Trisis恶意代码现身第二工业设施，加剧网安物理安全担忧
当Dragos与FireEye网安研究员首曝Triton恶意代码——后称Trisis——标志着专门危害工业安全系统的代码首次被发现。
虽初期报告模糊，证据指向国家行为体，首袭中东某设施，威胁触发石油天然气厂灾难性紧急事态。
“Trisis袭击前周我正在中东，”PAS Global CISO Jason Haward-Grau回忆。他描述与当地石油公司安全总监对话：对方信气隙网络、数据二极管、安全仪表系统（SIS）意味无虞。
袭击后不久，Haward-Grau致电同事：“我有点紧张，我们可能不具备那三层防护全部到位。”
数月Trisis细节稀少。2024年4月10日，FireEye确认在另一关键基础设施设施发现额外攻击，进一步确证恶意代码持久性与复杂性。去年FireEye亦将攻击关联俄罗斯行为体。
“对大多数资产主/运营者，俄罗斯主导还是黑客组织不重要，”Mocana国家安全与关键基建项目总监Emily S. Miller说。“关键是能否造成危害。关键基建中，即生命损失。”
FireEye分析显示Triton混合使用通用与定制入侵工具。如SecHack用于凭证收割，Cryptcat、Bitvise、OpenSSH、PLINK建后门绕过现有防御。
SIS成功攻击后果严重。“坏人可通过操纵安全系统配置关停安全关键过程，”PAS Global CEO Eddie Habibi解释。“真正危险是攻击者渗透同设施其他工业控制系统，将过程推至安全极限之外，铺垫灾难。”
首现恶意代码设施中，Triton可干扰燃烧器管理系统，潜在触发硫化氢气体释放。
Trisis亦引发模仿攻击幽灵。“我认为我们见到了类似攻击催化，”Miller注。恶意代码不仅为油气设施提供蓝图，亦适用任何关键基建——含楼宇自动化——镜像BlackEnergy攻击瘫痪乌克兰电网部分影响。
IOActive战略服务副总裁John Sheehy强调：以今日运营技术，未缓解网安缺陷本质即未缓解安全缺陷。施耐德电气已启动教育运动，将Triton转化为行业行动号召。
FireEye研究员信国家行为体可能用Trisis类恶意代码建长期立足点而非即时破坏。估计对手近一年从目标网络扩展访问至SIS工程工作站，巧妙隐踪——将恶意二进制重命名为微软更新文件。团队亦追溯行为体活动至2014年至少。
Sheehy吁全息路径：“设计师应采用正交安全控制——如机械压力释放阀或调速器——其与控制系统零重合，故不受其影响。OT实施应通过分层防护与非网安工程控制管理网攻后果，聚焦运营韧性。”
“我们必须从一开始就将安全硬化嵌入这些工业控制系统，”Miller说。“直到那时，我们将继续为未来关键基建攻击留作坐以待毙的靶子。”
Trisis出现凸显整合网安-物理安全策略的迫切性，保护数字资产与其管控的物理过程双重安全。
物联网技术