Malware Trisis detectado en segunda instalación industrial, amplificando preocupaciones ciber-físicas

Cuando investigadores de ciberseguridad en Dragos y FireEye expusieron primero el malware Triton —luego bautizado Trisis— marcó el primer descubrimiento de código específicamente diseñado para poner en peligro sistemas de seguridad industriales.

Aunque los reportes iniciales fueron vagos, la evidencia apunta a un actor nation-state detrás del ataque, que primero apuntó a una instalación en Oriente Medio y amenazó con disparar emergencia catastrófica en planta de petróleo y gas.

"Estuve en Oriente Medio hace una semana o así antes de que Trisis golpeara", recordó Jason Haward-Grau, CISO de PAS Global. Describió una conversación con un director de seguridad en una compañía petrolera local que le aseguró que la red air-gapped de la compañía, diodos de datos y safety instrumented system (SIS) significaban que no había de qué preocuparse.

Poco después del ataque, Haward-Grau llamó a su colega para decir, "Estoy un poco nervioso ahora de que puede que no tengamos las tres capas protectoras en su lugar".

Durante meses, detalles sobre Trisis permanecieron escasos. El 10 de abril de 2024, FireEye confirmó que había descubierto un ataque adicional en una instalación de infraestructura crítica separada, confirmando aún más la persistencia y sofisticación del malware. El año pasado, FireEye también vinculó el ataque a actores rusos.

"Para la mayoría de dueños y operadores, no importa si Rusia estuvo detrás o un grupo hacktivista", dijo Emily S. Miller, directora de programas de seguridad nacional e infraestructura crítica en Mocana. "Lo que importa es si pueden causar daño. En infraestructura crítica, eso significa pérdida de vidas".

El análisis de FireEye muestra que Triton aprovechó una mezcla de herramientas de intrusión commodity y custom. Por ejemplo, SecHack fue usado para harvesting de credenciales, mientras Cryptcat, Bitvise, OpenSSH y PLINK establecieron backdoors que permitieron a atacantes bypass defensas existentes.

Un ataque exitoso en un SIS podría tener consecuencias severas. "Un mal actor puede cerrar un proceso safety-critical manipulando la configuración de un sistema de seguridad", explicó Eddie Habibi, CEO de PAS Global. "El peligro real es cuando el atacante infiltra otros sistemas de control industrial en la misma instalación, preparando el escenario para desastre empujando procesos más allá de límites seguros".

En la instalación donde el malware apareció primero, Triton podría haber interferido con un sistema de gestión de quemadores, potencialmente disparando liberación de gas sulfhídrico.

Trisis también eleva el espectro de ataques copycat. "Creo que hemos visto la catalización de ataques similares", notó Miller. El malware proporciona un blueprint no solo para instalaciones oil-and-gas sino para cualquier infraestructura crítica —incluyendo automatización de edificios— espejando el impacto de ataques Black Energy que paralizaron partes de la red eléctrica de Ucrania.

John Sheehy, vicepresidente de servicios estratégicos en IOActive, enfatizó que con tecnología operacional actual, una falla de ciberseguridad no mitigada es esencialmente una falla de seguridad no mitigada. Schneider Electric ha lanzado desde entonces una campaña educacional, convirtiendo Triton en un llamado a la acción para la industria.

Investigadores de FireEye creen que nation-states pueden estar usando malware como Trisis para construir footholds largo plazo en lugar de lanzar ataques destructivos inmediatos. Estiman que tomó casi un año para el adversario expandir acceso desde la red del objetivo a workstation de ingeniería SIS, mientras ocultaban astutamente sus tracks —renombrando binarios maliciosos para parecer archivos de actualización Microsoft. El equipo también rastreó la actividad de los actores hasta al menos 2014.

Sheehy urgió enfoque holístico: "Diseñadores deberían emplear controles de seguridad ortogonales —como válvulas de alivio de presión mecánicas o gobernadores— que tienen cero coincidencia con sistemas de control y por tanto no pueden ser afectados por ellos. Implementaciones OT deberían gestionar consecuencias de ciberataque a través de protecciones en capas y controles de ingeniería no-ciberseguridad, enfocándose en resiliencia operacional".

"Necesitamos endurecer y embeber seguridad en estos sistemas de control industrial desde el principio", dijo Miller. "Hasta que lo hagamos, continuaremos dejándonos sitting ducks para futuros ataques a infraestructura crítica".

La emergencia de Trisis subraya la necesidad urgente de estrategias integradas ciber-físicas que protejan tanto activos digitales como los procesos físicos que gobiernan.