FireEye verfolgt Angriffe mit Triton-Malware nach Russland zurück

FireEye hat mit „großer Zuversicht“ die Hintermänner einer erstmals im Dezember 2017 entdeckten Malware namens Triton entdeckt. Analysen weiterer Angriffe mit der auf Industriekontrollsysteme spezialisierten Schadsoftware sollen den Sicherheitsanbieter zu einer Forschungseinrichtung in Moskau geführt haben, das der russischen Regierung gehört.

Allerdings räumt FireEye ein, dass es sich nur um eine indirekte Verbindung zum Central Scientific Research Institute of Chemistry and Mechanics (CNIIHM) handelt. Die Täterschaft wollen die Sicherheitsforscher über eine sekundäre Malware nachgewiesen haben, die von einer Temp.Veles genannten Gruppe neben Triton eingesetzt wurde.

Unter anderem fand FireEye im Code der sekundären Malware eine Pfadangabe mit einem eindeutigen Alias oder Nutzernamen, der wiederum einem Moskauer Experten für IT-Sicherheit gehören soll, der früher zum CNIIHM gehörte. Zudem wurde bei Scan- und Monitoring-Aktivitäten von Temp.Veles eine IP-Adresse verwendet, die auf das Forschungsinstitut registriert ist. In zu Triton gehörenden Dateien fanden die Forscher zudem kyrillische Namen. Außerdem sollen die Zeitstempel der Malware-Dateien den üblichen Arbeitszeiten in der Moskauer Zeitzone entsprechen.

FireEye schließt jedoch nicht aus, dass diese Spuren bewusst von einem oder mehreren Mitarbeitern des CNIIHM gelegt wurden, um eine Verbindung zwischen Temp.Veles und dem Forschungsinstitut herzustellen, und zwar ohne Genehmigung ihres Arbeitgebers. „Allerdings ist dieses Szenario sehr unwahrscheinlich“, kommentiert FireEye.

Das US-Unternehmen unterstellt aufgrund öffentlich zugänglicher Informationen zudem, dass das CNIIHM über die für derartige Angriffe benötigten Werkzeuge verfügt. Zudem soll das Institut Verbindungen zum russischen Militär und zu Betreibern kritischer Infrastrukturen haben.

Die Triton-Malware nimmt Triconex Safety Instrument System von Schneider Electric ins Visier. Ihre eigentliche Aufgabe ist es, die betroffenen Anlagen herunterzufahren oder Sicherheitsmechanismen zu deaktivieren, damit die Anlage in einem unsicheren Zustand betrieben wird. Bei einem Angriff auf eine Raffinerie des Saudi-Arabischen Unternehmens Tasnee soll es nach einer Attacke mit Triton fast zu einer Explosion gekommen sein, wie die New York Times berichtete.