Iran lisää kyberavusteisia vaikuttamisoperaatioita Hamasin tukemiseksi

Iranin kyber- ja vaikuttamisoperaatiot ovat edenneet useiden vaiheiden kautta 7. lokakuuta tapahtuneen Hamasin terrori-iskun jälkeen. Yksi operaatioiden osatekijä on pysynyt koko ajan vakiona: opportunistisen kyberkohdistamisen yhdistäminen vaikuttamisoperaatioihin, jotka usein johtavat harhaan vaikutuksen tarkkuuden tai laajuuden suhteen.

Tässä raportissa keskitytään Iranin vaikuttamistoimiin ja kyberavusteisiin vaikuttamisoperaatioihin 7. lokakuuta ja vuoden 2023 lopun välisenä aikana, mutta siinä käsitellään myös suuntauksia ja operaatioita vuoden 2023 keväästä lähtien.

Iranilaiset ryhmät reagoivat Israelin ja Hamasin välisen sodan alkuvaiheessa. Iranin valtion tiedotusvälineet antoivat harhaanjohtavia tietoja väitetyistä kyberhyökkäyksistä, ja iranilaisryhmät käyttivät uudelleen vanhentunutta materiaalia aiemmista operaatioista, käyttivät uudelleen pääsyä, joka heillä oli ennen sotaa, ja liioittelivat väitettyjen kyberhyökkäysten kokonaislaajuutta ja -vaikutusta.

Lähes neljä kuukautta sodan alkamisen jälkeen Microsoft ei ole vieläkään nähnyt tiedoissaan selkeitä todisteita siitä, että iranilaiset ryhmät olisivat koordinoineet kyber- tai vaikuttamisoperaatioita Hamasin suunnitelmien kanssa hyökätä Israeliin 7. lokakuuta. Pikemminkin tietojemme ja havaintojemme enemmistö viittaa siihen, että iranilaiset kybertoimijat toimivat reaktiivisesti ja lisäsivät nopeasti kyber- ja vaikuttamisoperaatioitaan Hamasin iskujen jälkeen vastustaakseen Israelia.

Harhaanjohtavia yksityiskohtia väitetyistä hyökkäyksistä valtion tiedotusvälineiden kautta: 
Sodan syttymispäivänä Tasnim-uutistoimisto, Islamic Revolutionary Guard Corpsin (IRGC) alainen iranilainen uutistoimisto, väitti virheellisesti, että "Cyber Avengers" -niminen ryhmä teki kyberhyökkäyksiä israelilaista voimalaitosta vastaan "samaan aikaan" Hamasin hyökkäysten kanssa. ² Cyber Avengers, IRGC:n johtama kyberpersoona, väitti itse asiassa tehneensä kyberhyökkäyksen israelilaista sähköyhtiötä vastaan Hamasin hyökkäystä edeltävänä iltana.³ Heidän todisteensa: viikkoja vanhat lehtitiedotukset sähkökatkoista "viime vuosina" ja kuvakaappaus päiväämättömästä palveluhäiriöstä yhtiön verkkosivustolla. ⁴

Vanhan materiaalin käyttäminen uudelleen: 
Hamasin Israeliin tekemien hyökkäysten jälkeen Cyber Avengers väitti tekevänsä useita kyberhyökkäyksiä Israelia vastaan. Niistä varhaisimmat tutkimuksemme paljastivat valheellisiksi. Lokakuun 8. päivänä he väittivät vuotaneensa asiakirjoja israelilaisesta voimalaitoksesta, vaikka asiakirjat oli julkaissut aiemmin kesäkuussa 2022 toinen IRGC:n johtama kyberpersoona "Moses Staff".⁵

Pääsyn uudelleenkäyttö: 
Toinen kyberpersoona "Malek Team", jonka arvioimme olevan Iranin tiedustelu- ja turvallisuusministeriön (MOIS) hallinnoima, vuoti 8. lokakuuta henkilötietoja israelilaisesta yliopistosta ilman selkeää yhteyttä siellä puhkeamassa olevaan konfliktiin, mikä viittaa siihen, että kohde oli opportunistinen ja valittiin kenties ennen sodan puhkeamista olemassa olleen pääsyn perusteella. Sen sijaan, että Malek Team olisi luonut yhteyksiä vuotaneiden tietojen ja Hamasin operaatioiden tukemisen välille, se käytti aluksi X:ssä (aiemmin Twitter) aihetunnisteita Hamasin tukemiseen, ja vain päiviä myöhemmin se muutti viestejään samantyyppisiksi kuin Israelin pääministeriä Benjamin Netanjahua mustamaalaavat viestit, joita on nähty muissa Iranin vaikuttamisoperaatioissa.

Lokakuun 18. päivänä IRGC:n Shahid Kaveh -ryhmä, jota Microsoft jäljittää nimellä Storm-0784, käytti mukautettua kiristysohjelmaa tehdäkseen kyberhyökkäyksiä Israelin turvakameroita vastaan. Sitten se käytti yhtä kyberpersoonaa, "Soldiers of Solomonia", väittäessään valheellisesti, että se oli anastanut Nevatimin ilmavoimien tukikohdan turvakameroita ja tietoja. Soldiers of Solomonin vuotaman turvakamerakuvan tarkastelu paljastaa, että se on peräisin Tel Avivin pohjoispuolella sijaitsevasta kaupungista, jossa on Nevatim-katu, ei samannimisestä lentotukikohdasta. Itse asiassa uhrien sijainnin analyysi osoittaa, että yksikään uhri ei ollut lähellä sotilastukikohtaa (katso kuva 5). Vaikka iranilaisryhmät olivat aloittaneet tuhoisat iskut, niiden operaatiot olivat suurelta osin opportunistisia, ja ne käyttivät edelleen vaikuttamistoimia liioittelemaan iskujen tarkkuutta tai vaikutusta.

Lokakuun 21. päivänä toinen IRGC:n Cotton Sandstorm -ryhmän (joka tunnetaan yleisesti nimellä Emennet Pasargad) johtama kyberpersoona jakoi videon, jossa hyökkääjät turmelevat synagogien digitaalisia näyttöjä viesteillä, joissa Israelin Gazan-operaatioihin viitataan "kansanmurhana". ⁷ Tämä merkitsi menetelmää, jolla viestit voidaan upottaa suoraan kyberhyökkäyksiin, jotka kohdistuvat suhteellisen pehmeään kohteeseen.

Tässä vaiheessa Iranin vaikuttamistoiminnassa käytettiin laajempia ja kehittyneempiä epäaidon vahvistamisen muotoja. Sodan kahden ensimmäisen viikon aikana havaitsimme vain minimaalisen vähän epäaidon vahvistamisen kehittyneitä muotoja, mikä taas viittaa siihen, että operaatiot olivat reaktiivisia. Sodan kolmannella viikolla Iranin tuotteliain vaikuttajataho, Cotton Sandstorm, astui kuvaan ja käynnisti 21. lokakuuta kolme kyberavusteista vaikuttamisoperaatiota. Kuten ryhmältä usein nähdään, he käyttivät sosiaalisen median käsinukke-verkostoa operaatioiden vahvistamiseen, vaikka monet niistä näyttivätkin olevan hätäisesti uudelleenkäytettyjä ilman aitoja peitteitä, jotka naamioivat heidät israelilaisiksi. Cotton Sandstorm lähetti useaan otteeseen massatekstiviestejä tai -sähköpostiviestejä vahvistaakseen toimintaansa tai kehuskellakseen sillä, ja käytti vaarannettuja tilejä autenttisuuden lisäämiseksi.⁸

Marraskuun lopusta lähtien iranilaisryhmät laajensivat kyberavusteista vaikuttamistaan Israelin ulkopuolelle ja sisällyttivät siihen maita, joiden Iran katsoo auttavan Israelia, mikä hyvin todennäköisesti heikentää kansainvälistä poliittista, sotilaallista tai taloudellista tukea Israelin sotilasoperaatioille. Kohteiden laajeneminen tapahtui samaan aikaan, kun Iranin tukema Jemenin shiiamuslimien taistelijaryhmä Huthit alkoi hyökätä Israeliin yhteydessä oleviin kansainvälisiin laivoihin (katso kuva 8).⁹

Myös Iranin kyberavusteiset vaikuttamisoperaatiot kehittyivät edelleen tässä viimeisimmässä vaiheessa. He naamioivat käsinukkensa paremmin nimeämällä joitakin uudelleen ja muuttamalla niiden profiilikuvia näyttääkseen aidommin israelilaisilta. Samalla he käyttivät uusia tekniikoita, joita emme ole nähneet iranilaisilta toimijoilta, mukaan lukien tekoälyn käyttäminen keskeisenä osana viestintää. Arvioimme, että Cotton Sandstorm häiritsi suoratoistotelevisiopalveluja Yhdistyneissä arabiemiirikunnissa ja muualla joulukuussa "For Humanity" -nimisen persoonan varjolla. For Humanity julkaisi Telegramissa videoita, joissa ryhmä hakkeroi kolmeen suoratoistopalveluun ja häiritsi useita uutiskanavia väärennetyllä uutislähetyksellä, jossa tekoälyn luoma ankkuri väitti näyttävänsä kuvia Israelin sotilasoperaatioissa loukkaantuneista ja kuolleista palestiinalaisista (kuva 7).¹⁴ Arabiemiirikunnissa, Kanadassa ja Yhdistyneessä kuningaskunnassa toimivat uutistoimistot ja katsojat raportoivat For Humanityn väitteitä vastaavista häiriöistä suoratoistotelevisio-ohjelmissa, muun muassa BBC:ssä.¹⁵

Saavuttaakseen tavoitteensa informaatioavaruudessa Iran on viimeisten yhdeksän kuukauden aikana tukeutunut vahvasti neljään vaikuttamistaktiikkaan, -tekniikkaan ja -menettelyyn (TTP). Näitä ovat muun muassa tekeytyminen ja parannetut kyvyt kohdeyleisöjen aktivoimiseksi sekä tekstiviestikampanjoiden lisääntyvä käyttö ja IRGC:hen sidoksissa olevien tiedotusvälineiden käyttö vaikuttamisoperaatioiden vahvistamiseksi.

Tekeytyminen Israelin aktivistiryhmiksi ja iranilaisiksi kumppaneiksi 
Iranilaisryhmät ovat kehittäneet pitkäaikaisen tekeytymistekniikan pohjalta entistä tarkempia ja vakuuttavampia persoonia, jotka esiintyvät sekä Iranin ystävinä että vihollisina. Monet Iranin aiemmista operaatioista ja persoonista ovat väittäneet olevansa palestiinalaisten asiaa puolustavia aktivisteja.²⁷ Viimeaikaiset operaatiot, joita on toteuttanut Cotton Sandstormin johtama persoona, ovat menneet vielä pidemmälle: niissä on käytetty Hamasin sotilassiiven, al-Qassam-joukkojen, nimeä ja logoa Gazassa pidettäviä panttivankeja koskevien valheellisten viestien levittämiseen ja israelilaisten uhkaavien viestien lähettämiseen. Toinen Telegram-kanava, joka on uhkaillut IDF:n henkilöstöä ja vuotanut heidän henkilökohtaisia tietojaan ja jota arviomme mukaan pyöritti MOIS-ryhmä, käytti myös al-Qassam-joukkojen logoa. On epäselvää, toimiiko Iran Hamasin suostumuksella.

Vastaavasti Iran on luonut yhä vakuuttavampia imitaatioita Israelin poliittisen spektrin oikealla ja vasemmalla puolella toimivista kuvitteellisista israelilaisista aktivistijärjestöistä. Näiden tekaistujen aktivistien avulla Iran pyrkii soluttautumaan israelilaisiin yhteisöihin saadakseen niiden luottamuksen ja kylvääkseen eripuraa.

Israelilaisten aktivoiminen toimintaan 
Huhti- ja marraskuussa Iran osoitti toistuvasti onnistuneensa värväämään tietämättömiä israelilaisia osallistumaan kenttätoimintaan, jolla edistetään sen valeoperaatioita. Eräässä viimeaikaisessa operaatiossa, "Tears of War", iranilaiset toimijat onnistuivat tiettävästi vakuuttamaan israelilaiset ripustamaan Israelin asuinalueille Tears of War -brändättyjä banderolleja, joissa oli näennäisesti tekoälyn luoma kuva Netanjahusta ja joissa vaadittiin hänen erottamistaan virasta (katso kuva 11).²⁸

Tekstin ja sähköpostin välityksellä tapahtuva vahvistaminen yhä useammin ja hienostuneemmin 
Vaikka Iranin vaikuttamisoperaatiot tukeutuvat edelleen vahvasti koordinoituun epäaitoon sosiaalisen median vahvistamiseen kohdeyleisöjen tavoittamiseksi, Iran on käyttänyt yhä enemmän massatekstiviestejä ja -sähköpostiviestejä tehostaakseen kyberavusteisten vaikuttamisoperaatioidensa psykologisia vaikutuksia. Sosiaalisessa mediassa käsinukkejen avulla tapahtuvalla vahvistamisella ei ole samanlaista vaikutusta kuin viestillä, joka ilmestyy henkilön sähköpostiin, puhumattakaan puhelimesta. Cotton Sandstorm jatkoi aiempaa menestystään käyttämällä tätä tekniikkaa vuodesta 2022 alkaen,²⁹ lähettämällä massatekstiviestejä, -sähköposteja tai molempia ainakin kuudessa operaatiossa elokuun jälkeen. Tämän tekniikan lisääntynyt käyttö viittaa siihen, että ryhmä on hionut tätä kykyä ja pitää sitä tehokkaana. Cotton Sandstormin "Cyber Flood" -operaatioon lokakuun lopulla kuului jopa kolme sarjaa israelilaisille lähetettyjä massatekstiviestejä ja -sähköpostiviestejä, joissa vahvistettiin väitettyjä kyberhyökkäyksiä tai levitettiin vääriä varoituksia Hamasin iskuista Israelin Dimonan lähellä sijaitsevaa ydinvoimalaa vastaan.³⁰ Ainakin yhdessä tapauksessa he käyttivät hyväksi vaarannettua tiliä sähköpostiviestiensä aitouden parantamiseksi.

Valtion median hyödyntäminen 
Iran on käyttänyt IRGC:hen kytköksissä olevia avoimia ja salaisia tiedotusvälineitä vahvistaakseen väitettyjä kyberoperaatioita ja toisinaan liioittelemaan niiden vaikutuksia. Syyskuussa, kun Cyber Avengers väitti tehneensä kyberhyökkäyksiä Israelin rautatiejärjestelmää vastaan, IRGC:hen kytköksissä olevat tiedotusvälineet vahvistivat ja liioittelivat heidän väitteitään lähes välittömästi. IRGC:hen sidoksissa oleva Tasnim-uutistoimisto siteerasi virheellisesti israelilaisia uutislähetyksiä eri tapahtumasta todisteena siitä, että kyberhyökkäys oli tapahtunut.³¹ Muut Iranin ja Iranin liittolaisten tiedotusvälineet vahvistivat tätä raportointia tavalla, joka peitti entisestään kyberhyökkäystä tukevien todisteiden puutetta.³²

Lisääntyvä tekoälyn käyttöönotto vaikuttamisoperaatioissa 
MTAC on havainnut iranilaisten toimijoiden käyttävän tekoälyn tuottamia kuvia ja videoita Israelin ja Hamasin välisen sodan puhkeamisesta lähtien. Cotton Sandstorm ja Storm-1364 sekä Hizbollahiin ja Hamasiin kytköksissä olevat uutistoimistot ovat hyödyntäneet tekoälyä pelottelun tehostamiseksi sekä Netanjahua ja Israelin johtoa mustamaalaavien mielikuvien kehittämiseksi.

1. Kasvava yhteistyö 
Viikkoja Israelin ja Hamasin välisen sodan jälkeen aloimme nähdä esimerkkejä Iraniin yhteydessä olevien ryhmien välisestä yhteistyöstä, mikä lisäsi toimijoiden mahdollisuuksia. Yhteistyö alentaa pääsyn kynnystä, jolloin kukin ryhmä voi käyttää jo olemassa olevia valmiuksiaan ja yhden ryhmän ei tarvitse kehittää kaikkia työkaluja tai toimintatapoja.

Arvioimme, että kaksi MOIS:iin yhteydessä olevaa ryhmää, Storm-0861 ja Storm-0842, tekivät yhteistyössä tuhoisan kyberhyökkäyksen Israelissa lokakuun lopulla ja uudelleen Albaniassa joulukuun lopulla. Molemmissa tapauksissa Storm-0861 tarjosi todennäköisesti pääsyn verkkoon ennen kuin Storm-0842 suoritti pyyhkimishaittaohjelman. Vastaavasti Storm-0842 suoritti pyyhkimishaittaohjelman Albanian hallituksen yksiköissä heinäkuussa 2022 sen jälkeen, kun Storm-0861 oli päässyt järjestelmään käsiksi.

Lokakuussa toinen MOIS:iin liittyvä ryhmä, Storm-1084, saattoi myös päästä israelilaiseen organisaatioon, jossa Storm-0842 otti käyttöön "BiBi"-pyyhkimen, joka sai nimensä siitä, että haittaohjelma nimesi pyyhityt tiedostot uudelleen merkkijonolla "BiBi". Ei ole selvää, mikä rooli Storm-1084:llä oli tuhoisassa hyökkäyksessä. Storm-1084 teki tuhoisia kyberhyökkäyksiä toista israelilaista organisaatiota vastaan alkuvuodesta 2023, ja sen mahdollisti toinen MOIS:iin liittyvä ryhmä Mango Sandstorm (tunnetaan myös nimellä MuddyWater).³³

Sodan puhkeamisen jälkeen Microsoft Threat Intelligence on myös havainnut yhteistyötä MOIS:iin liittyvän Pink Sandstorm -ryhmän ja Hizbollahin kyberyksiköiden välillä. Microsoft on havainnut infrastruktuurin päällekkäisyyksiä ja yhteisiä työkaluja. Iranin yhteistyö Hizbollahin kanssa kyberoperaatioissa ei ole ennennäkemätöntä, mutta se on huolestuttava kehityssuuntaus, sillä sota saattaa vetää nämä ryhmät yli kansallisuusrajojen entistä lähemmäs toisiaan operatiivisesti.³⁴ Koska Iranin kyberhyökkäykset tässä sodassa on kaikki yhdistetty vaikuttamisoperaatioihin, on lisäksi todennäköistä, että Iran parantaa vaikuttamisoperaatioitaan ja niiden ulottuvuutta hyödyntämällä äidinkielenään arabiaa puhuvia parantamaan epäaitojen persoonien aitoutta.

2. Hyperkeskittyminen Israeliin 
Iranin kybertoimijoiden keskittyminen Israeliin voimistui. Iran on jo pitkään keskittynyt Israeliin, jota Teheran pitää Yhdysvaltojen ohella tärkeimpänä vastustajanaan. Microsoft Threat Intelligencen tietojen perusteella israelilaiset ja yhdysvaltalaiset yritykset ovatkin viime vuosina olleet lähes aina Iranin yleisimpiä hyökkäyskohteita. Ennen sotaa iranilaiset toimijat keskittyivät eniten Israeliin, sitten Yhdistyneisiin arabiemiirikuntiin ja Yhdysvaltoihin. Sodan puhjettua tämä Israeliin kohdistuva huomio kasvoi entisestään. Neljäkymmentäkolme prosenttia Microsoftissa seuratusta Iranin kybertoiminnasta kohdistui Israeliin, mikä on enemmän kuin seuraavien 14 kohdemaan osuus yhteensä.

Odotamme, että Iranin kyber- ja vaikuttamisoperaatioiden aiheuttama uhka kasvaa Israelin ja Hamasin välisen konfliktin jatkuessa, erityisesti kun eskaloitumismahdollisuudet uusilla rintamilla lisääntyvät. Iranilaisryhmät kiirehtivät sodan alkuaikoina toteuttamaan tai yksinkertaisesti keksimään operaatioita, mutta viimeaikaiset Iranin ryhmät ovat hidastaneet operaatioitaan, mikä antaa niille enemmän aikaa hankkia halutut pääsyt tai kehittää kehittyneempiä vaikuttamisoperaatioita. Tässä raportissa hahmotellut sodan vaiheet tekevät selväksi sen, että Iranin kyber- ja vaikuttamisoperaatiot ovat hitaasti edenneet ja muuttuneet entistä kohdennetummiksi, yhteistoiminnallisemmiksi ja tuhoisammiksi.

Iranilaiset toimijat ovat myös yhä rohkeammin kohdistaneet hyökkäyksiä, joista merkittävimpänä mainittakoon kyberhyökkäys sairaalaa vastaan, ja Washingtonin rajojen testaaminen näennäisesti välittämättä seurauksista. IRGC:n hyökkäykset yhdysvaltalaisia vedenhalintajärjestelmiä vastaan, vaikka ne olivatkin opportunistisia, olivat ilmeisesti ovela temppu testata Washingtonia väittämällä, että Israelissa valmistettuihin laitteisiin hyökkääminen on oikeutettua.

Marraskuussa 2024 pidettävien Yhdysvaltojen vaalien alla iranilaisten ja Iraniin sidoksissa olevien ryhmien lisääntynyt yhteistyö merkitsee suurempaa haastetta vaalien puolustamiseen osallistuville tahoille. Puolustajat eivät voi enää lohduttautua muutaman ryhmän jäljittämisellä. Pikemminkin pääsyagenttien, vaikuttajaryhmien ja kybertoimijoiden kasvava määrä tekee uhkaympäristöstä entistä monimutkaisemman ja kietoutuneemman.