ICS uchun Triton zararli dasturi haqida tafsilotlar ma’lum qilindi

Hujumchilar ushbu dasturni yaratishda Tristation muhandislik dasturiy ta’minot to‘plamiga kiruvchi rasmiy kutubxonalardan foydalanganlar.

FireEye kompaniyasi xavfsizlik bo‘yicha tadqiqotchilari sanoat boshqaruv tizimlari (ICS) uchun mo‘ljallangan Triton zararli dasturi mualliflari uni yaratishda Tristation muhandislik dasturiy ta’minotining rasmiy kutubxonalaridan foydalanganliklarini aniqladilar. Trisis va HatMan nomlari bilan ham ma’lum bo‘lgan Triton dasturi 2017-yilning avgust oyida, Eron hukumati bilan aloqadorlikda gumon qilingan xakerlik guruhi uni Yaqin Sharqdagi bir qator tashkilotlarning muhim infratuzilmasiga hujum qilishda qo‘llaganidan so‘ng aniqlangan. Ushbu zararli dastur xususiy TriStation tarmoq protokolidan foydalanadigan Schneider Electric kompaniyasining xavfsizlikni ta’minlovchi tizim (SIS) kontrollerlariga qarshi qaratilgan.

TriStation protokoli shaxsiy kompyuterlar (masalan, muhandislik ish stansiyalari) va Triconex kontrollerlari o‘rtasidagi aloqa uchun mo‘ljallangan. Ochiq manbalarda tegishli hujjatlarning mavjud emasligi sababli, ushbu protokolning ishlash tamoyillarini tushunish qiyin bo‘lishi mumkin. Ma’lumki, Schneider kompaniyasi uni TriStation 1131 dasturiy ta’minot to‘plami orqali joriy etgan.

FireEye kompaniyasining ilg‘or amaliyotlar bo‘yicha guruhi zararli dastur qachon va qanday yaratilganini aniqlash maqsadida uni batafsil tahlil qildi. Hujumchilar ushbu zararli dasturni sinovdan o‘tkazishda foydalanilgan apparat va dasturiy ta’minotni aynan qanday yo‘l bilan qo‘lga kiritgani noma’lumligicha qolmoqda. Tadqiqotchilarning fikricha, zararli dastur mualliflari TriStation aloqa komponentini noldan yaratmagan, balki qonuniy kutubxonalardan kodni ko‘chirib olganlar.

Xususan, tadqiqotchilar zararli dastur tarkibidagi kod hamda TriStation dasturining `tr1com40.dll` faylidagi kod o‘rtasida sezilarli o‘xshashlikni aniqladilar. Aniqroq aytganda, zararli dastur tarkibidagi `TS_cnames.pyc` fayli va `Tridcom.dll` kutubxonasi o‘rtasida kodning jami 268 qatoridan 151 tasi o‘zaro mos keladi.

«Triconex tizimlariga qilingan hujumlarni kuzatish ICS kontrollerlari va tegishli texnologiyalarga qarshi qaratilgan TRITON kabi boshqa zararli dasturiy majmualarning rivojlanish jarayoniga oydinlik kiritishga yordam berishi mumkin», — deya xulosa qildi ekspertlar.

Avval xabar qilinganidek, 2016-yil dekabr oyida Ukrainaning elektr tarmoqlariga qilingan hujumlar ortida turganlikda gumon qilinayotgan Electrum xakerlik guruhi o‘z nishoniga boshqa mamlakatlarni ham olgan.