Malware Trisis Terdeteksi di Fasilitas Industri Kedua, Memperkuat Khawatir Keamanan Siber-Fisik
Saat peneliti keamanan siber di Dragos dan FireEye pertama kali mengungkap malware Triton—disebut kemudian Trisis—ini menandai penemuan pertama kode yang dirancang khusus untuk membahayakan sistem keselamatan industri.
Meskipun laporan awal samar, bukti menunjukkan aktor negara di balik serangan, yang pertama kali menargetkan fasilitas di Timur Tengah dan mengancam memicu kecemaran bencana di pabrik minyak dan gas.
“Saya berada di Timur Tengah sekitar satu minggu sebelum Trisis terjadi,” ingat Jason Haward-Grau, CISO di PAS Global. Dia menggambarkan percakapan dengan direktur keamanan di perusahaan minyak lokal yang menjamin kepadanya bahwa jaringan air-gapped, data diode, dan safety instrumented system (SIS) perusahaan berarti tidak ada yang perlu dikhawatirkan.
Seperti pendekatan serangan, Haward-Grau menelepon rekan katanya, “Saya sedikit cemas sekarang bahwa kami mungkin tidak memiliki ketiga lapis perlindungan.”
Selama bertahun-tahun, detail tentang Trisis tetap langka. Pada 10 April 2024, FireEye mengonfirmasi bahwa mereka telah menemukan serangan tambahan di fasilitas infrastruktur kritis terpisah, memperkuat kelangsungan dan kesederhanaan malware. Tahun lalu, FireEye juga menghubungkan serangan dengan aktor Rusia.
“Untuk sebagian besar pemilik dan operator, tidak masalah apakah Rusia yang di baliknya atau kelompok hacktivis,” kata Emily S. Miller, direktur program keamanan nasional dan infrastruktur kritis di Mocana. “Yang penting adalah apakah mereka dapat menyebabkan kerusakan. Di infrastruktur kritis, itu berarti kehilangan nyawa.”
Analisis FireEye menunjukkan bahwa Triton menggunakan campuran alat intrusi komoditas dan kustom. Misalnya, SecHack digunakan untuk pemungutan kredensial, sementara Cryptcat, Bitvise, OpenSSH dan PLINK mendirikan pintu belakang yang memungkinkan penyerang untuk melewati pertahanan yang ada.
Serangan yang sukses terhadap SIS dapat berakibat parah. “Pelaku jahat dapat mematikan proses keselamatan kritis dengan memanipulasi konfigurasi sistem keselamatan,” menjelaskan Eddie Habibi, CEO di PAS Global. “Bahaya nyata adalah ketika penyerang menembus sistem kontrol industri lain di fasilitas yang sama, membentuk panggung untuk bencana dengan mendorong proses melebihi batas aman.”
Di fasilitas di mana malware pertama kali muncul, Triton mungkin mengganggu sistem manajemen pembakar, yang dapat memicu pembuangan gas hydrogen sulfida.
Trisis juga memunculkan ancaman serangan tiruan. “Saya pikir kita telah melihat pemicu serangan serupa,” kata Miller. Malware ini memberikan cetak biru tidak hanya untuk fasilitas minyak dan gas tetapi untuk infrastruktur kritis apa pun—termasuk otomatisasi gedung—mencerminkan dampak serangan Black Energy yang melumpuhi bagian dari jaringan listrik Ukraina.
John Sheehy, vice president layanan strategis di IOActive, menekankan bahwa dengan teknologi operasi saat ini, celah keamanan siber yang tidak ditangani pada dasarnya adalah celah keselamatan yang tidak ditangani. Schneider Electric sejak itu meluncurkan kampanye edukasi, mengubah Triton menjadi panggilan aksi bagi industri.
Peneliti FireEye percaya negara-negara mungkin menggunakan malware seperti Trisis untuk membangun pendudukan jangka panjang daripada meluncurkan serangan destruktif segera. Mereka memperkirakan membutuhkan waktu hampir satu tahun bagi adversen untuk memperluas akses dari jaringan target ke workstation engineering SIS, sambil menyemburkan jejak mereka dengan cerdas—mengganti nama file berbahaya agar mirip berkas pembaruan Microsoft. Tim juga menelusuri aktivitas aktor setidaknya sejak 2014.
Sheehy mendorong pendekatan holistik: “Desainer harus menerapkan kontrol keselamatan ortogonal—seperti klep penurunan tekanan mekanis atau governor—yang tidak memiliki ketersalahan dengan sistem kontrol dan oleh karena itu tidak dapat terpengaruh olehnya. Implementasi OT harus mengelola konsekuensi serangan siber melalui perlindungan bertingkat dan kontrol teknik non-keamanan siber, dengan fokus pada ketahanan operasional.”
“Kita perlu mengeras dan menyematkan keamanan ke dalam sistem kontrol industri ini dari awal,” kata Miller. “Sampai kita melakukannya, kita akan terus meninggalkan diri kita sebagai mangsa mudah untuk serangan infrastruktur kritis di masa depan.”
Munculnya Trisis menekankan kebutuhan mendesak akan strategi keamanan siber-fisik terintegrasi yang melindungi aset digital dan proses fisik yang diatur olehnya.
