Специалисты Positive Technologies обнаружили на платформе MalwareBazaar вредоносное ПО S7Flip, предназначенное для атак на промышленные системы управления. Программа манипулирует данными ПЛК через протоколы S7Comm и Modbus TCP. Вредонос сканирует локальную сеть на наличие портов 102 (Siemens), 502 (Modbus TCP) и 44818 (Allen-Bradley), однако попытки взаимодействия с устройствами Allen-Bradley технически не реализованы.
S7Flip использует два деструктивных метода: изменение случайных целых чисел в блоках данных или инверсию битов в ячейках памяти. Все действия фиксируются в файле logs.csv. Вредонос закрепляется в автозагрузке Windows под именем aphp.exe. Исследователи выявили два варианта S7Flip, которые различаются способом линковки библиотеки libmodbus — динамическим или статическим.
Тот же источник загрузил на ресурс вайпер, маскирующийся под установщик Microsoft Edge. Программа удаляет содержимое рабочего стола и требует выкуп в размере $100 в биткоинах, указывая адрес кошелька проекта Bitcoin.org. В обновленной версии Edgev5.exe добавлено шифрование AES-256-GCM, а область воздействия расширена на папки Downloads и Documents.
Аналитики отметили общие черты у S7Flip и вайперов: использование тулчейна GCC 16.2.0 и идентичные метки времени компиляции, датированные 13 сентября 2026 года. Все образцы загружены пользователем с ником jeans. Несмотря на совпадения, эксперты указывают, что прямая связь между автором промышленного вредоноса и создателем вайпера пока не подтверждена окончательно.
