Phần mềm độc hại ZionSiphon

Các nhà phân tích an ninh mạng đã xác định một biến thể phần mềm độc hại mới nổi, ZionSiphon, được thiết kế nhắm mục tiêu rõ ràng vào các cơ sở xử lý nước và khử muối của Israel. Sự phát triển này báo hiệu một sự leo thang đáng lo ngại trong các hoạt động tấn công mạng nhằm vào cơ sở hạ tầng trọng yếu, đặc biệt là trong môi trường công nghệ vận hành công nghiệp (OT).

Nguồn gốc và bối cảnh: Sự nổi lên sau xung đột

Phần mềm độc hại ZionSiphon lần đầu tiên được phát hiện trong thực tế vào ngày 29 tháng 6 năm 2025, ngay sau Chiến tranh Mười Hai Ngày giữa Iran và Israel (13-24 tháng 6 năm 2025). Thời điểm này cho thấy động cơ địa chính trị tiềm tàng, phù hợp với xu hướng hoạt động mạng rộng hơn sau các cuộc xung đột khu vực.

Mặc dù dường như vẫn đang trong giai đoạn phát triển hoặc chưa hoàn thiện, phần mềm độc hại này đã thể hiện sự kết hợp của nhiều khả năng tiên tiến. Chúng bao gồm leo thang đặc quyền, cơ chế duy trì hoạt động, lây lan qua USB và quét có mục tiêu các hệ thống điều khiển công nghiệp (ICS). Đặc biệt, nó còn chứa chức năng phá hoại nhằm thao túng nồng độ clo và kiểm soát áp suất, các thông số quan trọng trong quy trình xử lý nước.

Định vị mục tiêu chính xác: Các bộ lọc theo địa lý và môi trường

ZionSiphon sử dụng cơ chế kích hoạt hai điều kiện, đảm bảo chỉ thực thi trong những trường hợp rất cụ thể. Phần mềm độc hại chỉ kích hoạt tải trọng của nó khi cả hai điều kiện sau đây được thỏa mãn:

Hệ thống bị nhiễm nằm trong phạm vi địa chỉ IPv4 được xác định trước của Israel.
Môi trường này có những đặc điểm phù hợp với các hệ thống xử lý nước hoặc khử muối.

Các dải địa chỉ IP mục tiêu bao gồm:

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

Thêm vào đó, các chuỗi ký tự được nhúng trong phần mềm độc hại đề cập đến cơ sở hạ tầng của Israel, củng cố thêm phạm vi mục tiêu được xác định hẹp của nó. Các thông điệp chính trị trong mã thể hiện sự ủng hộ đối với Iran, Palestine và Yemen, càng nhấn mạnh thêm những hàm ý về mặt tư tưởng của chiến dịch này.

Khả năng vận hành: Thao túng hệ thống điều khiển công nghiệp (ICS) và trinh sát mạng.

Khi được thực thi trong điều kiện hợp lệ, ZionSiphon sẽ bắt đầu quá trình trinh sát và tương tác với các thiết bị trên mạng con cục bộ. Nó cố gắng liên lạc bằng nhiều giao thức công nghiệp thường thấy trong môi trường OT:

• Modbus
• DNP3
• S7comm

Trong số đó, chức năng liên quan đến Modbus có vẻ hoàn thiện nhất, trong khi hỗ trợ cho DNP3 và S7comm vẫn chưa được triển khai đầy đủ. Điều này cho thấy quá trình phát triển và thử nghiệm vẫn đang tiếp diễn.

Phần mềm độc hại này cũng thay đổi các tệp cấu hình cục bộ, đặc biệt nhắm vào các thông số điều chỉnh liều lượng clo và áp suất hệ thống. Việc thao tác như vậy có thể làm gián đoạn các quy trình xử lý nước, gây ra rủi ro tiềm tàng cho cả tính toàn vẹn của cơ sở hạ tầng và an toàn công cộng.

Cơ chế lan truyền và tự hủy

Một đặc điểm đáng chú ý của ZionSiphon là khả năng lây lan qua các thiết bị lưu trữ di động, cho phép lây nhiễm ngang trong môi trường bị cô lập khỏi mạng lưới bên ngoài. Kỹ thuật này tương tự như các chiến thuật được sử dụng trong các cuộc tấn công nhắm vào hệ thống điều khiển công nghiệp (ICS) trước đây.

Tuy nhiên, nếu phần mềm độc hại xác định rằng hệ thống máy chủ không đáp ứng các tiêu chí mục tiêu của nó, nó sẽ khởi động quy trình tự xóa. Hành vi này giúp giảm thiểu rủi ro bị phát hiện và hạn chế sự lây lan ra ngoài các mục tiêu đã định.

Khoảng cách phát triển và ý nghĩa chiến lược

Mặc dù có thiết kế tiên tiến, mẫu thử nghiệm hiện tại vẫn bộc lộ những hạn chế nghiêm trọng. Cụ thể, nó không thể xác thực chính xác các điều kiện nhắm mục tiêu theo vị trí địa lý của mình, ngay cả khi hoạt động trong phạm vi IP đã được xác định. Sự không nhất quán này cho thấy một trong số các khả năng: vô hiệu hóa có chủ ý, lỗi cấu hình hoặc giai đoạn phát triển chưa hoàn thiện.

Tuy nhiên, thiết kế kiến trúc của ZionSiphon phản ánh một xu hướng rộng hơn. Các tác nhân đe dọa ngày càng thử nghiệm nhiều hơn với việc thao túng hệ thống điều khiển công nghiệp (ICS) đa giao thức, truy cập liên tục trong môi trường OT và các phương pháp lây lan được thiết kế riêng cho các hệ thống không kết nối mạng. Những đặc điểm này rất giống với các chiến thuật được quan sát thấy trong các chiến dịch tấn công mạng do nhà nước hậu thuẫn trước đây nhắm vào cơ sở hạ tầng công nghiệp.

Kết luận: Một tín hiệu cảnh báo đối với an ninh cơ sở hạ tầng trọng yếu

ZionSiphon không chỉ đơn thuần là một trường hợp phần mềm độc hại duy nhất, mà còn làm nổi bật bối cảnh mối đe dọa đang ngày càng gia tăng đối với cơ sở hạ tầng trọng yếu trên toàn thế giới. Ngay cả ở dạng chưa hoàn chỉnh, nó cũng cho thấy nỗ lực có chủ đích trong việc kết hợp ý đồ địa chính trị với sự tinh vi về kỹ thuật, củng cố nhu cầu cấp thiết về việc tăng cường các biện pháp kiểm soát an ninh trong môi trường công nghiệp.