ZionSiphon Malware

사이버 보안 분석가들은 이스라엘의 정수 및 담수화 시설을 명확히 표적으로 삼아 개발된 새로운 악성코드인 'ZionSiphon'을 발견했습니다. 이러한 발견은 중요 기반 시설, 특히 산업 운영 기술(OT) 환경을 겨냥한 사이버 공격이 우려스러운 수준으로 확대되고 있음을 시사합니다.

기원과 맥락: 분쟁 후 출현

ZionSiphon 악성코드는 이란과 이스라엘 간의 12일 전쟁(2025년 6월 13일~24일) 직후인 2025년 6월 29일에 처음으로 실제 환경에서 발견되었습니다. 이러한 시기는 지정학적 동기를 시사하며, 지역 분쟁 이후 발생하는 사이버 활동의 광범위한 패턴과 일맥상통합니다.

아직 미완성 또는 개발 단계에 있는 것으로 보이지만, 이 악성 소프트웨어는 이미 여러 고급 기능을 보여주고 있습니다. 여기에는 권한 상승, 지속성 유지 메커니즘, USB 기반 전파, 산업 제어 시스템(ICS)에 대한 표적 스캔 등이 포함됩니다. 특히, 수처리 공정의 핵심 매개변수인 염소 농도와 압력 제어를 조작하는 것을 목표로 하는 파괴적인 기능도 포함되어 있습니다.

정밀 타겟팅: 지리적 및 환경적 필터

ZionSiphon은 두 가지 조건을 만족하는 활성화 메커니즘을 사용하여 매우 특정한 상황에서만 실행되도록 합니다. 이 악성 프로그램은 다음 두 가지 조건이 모두 충족될 때만 페이로드를 활성화합니다.

감염된 시스템은 미리 정의된 이스라엘 IPv4 주소 범위 내에 있습니다.
해당 환경은 수처리 또는 해수 담수화 시스템과 관련된 특성과 일치합니다.

대상 IP 범위는 다음과 같습니다.

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

또한, 악성코드에 포함된 문자열은 이스라엘 인프라를 언급하여 공격 대상이 매우 제한적임을 보여줍니다. 코드 내의 정치적 메시지는 이란, 팔레스타인, 예멘에 대한 지지를 표명하며, 이번 공격의 이념적 성격을 더욱 강조합니다.

운영 능력: ICS 조작 및 네트워크 정찰

유효한 조건에서 실행되면 ZionSiphon은 로컬 서브넷의 장치들과 정찰 및 상호 작용을 시작합니다. OT 환경에서 흔히 사용되는 여러 산업 프로토콜을 사용하여 통신을 시도합니다.

• 모드버스
• 디니프로피오이드(DNP3)
• S7comm

이 중 Modbus 관련 기능은 가장 완성도가 높은 반면, DNP3 및 S7comm 지원은 아직 부분적으로만 구현되어 있습니다. 이는 지속적인 개발 및 테스트가 진행 중임을 시사합니다.

이 악성 소프트웨어는 로컬 설정 파일도 변경하는데, 특히 염소 투입량과 시스템 압력을 조절하는 매개변수를 표적으로 삼습니다. 이러한 조작은 수처리 과정을 방해하여 기반 시설의 안전성과 공공 안전 모두에 잠재적인 위험을 초래할 수 있습니다.

전파 및 자멸 메커니즘

ZionSiphon의 주목할 만한 특징은 이동식 저장 매체를 통해 확산될 수 있다는 점으로, 외부 네트워크와 단절된 환경에서도 횡적 이동이 가능합니다. 이러한 기법은 과거 산업 제어 시스템(ICS) 공격에 사용되었던 전술과 유사합니다.

하지만 악성코드가 호스트 시스템이 공격 대상 기준에 부합하지 않는다고 판단하면 자체 삭제 루틴을 실행합니다. 이러한 동작은 탐지 위험을 최소화하고 의도한 공격 대상 외에는 노출을 제한합니다.

개발 격차 및 전략적 함의

첨단 설계에도 불구하고, 현재 샘플에는 심각한 한계가 있습니다. 특히, 정의된 IP 범위 내에서 작동하더라도 자체 지리적 타겟팅 조건을 제대로 검증하지 못합니다. 이러한 불일치는 의도적인 비활성화, 구성 오류 또는 개발 미완료 단계 등 여러 가능성을 시사합니다.

그럼에도 불구하고, ZionSiphon의 아키텍처 설계는 더 광범위한 추세를 반영합니다. 위협 행위자들은 점점 더 다양한 프로토콜을 사용하는 산업 제어 시스템(ICS) 조작, 운영 체제(OT) 환경 내에서의 지속적인 접근, 그리고 에어갭 시스템에 특화된 전파 방식을 실험하고 있습니다. 이러한 특징들은 과거 국가 주도 사이버 공격으로 산업 기반 시설을 표적으로 삼았던 사례에서 관찰된 전술과 매우 유사합니다.

결론: 중요 기반 시설 보안에 대한 경고 신호

ZionSiphon은 단순한 악성코드 사례를 넘어 전 세계 중요 기반 시설이 직면한 진화하는 위협 환경을 보여줍니다. 불완전한 형태임에도 불구하고, 이는 지정학적 의도와 기술적 정교함을 의도적으로 결합하려는 시도를 드러내며, 산업 환경 전반에 걸쳐 강화된 보안 제어의 필요성을 절실히 강조합니다.