Ataque malware desliga máquinas de uma indústria, alerta FireEye

O malware TRITON, também conhecido como Trisis, foi identificado ao comprometer sistemas de controle industrial (ICS, na sigla em inglês).

A descoberta foi realizada por especialistas da FireEye, após o registro de um ataque no qual o vírus desligou as máquinas de uma indústria. Mas, no caso, o sistema de segurança alertou os operadores de que havia uma falha, o que refletiu no insucesso da ação.

Por não haver uma clara definição para qual tipo de instalação industrial ou até mesmo em qual país surgiu o sofisticado malware, a equipe de práticas avançadas da Mandiant, consultoria em inteligência do grupo FireEye, propôs-se a realizar uma profunda investigação nas metodologias utilizadas após responder ao ataque.

Durante este período, a empresa descobriu que os equipamentos afetados são costumeiramente usados ​​em instalações de petróleo e gás, assim como nas de energia nuclear ou em fábricas. Em linhas gerais, o TRITON foi projetado para alterar ou até mesmo desativar os produtos Triconex, conhecido como sistemas de segurança (SIS, em tradução livre), da mesma forma com os sistemas de controle distribuídos, os quais são comandados por operadores, responsáveis pelo monitoramento dos processos.

Por meio do trabalho de investigação dos pesquisadores da Mandiant, classificou-se como principal motivação o dano físico devido ao direcionamento de segurança da Triconex Controladores do sistema (SIS).

Descobriu-se ainda que o processo de desenvolvimento foi mais fácil do que se pensava no início da análise. Em vista disso, espera-se que outros agentes de ameaças adotem abordagens semelhantes no desenvolvimento de ferramentas para explorar os sistemas ICS. Principalmente quando os invasores migram do espaço da TI para o OT (tecnologia operacional, em tradução livre).

A recomendação é, além de seguir monitorando o comportamento e ações destes grupos, realizar discussões públicas acerca das tecnologias de ICS e integrar os fabricantes com as empresas, para que compartilhem boas práticas e evitem as intrusões em seus ambientes, afetando as tecnologias dominantes de segurança industrial.