Malware ZionSiphon
Gli analisti di sicurezza informatica hanno identificato una nuova variante di malware, ZionSiphon, progettata specificamente per colpire gli impianti israeliani di trattamento e desalinizzazione dell'acqua. Questo sviluppo segnala una preoccupante escalation delle operazioni informatiche dirette contro le infrastrutture critiche, in particolare negli ambienti di tecnologia operativa industriale (OT).
Sommario
Origini e contesto: l’emergere del post-conflitto
Il malware ZionSiphon è stato rilevato per la prima volta il 29 giugno 2025, poco dopo la Guerra dei Dodici Giorni tra Iran e Israele (13-24 giugno 2025). La sua comparsa in quel periodo suggerisce potenziali motivazioni geopolitiche, in linea con un più ampio schema di attività informatica successivo a conflitti regionali.
Nonostante si trovi in una fase apparentemente incompleta o di sviluppo, il malware dimostra già una combinazione di funzionalità avanzate. Tra queste figurano l'escalation dei privilegi, meccanismi di persistenza, la propagazione tramite USB e la scansione mirata dei sistemi di controllo industriale (ICS). In particolare, contiene anche funzionalità di sabotaggio volte a manipolare i livelli di cloro e i controlli di pressione, parametri chiave nei processi di trattamento delle acque.
Targeting di precisione: filtri geografici e ambientali
ZionSiphon utilizza un meccanismo di attivazione a doppia condizione, garantendo l'esecuzione solo in circostanze ben precise. Il malware attiva il suo payload solo quando entrambe le seguenti condizioni sono soddisfatte:
Il sistema infetto risiede all'interno di intervalli di indirizzi IPv4 israeliani predefiniti
L'ambiente presenta caratteristiche tipiche degli impianti di trattamento o desalinizzazione delle acque.
Gli intervalli IP interessati includono:
2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255
Inoltre, le stringhe incorporate nel malware fanno riferimento alle infrastrutture israeliane, rafforzando la ristretta portata del suo obiettivo. I messaggi politici presenti nel codice esprimono sostegno all'Iran, alla Palestina e allo Yemen, sottolineando ulteriormente le sfumature ideologiche della campagna.
Capacità operative: manipolazione dei sistemi di controllo industriale (ICS) e ricognizione di rete.
Una volta eseguito in condizioni valide, ZionSiphon avvia la ricognizione e l'interazione con i dispositivi sulla sottorete locale. Tenta di comunicare utilizzando diversi protocolli industriali comunemente presenti negli ambienti OT:
- Modbus
- DNP3
- S7comm
Tra queste, la funzionalità relativa a Modbus sembra essere la più matura, mentre il supporto per DNP3 e S7comm è ancora parzialmente implementato. Ciò suggerisce che lo sviluppo e i test sono ancora in corso.
Il malware altera anche i file di configurazione locali, prendendo di mira in particolare i parametri che regolano il dosaggio del cloro e la pressione del sistema. Tale manipolazione potrebbe interrompere i processi di trattamento delle acque, ponendo potenziali rischi sia per l'integrità delle infrastrutture che per la sicurezza pubblica.
Meccanismi di propagazione e autodistruzione
Una caratteristica notevole di ZionSiphon è la sua capacità di diffondersi tramite supporti rimovibili, consentendo la mobilità laterale in ambienti che potrebbero essere isolati dalle reti esterne. Questa tecnica ricalca le tattiche utilizzate in precedenti attacchi mirati ai sistemi di controllo industriale (ICS).
Tuttavia, se il malware determina che il sistema host non soddisfa i suoi criteri di targeting, avvia una procedura di autoeliminazione. Questo comportamento riduce al minimo il rischio di rilevamento e limita l'esposizione al di fuori dei target previsti.
Lacune nello sviluppo e implicazioni strategiche
Nonostante il design avanzato, il campione attuale presenta limitazioni critiche. In particolare, non riesce a convalidare correttamente le proprie condizioni di targeting geografico, nemmeno quando opera all'interno degli intervalli IP definiti. Questa incoerenza indica una delle seguenti possibilità: disattivazione intenzionale, errori di configurazione o una fase di sviluppo incompleta.
Tuttavia, la progettazione architettonica di ZionSiphon riflette una tendenza più ampia. Gli attori delle minacce stanno sperimentando sempre più spesso la manipolazione di sistemi di controllo industriale (ICS) multiprotocollo, l'accesso persistente all'interno di ambienti OT e metodi di propagazione specifici per sistemi isolati dalla rete. Queste caratteristiche assomigliano molto alle tattiche osservate in precedenti campagne informatiche allineate a stati e dirette contro le infrastrutture industriali.
Conclusione: un segnale di allarme per la sicurezza delle infrastrutture critiche
ZionSiphon rappresenta molto più di una semplice istanza di malware: evidenzia il panorama delle minacce in continua evoluzione che incombe sulle infrastrutture critiche di tutto il mondo. Anche nella sua forma incompleta, dimostra un deliberato tentativo di fondere intenti geopolitici e sofisticazione tecnica, rafforzando l'urgente necessità di controlli di sicurezza più rigorosi negli ambienti industriali.
