第2施設でTrisisマルウェア検出、サイバー・フィジカルセキュリティ懸念が増幅

DragosとFireEyeのサイバーセキュリティ研究者たちがTritonマルウェア——後にTrisisと命名——を最初に暴露したとき、産業安全システムを危険にさらすよう特別に設計されたコードの初発見となりました。

初期報道は曖昧でしたが、証拠は国家支援アクターによる攻撃を指し示し、最初に中東の施設を標的とし、石油・ガスプラントで壊滅的緊急事態を引き起こす恐れがありました。

「Trisisがヒットする1週間ほど前、私は中東にいた」とPAS GlobalのCISO、ジェイソン・ヘイワード・グロウ氏が回想。地元石油会社のセキュリティディレクターとの会話を語り、同社のエアギャップネットワーク、データダイオード、安全計装システム（SIS）があれば心配ないと保証されたといいます。

攻撃直後、ヘイワード・グロウ氏は同僚に電話し、「あの3つの保護層がすべて揃っていないかもしれないと、少し不安になってきた」と伝えました。

数か月間、Trisisの詳細は乏しいままでした。2024年4月10日、FireEyeが別の重要インフラ施設での追加攻撃を発見したと確認、マルウェアの持続性と洗練度をさらに裏付け。昨年、FireEyeはロシア系アクターとの関連も指摘。

「ほとんどのオーナー/オペレーターにとって、ロシアが背後にいるかハクティビストグループかは問題ではない」とMocanaの国家安全保障・重要インフラプログラムディレクター、エミリー・S・ミラー氏。「重要なのは危害を与えられるかだ。重要インフラでは、それは生命の喪失を意味する」。

FireEye分析では、Tritonがコモディティとカスタム侵入ツールのミックスを活用。例：SecHackでクレデンシャル収集、Cryptcat、Bitvise、OpenSSH、PLINKでバックドア確立、既存防御をバイパス。

SISへの成功攻撃は深刻な結果を招きます。「悪意あるアクターが安全システム設定を操作し、安全クリティカルプロセスを停止させられる」とPAS Global CEOエディ・ハビビ氏説明。「真の危険は、攻撃者が同施設内の他産業制御システムへ浸透し、プロセスを安全限界を超えて押し上げ、災害の舞台を整えるときだ」。

マルウェア初出現施設では、Tritonがバーナー管理システムに干渉し、硫化水素ガス放出を誘発する可能性がありました。

Trisisは模倣攻撃のスペクターも提起。「同様の攻撃の触媒化を目撃していると思う」とミラー氏。マルウェアは石油・ガス施設だけでなく、ビルオートメーション含むあらゆる重要インフラへのブループリントを提供——Black Energy攻撃がウクライナ電力網の一部を麻痺させた影響を反映。

IOActive戦略サービスVPジョン・シーヒー氏は、今日の運用技術では、未緩和のサイバーセキュリティ欠陥は本質的に未緩和の安全欠陥だと強調。Schneider Electricが以来教育キャンペーンを展開、Trisisを業界への行動喚起に転換。

FireEye研究者たちは、国家がTrisisのようなマルウェアを即時破壊攻撃ではなく長期足場構築に使っている可能性を指摘。ターゲットネットワークからSISエンジニアリングワークステーションへアクセス拡大にほぼ1年費やし、巧妙に痕跡隠蔽——悪意あるバイナリをMicrosoftアップデートファイルに偽装。活動を少なくとも2014年まで遡及追跡。

シーヒー氏はホリスティックアプローチを促す：「設計者は、制御システムとゼロ偶然性を持つ直交安全制御——機械式圧力逃し弁やガバナー等——を採用すべき。OT実装はレイヤード保護と非サイバーセキュリティ工学制御でサイバー攻撃の帰結を管理し、運用レジリエンスに焦点を当てるべき」。

「産業制御システムへのセキュリティ組み込みと強化を最初から行う必要がある」とミラー氏。「それができるまで、将来の重要インフラ攻撃に対して我々は座して死を待つ鴨のままだ」。

Trisisの出現は、デジタル資産とそれらが制御する物理プロセスの両方を守る統合サイバー・フィジカルセキュリティ戦略の緊急性を浮き彫りにしています。