Škodlivý softvér ZionSiphon

Analytici kybernetickej bezpečnosti identifikovali nový kmeň malvéru s názvom ZionSiphon, ktorý bol navrhnutý s jasným zameraním na izraelské zariadenia na úpravu a odsoľovanie vody. Tento vývoj signalizuje znepokojujúcu eskaláciu kybernetických operácií zameraných na kritickú infraštruktúru, najmä v prostrediach priemyselných operačných technológií (OT).

Pôvod a kontext: Vznik po konflikte

Malvér ZionSiphon bol prvýkrát pozorovaný v reálnom živote 29. júna 2025, krátko po dvanásťdňovej vojne medzi Iránom a Izraelom (13. – 24. júna 2025). Jeho načasovanie naznačuje potenciálne geopolitické motivácie a zodpovedá širšiemu vzorcu kybernetickej aktivity po regionálnych konfliktoch.

Napriek tomu, že sa malvér nachádza v zdanlivo nedokončenej alebo vývojovej fáze, už vykazuje kombináciu pokročilých funkcií. Patria sem eskalácia privilégií, mechanizmy perzistencie, šírenie cez USB a cielené skenovanie priemyselných riadiacich systémov (ICS). Obsahuje aj funkcie zamerané na sabotáž, ktorých cieľom je manipulovať s hladinami chlóru a reguláciou tlaku, čo sú kľúčové parametre v procesoch úpravy vody.

Presné zacielenie: Geografické a environmentálne filtre

ZionSiphon využíva mechanizmus aktivácie s dvoma podmienkami, ktorý zabezpečuje spustenie iba za veľmi špecifických okolností. Malvér aktivuje svoje užitočné zaťaženie iba vtedy, keď sú splnené obe nasledujúce podmienky:

Infikovaný systém sa nachádza v rámci vopred definovaných izraelských rozsahov IPv4 adries.
Prostredie zodpovedá charakteristikám spojeným so systémami úpravy vody alebo odsoľovania

Cieľové rozsahy IP adries zahŕňajú:

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

Okrem toho, vložené reťazce v malvéri odkazujú na izraelskú infraštruktúru, čím posilňujú jeho úzko definovaný rozsah zacielenia. Politické posolstvá v kóde vyjadrujú podporu Iránu, Palestíne a Jemenu, čo ďalej podčiarkuje ideologické podtóny kampane.

Operačné schopnosti: Manipulácia s ICS a sieťový prieskum

Po spustení za platných podmienok ZionSiphon spustí prieskum a interakciu so zariadeniami v lokálnej podsieti. Pokúša sa o komunikáciu pomocou viacerých priemyselných protokolov bežne používaných v prostrediach OT:

• Modbus
• DNP3
• S7comm

Spomedzi nich sa zdá, že funkcie súvisiace s Modbusom sú najvyspelejšie, zatiaľ čo podpora pre DNP3 a S7comm je stále čiastočne implementovaná. To naznačuje prebiehajúci vývoj a testovanie.

Škodlivý softvér tiež mení lokálne konfiguračné súbory, pričom sa zameriava najmä na parametre, ktoré regulujú dávkovanie chlóru a tlak v systéme. Takáto manipulácia by mohla narušiť procesy úpravy vody, čo by predstavovalo potenciálne riziko pre integritu infraštruktúry aj verejnú bezpečnosť.

Mechanizmy šírenia a sebazničenia

Pozoruhodnou vlastnosťou ZionSiphon je jeho schopnosť šíriť sa prostredníctvom vymeniteľných médií, čo umožňuje laterálny pohyb v prostrediach, ktoré môžu byť izolované od externých sietí. Táto technika odráža taktiky používané v skorších útokoch zameraných na ICS.

Ak však malvér zistí, že hostiteľský systém nespĺňa jeho kritériá zacielenia, spustí rutinu samoodstránenia. Toto správanie minimalizuje riziko detekcie a obmedzuje expozíciu mimo určených cieľov.

Rozvojové medzery a strategické dôsledky

Napriek pokročilému dizajnu vykazuje súčasná vzorka kritické obmedzenia. Konkrétne nedokáže správne overiť vlastné podmienky geografického zacielenia, a to ani pri prevádzke v rámci definovaných rozsahov IP adries. Táto nekonzistentnosť naznačuje jednu z niekoľkých možností: úmyselnú deaktiváciu, chyby v konfigurácii alebo nedokončenú fázu vývoja.

Architektonický návrh ZionSiphonu však odráža širší trend. Aktéri hrozby čoraz viac experimentujú s manipuláciou s multiprotokolovými ICS, trvalým prístupom v rámci OT prostredí a metódami šírenia prispôsobenými pre systémy s obmedzenou vzdialenosťou. Tieto charakteristiky sa veľmi podobajú taktikám pozorovaným v predchádzajúcich štátom zosúladených kybernetických kampaniach zameraných na priemyselnú infraštruktúru.

Záver: Varovný signál pre bezpečnosť kritickej infraštruktúry

ZionSiphon predstavuje viac než len jeden prípad malvéru, poukazuje na vyvíjajúce sa prostredie hrozieb, ktorým čelí kritická infraštruktúra na celom svete. Aj vo svojej neúplnej podobe demonštruje zámerné úsilie o spojenie geopolitických zámerov s technickou sofistikovanosťou, čím posilňuje naliehavú potrebu posilnených bezpečnostných kontrol v priemyselných prostrediach.