TRITON / TRISIS.

Malware découvert en 2017 ciblant les SIS Triconex de Schneider dans une usine pétrochimique saoudienne, attribué à un acteur lié à la Russie. Cette notion relève de la catégorie OT / ICS / IoT en cybersécurité.

Malware découvert en 2017 ciblant les SIS Triconex de Schneider dans une usine pétrochimique saoudienne, attribué à un acteur lié à la Russie.

TRITON (également appelé TRISIS ou HatMan) est le premier malware connu spécifiquement conçu pour attaquer un système instrumenté de sécurité (SIS). En 2017, il a été découvert sur des postes d'ingénierie d'une usine pétrochimique saoudienne, où il dialoguait avec des contrôleurs Triconex de Schneider Electric via le protocole propriétaire TriStation. Les attaquants ont téléversé une charge utile personnalisée (« inject.bin ») dans le firmware du SIS afin de reprogrammer la logique de sûreté ou de provoquer un état dangereux ; une incohérence logique a déclenché l'arrêt de sécurité de l'usine, dévoilant la campagne. Les autorités américaines ont publiquement attribué TRITON à l'institut russe TsNIIKhM. L'incident a poussé l'industrie à renforcer la séparation SIS/BPCS et à déployer des IDS dédiés au SIS.

Les défenses contre TRITON / TRISIS combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : TRITON, TRISIS, HatMan.