Triton: un nuevo malware que ataca sistemas de control industrial
- Infraestructuras críticas
Investigadores de FireEye han encontrado el malware Triton en los sistemas de control industrial de una compañía ubicada en Oriente Medio. El objetivo de los atacantes era llevar a cabo un "ataque de alto impacto" contra una compañía no identificada con el objetivo de causar daño físico.
El equipo de investigación de amenazas Mandiant de FireEye reveló la existencia de Triton el jueves, asegurando que los creadores del malware apuntan a los controladores Triconex Safety Instrumented System vendidos por Schneider Electric. Los investigadores están comparando la orientación de Triton hacia los sistemas de control industrial con el malware utilizado en los ataques Stuxnet e Industroyer (o Crashoverride).
|
También puedes leer... El riesgo de los altavoces inteligentes Los cinco grandes mitos de las Brechas de Seguridad |
"Sigue a Stuxnet, que fue utilizado contra Irán en 2010, e Industroyer, que creemos fue desplegado por Sandworm Team contra Ucrania en 2016", afirman los investigadores. "Triton es consecuente con estos ataques, ya que podría evitar que los mecanismos de seguridad ejecuten su función prevista, lo que generaría consecuencias físicas".
Los escenarios de ataque de Triton incluyen el uso del malware para cerrar el proceso Triconex SIS que se encuentra en un estado seguro. El impacto sería la interrupción de las operaciones de la planta y tiempo de inactividad del servicio. Los atacantes también podrían reprogramar el controlador SIS para que no se apague en un entorno inseguro, creando riesgos para la seguridad humana o daños al equipo, según los investigadores de Mandiant. Cada uno de los escenarios de ataque supone que un atacante ya tiene un punto de apoyo en los sistemas específicos.
El miércoles, Schneider Electric emitió un comunicado en el que advertía ser “consciente de un incidente dirigido al sistema de apagado de seguridad Triconex Tricon de un solo cliente. Estamos trabajando estrechamente con nuestros clientes, con organizaciones independientes de ciberseguridad y con el ICSCERT para investigar y mitigar los riesgos de este tipo de ataque. Aunque la evidencia sugiere que este fue un incidente aislado y no se debió a una vulnerabilidad en el sistema Triconex o su código de programa, continuamos investigando si existen vectores de ataque adicionales".
