Malware ontdekt die industriële veiligheidssystemen manipuleert

malware

Een nieuw soort malware genaamd TRITON is specifiek gericht op de manipulatie van industriële veiligheidssystemen. De malware is in staat fysieke schade toe te brengen aan systemen en hiermee de werking van vitale infrastructuur te verstoren.

Hiervoor waarschuwt FireEye. Het beveiligingsbedrijf meldt dat Mandiant, onderdeel van FireEye, recent heeft gereageerd op een incident bij een kritieke infrastructuurorganisatie waar een aanvaller de TRITON malware heeft ingezet. Uit analyse van deze malware blijkt dat TRITON specifiek gericht is op de manipulatie van systemen die het mogelijk maken industriële systemen in geval van nood uit te schakelen. In het specifiek gaat het om Triconex Safety Instrumented System (SIS) controllers.

Staatshackers

FireEye geeft aan de aanvallers achter de malware nog niet in beeld te hebben kunnen brengen. Het bedrijf wijst er echter op dat de activiteit kenmerkend is voor een overheid die een aanval voorbereid. Ook wijst FireEye op de Stuxnet malware die in 2010 werd ingezet tegen Iran en de Industroyer die volgens FireEye door de hackersgroep Sandworm Team in 2016 is ingezet tegen Oekraïne. TRITON is net als Stuxnet en Industroyer bedoeld om beveiligingsmechanismen te blokkeren, iets wat tot fysieke schade kan leiden.

Bij de aanval waarbij TRITON is ontdekt wist een aanvaller op afstand toegang te verkrijgen tot een SIS-werkstation van de getroffen organisatie, die verder niet bij naam wordt genoemd. Vervolgens werd TRITON ingezet om de SIS-controllers te herprogrammeren en hun werking te manipuleren. Dit is echter niet in alle gevallen gelukt. Sommige SIS-controllers sloten automatisch af, wat ertoe heeft geleid dat bepaalde industriële processen werden onderbroken. Dit was uiteindelijk aanleiding voor het onderzoek waarbij de malware werd ontdekt.

Fysieke schade aanbrengen

FireEye vermoedt dat de aanvaller per ongeluk deze industriële processen heeft onderbroken in een poging het vermogen te ontwikkelen om de SIS-controllers te manipuleren en fysieke schade aan te kunnen brengen. "De aanvaller richtte zich op de SIS, wat suggereert dat hij interesse had in het uitvoeren van een aanval met hoge impact en fysieke consequenties. Dit is een aanvalsdoelstelling die we doorgaans niet zien bij cybercrimegroeperingen", schrijven onderzoekers van FireEye in zijn analyse.

"De aanvaller heeft TRITON uitgerold kort nadat toegang werd verkregen tot het SIS-systeem, wat indiceert dat zij de tool vooraf hebben gebouwd en getest. Dit ereist toegang tot hardware en software die niet breed toegankelijk is. TRITON is ook ontworpen om de communiceren met behulp van het propriëtaire TriStation protocol, wat niet openbaar is gedocumenteerd. Dit suggereert dat de aanvaller onafhankelijk dit protocol heeft gere-engineerd."

Meer informatie is te vinden in de analyse van FireEye.

Meer over
Lees ook
WatchGuard’s Internet Security Report onthult nieuwe social-engineeringtrends

WatchGuard’s Internet Security Report onthult nieuwe social-engineeringtrends

Phishers maken in toenemende mate gebruik van browsergebaseerde social-engineeringstrategieën. Daarnaast groeit de malware dat banden heeft met natiestaten. Ook nemen de hoeveelheid zerodaymalware en de zogenaamde ‘living-off-the-land attacks’ toe. Dat concludeert WatchGuard Technologies in zijn meest recente Internet Security Report (ISR).

Qualys Threat Research brengt 2,3 miljard kwetsbaarheden in IT-middelen aan het licht

Qualys Threat Research brengt 2,3 miljard kwetsbaarheden in IT-middelen aan het licht

Qualys detecteerde in 2022 wereldwijd meer dan 2,3 miljard kwetsbaarheden in IT-middelen. Cybercriminelen maken hier steeds opportunistischer en flexibeler misbruik van om succesvolle aanvallen uit te voeren. Dit blijkt uit het 2023 TruRisk Research Report van de Qualys Threat Unit (TRU)

WatchGuard’s Internet Security Report Q4 2022: fikse stijging endpoint-ransomware

WatchGuard’s Internet Security Report Q4 2022: fikse stijging endpoint-ransomware

Versleutelde verbindingen zijn de voorkeursmethode geworden voor het afleveren van malware. Daarnaast blijft malware die verband houdt met phishingcampagnes een aanhoudende bedreiging vormen. Dat concludeert WatchGuard Technologies in zijn meest recente Internet Security Report. Hoewel het onderzoek over het vierde kwartaal van 2022 een afname in1