Triton (logiciel malveillant)
Triton est un logiciel malveillant découvert dans une usine pétrochimique saoudienne en 2017[1]. Capable de désactiver les systèmes de sécurité et de provoquer une catastrophe industrielle, il a été nommé le « malware le plus meurtrier »[2].
Du reverse-ingeniering pour concevoir Triton
[modifier | modifier le code]Les automates programmables (PLC) utilisés pour la commande et la surveillance des processus industriels sont normalement programmés à partir de postes de travail d'ingénierie spécialisés à l'aide de logiciels spécialisés fournis par leur fabricant. Dans le cas des contrôleurs de sécurité Triconex, le logiciel s'appelle TriStation et il utilise un protocole propriétaire non documenté que les pirates ont utilisé en rétro-ingénierie pour créer le malware Triton[3].
« Le cycle de vie d'une attaque ciblée d'un ICS sophistiqué est souvent mesuré en années », estiment les chercheurs de FireEye. « Les attaquants ont besoin de beaucoup de temps pour se préparer à une telle attaque afin d'en apprendre davantage sur les processus industriels de la cible et de construire des outils personnalisés. Ces attaques sont aussi souvent menées par des États-nations qui peuvent être intéressés à se préparer à des opérations d'urgence plutôt qu'à mener une attaque immédiate (par exemple installer un logiciel malveillant comme Triton et attendre le bon moment pour l'utiliser). Pendant ce temps, l'attaquant doit assurer un accès continu à l'environnement cible sous peine de perdre des années d'efforts et de perdre des logiciels malveillants ICS personnalisés potentiellement coûteux. Cette attaque n'a pas fait exception. »
Attribution
[modifier | modifier le code]En 2018, FireEye désigne le CNIIHM, une unité de recherche scientifique en Russie, comme responsable probable du développement de Triton[4].
En octobre 2020, l'Office of Foreign Assets Control confirme les soupçons à l'encontre du CNIIHM[5].
Références
[modifier | modifier le code]- ↑ (en) « TRITON Actor TTP Profile, Custom Attack Tools, Detections, and ATT&CK Mapping » (consulté le )
- ↑ (en) « Triton is the world’s most murderous malware, and it’s spreading » (consulté le )
- ↑ « Le malware Triton très actif dans le sabotage industriel - Le Monde Informatique », sur LeMondeInformatique, (consulté le )
- ↑ (en) « The inside story of the world's most dangerous malware » (consulté le )
- ↑ (en) « Treasury Sanctions Russian Government Research Institution Connected to the Triton Malware » (consulté le )
