Zlonamjerni softver ZionSiphon
Analitičari kibernetičke sigurnosti identificirali su novonastali soj zlonamjernog softvera, ZionSiphon, dizajniran s jasnim fokusom na izraelske pogone za pročišćavanje i desalinizaciju vode. Ovaj razvoj događaja signalizira zabrinjavajuću eskalaciju kibernetičkih operacija usmjerenih na kritičnu infrastrukturu, posebno unutar okruženja industrijske operativne tehnologije (OT).
Sadržaj
Podrijetlo i kontekst: Pojava nakon sukoba
Zlonamjerni softver ZionSiphon prvi je put uočen u divljini 29. lipnja 2025., nedugo nakon Dvanaestodnevnog rata između Irana i Izraela (13. – 24. lipnja 2025.). Njegovo vrijeme pojave sugerira potencijalne geopolitičke motivacije, što se poklapa sa širim obrascem kibernetičke aktivnosti nakon regionalnih sukoba.
Iako se nalazi u onome što se čini kao nepotpuna ili razvojna faza, zlonamjerni softver već pokazuje kombinaciju naprednih mogućnosti. To uključuje eskalaciju privilegija, mehanizme perzistencije, propagaciju temeljenu na USB-u i ciljano skeniranje industrijskih upravljačkih sustava (ICS). Značajno je da također sadrži funkcionalnosti usmjerene na sabotažu usmjerene na manipuliranje razinama klora i kontrolama tlaka, ključnim parametrima u procesima obrade vode.
Precizno ciljanje: Geografski i okolišni filtri
ZionSiphon koristi mehanizam aktivacije s dva uvjeta, osiguravajući izvršavanje samo u vrlo specifičnim okolnostima. Zlonamjerni softver aktivira svoj teret samo kada su ispunjena oba sljedeća uvjeta:
Zaraženi sustav se nalazi unutar unaprijed definiranih izraelskih IPv4 adresa.
Okoliš odgovara karakteristikama povezanim sa sustavima za pročišćavanje vode ili desalinizaciju
Ciljani IP rasponi uključuju:
2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255
Osim toga, ugrađeni nizovi znakova unutar zlonamjernog softvera upućuju na izraelsku infrastrukturu, pojačavajući njegov usko definirani opseg ciljanja. Političke poruke unutar koda izražavaju podršku Iranu, Palestini i Jemenu, dodatno naglašavajući ideološke prizvuke kampanje.
Operativne sposobnosti: Manipulacija ICS-om i izviđanje mreže
Nakon što se izvrši pod valjanim uvjetima, ZionSiphon pokreće izviđanje i interakciju s uređajima na lokalnoj podmreži. Pokušava komunikaciju koristeći više industrijskih protokola koji se obično nalaze u OT okruženjima:
- Modbus
- DNP3
- S7comm
Među njima, funkcionalnost vezana uz Modbus čini se najzrelijom, dok je podrška za DNP3 i S7comm i dalje djelomično implementirana. To ukazuje na kontinuirani razvoj i testiranje.
Zlonamjerni softver također mijenja lokalne konfiguracijske datoteke, posebno ciljajući parametre koji reguliraju doziranje klora i tlak sustava. Takva manipulacija mogla bi poremetiti procese obrade vode, predstavljajući potencijalni rizik za integritet infrastrukture i javnu sigurnost.
Mehanizmi širenja i samouništenja
Značajna značajka ZionSiphona je njegova sposobnost širenja putem prijenosnih medija, što omogućuje lateralno kretanje u okruženjima koja mogu biti izolirana od vanjskih mreža. Ova tehnika odražava taktike korištene u ranijim napadima usmjerenim na ICS.
Međutim, ako zlonamjerni softver utvrdi da glavni sustav ne ispunjava njegove kriterije ciljanja, pokreće rutinu samobrisanja. Ovo ponašanje minimizira rizik otkrivanja i ograničava izloženost izvan predviđenih ciljeva.
Razvojni jazovi i strateške implikacije
Unatoč naprednom dizajnu, trenutni uzorak pokazuje kritična ograničenja. Točnije, ne uspijeva pravilno validirati vlastite uvjete geografskog ciljanja, čak ni kada radi unutar definiranih IP raspona. Ova nedosljednost ukazuje na jednu od nekoliko mogućnosti: namjernu deaktivaciju, pogreške u konfiguraciji ili nedovršenu fazu razvoja.
Ipak, arhitektonski dizajn ZionSiphona odražava širi trend. Akteri prijetnji sve više eksperimentiraju s manipulacijom ICS-a s više protokola, trajnim pristupom unutar OT okruženja i metodama širenja prilagođenim sustavima s odvojenim prostorom. Ove karakteristike vrlo nalikuju taktikama uočenim u prethodnim državnim kibernetičkim kampanjama usmjerenim na industrijsku infrastrukturu.
Zaključak: Signal upozorenja za sigurnost kritične infrastrukture
ZionSiphon predstavlja više od samo jedne instance zlonamjernog softvera, on naglašava promjenjivi krajolik prijetnji s kojim se suočava kritična infrastruktura diljem svijeta. Čak i u svom nepotpunom obliku, pokazuje namjeran napor da se spoje geopolitičke namjere s tehničkom sofisticiranošću, pojačavajući hitnu potrebu za poboljšanim sigurnosnim kontrolama u industrijskim okruženjima.
