Вредоносная программа ZionSiphon

Аналитики в области кибербезопасности выявили новый штамм вредоносного ПО, ZionSiphon, разработанный с явной целью атаковать израильские водоочистные и опреснительные установки. Это событие свидетельствует о тревожной эскалации кибератак, направленных на критическую инфраструктуру, особенно в средах промышленных операционных технологий (ОТ).

Истоки и контекст: становление постконфликтного общества

Вредоносная программа ZionSiphon впервые была обнаружена в сети 29 июня 2025 года, вскоре после Двенадцатидневной войны между Ираном и Израилем (13–24 июня 2025 года). Время её появления указывает на потенциальные геополитические мотивы, что соответствует более широкой тенденции кибердеятельности после региональных конфликтов.

Несмотря на то, что вредоносная программа, по-видимому, находится на стадии незавершенной разработки, она уже демонстрирует сочетание передовых возможностей. К ним относятся повышение привилегий, механизмы обеспечения постоянного присутствия в системе, распространение через USB-устройства и целенаправленное сканирование промышленных систем управления (ICS). Примечательно, что она также содержит функциональность, ориентированную на саботаж, направленную на манипулирование уровнями хлора и параметрами давления — ключевыми параметрами в процессах водоподготовки.

Точное таргетирование: географические и экологические фильтры

ZionSiphon использует механизм активации при двух условиях, обеспечивая выполнение только при строго определенных обстоятельствах. Вредоносная программа активирует свою полезную нагрузку только тогда, когда выполняются оба следующих условия:

Заражённая система находится в пределах заранее определённых диапазонов израильских IPv4-адресов.
Условия окружающей среды соответствуют характеристикам, характерным для систем водоподготовки или опреснения воды.

В число целевых диапазонов IP-адресов входят:

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

Кроме того, встроенные в вредоносное ПО строки содержат отсылки к израильской инфраструктуре, что подчеркивает узкоспециализированную область его действия. Политические посылы в коде выражают поддержку Ирану, Палестине и Йемену, что еще больше подчеркивает идеологическую подоплеку кампании.

Оперативные возможности: манипулирование промышленными системами управления и сетевая разведка.

После запуска в допустимых условиях ZionSiphon инициирует разведку и взаимодействие с устройствами в локальной подсети. Он пытается установить связь, используя несколько промышленных протоколов, широко распространенных в операционных средах:

• Модбус
• ДНП3
• S7comm

Среди них наиболее зрелой представляется функциональность, связанная с Modbus, в то время как поддержка DNP3 и S7comm реализована лишь частично. Это говорит о необходимости дальнейшей разработки и тестирования.

Вредоносная программа также изменяет локальные конфигурационные файлы, целенаправленно воздействуя на параметры, регулирующие дозирование хлора и давление в системе. Такие манипуляции могут нарушить процессы водоподготовки, создавая потенциальные риски как для целостности инфраструктуры, так и для общественной безопасности.

Механизмы распространения и самоуничтожения

Примечательной особенностью ZionSiphon является его способность распространяться через съемные носители, что позволяет осуществлять горизонтальное перемещение в средах, изолированных от внешних сетей. Этот метод повторяет тактику, используемую в более ранних атаках, направленных на промышленные системы управления (ICS).

Однако, если вредоносная программа определяет, что хост-система не соответствует критериям её цели, она запускает процедуру самоудаления. Такое поведение минимизирует риск обнаружения и ограничивает распространение за пределы намеченных целей.

Пробелы в развитии и стратегические последствия

Несмотря на передовую конструкцию, текущий образец демонстрирует существенные ограничения. В частности, он не может должным образом проверить собственные условия географического наведения, даже при работе в пределах заданных диапазонов IP-адресов. Это несоответствие указывает на одну из нескольких возможных причин: преднамеренная деактивация, ошибки конфигурации или незавершенная стадия разработки.

Тем не менее, архитектурный дизайн ZionSiphon отражает более широкую тенденцию. Злоумышленники все чаще экспериментируют с многопротокольными манипуляциями в системах управления промышленными процессами (ICS), постоянным доступом в операционных средах (OT) и методами распространения, адаптированными для систем, изолированных от сети. Эти характеристики очень напоминают тактику, наблюдавшуюся в предыдущих киберкампаниях, проводимых государственными структурами и направленных на промышленную инфраструктуру.

Заключение: Предупреждающий сигнал для безопасности критической инфраструктуры.

ZionSiphon — это не просто единичный случай вредоносного ПО, он демонстрирует постоянно меняющуюся картину угроз для критической инфраструктуры во всем мире. Даже в своей неполной форме он показывает целенаправленное сочетание геополитических мотивов и технической сложности, подчеркивая острую необходимость усиления мер безопасности в промышленных условиях.