A Darktrace identificou uma nova variante de malware voltada a sistemas de Tecnologia Operacional OT que controlam esta\u00e7\u00f5es de tratamento e dessaliniza\u00e7\u00e3o de \u00e1gua em Israel. O c\u00f3digo, batizado ZionSiphon, foi detectado em an\u00e1lises recentes de seguran\u00e7a e aponta para manipula\u00e7\u00e3o de par\u00e2metros cr\u00edticos da infraestrutura h\u00eddrica. A descoberta refor\u00e7a a vulnerabilidade de plantas de \u00e1gua ante ataques cibern\u00e9ticos.<\/p>\n
O ZionSiphon foi desenvolvido para alterar par\u00e2metros f\u00edsicos como concentra\u00e7\u00e3o de cloro e press\u00e3o da rede, com potencial de causar danos reais \u00e0 popula\u00e7\u00e3o. Embora ainda haja falhas de implementa\u00e7\u00e3o, o malware demonstra conhecimento t\u00e9cnico espec\u00edfico sobre os sistemas ICS usados pelas usinas israelenses.<\/p>\n
Entre as alvos identificadas pela amostra de c\u00f3digo est\u00e3o usinas de dessaliniza\u00e7\u00e3o e tratamento de efluentes de Sorek, Hadera, Ashdod, Shafdan e Palmachim. Esses ativos s\u00e3o consideradas instala\u00e7\u00f5es-chave para abastecimento e manejo de \u00e1gua no pa\u00eds.<\/p>\n
O malware busca arquivos de configura\u00e7\u00e3o como DesalConfig.ini e ChlorineControl.dat e suporta os protocolos Modbus, DNP3 e S7comm, comuns em automa\u00e7\u00e3o industrial. O c\u00f3digo inclui uma lista de instala\u00e7\u00f5es-alvo codificada no programa.<\/p>\n
Tamb\u00e9m houve indica\u00e7\u00e3o de endere\u00e7os IP codificados em base64 e ofuscados, o que sugere planejamento para invas\u00e3o segmentada de redes OT. O ZionSiphon utiliza t\u00e9cnicas de reconhecimento de plantas para mapear ambientes cr\u00edticos.<\/p>\n
Ap\u00f3s a infec\u00e7\u00e3o, o sistema verifica privil\u00e9gios administrativos atrav\u00e9s de RunAsAdmin e pode se disfar\u00e7ar como o processo svchost.exe para mascarar sua presen\u00e7a. A persist\u00eancia \u00e9 assegurada pela cria\u00e7\u00e3o da chave de registro SystemHealthCheck.<\/p>\n
A propaga\u00e7\u00e3o por m\u00eddia remov\u00edvel \u00e9 prevista: ao detectar um pen drive, o malware copia-se para o dispositivo e substitui atalhos por links falsos criados com CreateUSBShortcut, executando a carga maliciosa sem indicar anomalias.<\/p>\n
Pesquisadores da Darktrace encontraram mensagens ocultas que expressam apoio a determinados grupos e refer\u00eancias geopol\u00edticas, embora o c\u00f3digo n\u00e3o tenha capacidade t\u00e9cnica de executar a\u00e7\u00f5es associadas a essas mensagens. O grupo pode se autodenominar 0xICS e mencionar Dimona, o que chama aten\u00e7\u00e3o para o potencial de motiva\u00e7\u00e3o pol\u00edtica.<\/p>\n
Uma fun\u00e7\u00e3o chamada SelfDestruct apaga o execut\u00e1vel se o malware n\u00e3o estiver em Israel, mas apresenta falhas de l\u00f3gica que podem levar \u00e0 autodestrui\u00e7\u00e3o incorreta em alvos leg\u00edtimos. O conjunto de erros n\u00e3o anula a periculosidade do c\u00f3digo, que j\u00e1 demonstra conhecimento t\u00e9cnico sobre protocolos ICS e arquivos de configura\u00e7\u00e3o propriet\u00e1rios.<\/p>\n
A Darktrace recomenda monitoramento cont\u00ednuo de redes OT, segmenta\u00e7\u00e3o entre TI e sistemas de controle e pr\u00e1ticas de detec\u00e7\u00e3o de anomalias para reduzir o risco de ataque a infraestruturas h\u00eddricas.<\/p>\n","protected":false},"excerpt":{"rendered":"