Malware ZionSiphon

Analytici kybernetické bezpečnosti identifikovali nově vznikající kmen malwaru ZionSiphon, který byl navržen s jasným zaměřením na izraelská zařízení na úpravu a odsolování vody. Tento vývoj signalizuje znepokojivou eskalaci kybernetických operací zaměřených na kritickou infrastrukturu, zejména v prostředí průmyslových provozních technologií (OT).

Počátky a kontext: Vznik po konfliktu

Malware ZionSiphon byl poprvé pozorován ve volné přírodě 29. června 2025, krátce po dvanáctidenní válce mezi Íránem a Izraelem (13.–24. června 2025). Jeho načasování naznačuje potenciální geopolitické motivy a odpovídá širšímu vzorci kybernetické aktivity po regionálních konfliktech.

Přestože se malware nachází v nedokončené nebo vývojové fázi, již vykazuje kombinaci pokročilých funkcí. Patří mezi ně eskalace oprávnění, mechanismy perzistence, šíření přes USB a cílené skenování průmyslových řídicích systémů (ICS). Obsahuje také sabotážní funkce zaměřené na manipulaci s hladinou chloru a regulací tlaku, což jsou klíčové parametry v procesech úpravy vody.

Přesné cílení: Geografické a environmentální filtry

ZionSiphon využívá mechanismus aktivace s dvojí podmínkou, který zajišťuje spuštění pouze za velmi specifických okolností. Malware aktivuje svůj náklad pouze tehdy, když jsou splněny obě následující podmínky:

Infikovaný systém se nachází v předdefinovaných izraelských rozsazích IPv4 adres.
Prostředí odpovídá charakteristikám spojeným se systémy úpravy vody nebo odsolování.

Cílové rozsahy IP adres zahrnují:

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

Vložené řetězce v malwaru navíc odkazují na izraelskou infrastrukturu, což posiluje jeho úzce definovaný cílový rozsah. Politické sdělení v kódu vyjadřují podporu Íránu, Palestině a Jemenu, což dále podtrhuje ideologické podtóny kampaně.

Provozní schopnosti: Manipulace s ICS a síťový průzkum

Jakmile je ZionSiphon spuštěn za platných podmínek, zahájí průzkum a interakci se zařízeními v lokální podsíti. Pokouší se o komunikaci pomocí několika průmyslových protokolů běžně používaných v prostředích OT:

• Modbus
• DNP3
• S7comm

Z nich se zdá, že funkce související s Modbusem jsou nejvyspělejší, zatímco podpora pro DNP3 a S7comm je stále implementována částečně. To naznačuje probíhající vývoj a testování.

Malware také pozměňuje lokální konfigurační soubory, konkrétně se zaměřuje na parametry, které regulují dávkování chloru a tlak v systému. Taková manipulace by mohla narušit procesy úpravy vody a představovat potenciální riziko pro integritu infrastruktury i veřejnou bezpečnost.

Mechanismy šíření a autodestrukce

Pozoruhodnou vlastností ZionSiphonu je jeho schopnost šíření prostřednictvím vyměnitelných médií, což umožňuje laterální pohyb v prostředích, která mohou být izolována od externích sítí. Tato technika odráží taktiky používané v dřívějších útocích zaměřených na ICS.

Pokud však malware zjistí, že hostitelský systém nesplňuje jeho kritéria pro cílení, spustí rutinu samomazání. Toto chování minimalizuje riziko detekce a omezuje vystavení mimo zamýšlené cíle.

Rozvojové mezery a strategické důsledky

Navzdory pokročilému designu vykazuje současný vzorek kritická omezení. Konkrétně nedokáže správně ověřit vlastní podmínky geografického cílení, a to ani při provozu v rámci definovaných rozsahů IP adres. Tato nekonzistence naznačuje jednu z několika možností: úmyslnou deaktivaci, chyby v konfiguraci nebo nedokončenou fázi vývoje.

Architektonický návrh ZionSiphonu nicméně odráží širší trend. Aktéři útoků stále častěji experimentují s manipulací s multiprotokolovými ICS, perzistentním přístupem v prostředí OT a metodami šíření uzpůsobenými pro systémy s vzdušnou mezerou. Tyto vlastnosti se velmi podobají taktikám pozorovaným v předchozích státních kybernetických kampaních zaměřených na průmyslovou infrastrukturu.

Závěr: Varovný signál pro bezpečnost kritické infrastruktury

ZionSiphon představuje více než jen jeden případ malwaru, zdůrazňuje vyvíjející se prostředí hrozeb, kterým čelí kritická infrastruktura po celém světě. I ve své neúplné podobě demonstruje záměrné úsilí o propojení geopolitických záměrů s technickou sofistikovaností, což posiluje naléhavou potřebu posílených bezpečnostních kontrol v průmyslových prostředích.