volta ottenuto l’accesso iniziale, gli aggressori si sono spostati lateralmente attraverso le reti IT e OT per riuscire a raggiungere la strumentazione di sicurezza.

Un malware ha modificato il firmware dei PLC Triconex affinché in caso di emergenza le procedure di spegnimento non si sarebbero avviate ed a quel punto l’impresa sarebbe stata in serio pericolo fino al rischio della perdita di vite umane.

Secondo l’avviso dell’FBI, TsNIIKhM sta ancora attaccando il settore energetico globale e, sempre secondo l’avviso dell’FBI,

“visto il modello di attacco ed il malware utilizzato nel primo attacco Triton, in futuro gli stessi attacchi potrebbero essere realizzati contro altri sistemi di sicurezza”.

Nonostante Schneider Electric abbia risolto la vulnerabilità sfruttata nei controller Tricon, in alcune aziende sono ancora in uso versioni precedenti(e quindi vulnerabili).

I gestori ed i dipendenti di risorse infrastrutturali critiche potenzialmente vulnerabili dovrebbero testare e monitorare regolarmente i loro sistemi di sicurezza, oltre a formare (come sempre) il personale dipendente ed a sviluppare piani di emergenza.

Inoltre, l’FBI fornisce le seguenti raccomandazioni di sicurezza:

• Utilizzare gateway unidirezionali per le applicazioni che ricevono informazioni dai sistemi di sicurezza;
• Implementare procedure di gestione delle modifiche per posizioni chiave nello stato operativo del controller di sicurezza;
• Implementare sistemi di sicurezza in reti isolate;
• Controllare frequentemente i registri dei dispositivi di rete, dei server web e degli strumenti di terze parti per poter monitorare eventuali attività ostili nella fase iniziale e prendere le dovute contromisure.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.