Trisis Malware Ditemukan di Fasilitas Industri Tambahan
Ketika peneliti keamanan siber di Dragos dan FireEye mengungkapkan apa yang disebut malware Triton menargetkan sistem keselamatan industri, itu adalah sesuatu yang luar biasa. Triton menandai penemuan pertama malware yang dimaksudkan untuk menyebabkan kerusakan fisik. Kode melakukannya dengan menargetkan sistem instrumen keselamatan industri, tetapi untungnya, tidak efektif dalam menyebabkan bencana.
Serangan itu, juga dikenal sebagai "Trisis," diselimuti misteri hingga saat ini. Laporan awal serangan itu tidak jelas. Seorang aktor negara-bangsa kemungkinan berada di balik serangan itu, yang terjadi di suatu tempat di Timur Tengah. Tapi Triton juga menjadi semacam peringatan karena berpotensi menyebabkan kehancuran besar-besaran dalam bentuk keadaan darurat di pabrik minyak dan gas.
“Saya berada di Timur Tengah sekitar seminggu sebelum Triton menyerang,” kenang Jason Haward-Grau, CISO untuk PAS Global. Dalam sebuah percakapan, Haward-Grau bertanya kepada direktur keamanan di perusahaan minyak di sana bagaimana perasaannya tentang tingkat keamanan siber di perusahaan tersebut. “Yah, dia bilang dia tidak perlu khawatir tentang apa pun. Saya berpikir:'Wow, Anda satu-satunya orang yang saya temui di keamanan siber yang tidak khawatir. Saya tidak berhenti khawatir. Saya tidak bisa tidur,'” lanjut Haward-Grau. Profesional keamanan siber yang berbasis di Timur Tengah melanjutkan dengan menjelaskan alasan mengapa dia bisa tidur nyenyak di malam hari:“Kami kekurangan udara. Kami punya dioda data. Dan jika semuanya salah, kami memiliki sistem SIS,” kata direktur keamanan, mengacu pada sistem instrumentasi keselamatan, yang dirancang untuk memungkinkan operasi industri kritis gagal dengan aman dan anggun dalam keadaan darurat.
[ Dunia Internet of Things adalah persimpangan industri dan inovasi IoT. Pesan . Anda kartu konferensi dan hemat $350, dapatkan kartu pameran gratis atau lihat Speaker keamanan IoT di acara tersebut.]
Satu minggu kemudian, Trisis menyerang, yang mendorong profesional keamanan siber untuk menelepon Haward-Grau. “Dia menelepon saya dan berkata:'Dengar, Anda tahu, bagaimana saya mengatakan kami memiliki tiga pendekatan utama untuk keamanan siber. Saya sedikit gugup sekarang karena kita mungkin tidak memiliki ketiganya.’”
Sementara Trisis membuat gelombang kejutan melalui bidang keamanan siber industri dalam beberapa bulan setelah terungkap, detail seputar malware masih jarang. Sekarang, gambaran yang lebih jelas muncul dari serangan itu. Perusahaan keamanan siber FireEye mengonfirmasi pada 10 April bahwa pihaknya menemukan serangan tambahan di fasilitas infrastruktur penting yang terpisah. Tahun lalu, perusahaan keamanan siber juga mengumumkan bahwa mereka yakin serangan itu berakar dari Rusia.
“Bagi sebagian besar pemilik dan operator, tidak masalah apakah Rusia berada di belakangnya, atau kelompok peretas,” kata Emily S. Miller, direktur program keamanan nasional dan infrastruktur penting di Mocana. “Yang penting adalah mereka dapat menyebabkan hal-hal buruk terjadi. Dan jika menyangkut infrastruktur kritis, itu berarti hilangnya nyawa.”
FireEye telah mengembangkan gambaran yang lebih jelas tentang mekanisme Triton, yang memanfaatkan lusinan alat intrusi komoditas dan kustom. Misalnya, SecHack digunakan untuk pengumpulan kredensial sementara Cryptcat, Bitvise, OpenSSH, dan PLINK membuat pintu belakang. Alat khusus kemungkinan membantu penyerang menghindari perlindungan keamanan siber.
Dampak dari serangan yang berhasil pada target SIS bisa menjadi signifikan. “Aktor yang buruk dapat menghentikan proses [yang dimaksudkan untuk melindungi fasilitas industri dalam keadaan darurat] dengan memanipulasi konfigurasi sistem keselamatan,” kata Eddie Habibi, CEO PAS Global dalam sebuah pernyataan email. “Namun, bahaya sebenarnya terletak jika penyerang menyusup ke sistem ICS lain dalam fasilitas yang sama dengan sistem keamanan,” lanjutnya. Jika itu terjadi, musuh dapat meletakkan dasar bagi bencana dengan memodifikasi proses industri untuk melampaui batas operasi yang aman, yang berpotensi menyebabkan kehancuran fisik, cedera dan kematian, serta polusi. Di fasilitas tempat malware pertama kali diidentifikasi, Triton dapat mengganggu fungsi sistem manajemen burner, yang berpotensi memicu pelepasan gas hidrogen sulfida.
Triton, yang menargetkan peralatan dari Schneider Electric, juga dapat menginspirasi serangan peniru yang bertujuan tidak hanya mencuri data sensitif, tetapi juga menyebabkan kerusakan fisik dan kemungkinan hilangnya nyawa. "Saya pikir kita telah melihat katalis dari serangan serupa," kata Miller. Dan serangan itu tidak hanya memberikan cetak biru untuk serangan terhadap sektor minyak dan gas, yang konon ditargetkan dalam serangan Trisis pertama yang diumumkan, tetapi semua jenis infrastruktur penting termasuk membangun sistem otomasi. “Lihatlah Black Energy,” kata Miller, merujuk pada malware yang berperan dalam mematikan sebagian jaringan listrik di Ukraina. “Ketika hit, itu benar-benar baru dan baru. Sekarang, itu adalah sesuatu yang dapat Anda beli di web gelap.” Musuh yang mengembangkan serangan berbahaya seperti itu dapat membagikan taktik mereka dengan peretas yang berpikiran sama secara online, mirip dengan memasak resep yang menyedot secara online, kata Miller.
Potensi dukungan negara-bangsa lebih lanjut dari serangan semacam itu juga meresahkan. “Dengan sistem teknologi operasional (OT) generasi saat ini, masalah keamanan siber yang tidak tanggung-tanggung adalah masalah keamanan yang tidak tanggung-tanggung,” kata John Sheehy, wakil presiden layanan strategis di IOActive dalam sebuah pernyataan email. Schneider sejak itu meluncurkan kampanye pendidikan untuk mengubah Triton menjadi "ajakan bertindak" untuk industri, Andrew Kling, direktur keamanan siber dan arsitektur sistem di Schneider Electric, mengatakan dalam sebuah wawancara tahun lalu.
Peneliti FireEye percaya bahwa negara-bangsa dapat meningkatkan malware semacam itu untuk mendukung operasi darurat daripada meluncurkan serangan destruktif segera. Menyiapkan dan berpotensi mengatur serangan seperti Trisis kemungkinan memerlukan perencanaan bertahun-tahun dan investasi waktu dari aktor ancaman, yang bekerja untuk memastikan mereka memiliki akses berkelanjutan ke lingkungan target mereka. Tim peneliti FireEye percaya bahwa butuh waktu hampir satu tahun bagi musuh untuk memperluas akses dari jaringan target mereka ke stasiun kerja teknik SIS. Sementara itu, penyerang dengan hati-hati berusaha menyembunyikan jejak mereka, misalnya, mengganti nama file malware yang dapat dieksekusi agar terlihat seperti file pembaruan Microsoft. FireEye yakin penyerang di belakang Trisis telah aktif setidaknya sejak 2014.
John Sheehy, wakil presiden layanan strategis di IOActive and Miller a mengatakan malware Triton juga harus berfungsi sebagai dorongan untuk memasukkan perlindungan keamanan siber holistik ke dalam lingkungan industri, daripada berfokus terutama pada langkah-langkah defensif seperti pemantauan jaringan dan perburuan ancaman. Sheehy juga menekankan pentingnya membangun perlindungan keselamatan fisik ke dalam lingkungan industri yang dapat membantu mengurangi keberhasilan serangan siber berorientasi keselamatan. “Jika memungkinkan, perancang harus menggunakan kontrol keamanan ortogonal, seperti katup pelepas tekanan mekanis atau pengatur mekanis, yang tidak memiliki kebetulan dengan sistem kontrol dan oleh karena itu tidak dapat terpengaruh olehnya,” kata Sheehy. “Implementasi OT hari ini harus fokus pada pengelolaan konsekuensi dari serangan keamanan siber melalui perlindungan dan mitigasi berlapis menggunakan kontrol teknik non-keamanan siber. Ini harus dilakukan dengan fokus pada penyediaan ketahanan operasional untuk proses dan operasi secara keseluruhan.”
"Mari kita ke akar penyebab dampaknya di sini:kita perlu memperkuat dan menanamkan keamanan ke perangkat ICS ini dari awal," kata Miller dalam sebuah pernyataan email. “Sampai kami melakukannya, kami akan terus membiarkan diri kami seperti bebek duduk untuk serangan infrastruktur yang lebih kritis seperti ini.”
