7.3 TRITON / TRISIS（“海渊”）——针对安全仪表系统的攻击

信源等级：L1/L2 权威机构（CISA/NCCIC MAR-17-352-01、安天、绿盟） ｜ 最后核验：2026-09-17

一、事件档案

项目	内容
发现	2017-11 中旬（Dragos 首先发现）；2017-12-18 CISA/ICS-CERT 发布 MAR-17-352-01
别名	TRITON / TRISIS / HatMan（CISA 官方名）/ 海渊（安天命名）
目标	中东某石油天然气厂（沙特阿拉伯目标，普遍报道口径）
攻击对象	施耐德电气 Triconex（Tricon）安全仪表系统（SIS）安全控制器
影响	未造成人员财产重大损失（攻击者准备不充分引致 SIS 进入安全失效状态，被运维发现）
归因	与国家级攻击背景一致（具体组织未官方确认；后续研究关联 CN（SilverTerrier 未证实），公开归属未定）
意义	已知首例直接针对 SIS 安全仪表系统的恶意软件——超越震网与 CrashOverride，因为其能力直指”能够直接交互、远程控制、危害安全系统”

二、背景：什么是安全仪表系统（SIS）？

• SIS（Safety Instrumented System）又称安全联锁系统：为工厂提供紧急停产（安全关停）功能的专用控制系统；
• 与 DCS/PLC 不同，SIS 强调可靠性与可预测失效：冗余处理器、看门狗自诊断、稳健的输入输出失效检测；
• 传感器 + 逻辑运算器（Tricon 安全控制器）+ 最终执行元件；
• 删除/篡改 SIS 逻辑 = 剥夺工厂最后一道物理安全防线（火灾、超压、毒气泄漏时的安全停车能力）。

三、技术架构（CISA/安天/绿盟三方一致性分析）

1. 组成（双段式）

PC 端组件（Windows / Python，Py2EXE 编译）
├── trilog.exe（主程序，伪装成 Tricon 日志软件）
│   ├── TsHi.py / TsBase.py / TsLow.py / TS_cnames.py（TriStation 协议精简实现）
│   └── Script_test.py（攻击编排脚本）
└── 控制器端组件（PowerPC 字节码）
    ├── PresentStatus（探针：探测可入侵性）
    ├── inject.bin（注入器：将 payload 注入运行中固件）
    └── imain.bin（核心载荷 RAT：读写内存、任意代码执行）

2. 通信协议

• TriStation（TS）协议：TriStation TS1131 编程软件与 Tricon 通信的协议；UDP 1502 端口；
• 协议无认证、无加密（仅可配 IP ACL）——攻击者逆向实现精简通信栈；
• 协议闭源 → 恶意代码开发者深度逆向（高技术水平证据）；
• 自动发现：向 1502 端口发送 UDP 广播 ping 自动发现 Tricon 控制器。

3. 攻击流程（LOB 攻击）

1. 社工/供应链进入 SIS 网络（伪装为 SIS 日志软件传播）
2. trilog.exe 通过 TSAA 协议连接 TCM（Tricon 通信模块），广播发现控制器
3. 上传 PresetStatus 探针程序 → 判断是否可入侵（无认证限制）
4. 上传 inject.bin + imain.bin 组合载荷（SafeAppendProgramMod 函数下装）
5. inject.bin 利用系统调用漏洞（MP3008 固件 10.0~10.4 非安全系统调用 → 任意 2 字节写原语 → 获 supervisor 权限）
6. 将 imain.bin 写入内存固件区域、使能、恢复权限
7. 上传傀儡程序覆盖载荷痕迹（Cleanup）
8. 攻击者通过远程协议控制 imain.bin：读/写内存 + 任意代码执行 + 修改 SIS 梯形图逻辑

4. 漏洞本质

• Tricon MP3008 固件 10.0~10.4 中不安全编写的系统调用：将 MSR（含用户/管理员标志）存入可预测地址，可被利用获取任意 2 字节写原语 → 提权；
• 固件 PROM 中持久副本不可变 → payload 仅驻留内存（重启可能丢失，但攻击者可周期性重注入）。

四、攻击意图与止损

• Dragos/FireEye/CISA 共识：攻击者更可能是多重攻击中的一环——同时瘫痪过程控制系统（DCS）与安全系统（SIS）才能造成物理伤害；
• 本案实际进程：SIS 冗余控制器程序代码未通过验证检查 → SIS 自动安全关停（fail-safe） → 工厂停产 → 暴露攻击并止损——安全仪表系统的”可预测失效”设计在此事件中成为防护最后防线；
• 攻击者在 2017-11 期间多次尝试上传功能控制逻辑（试探攻击脚本限制），显示其长期目标是对工厂的持续控制。

五、防御要点（对资产所有者的启示）

维度	防护措施
网络隔离	SIS 网络与 DCS/信息网物理隔离；可编程 SIS 工程师站独立网段
供应链	严格采购/升级管控（TRITON 伪装为日志软件传播 → 防恶意软件准入）
监测	协议白名单监测审计（TriStation 1502 端口流量基线）、异常 UDP 广播发现告警
纵深	被动网络扫描检测工具已具备识别 HatMan 流量特征的能力（早期预警）
补丁	跟进施耐德安全通告、升级 MP3008 固件（≥10.5）
人员	SIS 工程师站防外部介质接入、远程访问准入控制

六、来源引用

1. CISA/NCCIC：MAR-17-352-01 HatMan – Safety System Targeted Malware（2017-12-18 原版 / 2018-04 Update A / 后续 Update B）
2. 安天：工控系统恶意软件 TRISIS 技术分析报告（2018-09-11，“海渊”）
3. 绿盟科技：新型 ICS 攻击框架 TRITON 技术分析与防护方案（2017-12-29）
4. Dragos：TRISIS 事件分析（2017-12）