มัลแวร์ ZionSiphon

นักวิเคราะห์ด้านความปลอดภัยทางไซเบอร์ได้ระบุสายพันธุ์มัลแวร์ใหม่ที่กำลังเกิดขึ้นชื่อ ZionSiphon ซึ่งถูกออกแบบมาโดยมุ่งเป้าไปที่โรงงานบำบัดน้ำและผลิตน้ำจืดของอิสราเอลอย่างชัดเจน การพัฒนาครั้งนี้บ่งชี้ถึงการเพิ่มระดับที่น่าเป็นห่วงของการปฏิบัติการทางไซเบอร์ที่มุ่งเป้าไปที่โครงสร้างพื้นฐานที่สำคัญ โดยเฉพาะอย่างยิ่งในสภาพแวดล้อมเทคโนโลยีการปฏิบัติงานภาคอุตสาหกรรม (OT)

ที่มาและบริบท: การเกิดขึ้นหลังความขัดแย้ง

มัลแวร์ ZionSiphon ถูกตรวจพบครั้งแรกในวงกว้างเมื่อวันที่ 29 มิถุนายน 2025 ไม่นานหลังจากสงคราม 12 วันระหว่างอิหร่านและอิสราเอล (13-24 มิถุนายน 2025) ช่วงเวลาดังกล่าวชี้ให้เห็นถึงแรงจูงใจทางภูมิรัฐศาสตร์ที่เป็นไปได้ ซึ่งสอดคล้องกับรูปแบบกิจกรรมทางไซเบอร์ที่เกิดขึ้นหลังความขัดแย้งในภูมิภาค

ถึงแม้ว่ามัลแวร์นี้จะยังอยู่ในขั้นตอนการพัฒนาหรือยังไม่เสร็จสมบูรณ์ แต่ก็แสดงให้เห็นถึงความสามารถขั้นสูงหลายประการแล้ว ซึ่งรวมถึงการยกระดับสิทธิ์ การคงอยู่ในระบบ การแพร่กระจายผ่าน USB และการสแกนระบบควบคุมอุตสาหกรรม (ICS) อย่างเจาะจง ที่สำคัญคือ มันยังมีฟังก์ชันที่มุ่งเน้นการก่อวินาศกรรมเพื่อควบคุมระดับคลอรีนและแรงดัน ซึ่งเป็นพารามิเตอร์สำคัญในกระบวนการบำบัดน้ำ

การกำหนดเป้าหมายที่แม่นยำ: ตัวกรองทางภูมิศาสตร์และสิ่งแวดล้อม

ZionSiphon ใช้กลไกการทำงานแบบสองเงื่อนไข ทำให้มั่นใจได้ว่าจะทำงานเฉพาะในสถานการณ์ที่เฉพาะเจาะจงมากเท่านั้น มัลแวร์จะเปิดใช้งานเพย์โหลดก็ต่อเมื่อเงื่อนไขทั้งสองข้อต่อไปนี้เป็นจริง:

ระบบที่ติดไวรัสตั้งอยู่ภายในช่วงที่อยู่ IPv4 ของอิสราเอลที่กำหนดไว้ล่วงหน้า
สภาพแวดล้อมมีลักษณะที่เหมาะสมกับระบบบำบัดน้ำหรือระบบแยกเกลือออกจากน้ำ

ช่วง IP ที่กำหนดเป้าหมาย ได้แก่:

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

นอกจากนี้ ข้อความที่ฝังอยู่ในมัลแวร์ยังอ้างอิงถึงโครงสร้างพื้นฐานของอิสราเอล ซึ่งเป็นการตอกย้ำขอบเขตเป้าหมายที่จำกัดยิ่งขึ้น ข้อความทางการเมืองในโค้ดแสดงออกถึงการสนับสนุนอิหร่าน ปาเลสไตน์ และเยเมน ซึ่งยิ่งเน้นย้ำถึงนัยยะทางอุดมการณ์ของแคมเปญนี้

ขีดความสามารถในการปฏิบัติงาน: การควบคุมระบบควบคุมอุตสาหกรรม (ICS) และการสอดแนมเครือข่าย

เมื่อดำเนินการภายใต้เงื่อนไขที่ถูกต้อง ZionSiphon จะเริ่มต้นการสำรวจและการโต้ตอบกับอุปกรณ์ในเครือข่ายย่อยท้องถิ่น โดยจะพยายามสื่อสารโดยใช้โปรโตคอลอุตสาหกรรมหลายตัวที่พบได้ทั่วไปในสภาพแวดล้อม OT:

• มอดบัส
• ดีเอ็นพี3
• เอส7คอม

ในบรรดาฟังก์ชันเหล่านี้ ฟังก์ชันที่เกี่ยวข้องกับ Modbus ดูเหมือนจะมีความสมบูรณ์ที่สุด ในขณะที่การสนับสนุน DNP3 และ S7comm ยังคงอยู่ในขั้นตอนการพัฒนาเพียงบางส่วน ซึ่งบ่งชี้ว่ายังมีการพัฒนาและทดสอบอย่างต่อเนื่อง

มัลแวร์นี้ยังทำการเปลี่ยนแปลงไฟล์การกำหนดค่าภายในเครื่อง โดยเฉพาะอย่างยิ่งพารามิเตอร์ที่ควบคุมการจ่ายคลอรีนและแรงดันระบบ การเปลี่ยนแปลงดังกล่าวอาจขัดขวางกระบวนการบำบัดน้ำ ทำให้เกิดความเสี่ยงต่อความสมบูรณ์ของโครงสร้างพื้นฐานและความปลอดภัยสาธารณะ

กลไกการแพร่กระจายและการทำลายตนเอง

คุณลักษณะเด่นอย่างหนึ่งของ ZionSiphon คือความสามารถในการแพร่กระจายผ่านสื่อบันทึกข้อมูลแบบถอดได้ ทำให้สามารถเคลื่อนที่ในแนวนอนได้ในสภาพแวดล้อมที่อาจถูกแยกออกจากเครือข่ายภายนอก เทคนิคนี้คล้ายคลึงกับกลยุทธ์ที่ใช้ในการโจมตีระบบควบคุมอุตสาหกรรม (ICS) ในอดีต

อย่างไรก็ตาม หากมัลแวร์ตรวจพบว่าระบบโฮสต์ไม่ตรงตามเกณฑ์เป้าหมาย มันจะเริ่มกระบวนการลบตัวเอง พฤติกรรมนี้ช่วยลดความเสี่ยงในการถูกตรวจจับและจำกัดการแพร่กระจายไปยังเป้าหมายนอกเหนือจากที่ตั้งใจไว้

ช่องว่างด้านการพัฒนาและนัยยะเชิงกลยุทธ์

แม้ว่าจะมีดีไซน์ที่ล้ำสมัย แต่ตัวอย่างปัจจุบันก็ยังมีข้อจำกัดที่สำคัญ โดยเฉพาะอย่างยิ่ง มันไม่สามารถตรวจสอบเงื่อนไขการกำหนดเป้าหมายทางภูมิศาสตร์ได้อย่างถูกต้อง แม้ว่าจะทำงานภายในช่วง IP ที่กำหนดไว้ก็ตาม ความไม่สอดคล้องกันนี้บ่งชี้ถึงความเป็นไปได้หลายประการ ได้แก่ การปิดใช้งานโดยเจตนา ข้อผิดพลาดในการกำหนดค่า หรือขั้นตอนการพัฒนาที่ยังไม่เสร็จสมบูรณ์

อย่างไรก็ตาม การออกแบบทางสถาปัตยกรรมของ ZionSiphon สะท้อนให้เห็นถึงแนวโน้มที่กว้างขึ้น ผู้โจมตีทางไซเบอร์กำลังทดลองมากขึ้นเรื่อยๆ กับการจัดการ ICS แบบหลายโปรโตคอล การเข้าถึงอย่างต่อเนื่องภายในสภาพแวดล้อม OT และวิธีการแพร่กระจายที่ปรับแต่งมาสำหรับระบบที่แยกขาดจากเครือข่ายไร้สาย ลักษณะเหล่านี้คล้ายคลึงกับกลยุทธ์ที่พบในแคมเปญไซเบอร์ที่มุ่งเป้าไปที่โครงสร้างพื้นฐานทางอุตสาหกรรมในอดีต ซึ่งได้รับการสนับสนุนจากรัฐบาล

สรุป: สัญญาณเตือนภัยด้านความปลอดภัยของโครงสร้างพื้นฐานที่สำคัญ

ZionSiphon ไม่ได้เป็นเพียงแค่ตัวอย่างมัลแวร์ตัวเดียว แต่ยังสะท้อนให้เห็นถึงภูมิทัศน์ภัยคุกคามที่เปลี่ยนแปลงไปซึ่งส่งผลกระทบต่อโครงสร้างพื้นฐานที่สำคัญทั่วโลก แม้จะอยู่ในรูปแบบที่ไม่สมบูรณ์ แต่ก็แสดงให้เห็นถึงความพยายามอย่างจงใจที่จะผสมผสานเจตนาทางภูมิรัฐศาสตร์เข้ากับความซับซ้อนทางเทคนิค ซึ่งตอกย้ำถึงความจำเป็นเร่งด่วนในการเพิ่มมาตรการควบคุมความปลอดภัยในสภาพแวดล้อมทางอุตสาหกรรม