Researchers Detect ZionSiphon Malware Targeting Israeli Water, Desalination OT Systems

Menace émergente : Le malware ZionSiphon cible les infrastructures hydrauliques israéliennes

Le malware ZionSiphon a été identifié par Darktrace comme une menace ciblant spécifiquement les systèmes de contrôle industriel (ICS) et les réseaux OT (Operational Technology) du secteur de l’eau et du dessalement en Israël. Bien qu’il soit encore en phase de développement, ce logiciel malveillant démontre une capacité préoccupante à compromettre des infrastructures critiques.

Points clés :

• Motivation politique : Le code contient des messages de soutien à l’Iran, à la Palestine et au Yémen, suggérant une attaque motivée par le contexte géopolitique.
• Fonctionnalités avancées : Le malware combine l’escalade de privilèges, la persistance, la propagation via supports USB et le scan de sous-réseaux locaux.
• Sabotage industriel : Il est conçu pour manipuler les paramètres de contrôle de pression et de dosage de chlore via les protocoles Modbus, DNP3 et S7comm.
• Ciblage géographique : Il intègre des mécanismes de vérification pour ne s’activer que s’il détecte des adresses IP spécifiques situées en Israël et un environnement technique lié aux systèmes d’eau.
• État de développement : Le malware semble incomplet ou mal configuré, car il peine à valider ses propres critères de ciblage. Il possède toutefois une fonction d’auto-destruction sur les systèmes ne répondant pas à ses conditions.

Vulnérabilités :

• L’article ne mentionne pas de CVE spécifique, mais souligne une utilisation malveillante de protocoles industriels standards (Modbus, DNP3, S7comm) qui, par conception, manquent souvent de mécanismes d’authentification robustes, permettant une manipulation directe des paramètres physiques.

Recommandations :

• Segmentation réseau : Isoler strictement les réseaux OT des réseaux informatiques classiques pour limiter les déplacements latéraux.
• Contrôle des supports amovibles : Désactiver les ports USB ou restreindre l’utilisation de clés USB sur les machines critiques (systèmes SCADA/ICS).
• Surveillance des protocoles OT : Mettre en place une surveillance fine des communications Modbus, DNP3 et S7comm afin de détecter toute modification non autorisée des paramètres de configuration ou des commandes inhabituelles.
• Renforcement de la posture OT : S’assurer que les accès aux systèmes de contrôle sont protégés par des authentifications multi-facteurs (MFA) et que les accès à distance sont restreints, en particulier pour contrer les techniques de “pivoting” (type RoadK1ll).

Source