ZionSiphon 恶意软件专盯水处理系统搞破坏

一款名为ZionSiphon的新型恶意软件专为运营技术环境打造，将目标锁定在水处理和海水淡化设施，意图破坏其正常运行。

研究人员分析发现，该威胁可调节水压，并将余氯水平提升至危险程度。从其IP定位以及代码字符串中嵌入的政治信息来看，ZionSiphon似乎主要针对以色列境内的目标。

人工智能驱动的网络安全公司Darktrace的研究人员在该恶意软件的验证机制中发现了一个加密逻辑错误，导致其无法正常发挥作用。但他们警告称，未来ZionSiphon的新版本可能会修复该漏洞，从而在攻击中释放其破坏力。

部署后，该恶意软件会检查主机IP是否属于以色列范围内，以及系统中是否包含与水或运营技术相关的软件或文件，以此确保目标是水处理或海水淡化系统。

Darktrace指出，由于异或运算不匹配，国家验证逻辑出现故障，导致定位失败，进而触发自毁机制，而非执行有效载荷。

一旦ZionSiphon激活，它可通过提高余氯水平、将水压调至最大，造成严重破坏。这是通过一个名为“IncreaseChlorineLevel()”的函数实现的，该函数会在现有配置文件中追加一段文本，在工厂机械系统物理允许的范围内，将余氯剂量和流量调至最大。

Darktrace称：“‘IncreaseChlorineLevel()’会检查一个硬编码的配置文件列表，这些文件与海水淡化、反渗透、余氯控制以及水处理运营技术/工业控制系统（ICS）相关。一旦发现其中任何一个文件，就会向其追加一段固定文本，然后立即返回。”

“追加的文本块包含以下条目：‘Chlorine_Dose=10’、‘Chlorine_Pump=ON’、‘Chlorine_Flow=MAX’、‘Chlorine_Valve=OPEN’以及‘RO_Pressure=80’。”

通过在本地子网扫描Modbus、DNP3和S7comm通信协议，可明显看出该恶意软件意图与工业控制系统（ICS）进行交互。然而，Darktrace仅发现Modbus相关代码部分可用，另外两种协议的代码仅是占位符，这表明该恶意软件仍处于早期开发阶段。

ZionSiphon还具备USB传播机制，它会将自身以隐藏的“svchost.exe”进程形式复制到可移动存储设备上，并创建恶意快捷方式文件，用户点击时就会执行该恶意软件。

在关键基础设施系统中，USB传播至关重要，因为管理关键安全功能的计算机通常处于“物理隔离”状态，即不直接连接互联网。

尽管ZionSiphon当前版本无法正常运行，但其意图和潜在破坏力令人担忧，而解锁这些危害所需的仅仅是修复一个小的验证错误。