TRITON/TRIISIS (Malware ICS)

Définition

TRITON, également connu sous le nom TRISIS ou HatMan, est un malware conçu spécifiquement pour cibler les systèmes instrumentés de sécurité (SIS) Triconex de Schneider Electric, utilisés dans les installations industrielles critiques comme les raffineries pétrochimiques pour prévenir les accidents catastrophiques. Découvert en 2017 après avoir provoqué l'arrêt d'urgence d'une installation en Arabie saoudite, il a été le premier malware documenté conçu explicitement pour manipuler des équipements de sécurité physique, avec un objectif de sabotage capable de désactiver les protections censées empêcher explosions et fuites toxiques. TRITON reprogrammait les contrôleurs Triconex via le protocole propriétaire TriStation, exploitant une vulnérabilité zero-day pour injecter du code malveillant dans la mémoire des automates tout en masquant sa présence à la console d'ingénierie. Son attribution a été portée sur le Central Scientific Research Institute of Chemistry and Mechanics (CNIIHM), un institut de recherche russe. L'incident a marqué un tournant dans la perception du risque cyber-physique en environnement OT, démontrant qu'une attaque informatique pouvait viser directement des vies humaines et non uniquement la disponibilité ou la confidentialité des données. Il reste une référence majeure dans les formations et frameworks de sécurité industrielle, notamment MITRE ATT&CK for ICS, et illustre la nécessité de segmenter strictement les réseaux SIS des réseaux de contrôle.