Logiciel malveillant ZionSiphon

Des analystes en cybersécurité ont identifié une nouvelle souche de logiciel malveillant, ZionSiphon, conçue spécifiquement pour cibler les installations israéliennes de traitement et de dessalement des eaux. Cette découverte témoigne d'une escalade inquiétante des cyberattaques visant les infrastructures critiques, notamment au sein des environnements de technologies opérationnelles (TO) industrielles.

Origines et contexte : émergence post-conflit

Le logiciel malveillant ZionSiphon a été observé pour la première fois en circulation le 29 juin 2025, peu après la guerre des douze jours entre l'Iran et Israël (13-24 juin 2025). Ce calendrier suggère des motivations géopolitiques potentielles, s'inscrivant dans une tendance plus large d'activité cybernétique faisant suite aux conflits régionaux.

Bien qu'apparemment en phase de développement ou incomplète, cette application malveillante présente déjà un ensemble de fonctionnalités avancées. Celles-ci incluent l'élévation de privilèges, des mécanismes de persistance, la propagation via USB et l'analyse ciblée des systèmes de contrôle industriels (ICS). Elle intègre notamment des fonctionnalités de sabotage visant à manipuler les niveaux de chlore et les commandes de pression, paramètres clés des procédés de traitement de l'eau.

Ciblage de précision : filtres géographiques et environnementaux

ZionSiphon utilise un mécanisme d'activation à double condition, garantissant son exécution uniquement dans des circonstances très spécifiques. Le logiciel malveillant n'active sa charge utile que lorsque les deux conditions suivantes sont remplies :

Le système infecté se trouve dans des plages d'adresses IPv4 israéliennes prédéfinies.
L'environnement présente des caractéristiques associées aux systèmes de traitement ou de dessalement de l'eau.

Les plages d'adresses IP ciblées comprennent :

2.52.0.0 – 2.55.255.255
79.176.0.0 – 79.191.255.255
212.150.0.0 – 212.150.255.255

De plus, des chaînes de caractères intégrées au logiciel malveillant font référence à l'infrastructure israélienne, ce qui renforce la spécificité de son ciblage. Les messages politiques contenus dans le code expriment un soutien à l'Iran, à la Palestine et au Yémen, soulignant ainsi la dimension idéologique de la campagne.

Capacités opérationnelles : Manipulation des systèmes de contrôle industriel et reconnaissance de réseau

Une fois exécuté dans des conditions valides, ZionSiphon lance une reconnaissance et une interaction avec les appareils du sous-réseau local. Il tente de communiquer en utilisant plusieurs protocoles industriels couramment utilisés dans les environnements OT :

• Modbus
• DNP3
• S7comm

Parmi ces fonctionnalités, celle liée à Modbus semble la plus aboutie, tandis que la prise en charge de DNP3 et S7comm reste partiellement implémentée. Cela laisse supposer que des développements et des tests sont en cours.

Le logiciel malveillant modifie également les fichiers de configuration locaux, ciblant notamment les paramètres qui régulent le dosage du chlore et la pression du système. Une telle manipulation pourrait perturber les processus de traitement de l'eau, engendrant des risques potentiels pour l'intégrité des infrastructures et la sécurité publique.

Mécanismes de propagation et d’autodestruction

L'une des caractéristiques notables de ZionSiphon est sa capacité à se propager via des supports amovibles, permettant ainsi une progression latérale dans des environnements potentiellement isolés des réseaux externes. Cette technique rappelle les tactiques employées lors d'attaques antérieures ciblant les systèmes de contrôle industriel (ICS).

Toutefois, si le logiciel malveillant détermine que le système hôte ne correspond pas à ses critères de ciblage, il déclenche une procédure d'autodestruction. Ce comportement minimise le risque de détection et limite l'exposition en dehors des cibles prévues.

Lacunes de développement et implications stratégiques

Malgré sa conception avancée, l'échantillon actuel présente des limitations critiques. Plus précisément, il ne parvient pas à valider correctement ses propres conditions de ciblage géographique, même lorsqu'il fonctionne dans les plages d'adresses IP définies. Cette incohérence suggère plusieurs possibilités : une désactivation intentionnelle, des erreurs de configuration ou une phase de développement inachevée.

Néanmoins, la conception architecturale de ZionSiphon reflète une tendance plus générale. Les acteurs malveillants expérimentent de plus en plus la manipulation de systèmes de contrôle industriel (ICS) multiprotocoles, l'accès persistant au sein d'environnements opérationnels (OT) et des méthodes de propagation adaptées aux systèmes isolés du réseau. Ces caractéristiques ressemblent fortement aux tactiques observées lors de précédentes cyberattaques étatiques ciblant les infrastructures industrielles.

Conclusion : Un signal d’alarme pour la sécurité des infrastructures critiques

ZionSiphon représente bien plus qu'un simple exemple de logiciel malveillant : il illustre l'évolution des menaces qui pèsent sur les infrastructures critiques à l'échelle mondiale. Même incomplet, il témoigne d'une volonté délibérée d'allier visées géopolitiques et sophistication technique, soulignant l'urgence de renforcer les contrôles de sécurité dans les environnements industriels.