ZionSiphon Malware, die Wasseraufbereitungsanlagen durch Manipulation von Chlor und Druck auf Umkehrosmoseanlagen sabotieren könnte

Sicherheitsforscher haben unter dem Fokus eine neue Malware platziert, die speziell entwickelt wurde, um operationelle Technologie (OT) Systeme in Wasseraufbereitung und Entsalzungsanlagen anzugreifen. Die von der Darktrace Cybersecurity-Firma veröffentlichte Erkenntnis beschreibt einen Code mit klaren Sabotageabsichten: kritische Parameter zu manipulieren - wie Chlordosierung und Druck auf Umkehrosmoseanlagen - mit dem Potenzial, physische Schäden zu verursachen und die Qualität der Versorgung zu beeinflussen. Obwohl die analysierte Probe nicht in ihrer aktuellen Form aktiviert werden kann, warnen Experten, dass die Festlegung eines kleinen logischen Fehlers ausreicht, um diese Bedrohung in ein operationelles und gefährliches Werkzeug umzuwandeln.. Weitere technische Details und vollständige Analysen finden Sie im Bericht von Darktrace: Drinnen ZionSiphon - Darktrace.

Das von den Entdeckern als ZionSiphon benannte Programm enthält mehrere Überprüfungen, die darauf abzielen, dass es nur zu bestimmten Zielen ausgeführt wird. Überprüfen Sie die IP-Adresse des Gerätes vor der Einwirkung auf geographische Bereiche und erkunden Sie, ob das System Software oder Dateien enthält, die mit Behandlungs- oder Entsalzungsanlagen verbunden sind. Wenn erkannt, hat es die Fähigkeit, Konfigurationsdateien im Zusammenhang mit Chlorsteuerung und Pumpen zu ändern, extreme Dosiswerte zu zwingen, Ventilöffnung und Druck in Behandlungseinheiten. In dem Bericht dokumentiert Darktrace die Routine, die für diese Änderungen und die Menge der Parameter, die Malware zu verhängen versucht.

Die Absicht, mit industriellen Controllern zu interagieren, ist klar: Der Code scannt das lokale Subnetz für gemeinsame Protokolle in industriellen Umgebungen, wie Modbus, DNP3 und S7comm. Die Entwicklung ist jedoch unvollständig: Modbuss Funktionalität ist teilweise, während für DCP3 und S7comm Positionsmarker vorhanden sind, was darauf hindeutet, dass dies ein frühes Entwicklungsstadium ist und die Autoren später ihre Kapazitäten erweitern könnten. Darüber hinaus enthält ZionSiphon einen USB-Verbreitungsmechanismus, der die ausführbare auf abnehmbare Einheiten unter einem Namen kopiert, der einen legitimen Prozess mihmt und schädlichen direkten Zugriff erzeugt, um seine Ausführung durch gedrückt zu erleichtern.

Ein neugieriger und kritischer Aspekt der technischen Analyse ist, dass die Länderprüflogik einen Fehler in der XOR-Operation enthält, die zur Vergleich von Werten verwendet wird. Als Ergebnis, dass die Überprüfung scheitert und Malware aktiviert eine Selbstzerstörungsroutine statt seine schädliche Belastung. Das bedeutet, dass die Bedrohung jetzt nicht funktionsfähig ist, aber die Korrektur dieses Fehlers durch seine Schöpfer könnte es zu einem echten Vektor gegen Wasseranlagen machen.. Darktrace unterstreicht auch die Präsenz im Kettenkodex mit politischen Botschaften und eine Liste von Zielen, die auf eine Infrastrukturorientierung in Israel hinweisen.

Die mögliche Handhabung von Parametern wie Chlordosis und Pumpendrücken ist keine rein theoretische Angelegenheit: in Wassersystemen können plötzliche Änderungen der Dosierung oder des Drucks zu Überhitzungen führen, mit Auswirkungen auf die öffentliche Gesundheit und Gerätekorrosion, mechanische Störungen in Membranen und Pumpen, die die Betriebskontinuität beeinträchtigen. Daher ist die bloße Möglichkeit, dass ein schädlicher Schauspieler diese Modifikationen mit lokalem Zugriff auf industrielle Steuerungssysteme automatisiert.

Incidents gegen industrielle Systeme sind nicht veröffentlicht: Angriffe wie Stuxnet haben vor Jahren gezeigt, dass Software physische Auswirkungen auf die Infrastruktur verursachen kann. Heute müssen die Verantwortlichen für den Betrieb und die Sicherheit von Wasseranlagen sowohl die bekannten Bedrohungen als auch das Potenzial neuer, an die OT-Umgebung angepasster Werkzeuge berücksichtigen. Um Techniken und Taktiken für industrielle Umgebungen zu dokumentieren, ist das Rahmenwerk MITRE ATT & CK für ICS eine nützliche Ressource: MITRE ATT & CK - ICS.

Welche praktischen Maßnahmen sollten bei einer solchen Entdeckung verstärkt werden? Erstens muss die Politik auf abnehmbaren Medien streng sein: USB-Verbreitung bleibt ein effektiver Weg, um physisch isolierte Netzwerke zu zeichnen. Steuerung und Aufzeichnung der Verwendung von Einheiten, wenden Sie weiße Listen von Anwendungen an, und halten Sie Datei-Verifikationsprozesse an Endpunkten OT sind wichtige Schritte. Es ist auch wichtig, die Integrität von kritischen Konfigurationsdateien zu überwachen und Alarme auf unerwartete Änderungen zu setzen, zusätzlich zur Segmentierung der OT-Netzwerke, um den Einfluss einer kompromittierten Ausrüstung zu minimieren. Für sektorale Beratung und spezifische Ressourcen, die US-amerikanische Infrastruktur-Sicherheitsagentur. UU bietet Dokumentation zur Wasser- und Abwassersicherheit: CISA - Wasser- und Abwassersysteme, und Informationsaustauschorganisationen wie WaterISAC können Kanäle für den Empfang relevanter Mitteilungen sein: WasserISAC.

Aus Sicht der technischen Überwachung ist es angebracht, den Verkehr Modbus / DNP3 und andere industrielle Protokolle auf der Suche nach Anomalien zu überprüfen, die Erkennung von BT-orientierten Intrusionen anzuwenden und Zugriffskontrollen auf Konsolen und Server zu überprüfen, die die Konfigurationen verwalten. Offline-Backup von Konfigurationen und Wiederherstellungsverfahren zu halten reduziert auch das Belichtungsfenster bei schädlichem Handling. Für Geräte, die IT- und OT-Funktionen kombinieren, sollten Bedrohungserkennungs- und Antwortlösungen in Endpunkten durch spezielle Werkzeuge für industrielle Umgebungen ergänzt werden.

Der Fall von ZionSiphon ist eine Mahnung, dass Angreifer ihre Werkzeuge an den Operationsbereich anpassen: Es geht nicht nur um Verschlüsselungsserver oder Stehlen von Daten, sondern um die Änderung physikalischer Parameter, die die öffentliche Sicherheit und Gesundheit beeinträchtigen können. Im Moment führt die analysierte Probe nicht die destruktive Last durch einen Validierungsfehler, aber es gibt keine Garantie, dass zukünftige Versionen nicht entfernen, dass Hindernis. Auf dem Laufenden halten, gute Cyberhygiene-Praktiken in OT anwenden und Kontrollen an abnehmbaren Mitteln und kritischen Konfigurationen stärken, ist der praktischste Weg, um das Risiko zu reduzieren.

Um die technische Analyse und den Kontext der Entdeckung zu lesen, siehe den Darktrace-Bericht: Drinnen ZionSiphon - Darktrace und für Führer und operative Ressourcen zum Schutz der Wasserinfrastruktur besuchen Sie die CISA-Sektion, die dem Sektor gewidmet ist: CISA - Wasser- und Abwassersysteme.