ZionSiphon: נוזקה שמכוונת למתקני מים והתפלה בישראל, אבל לפי Darktrace היא תקולה
Darktrace פרסמה ב-16 באפריל 2026 ניתוח של ZionSiphon, נוזקה שנועדה לפגוע במתקני מים והתפלה בישראל. בגלל טעות בבדיקת המדינה היא מוחקת את עצמה.
TL;DR בקצרה
- ב-16 באפריל 2026 פרסמה Darktrace ניתוח של ZionSiphon, נוזקה עם בדיקות IP ישראליות ושמות של מתקני מים והתפלה.
- היא מנסה לערוך קבצי הגדרות ולכתוב ערך לאוגר מינון הכלור ב-Modbus, אבל הגרסה שנבדקה מוחקת את עצמה בגלל טעות בבדיקת המדינה.
- Darktrace לא מייחסת את הנוזקה לקבוצה, והחלקים של DNP3 ו-S7comm חלקיים.
- ב-23 באפריל 2026 דיווח CyberScoop שלפי Dragos זו הייפ, ושחלקים מהקוד נראים כתוצר של מודל שפה.
ב-16 באפריל 2026 פרסמה Darktrace ניתוח של ZionSiphon, נוזקה שמכוונת למתקני טיפול במים והתפלה בישראל. לפי החוקרים, הגרסה שבדקו תקולה ואינה יכולה לפעול כמתוכנן. עם זאת, הקוד מראה כוונה ברורה לפגוע בתהליכים תעשייתיים.
ZionSiphon: מה הנוזקה מחפשת לפני שהיא פועלת
הנוזקה בודקת תחילה אם כתובת ה-IP של המחשב שייכת לטווחים ישראליים. אחר כך היא מחפשת תהליכים ותיקיות של מתקני התפלה ואוסמוזה הפוכה. היא מחפשת גם הגדרות של בקרת כלור. רק אם שתי הבדיקות עוברות, אמור המטען הזדוני לפעול. אחרת היא מוחקת את עצמה.
בקוד מופיעים שמות כמו Mekorot, Sorek, Hadera, Ashdod, Palmachim ו-Shafdan. לפי Darktrace, הם קשורים לתשתיות המים בישראל. ביניהן ארבעה מחמשת מתקני ההתפלה הגדולים של מי ים.
בנוסף, הקוד כולל שתי מחרוזות עם מסרים פוליטיים, בקידוד Base64. האחת מצהירה על תמיכה ב"אחים" נגד "תוקפנות ציונית". השנייה מזכירה הרעלה של אוכלוסיית תל אביב וחיפה. לפי Darktrace, אף אחת מהן לא משמשת בפועל, והחברה לא מייחסת את הנוזקה לקבוצה מסוימת.
איך ZionSiphon מנסה להשפיע על כלור ולחץ
הנוזקה כוללת רכיבים מוכרים: העלאת הרשאות, התמדה במחשב והפצה בכונני USB. היא מעתיקה את עצמה לקובץ svchost.exe עם תכונת הסתרה, ומוסיפה ערך הפעלה בשם SystemHealthCheck.
החלק התעשייתי כולל שני ניסיונות. הראשון הוא עריכת קבצי הגדרות מקומיים, כך שיוגדרו מינון כלור ולחץ גבוהים. השני הוא סריקה של הרשת המקומית אחר התקני בקרה בפרוטוקולים Modbus, DNP3 ו-S7comm.
רק ב-Modbus הקוד מפותח יחסית. הוא קורא אוגרים ומנסה לכתוב ערך 100 לאוגר של מינון הכלור. ב-DNP3 וב-S7comm הוא עדיין חלקי, ולפי Darktrace המסגרות שנשלחות קצרות מדי כדי להיות תקינות.
ZionSiphon תקולה: מה אמרו Darktrace ו-Dragos
הבעיה המרכזית בקוד היא בדיקת המדינה. הפונקציה משווה את המחרוזת Nqvbdk לתוצאה של הצפנת המילה Israel. לפי Darktrace, שום מפתח לא מביא את Israel לערך הזה. לכן הבדיקה נכשלת תמיד, והנוזקה מפעילה מחיקה עצמית.
החוקרים מציינים שאולי זו גרסת פיתוח, או גרסה שנוטרלה בכוונה לבדיקות. SecurityWeek מוסיף ש-Darktrace לא מעריכה שלשינוי הקבצים ולשינוי הפרמטרים ב-Modbus תהיה השפעה אמיתית. לפי הכתבה, הקוד מראה כוונה לשבש. אבל חסר בו התחכום לשנות את רמות הכלור בפועל.
מה קרה מאז: ב-23 באפריל 2026 דיווח CyberScoop על הערכה חריפה של Dragos. לדברי ג'ימי ווילי, אנליסט נוזקות ב-Dragos, זו "הייפ" ואין בה סכנה למתקני מים. Dragos סבורה שחלקים מהקוד נוצרו בעזרת מודל שפה, ושמות התהליכים והנתיבים בו בדויים. היא מזהירה גם שהמהומה סביב הנוזקה עלולה להסיט משאבים מאיומים של ממש.
מה זה אומר עבורכם
- אל תיבהלו, אבל עברו על ה-OT: אם אתם מפעילים מתקני מים או תעשייה, בדקו איזה ציוד נגיש מהאינטרנט. לפי SecurityWeek, מערכות כאלה בענף המים חשופות לא פעם.
- הגבילו כונני USB: ZionSiphon מתפשטת דרכם. חסמו התקני אחסון חיצוניים בעמדות בקרה, או סרקו אותם בעמדה ייעודית.
- חפשו אינדיקציות פשוטות: ערך הפעלה בשם SystemHealthCheck, וקובץ svchost.exe עם תכונת הסתרה בתיקיית LocalApplicationData. אלה סימנים מהניתוח של Darktrace.
- נטרו סריקות: חיבורים לפורטים 502, 20000 ו-102 מעמדה שאינה עמדת בקרה צריכים להדליק נורה.
- הפרידו בין IT ל-OT: השתמשו ברשתות שונות, ובגישה מרחוק עם אימות רב-שלבי. כך גם נוזקה שעובדת באמת תתקשה להגיע לבקרים.
מה הלאה
Darktrace מזהירה שגרסאות עתידיות עלולות לתקן את הטעות בבדיקת המדינה. לכן ההערכה של Dragos, שהקוד חלש מדי, אינה סיבה להזניח את ההגנה. כדאי לבנות אותה על הנחה שתופיע גרסה שעובדת.
מקורות והרחבה
- Inside ZionSiphon: Darktrace's analysis of OT malware targeting Israeli water systemsDarktrace
- ZionSiphon malware targets ICS in water facilitiesSecurityWeek
- ZionSiphon malware designed to sabotage water treatment systemsBleepingComputer
- Dragos: Despite AI use, new malware targeting water plants is 'hype'CyberScoop
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
