두 번째 산업 시설에서 트리시스 멀웨어 탐지, 사이버-물리 보안 우려 증폭

사이버보안 연구원들이 드라고스와 파이어아이에서 트리톤 멀웨어(나중에 트리시스로 불림)를 처음 폭로했을 때, 그것은 산업 안전 시스템을 구체적으로 위험에 빠뜨리도록 설계된 코드의 첫 발견이었습니다.

초기 보고는 모호했지만, 증거는 국가 지원 행위자가 배후에 있음을 가리키며, 중동의 시설을 처음 표적으로 삼아 오일-가스 플랜트에서 치명적인 비상사태를 유발할 위험이 있었습니다.

"트리시스가 발생하기 약 일주일 전 중동에 있었습니다."라고 PAS 글로벌 CISO 제이슨 하워드-그라우는 회상했습니다. 그는 지역 오일 회사 보안 디렉터와의 대화를 설명했습니다. 그 디렉터는 회사의 에어 갭 네트워크, 데이터 다이오드, 안전 계장 시스템(SIS)이 걱정할 것이 없다고 확신시켰습니다.

공격 직후 하워드-그라우는 동료에게 전화해 "우리가 세 가지 보호 레이어를 모두 갖추지 못했을지 모른다는 생각에 조금 긴장됩니다."라고 말했습니다.

수개월간 트리시스에 대한 세부사항은 드물었습니다. 2024년 4월 10일, 파이어아이는 별도의 핵심 인프라 시설에서 추가 공격을 발견했다고 확인하며 멀웨어의 지속성과 정교함을 추가로 확인했습니다. 작년 파이어아이는 공격을 러시아 행위자와 연결하기도 했습니다.

"대부분의 소유자와 운영자에게 러시아가 배후인지 해킹 활동가 그룹인지는 중요하지 않습니다."라고 모카나의 국가 안보 및 핵심 인프라 프로그램 디렉터 에밀리 S. 밀러는 말했습니다. "중요한 것은 그들이 해를 끼칠 수 있는지입니다. 핵심 인프라에서 그것은 생명의 상실을 의미합니다."

파이어아이 분석에 따르면 트리톤은 상품화된 및 맞춤형 침투 도구를 혼합하여 활용했습니다. 예를 들어 섹핵이 자격 증명 수집에 사용되었고, 크립캣, 비트바이즈, 오픈SSH, 플링크가 기존 방어를 우회하여 공격자가 백도어를 구축하도록 했습니다.

SIS에 대한 성공적인 공격은 심각한 결과를 초래할 수 있습니다. "나쁜 행위자는 안전 시스템의 구성을 조작하여 안전 크리티컬 프로세스를 중단시킬 수 있습니다."라고 PAS 글로벌 CEO 에디 하비비는 설명했습니다. "진짜 위험은 공격자가 같은 시설의 다른 산업 제어 시스템에 침투하여 프로세스를 안전한 한계를 넘어 밀어붙임으로써 재난의 무대를 마련할 때입니다."

멀웨어가 처음 나타난 시설에서 트리시스는 버너 관리 시스템에 간섭하여 황화수소 가스 방출을 잠재적으로 유발할 수 있었습니다.

트리시스는 모방 공격의 그림자도 드리웁니다. "우리는 유사한 공격의 촉매화를 보았다고 생각합니다."라고 밀러는 지적했습니다. 이 멀웨어는 오일-가스 시설뿐만 아니라 빌딩 자동화를 포함한 모든 핵심 인프라에 대한 청사진을 제공합니다. 우크라이나 전력망을 마비시킨 블랙에너지 공격의 영향을 반영합니다.

IO액티브의 전략 서비스 부사장 존 시히는 오늘날의 운영 기술로 볼 때, 완화되지 않은 사이버보안 결함은 본질적으로 완화되지 않은 안전 결함이라고 강조했습니다. 슈나이더 일렉트릭은 이후 교육 캠페인을 시작하여 트리시스를 업계의 행동 촉구로 전환했습니다.

파이어아이 연구자들은 국가들이 트리시스 같은 멀웨어를 즉각적인 파괴적 공격보다는 장기적 거점 구축에 사용할 수 있다고 믿습니다. 그들은 적이 대상 네트워크에서 SIS 엔지니어링 워크스테이션으로 접근을 확장하는 데 거의 1년이 걸렸으며, 악성 바이너리 이름을 마이크로소프트 업데이트 파일처럼 보이게 바꾸며 교묘히 흔적을 숨겼다고 추정합니다. 팀은 또한 행위자 활동을 최소 2014년까지 거슬러 올라갔습니다.

시히는 전체적인 접근을 촉구했습니다. "설계자는 제어 시스템과 우연의 일치가 제로인 기계식 압력 릴리프 밸브나 거버너 같은 직교적 안전 제어를 사용해야 합니다. 따라서 제어 시스템의 영향을 받을 수 없습니다. OT 구현은 계층적 보호와 비-사이버보안 공학적 통제를 통해 사이버 공격의 결과를 관리하고, 운영 복원력에 초점을 맞춰야 합니다."

"우리는 이러한 산업 제어 시스템에 보안을 처음부터 강화하고 내장해야 합니다."라고 밀러는 말했습니다. "우리가 그렇게 하기 전까지 우리는 미래의 핵심 인프라 공격에 대해 앉은뱅이 오리 신세로 남을 것입니다."

트리시스의 등장은 디지털 자산과 그들이 지배하는 물리적 프로세스를 모두 보호하는 통합된 사이버-물리 보안 전략의 긴급한 필요성을 강조합니다.