ZionSiphon 恶意软件专盯水处理系统搞破坏
- 浏览次数 13
- 喜欢 0
HackerNews 编译，转载请注明出处：
一款名为 ZionSiphon 的新型恶意软件专为运营技术环境打造，将目标锁定在水处理和海水淡化设施，意图破坏其正常运行。
研究人员分析发现，该威胁可调节水压，并将余氯水平提升至危险程度。从其 IP 定位以及代码字符串中嵌入的政治信息来看，ZionSiphon 似乎主要针对以色列境内的目标。
人工智能驱动的网络安全公司 Darktrace 的研究人员在该恶意软件的验证机制中发现了一个加密逻辑错误，导致其无法正常发挥作用。但他们警告称，未来ZionSiphon的新版本可能会修复该漏洞，从而在攻击中释放其破坏力。
部署后，该恶意软件会检查主机 IP 是否属于以色列范围内，以及系统中是否包含与水或运营技术相关的软件或文件，以此确保目标是水处理或海水淡化系统。
Darktrace 指出，由于异或运算不匹配，国家验证逻辑出现故障，导致定位失败，进而触发自毁机制，而非执行有效载荷。
一旦 ZionSiphon 激活，它可通过提高余氯水平、将水压调至最大，造成严重破坏。这是通过一个名为 “IncreaseChlorineLevel ()” 的函数实现的，该函数会在现有配置文件中追加一段文本，在工厂机械系统物理允许的范围内，将余氯剂量和流量调至最大。
Darktrace 称：“‘IncreaseChlorineLevel ()’ 会检查一个硬编码的配置文件列表，这些文件与海水淡化、反渗透、余氯控制以及水处理运营技术 / 工业控制系统（ICS）相关。一旦发现其中任何一个文件，就会向其追加一段固定文本，然后立即返回。”
“追加的文本块包含以下条目：‘Chlorine_Dose = 10’、‘Chlorine_Pump = ON’、‘Chlorine_Flow = MAX’、‘Chlorine_Valve = OPEN’ 以及 ‘RO_Pressure = 80’。”
通过在本地子网扫描 Modbus、DNP3 和 S7comm 通信协议，可明显看出该恶意软件意图与工业控制系统（ICS）进行交互。然而，Darktrace 仅发现 Modbus 相关代码部分可用，另外两种协议的代码仅是占位符，这表明该恶意软件仍处于早期开发阶段。
ZionSiphon 还具备 USB 传播机制，它会将自身以隐藏的 “svchost.exe” 进程形式复制到可移动存储设备上，并创建恶意快捷方式文件，用户点击时就会执行该恶意软件。
在关键基础设施系统中，USB 传播至关重要，因为管理关键安全功能的计算机通常处于 “物理隔离” 状态，即不直接连接互联网。
尽管 ZionSiphon 当前版本无法正常运行，但其意图和潜在破坏力令人担忧，而解锁这些危害所需的仅仅是修复一个小的验证错误。
消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc”并附上原文