ZionSiphon kenkėjiška programa

Kibernetinio saugumo analitikai nustatė naujai atsirandančią kenkėjiškos programos atmainą „ZionSiphon“, sukurtą specialiai Izraelio vandens valymo ir gėlinimo įrenginiams. Šis pokytis rodo nerimą keliantį kibernetinių operacijų, nukreiptų prieš ypatingos svarbos infrastruktūrą, ypač pramoninių operacinių technologijų (OT) aplinkoje, eskalavimą.

Ištakos ir kontekstas: iškilimas po konflikto

„ZionSiphon“ kenkėjiška programa pirmą kartą natūralioje aplinkoje buvo pastebėta 2025 m. birželio 29 d., netrukus po Dvylikos dienų karo tarp Irano ir Izraelio (2025 m. birželio 13–24 d.). Jos atsiradimo laikas rodo galimus geopolitinius motyvus, kurie atitinka platesnį kibernetinės veiklos modelį po regioninių konfliktų.

Nors kenkėjiška programa, regis, yra dar nebaigtoje arba kūrimo stadijoje, ji jau demonstruoja pažangių galimybių derinį. Tai apima privilegijų eskalavimą, duomenų išsaugojimo mechanizmus, USB pagrindu veikiančią sklaidą ir tikslinį pramoninių valdymo sistemų (ICS) nuskaitymą. Pažymėtina, kad ji taip pat turi sabotažo funkciją, kuria siekiama manipuliuoti chloro lygiu ir slėgio valdymu – pagrindiniais vandens valymo procesų parametrais.

Tikslus taikymas: geografiniai ir aplinkos filtrai

„ZionSiphon“ naudoja dvigubos sąlygos aktyvavimo mechanizmą, užtikrinantį vykdymą tik labai specifinėmis aplinkybėmis. Kenkėjiška programa aktyvuoja savo naudingąją informaciją tik tada, kai tenkinamos abi šios sąlygos:

Užkrėsta sistema yra iš anksto nustatytuose Izraelio IPv4 adresų diapazonuose.
Aplinka atitinka vandens valymo ar gėlinimo sistemų charakteristikas

Tiksliniai IP diapazonai apima:

2.52.0.0–2.55.255.255
79.176.0.0–79.191.255.255
212.150.0.0–212.150.255.255

Be to, kenkėjiškoje programoje įterptos eilutės nurodo Izraelio infrastruktūrą, sustiprindamos siaurai apibrėžtą jos taikymo sritį. Politinės žinutės kode išreiškia paramą Iranui, Palestinai ir Jemenui, dar labiau pabrėždamos ideologinius kampanijos atspalvius.

Operacinės galimybės: ICS manipuliavimas ir tinklo žvalgyba

Kai „ZionSiphon“ paleidžiamas tinkamomis sąlygomis, jis pradeda žvalgybą ir sąveiką su įrenginiais vietiniame potinklyje. Jis bando užmegzti ryšį naudodamas kelis pramoninius protokolus, dažniausiai naudojamus OT aplinkose:

• Modbus
• DNP3
• S7comm

Iš jų su „Modbus“ susijusios funkcijos atrodo labiausiai išvystytos, o DNP3 ir S7comm palaikymas vis dar iš dalies įdiegtas. Tai rodo nuolatinį kūrimą ir testavimą.

Kenkėjiška programa taip pat keičia vietinius konfigūracijos failus, konkrečiai taikydama į parametrus, kurie reguliuoja chloro dozavimą ir sistemos slėgį. Toks manipuliavimas gali sutrikdyti vandens valymo procesus, keldamas potencialią grėsmę tiek infrastruktūros vientisumui, tiek visuomenės saugumui.

Dauginimo ir savęs sunaikinimo mechanizmai

Svarbus „ZionSiphon“ bruožas yra jo gebėjimas plisti per išimamas laikmenas, leidžiant judėti horizontaliai aplinkose, kurios gali būti izoliuotos nuo išorinių tinklų. Ši technika atspindi taktiką, naudotą ankstesnėse į ICS orientuotose atakose.

Tačiau jei kenkėjiška programa nustato, kad pagrindinė sistema neatitinka jos taikymo kriterijų, ji inicijuoja savaiminio ištrynimo procedūrą. Toks elgesys sumažina aptikimo riziką ir apriboja užkrėtimą už numatytų taikinių ribų.

Vystymosi spragos ir strateginės pasekmės

Nepaisant pažangaus dizaino, dabartinis pavyzdys turi kritinių apribojimų. Konkrečiai, jis netinkamai patvirtina savo geografinės taikymo sąlygas, net ir veikdamas apibrėžtuose IP diapazonuose. Šis neatitikimas rodo vieną iš kelių galimybių: tyčinį deaktyvavimą, konfigūracijos klaidas arba nebaigtą kūrimo etapą.

Nepaisant to, „ZionSiphon“ architektūrinis dizainas atspindi platesnę tendenciją. Grėsmių kūrėjai vis dažniau eksperimentuoja su daugiaprotokoliu ICS manipuliavimu, nuolatine prieiga OT aplinkoje ir sklidimo metodais, pritaikytais oro tarpo sistemoms. Šios savybės labai panašios į taktiką, pastebėtą ankstesnėse valstybių suderintose kibernetinėse kampanijose, nukreiptose prieš pramoninę infrastruktūrą.

Išvada: Įspėjamasis signalas dėl ypatingos svarbos infrastruktūros saugumo

„ZionSiphon“ yra daugiau nei vienas kenkėjiškos programos atvejis – jis pabrėžia besikeičiantį grėsmių kraštovaizdį, su kuriuo susiduria kritinė infrastruktūra visame pasaulyje. Net ir nepilna versija, jis rodo sąmoningas pastangas suderinti geopolitinius ketinimus su techniniu sudėtingumu, sustiprindamas neatidėliotiną poreikį sustiprinti saugumo kontrolę visoje pramoninėje aplinkoje.