ZionSiphon malware designed to sabotage water treatment systems

ZionSiphon : Menace émergente contre les infrastructures hydrauliques

Le logiciel malveillant ZionSiphon a été identifié comme une cybermenace ciblant spécifiquement les systèmes de contrôle industriel (ICS) et la technologie opérationnelle (OT) des infrastructures de traitement des eaux et de dessalement, avec un accent particulier sur les installations en Israël. Bien qu’actuellement inopérant en raison d’erreurs de développement, son potentiel de sabotage physique est critique.

Points clés :

• Objectif de sabotage : Le malware est conçu pour altérer les paramètres de sécurité physique en augmentant dangereusement les niveaux de chlore et en modifiant les pressions hydrauliques (osmose inverse).
• Ciblage géographique et technique : Le logiciel vérifie l’adresse IP de la cible (plages israéliennes) et détecte la présence de logiciels spécifiques à l’OT avant de s’exécuter.
• Développement en cours : L’analyse révèle un code encore immature, incluant des placeholders pour les protocoles de communication industriels (DNP3, S7comm) et une implémentation partielle du protocole Modbus.
• Vecteur de propagation : ZionSiphon utilise des supports USB pour se déplacer, une méthode particulièrement efficace pour infecter les réseaux isolés (air-gapped) des infrastructures critiques. Il se dissimule en tant que processus svchost.exe et crée des raccourcis malveillants.

Vulnérabilités :

• Erreur logique (Non classée CVE) : Une faille dans le mécanisme de validation (erreur XOR) empêche actuellement le malware de confirmer la localisation de la cible, provoquant son auto-destruction.
• Risque futur : Une simple correction de cette erreur de chiffrement rendrait le malware pleinement opérationnel.

Recommandations :

• Durcissement des ports USB : Désactiver ou restreindre strictement l’utilisation des supports amovibles sur les stations de travail liées aux systèmes de contrôle industriel.
• Segmentation réseau : Renforcer l’isolation des réseaux OT et surveiller étroitement le trafic utilisant les protocoles industriels (Modbus, DNP3, S7comm).
• Détection proactive : Surveiller la création de processus suspects tels que svchost.exe provenant de volumes amovibles ou de raccourcis non autorisés.
• Veille sur l’intégrité des fichiers : Mettre en place des mécanismes de contrôle d’intégrité sur les fichiers de configuration associés aux systèmes de traitement des eaux pour détecter toute modification non autorisée des paramètres de sécurité.

Source