Een laboratorium van de Russische overheid is verantwoordelijk voor de ontwikkeling van industriële malware die tegen een Petrochemische fabriek in Saudi-Arabië is ingezet, zo claimt het Amerikaanse securitybedrijf FireEye in een analyse. Het gaat om de Triton-malware die eind 2017 werd onthuld.

Vorig jaar wisten aanvallers via de Triton-malware toegang te krijgen tot een Triconex Safety Instrumented System (SIS) werkstation van de fabriek. SIS-systemen controleren de veiligheid van allerlei processen in een fabriek. Nadat de aanvallers toegang tot het systeem hadden gekregen besloten ze om de SIS-controllers te herprogrammeren. Daardoor raakten twee controllers in een zogeheten "failed safe" staat en werden de industriële processen automatisch uitgeschakeld.

Het werkelijke doel van de aanvallers was om een explosie te veroorzaken, zo lieten onderzoekers die de aanval onderzochten eerder dit jaar weten. FireEye zegt dat het sporen heeft gevonden die erop wijzen dat de malware is ontwikkeld door het Russische Central Scientific Research Institute of Chemistry and Mechanics (CNIIHM). Dit is een onderzoeksinstituut van de Russische overheid dat zich in Moskou bevindt.

Eén van de aanwijzingen voor betrokkenheid van het CNIIHM is de ontdekking van een omgeving die werd gebruikt om de malware te testen. Vier bestanden waarvan de malware gebruikmaakte werden in 2014 getest en aangepast om de detectie door anti-virussoftware te voorkomen. De laatste versies werden in 2017 getest en een week later bij de aanval tegen de fabriek ingezet. Verder werd in de malware een naam gevonden die naar een onderzoeker wees die ook hoogleraar bij het CNIIHM was.

Ook werd er een ip-adres van het CNIIHM gevonden dat bij de malware betrokken was, alsmede het verkennen van potentiële doelwitten. FireEye stelt dat via dit ip-adres ook berichtgeving over de Triton-malware werd gevolgd. Een ander spoor dat het securitybedrijf noemt is de tijdszone van de aanvallers. Het gaat dan bijvoorbeeld om de creatie van de malware en de tijden dat de aanvallers in het netwerk van hun doelwit actief waren. Deze tijden komen volgens FireEye overeen met het werkschema van iemand die zich in de tijdszone van Moskou bevindt.

FireEye geeft verder nog een andere verklaring voor de link tussen de Triton-malware en het Russische lab, namelijk dat medewerkers die zelf hebben ontwikkeld zonder dat hun werkgever hiervoor toestemming had gegeven. Dit scenario is volgens FireEye echter zeer onwaarschijnlijk. In juni publiceerde de Duitse overheid nog Snort-regels om fabrieken tegen de Triton-malware te beschermen.