Triton: ce malware a visé un système de contrôle industriel de Schneider Electric
Après une attaque qui a touché fin 2017 un site industriel, Schneider Electric explique comment le malware Triton est parvenu à contourner les systèmes de sécurité Triconex.
A la mi-décembre, le malware Triton (ou Trisis) visant des intérêts industriels avait été repéré par des éditeurs de solutions de sécurité IT comme FireEye ou Symantec.
Il ciblait des systèmes industriels de groupes (Industrial Control System ou ICS en anglais). En particulier les systèmes Triconex développés par Schneider Electric et exploités par des firmes du secteur de l’énergie (nucléaire pétrole, gaz).
En raison de l’assaut, un site industriel localisé au Moyen-Orient avait dû stopper ses opérations*.
Des chercheurs de Schneider Electric ont ainsi profité de la conférence S4 (qui s’est tenue à Miami du 16 au 18 janvier) pour présenter un rapport détaillé sur cette vulnérabilité firmware des Systèmes Triconex Tricon, rapporte Wired.
Les pirates ont exploité une faille inconnue (« zero day ») dans le logiciel Triconex pour installer un cheval de Troie donnant un accès à distance au système (RAT pour Remote Access Trojan), selon Paul Forney, Chief Security Architect chez Schneider Electric.
Le groupe a publié une notification ad hoc de sécurité, qui détaille la manière dont le malware Triton est parvenu à infecter d’anciens contrôleurs de sécurité Triconex en utilisant une vulnérabilité zero day.
Les éléments révélés sur Triton démontrent à quel point les installations industrielles sont vulnérables et leurs mécanismes de sécurité peuvent être manipulés.
« Au cours de notre enquête approfondie, Schneider Electric a identifié une vulnérabilité dans le firmware Tricon, qui se limite à un petit nombre d’anciennes versions du Tricon », a déclaré Schneider Electric. « Cette vulnérabilité faisait partie d’un scénario complexe d’infection par logiciel malveillant . »
L’inquiétude reste palpable au regard des risques d’attaques susceptibles d’attaquer des infrastructures critiques.
C’est d’autant plus préoccupant que le code source du malware utilisé dans cette attaque de système de contrôle industriel semble avoir circulé sur Internet après avoir été extraite d’une base de données en ligne.
*Selon SecurityWeek citant CyberX (veille cybersécurité), Triton a été développé par l’Iran afin de viser des organisations en Arabie Saoudite.
(Crédit photo © Tom Wang – Shutterstock)
