Scoperto ZionSiphon, il malware OT che mira a sabotare le reti idriche di Israele

Il malware ZionSiphon rappresenta una nuova evoluzione delle minacce rivolte alle tecnologie operative (OT), con un focus specifico sugli impianti idrici israeliani. Analizzato da Darktrace, il campione mostra un chiaro intento di sabotaggio industriale, combinando funzionalità mirate al controllo di processi critici come dosaggio del cloro, pressione e flussi di desalinizzazione. Sebbene presenti diversi errori tecnici che ne limitano l’efficacia operativa, il codice evidenzia una conoscenza concreta degli ambienti ICS e delle infrastrutture reali, segnalando un salto qualitativo nelle minacce rivolte al settore idrico.

ZionSiphon rivela motivazioni politiche esplicite nel codice

All’interno del malware sono presenti stringhe codificate in Base64 che esprimono chiaramente motivazioni ideologiche. I messaggi fanno riferimento a supporto verso Iran, Palestina e Yemen e includono riferimenti diretti a città israeliane e infrastrutture sensibili. Questi elementi non vengono utilizzati per l’esecuzione tecnica ma rappresentano indicatori chiari dell’intento politico dell’autore. La presenza di tali messaggi suggerisce un’operazione con finalità propagandistiche oltre che operative, tipica di campagne legate a contesti geopolitici.

Il malware prende di mira infrastrutture idriche reali

ZionSiphon include nel codice riferimenti diretti a entità del settore idrico israeliano come Mekorot, oltre a impianti di desalinizzazione e trattamento acque tra i più rilevanti del paese. Il malware cerca file di configurazione e processi associati a sistemi di osmosi inversa, pompe, valvole e controllo chimico. Vengono monitorate directory specifiche e file tipici di ambienti industriali, segno di una progettazione basata su conoscenze reali dei sistemi OT. Questo livello di targeting distingue ZionSiphon da malware generici e lo avvicina a strumenti progettati per attacchi mirati contro infrastrutture critiche.

Il codice tenta di limitare l’esecuzione al territorio israeliano

Una funzione interna verifica se il sistema infetto si trova in Israele, utilizzando range di indirizzi IP associati al paese. Questo meccanismo serve a evitare esecuzioni accidentali fuori dal target previsto, una tecnica comune nei malware geopolitici. Tuttavia, nel campione analizzato, questa funzionalità risulta non funzionante a causa di un errore nell’implementazione della cifratura XOR. Questo difetto suggerisce che il malware sia ancora in fase di sviluppo o non completamente testato.

Persistenza e privilegi elevati garantiscono il controllo del sistema

ZionSiphon implementa tecniche classiche ma efficaci per ottenere persistenza e privilegi elevati. Il malware verifica i diritti amministrativi e, se necessario, si riavvia con privilegi elevati tramite PowerShell. Successivamente copia se stesso in una directory nascosta utilizzando il nome svchost.exe, simulando un processo legittimo di Windows. Viene creata una voce nel registro per garantire l’esecuzione automatica all’avvio. Queste tecniche permettono al malware di mantenere il controllo del sistema anche dopo riavvii o tentativi di rimozione.

Propagazione tramite USB aumenta il rischio in ambienti isolati

Una caratteristica rilevante è la capacità di propagarsi tramite unità USB, una tecnica particolarmente efficace negli ambienti OT dove le reti sono spesso isolate. Il malware copia il payload su dispositivi rimovibili e crea collegamenti ingannevoli per indurre l’utente all’esecuzione. Questo metodo consente di superare le barriere di sicurezza delle reti industriali air-gapped, ampliando significativamente la superficie di attacco.

ZionSiphon tenta di sabotare i processi di trattamento dell’acqua

Una volta individuato l’ambiente target, il malware cerca di modificare i file di configurazione per alterare parametri critici. Tra le azioni previste figurano l’aumento del dosaggio del cloro, l’attivazione delle pompe al massimo e l’apertura delle valvole. Queste modifiche potrebbero compromettere la qualità dell’acqua e danneggiare l’infrastruttura. Il codice include valori predefiniti per questi parametri, indicando un tentativo diretto di manipolare i processi industriali senza necessità di ulteriori input.

Scansione della rete ICS e attacco ai protocolli industriali

ZionSiphon esegue una scansione della rete locale alla ricerca di dispositivi ICS, interrogando protocolli comuni come Modbus, DNP3 e S7comm. Il malware è più avanzato nell’implementazione Modbus, dove tenta di leggere e modificare registri associati a parametri industriali. Le funzioni per DNP3 e S7 risultano invece incomplete, suggerendo uno sviluppo parziale o in corso. Nonostante queste limitazioni, la presenza di supporto multi-protocollo indica un intento di costruire uno strumento versatile per ambienti industriali diversi.

Errori tecnici limitano l’efficacia ma non il rischio

Darktrace evidenzia numerosi problemi nel codice, tra cui errori nella cifratura, funzioni incomplete e implementazioni parziali dei protocolli. Questi difetti riducono l’efficacia immediata del malware, ma non ne annullano la pericolosità. Al contrario, indicano che il campione potrebbe essere una versione preliminare o un prototipo destinato a evolversi. La conoscenza dimostrata dei sistemi OT e delle infrastrutture idriche resta comunque significativa e rappresenta un segnale di allarme.

Le minacce OT evolvono verso attacchi mirati e geopolitici

ZionSiphon conferma una tendenza crescente: l’emergere di malware progettati specificamente per infrastrutture critiche e motivati da contesti geopolitici. Anche se non completamente operativo, il codice dimostra che gli attaccanti stanno sviluppando strumenti sempre più sofisticati per colpire settori vitali come l’acqua. Questo richiede un rafforzamento delle difese OT, con segmentazione delle reti, monitoraggio comportamentale e protezione dei sistemi di controllo industriale.

La sicurezza degli impianti idrici diventa priorità strategica

L’analisi di ZionSiphon evidenzia quanto il settore idrico sia diventato un obiettivo strategico. Impianti di desalinizzazione e trattamento acque rappresentano infrastrutture critiche per la popolazione e per l’economia. Anche un malware imperfetto può causare danni significativi se utilizzato in contesti reali. Le organizzazioni devono quindi adottare un approccio proattivo alla sicurezza, integrando tecnologie di rilevamento avanzato e procedure di risposta agli incidenti specifiche per ambienti OT.