XENOTIME APT OT

Définition

XENOTIME est un groupe APT (Advanced Persistent Threat) suivi par la société de cybersécurité OT Dragos, tristement célèbre pour être responsable de l'attaque TRITON/TRISIS en 2017 ciblant des systèmes de sécurité instrumentée (SIS/ESD) dans une installation pétrochimique du Moyen-Orient. XENOTIME représente le groupe APT le plus dangereux jamais documenté dans le domaine OT, car son objectif déclaré était de provoquer une catastrophe industrielle physique en neutralisant les systèmes de sécurité. XENOTIME opère depuis au moins 2014 et a démontré des capacités techniques exceptionnelles : développement d'un framework d'attaque spécifique (TRITON) capable d'interagir avec le protocole propriétaire TriStation des contrôleurs de sécurité Triconex de Schneider Electric, implantation discrète dans des réseaux OT pendant des mois voire des années avant d'agir, et capacité à naviguer dans des environnements SCADA complexes. L'attribution de XENOTIME a été un sujet de débat. Des analyses techniques ont pointé vers la Russie initialement, mais des recherches approfondies par Dragos, FireEye et d'autres ont conduit à une attribution à l'Iran, avec une implication possible du NCSD (National Cyber Security Division) iranien. L'objectif présumé était de créer une capacité de sabotage d'installations industrielles du Moyen-Orient, ciblant initialement l'Arabie Saoudite. En 2019, Dragos a rapporté que XENOTIME avait étendu ses activités de reconnaissance au-delà des installations pétrochimiques pour cibler des réseaux électriques américains et d'autres secteurs de l'énergie dans la région Asie-Pacifique, démontrant une ambition géographique et sectorielle croissante.

Fonctionnement de XENOTIME et TRITON

XENOTIME a utilisé un accès initial classique (probablement spear phishing ou exploitation de services exposés) pour s'établir dans le réseau IT de la cible. Depuis là, il a pivoté vers le réseau OT via des connexions légitimes, compromis la Engineering Workstation (EWS) utilisée pour programmer les Safety PLC Triconex, et déployé TRITON : un framework Python compilé en exécutable Windows capable de communiquer via le protocole TriStation sur UDP 1502. TRITON pouvait lire, modifier et écrire les Safety Function Codes (SFC) des contrôleurs Triconex, permettant la reprogrammation ou la désactivation des fonctions de sécurité.

Contexte OT/ICS et escalade des menaces

L'attaque TRITON marque une évolution qualitative majeure dans les menaces OT : c'est la première attaque documentée ciblant spécifiquement les systèmes de sécurité industrielle (SIS), dont le rôle est précisément de prévenir les accidents industriels. Les précédentes attaques OT (Stuxnet, Industroyer) ciblaient les systèmes de contrôle de processus. En ciblant le SIS, XENOTIME visait à supprimer la dernière couche de protection avant une catastrophe physique, potentiellement une explosion ou un incendie dans la raffinerie. Un bug dans TRITON a involontairement déclenché un arrêt d'urgence, révélant l'intrusion.

Sécurité et mitigation

Contre-mesures spécifiques XENOTIME/TRITON : isoler physiquement et logiquement les Safety PLC de tous les autres réseaux (y compris le BPCS), désactiver les interfaces réseau des Safety PLC quand non utilisées (certains Triconex Tricon avaient des modules réseau non nécessaires activés), surveiller toute tentative de connexion UDP/1502 vers les Safety PLC, auditer régulièrement les Safety PLC pour détecter des modifications non autorisées des SFC, et implémenter l'authentification pour l'outil de programmation TriStation.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis