Der Iran setzt vermehrt Cyberdesinformationskampagnen zur Unterstützung der Hamas ein.

Die iranischen Cyber- und Einflussoperationen haben seit dem Terroranschlag der Hamas vom 7. Oktober mehrere Phasen durchlaufen. Ein Element ihrer Operationen ist immer gleich geblieben: opportunistische Cyberangriffe in Kombination mit Einflussoperationen, die oft über die Präzision oder den Umfang der Wirkung hinwegtäuschen.

Dieser Bericht konzentriert sich auf iranische Einflussnahme und Cyberdesinformationskampagnen vom 7. Oktober bis Ende 2023 und deckt gleichzeitig Trends und Operationen ab, die bis zum Frühjahr 2023 zurückreichen.

Iranische Gruppen reagierten blitzschnell in der Anfangsphase des Israel-Hamas-Krieges. Iranische Staatsmedien veröffentlichten irreführende Angaben zu angeblichen Cyberangriffen, während iranische Gruppen veraltetes Material aus früheren Operationen verwendeten. Sie alle benutzten einen bereits vor dem Krieg erhaltenen Zugriff zu Medien und überspitzten den Umfang und die Auswirkungen der angeblichen Cyberangriffe.

Fast vier Monate nach Beginn des Krieges hat Microsoft noch immer keine eindeutigen Beweise dafür gefunden, dass iranische Gruppen ihre Cyber- oder Beeinflussungsoperationen mit den Plänen der Hamas zum Angriff auf Israel am 7. Oktober koordiniert haben. Die Mehrzahl unserer Daten und Erkenntnisse deutet vielmehr darauf hin, dass iranische Cyberakteure reaktiv waren und ihre Cyber- und Beeinflussungsoperationen nach den Hamas-Angriffen schnell ausweiteten, um Israel entgegenzuwirken.

Die von Microsoft als Storm-0784 bezeichnete „Shahid Kaveh“-Gruppe des Korps der Islamischen Revolutionsgarde nutzte am 18. Oktober maßgeschneiderte Ransomware, um Cyberangriffe auf Sicherheitskameras in Israel durchzuführen. Dann benutzte sie eine ihrer Cyber-Personas, „Soldiers of Solomon“, um fälschlicherweise zu behaupten, sie habe Sicherheitskameras und Daten auf dem Luftwaffenstützpunkt Nevatim erbeutet. Die Untersuchung der veröffentlichten Sicherheitsaufnahmen von Soldiers of Solomon zeigt, dass sie aus einer Stadt nördlich von Tel Aviv mit einer Nevatim-Straße stammen, nicht von dem gleichnamigen Luftwaffenstützpunkt. Eine Lokalisationsanalyse der Opfer zeigt, dass sich keines in der Nähe der Militärbasis befand (siehe Abbildung 5). Iranische Gruppen hatten mit zerstörerischen Anschlägen begonnen, jedoch blieben ihre Operationen weitgehend opportunistisch. Sie nutzten weiterhin Beeinflussungsaktivitäten, um die Präzision oder Wirkung der Anschläge zu überspitzen.

Eine andere Cyber-Persona, die dem Korps der Islamischen Revolutionsgarde angehört, ist Cotton Sandstorm (auch bekannt als Emennet Pasargad). Sie veröffentlichte am 21. Oktober ein Video, in dem zu sehen ist, wie die Angreifer digitale Anzeigen in Synagogen mit Botschaften verunstalten und Israels Operationen im Gazastreifen als „Völkermord“ bezeichnen. ⁷ Sie stellt eine Methode zur direkten Einbettung von Nachrichten in Cyberangriffen auf ein relativ weiches Ziel dar.

In dieser Phase wurden für iranische Beeinflussungsaktivitäten umfassendere und ausgefeiltere Formen der Reichweitenerhöhung benutzt. In den ersten zwei Wochen des Krieges haben wir nur minimale fortgeschrittene Formen von gefälschter Reichweitenerhöhung festgestellt – was wiederum darauf hindeutet, dass die Operationen reaktiv waren. In der dritten Woche des Krieges kam Irans erfolgreichster Akteur, Cotton Sandstorm, hervor und führte am 21. Oktober drei Cyberdesinformationskampagnen durch. Die Gruppe nutzte wie zuvor ein Netzwerk von Sockenpuppen in den sozialen Medien, um ihre Aktionen zu verstärken. Offenbar gaben sich viele von ihnen auf eine viel zu schnelle und unglaubwürdige Weise als Israelis aus. Cotton Sandstorm hat mehrere Male Massen-SMS oder -E-Mails verschickt, um seine Aktivitäten zu verstärken oder damit zu prahlen. Um die Authentizität zu erhöhen, benutzte die Gruppe kompromittierte Konten.⁸

Seit Ende November haben iranische Gruppen ihre Cyberdesinformationskampagnen über Israel hinaus auf Länder ausgedehnt, von denen der Iran annimmt, dass sie Israel unterstützen. Höchstwahrscheinlich mit dem Ziel, die internationale politische, militärische oder wirtschaftliche Unterstützung für Israels militärische Operationen zu untergraben. Diese Ausweitung der Angriffe auf internationale Schiffe mit Verbindungen zu Israel erfolgte zeitgleich mit Beginn der Angriffe der Houthis, einer vom Iran unterstützten schiitischen militanten Gruppe im Jemen (siehe Abbildung 8).⁹

Irans Cyberdesinformationskampagnen sind auch in dieser letzten Phase immer raffinierter geworden. Um sich glaubhafter als Israelis auszugeben, haben sie ihre Sockenpuppen besser getarnt und einige von ihnen umbenannt sowie ihre Profilfotos geändert. Gleichzeitig nutzten sie neue Techniken, die wir von iranischen Akteuren noch nicht gesehen haben, einschließlich den Einsatz von KI als Schlüsselkomponente für ihre Nachrichten. Wir bewerten, dass Cotton Sandstorm im Dezember unter dem Deckmantel einer Persona namens „For Humanity“ Streaming-Fernsehdienste unter anderem in den Vereinigten Arabischen Emiraten gestört hat. „For Humanity“ veröffentlichte Videos auf Telegram, die zeigen, wie sich die Gruppe in drei Online-Streaming-Dienste einhackt und mehrere Nachrichtensender mit einer gefälschten Nachrichtensendung unterbricht. In dieser behauptet ein offenbar KI-generierter Moderator, Bilder von Palästinenserinnen und Palästinensern zu zeigen, die bei israelischen Militäroperationen verletzt oder getötet wurden (Abbildung 7).¹⁴Nachrichtendienste und Zuschauerinnen und Zuschauer in den Vereinigten Arabischen Emiraten, Kanada und dem Vereinigten Königreich berichteten über Unterbrechungen von Streaming-Fernsehprogrammen, einschließlich der BBC. Sie stimmen mit den Behauptungen von „For Humanity“ überein.¹⁵

Um seine Ziele im Informationsraum zu erreichen, hat sich der Iran in den letzten neun Monaten stark auf vier Taktiken, Techniken und Verfahren für seine Desinformationskampagnen verlassen. Dazu gehört der Einsatz von Identitätswechsel und verbesserten Fähigkeiten zur Aktivierung von Zielgruppen. Ein zunehmender Einsatz von SMS-Kampagnen und die Nutzung von Medien, die mit dem Korps der Islamischen Revolutionsgarde verbunden sind, sind geeignete Mittel, um die Einflussoperationen zu verstärken.

In ähnlicher Weise hat der Iran zunehmend überzeugende Identitätswechsel fiktiver israelischer Aktivistinnen- und Aktivistenorganisationen geschaffen, auf der rechten sowie auf der linken Seite des israelischen politischen Spektrums. Durch diese falschen Aktivistinnen und Aktivisten versucht der Iran, israelische Gemeinden zu infiltrieren, um ihr Vertrauen zu gewinnen und einen Konflikt zu schüren.

Wir gehen davon aus, dass zwei MOIS-zugehörige (Ministerium für Nachrichtendienst und Sicherheit in Iran) Gruppen, Storm-0861 und Storm-0842, Ende Oktober in Israel und Ende Dezember in Albanien an einer zerstörerischen Cyberattacke beteiligt waren. In beiden Fällen verschaffte sich Storm-0861 wahrscheinlich Zugriff zum Netzwerk, bevor Storm-0842 die Wiper-Malware ausgeführt hat. In ähnlicher Weise führte Storm-0842 im Juli 2022 Wiper-Malware in albanischen Regierungsstellen aus, nachdem sich Storm-0861 Zugriff verschafft hatte.

Storm-1084, eine andere MOIS-nahe Gruppe, hatte im Oktober möglicherweise auch Zugang zu einer Organisation in Israel, in der Storm-0842 den „BiBi“-Wiper einsetzte. Die Waffe ist nach der Zeichenfolge „BiBi“ benannt, die nach der Umbenennung der gelöschten Dateien durch die Malware erscheint. Es ist unklar, welche Rolle Storm-1084 bei dem zerstörerischen Angriff gespielt hat, falls die Gruppe daran beteiligt war. Storm-1084 führte Anfang 2023 zerstörerische Cyberangriffe gegen eine andere israelische Organisation durch. Es handelte sich um eine andere MOIS-zugehörige Gruppe namens Mango Sandstorm (auch bekannt als. MuddyWater).³³

Seit dem Ausbruch des Krieges hat Microsoft Threat Intelligence auch eine Zusammenarbeit zwischen einer MOIS-verbundenen Gruppe, Pink Sandstorm, und Cyber-Einheiten der Hisbollah festgestellt. Microsoft hat Überschneidungen in der Infrastruktur und eine gemeinsame Nutzung von Tools festgestellt. Die iranische Zusammenarbeit mit der Hisbollah bei Cyberdesinformationskampagnen ist zwar nicht neu, doch stellt sie eine besorgniserregende Entwicklung dar. Der Krieg könnte diese Gruppen über nationale Grenzen hinweg operativ noch enger zusammenführen.³⁴ Da alle iranischen Cyberangriffe in diesem Krieg mit Desinformationskampagnen kombiniert wurden, besteht die zusätzliche Wahrscheinlichkeit, dass der Iran seine Einflussoperationen und deren Reichweite verbessert. Indem er arabische Muttersprachler einsetzt, verbessert er die Authentizität seiner gefälschten Personas.

Wir gehen davon aus, dass die Bedrohung durch die iranischen Cyber- und Desinformationskampagnen zunehmen wird solange der Krieg andauert, insbesondere angesichts des steigenden Eskalationspotenzials an weiteren Fronten. In den ersten Tagen des Krieges haben iranische Gruppen noch Operationen im Eiltempo durchgeführt oder gar erfunden. Vor kurzem haben sie ihre Operationen jedoch verlangsamt, was ihnen mehr Zeit gibt, sich einen gewünschten Zugriff zu verschaffen oder aufwendigere Desinformationskampagnen zu entwickeln. Die in diesem Bericht beschriebenen Kriegsphasen verdeutlichen, dass die iranischen Cyber- und Beeinflussungsoperationen langsam fortschreiten und immer gezielter, kooperativer und destruktiver werden.

Auch iranische Akteure werden immer mutiger in ihren Angriffen, scheinbar ohne Sorge vor den Auswirkungen. Vor allem bei einem Cyberangriff auf ein Krankenhaus und dem Austesten von Washingtons Grenzen macht sich dieses Verhalten bemerkbar. Die Angriffe des Korps der Islamischen Revolutionsgarde auf US-Wasserkontrollsysteme waren zwar opportunistisch, jedoch handelte es sich offenbar um einen geschickten Trick. Um Washington auf die Probe zu stellen, behaupteten sie, es sei legitim, in Israel hergestellte Ausrüstung anzugreifen.

Im Vorfeld der US-Wahlen im November 2024 stellt die verstärkte Zusammenarbeit zwischen iranischen und mit dem Iran verbundenen Gruppen eine größere Herausforderung für die Wahlverteidiger dar. Verteidiger können sich nicht mehr damit zufrieden geben, einige wenige Gruppen zu verfolgen. Vielmehr sorgt eine wachsende Anzahl von Zugriffsagenten, Einflussgruppen und Cyber-Akteuren für ein komplexeres und verflochtenes Bedrohungsumfeld.