Irán fokozza a kiberalapú befolyásolási műveleteket a Hamász támogatására

A Hamász október 7-i terrortámadása óta Irán kiber- és befolyásolási műveletei több fázison estek át. A műveletek egy eleme azonban mindvégig állandó maradt: az opportunista kibercélzás és a befolyásolási műveletek kombinációja, ami gyakran megtévesztő a hatás pontosságát vagy hatókörét illetően.

Ez a jelentés az iráni befolyásolási és kiberalapú befolyásolási műveletekre összpontosít október 7-től 2023 végéig, és kitér a 2023 tavaszáig visszanyúló tendenciákra és műveletekre is.

Az Izrael és a Hamász közötti háború kezdeti szakaszában az iráni csoportok reaktívan léptek fel. Az iráni állami média félrevezető részleteket közölt állítólagos kibertámadásokról, az iráni csoportok pedig újra felhasználták a korábbi műveletekből származó elavult anyagokat, újrahasznosították a háború előtti hozzáférésüket, és eltúlozták az állítólagos kibertámadások általános kiterjedését és hatását.

Közel négy hónappal a háború után a Microsoft még mindig nem talált egyértelmű bizonyítékot az adatai alapján arra, hogy iráni csoportok összehangolták volna kiber- vagy befolyásolási műveleteiket a Hamász azon terveivel, hogy október 7-én megtámadják Izraelt. Adataink és megállapításaink túlnyomó része inkább arra enged következtetni, hogy az iráni kiberszereplők reaktívan cselekedtek, és a Hamász-támadások után gyorsan megnövelték kiber- és befolyásolási műveleteiket, hogy Izrael ellen lépjenek fel.

Félrevezető részletek az állítólagos támadásokról az állami médiában: 
A háború kitörésének napján az Iszlám Forradalmi Gárdához (IRGC) kötődő iráni hírügynökség, a Tasnim valótlanul azt állította, hogy a Cyber Avengers nevű csoport kibertámadásokat hajtott végre egy izraeli erőmű ellen „a Hamász támadásaival egy időben”. ² Az IRGC által irányított kiberszemélyiség, a Cyber Avengers valójában azt állította, hogy a Hamász támadását megelőző este hajtott végre kibertámadást egy izraeli villamosenergia-vállalat ellen.³ Bizonyítékuk: hetekkel ezelőtti sajtójelentések „az elmúlt évek” áramkimaradásairól, valamint egy képernyőfotó a vállalat weboldalának szolgáltatási zavaráról dátum nélkül. ⁴

Régi anyagok újbóli felhasználása: 
A Hamász Izrael elleni támadásait követően a Cyber Avengers azt állította, hogy kibertámadások sorozatát hajtja végre Izrael ellen, amelyek közül a legkorábbiakról vizsgálataink kiderítették, hogy hamisak. Október 8-án azt állították, hogy egy izraeli erőmű dokumentumait szivárogtatták ki, bár a dokumentumokat már 2022 júniusában közzétette egy másik, az IRGC által irányított kiberszemélyiség, a Moses Staff.⁵

A hozzáférés más célra való újrahasznosítása: 
Egy másik kiberszemélyiség, a Malek Team, amelyet megítélésünk szerint az iráni hírszerzési és biztonsági minisztérium (MOIS) irányít, október 8-án személyes adatokat szivárogtatott ki egy izraeli egyetemről anélkül, hogy a célpontok egyértelműen kapcsolódtak volna az ott kibontakozó konfliktushoz, ami arra utal, hogy a célpont opportunista volt, és talán a háború kitörése előtti, már meglévő hozzáférésre alapozva választották ki. Ahelyett, hogy összefüggést mutatott volna a kiszivárgott adatok és a Hamász műveleteinek támogatása között, a Malek Team kezdetben a Hamász támogatására használt hashtageket használt az X-en (korábban Twitter), és csak napokkal később változtatott az üzenetek tartalmán úgy, hogy azok igazodjanak a Benjamin Netanjahu izraeli miniszterelnököt becsmérlő tartalmakhoz, amelyeket más iráni befolyásolási műveletekben is láthattunk.

Október 18-án az IRGC Shahid Kaveh csoportja, amelyet a Microsoft Storm-0784 néven azonosított, testreszabott zsarolóprogramot használt az izraeli biztonsági kamerák elleni kibertámadásokhoz. Ezután az egyik kiberszemélyisége, a Soldiers of Solomon felhasználásával valótlanul azt állította, hogy a Nevatim légibázison biztonsági kamerákat és adatokat ejtett túszul váltságdíj céljából. A Soldiers of Solomon által kiszivárogtatott biztonsági felvételek vizsgálata azt mutatja, hogy a felvételek nem az azonos nevű légibázisról, hanem egy Tel-Avivtól északra fekvő, Nevatim nevű utcával rendelkező városból származnak. Az áldozatok tartózkodási helyének elemzéséből kiderül, hogy egyikük sem volt a katonai bázis közelében (lásd az 5. ábrát). Jóllehet az iráni csoportok pusztító támadásokba kezdtek, műveleteik nagyrészt opportunista jellegűek maradtak, és továbbra is befolyásolási tevékenységekkel igyekeztek eltúlozni a támadások pontosságát vagy hatását.

Október 21-én az IRGC által működtetett Cotton Sandstorm (közismert nevén Emennet Pasargad) csoport egy másik kiberszemélyisége megosztott egy videót, amelyen a támadók zsinagógák digitális kijelzőit rongálták meg olyan üzenetekkel, amelyek Izrael gázai műveleteire népirtásként hivatkoztak. ⁷ Ez egy olyan módszer volt, amellyel az üzeneteket közvetlenül egy viszonylag puha célpont elleni kibertámadásokba ágyazták be.

Ebben a szakaszban Irán befolyásolási tevékenysége a nem hiteles felerősítés kiterjedtebb és kifinomultabb formáit alkalmazta. A háború első két hetében a nem hiteles felerősítés minimálisan előrehaladott formáit észleltük – ami ismét arra utal, hogy a műveletek reaktívak voltak. A háború harmadik hetére Irán legtevékenyebb befolyásolási szereplője, a Cotton Sandstorm lépett színre, és október 21-én három kiberalapú befolyásolási műveletet indított el. Ahogy az a csoportnál gyakran tapasztalható, a műveletek felerősítésére a közösségi médiában zoknibábok hálózatát használták, bár a jelek szerint ezek közül sokat elhamarkodottan alakítottak át az új célra anélkül, hogy azok hitelesen álcázták volna magukat izraelieknek. A Cotton Sandstorm több alkalommal küldött tömegesen SMS-eket vagy e-maileket, hogy felerősítse a műveleteit vagy dicsekedjen velük, a hitelesség fokozása érdekében pedig feltört fiókokat használt.⁸

November végétől kezdve az iráni csoportok a kiberalapú befolyásolási tevékenységüket Izraelen túlra is kiterjesztették, és olyan országokat is célba vettek, amelyek Irán megítélése szerint segítik Izraelt. Ennek célja nagy valószínűséggel az Izrael katonai műveleteinek nemzetközi politikai, katonai vagy gazdasági támogatásának aláásása volt. A célpontok körének bővülése egybeesett az Izraelhez kötődő nemzetközi szállítmányozás elleni támadások kezdetével, amelyeket az Irán által támogatott jemeni síita militáns csoport, a Hútik hajtottak végre (lásd a 8. ábrát).⁹

Irán kiberalapú befolyásolási műveletei ebben a legújabb szakaszban is egyre kifinomultabbá váltak. Jobban álcázták a zoknibábjaikat azzal, hogy némelyiket átnevezték és megváltoztatták a profilképüket, hogy hitelesebben tűnjenek izraelinek. Közben olyan új technikákat is alkalmaztak, amilyeneket még nem láttunk iráni szereplőknél: többek között mesterséges intelligenciát használtak üzenetük átadásának kulcsfontosságú elemeként. Vizsgálataink szerint a Cotton Sandstorm decemberben internettelevíziós szolgáltatásokat zavart meg az Egyesült Arab Emírségekben és máshol, egy For Humanity nevű személyiség álcáját használva. A For Humanity olyan videókat tett közzé a Telegramon, amelyeken a csoport három online műsorszórási szolgáltatást tört fel, és több hírcsatornát is megzavart egy hamis hírműsorral, amelyben egy láthatóan mesterséges intelligencia által generált műsorvezető szerepelt, aki azt állította, hogy az izraeli katonai műveletekben megsérült és megölt palesztinokról készült képeket mutat be (7. ábra).¹⁴ Az Egyesült Arab Emírségekben, Kanadában és az Egyesült Királyságban a hírcsatornák és a nézők olyan zavarokról számoltak be az internettelevíziós műsorszolgáltatásokban, beleértve a BBC-ét is, amelyek megegyeztek a For Humanity állításaival.¹⁵

Hogy elérje céljait az információs térben, Irán az elmúlt kilenc hónapban négy befolyásolási taktikára, technikára és eljárásra (TTP-re) támaszkodott erőteljesen. Ezek közé tartozik a megszemélyesítés és a célközönség aktivizálására szolgáló továbbfejlesztett képességek használata, párosulva az SMS-kampányok növekvő használatával és a befolyásolási műveleteknek az IRGC-hez kötődő média használatával történő felerősítésével.

Izraeli aktivista csoportok és iráni partnerek megszemélyesítése 
Az iráni csoportok a megszemélyesítés régóta alkalmazott technikájára építettek azáltal, hogy egyre specifikusabb és meggyőzőbb személyiségeket fejlesztettek ki, amelyek Irán barátainak és ellenségeinek egyaránt álcázzák magukat. Korábban az iráni műveletek és személyiségek nagy része a palesztin ügy érdekében tevékenykedő aktivistának adta ki magát.²⁷ A közelmúltban egy olyan kiberszemélyiség, amelyet értékeléseink szerint a Cotton Sandstorm irányít, még tovább ment, és a Hamász katonai szárnyának, az al-Kasszam Brigádoknak a nevét és emblémáját használva terjesztett hamis üzeneteket a Gázában fogva tartott túszokról és küldött fenyegető üzeneteket izraelieknek. Egy másik Telegram-csatorna, amely az IDF személyzetét fenyegette meg és személyes adataikat szivárogtatta ki, és amelyet megítélésünk szerint egy MOIS-csoport működtetett, szintén az al-Qassam Brigádok emblémáját használta. Nem világos, hogy Irán a Hamász beleegyezésével cselekszik-e.

Hasonlóképpen, Irán egyre meggyőzőbb megszemélyesítéseket hozott létre az izraeli politikai spektrum jobb- és baloldalán működő fiktív izraeli aktivista szervezetekről. Irán ezeken az álaktivistákon keresztül igyekszik beszivárogni az izraeli közösségekbe, hogy elnyerje bizalmukat és viszályt szítson.

Az izraeliek cselekvésre ösztönzése 
Áprilisban és novemberben Irán ismételten sikerrel járt abban, hogy gyanútlan izraelieket toborzott olyan helyi tevékenységekre, amelyek a hamis műveleteit támogatták. Egy közelmúltbeli műveletben a Tears of War (A háború könnyei) nevű akcióban iráni ügynököknek állítólag sikerült meggyőzniük az izraelieket arról, hogy Tears of War feliratú márkajeles transzparenseket függesszenek ki izraeli városrészekben, amelyeken egy láthatóan Al által generált Netanjahu-kép szerepelt, és amelyeken Netanjahu hivatalból való eltávolítását követelték (lásd a 11. ábrát).²⁸

SMS-en és e-mailen keresztül történő felerősítés egyre gyakrabban és egyre kifinomultabb módon 
Miközben az iráni befolyásolási műveletek továbbra is erősen támaszkodnak a közösségi médiában folytatott összehangolt, nem hiteles felerősítésre a célközönség elérése érdekében, Irán egyre inkább alkalmazza a tömeges SMS-eket és e-maileket is, hogy fokozza a kiberalapú befolyásolási műveletek pszichológiai hatásait. A közösségi médiában zoknibábok használatával történő felerősítésnek nem akkora a hatása, mint egy saját beérkezett üzeneteinkben megjelenő e-mailnek – a saját telefonon való megjelenésről már nem is beszélve. A Cotton Sandstorm a 2022-től kezdődően az ezzel a technikával elért korábbi sikerekre²⁹ alapozva augusztus óta legalább hat művelet során küldött tömegesen SMS-eket, e-maileket vagy mindkettőt. Ennek a technikának a fokozott használata arra utal, hogy a csoport tökéletesítette ezt a képességét, és hatékonynak tartja azt. A Cotton Sandstorm október végén végrehajtott Cyber Flood nevű műveletében akár háromszor is küldhettek tömegesen SMS-eket és e-maileket izraelieknek, amelyekben állítólagos kibertámadásokat erősítettek fel, illetve hamis figyelmeztetéseket terjesztettek a Hamász által a Dimona közelében lévő izraeli nukleáris létesítmény ellen intézett támadásokról.³⁰ Legalább egy esetben feltört fiókot használtak fel az e-mailjeik hitelességének növelésére.

Az állami média kihasználása 
Irán az IRGC-hez kötődő nyílt és fedett médiaorgánumokat használ az állítólagos kiberműveletek felerősítésére és időnként azok hatásainak eltúlzására. Szeptemberben, miután a Cyber Avengers azt állította, hogy kibertámadás érte az izraeli vasúti rendszert, az IRGC-hez kötődő média szinte azonnal elkezdte az állításaikat felerősíteni és eltúlozni. Az IRGC-hez kötődő Tasnim hírügynökség tévesen egy másik eseményről szóló izraeli híradást idézett bizonyítékként arra, hogy a kibertámadás valóban megtörtént.³¹ Ezt a tudósítást más, iráni és Iránhoz kötődő csatornák tovább erősítették oly módon, hogy még inkább elfedték a kibertámadást alátámasztó bizonyítékok hiányát.³²

Az AI kialakulóban lévő alkalmazása a befolyásolási műveletekben 
Az MTAC az Izrael–Hamász háború kitörése óta tapasztalja, hogy az iráni szereplők mesterséges intelligencia által generált képeket és videókat használnak. A Cotton Sandstorm és a Storm-1364, valamint a Hezbollahhoz és a Hamászhoz kötődő hírcsatornák az Al-t a megfélemlítés fokozására és a Netanjahut és az izraeli vezetést lejárató képek előállítására használták fel.

1. Fellendülő együttműködés 
Az Izrael és a Hamász közötti háború első heteiben már láthattunk példákat az Iránhoz kötődő csoportok közötti együttműködésre, amely fokozta a szereplők által elérhető eredményeket. Az együttműködés révén könnyebben kivitelezhető a belépés, mivel minden csoport hozzájárulhat saját képességeivel, és nincs szükség arra, hogy egyetlen csoport fejlessze ki a teljes eszköztárat vagy szaktudást.

Értékelésünk szerint a MOIS-hoz kötődő két csoport, a Storm-0861 és a Storm-0842 egymással együttműködve hajtott végre pusztító kibertámadást október végén Izraelben, majd december végén Albániában. Valószínűleg mindkét esetben a Storm-0861 biztosította a hálózathoz való hozzáférést, mielőtt a Storm-0842 végrehajtotta volna a törlő kártevős támadást. A Storm-0842 2022 júliusában hasonlóképpen hajtott végre törlő kártevős támadást az albán kormányzati szervek ellen úgy, hogy előzőleg a Storm-0861 szerzett hozzáférést hozzájuk.

Októberben a MOIS-hoz kötődő másik csoport, a Storm-1084 szintén hozzáférhetett egy izraeli szervezet rendszeréhez, ahol a Storm-0842 telepítette a BiBi törlőprogramot, amely arról kapta a nevét, hogy a kártevő a törölt fájlokat a BiBi karakterlánccal nevezi át. Nem világos, hogy a Storm-1084 milyen szerepet játszott a pusztító támadásban, vagy hogy volt-e egyáltalán szerepe. A Storm-1084 2023 elején egy másik izraeli szervezet ellen is pusztító kibertámadásokat hajtott végre, amelyeket egy szintén a MOIS-hoz kötődő csoport, a Mango Sandstorm (más néven MuddyWater) tett lehetővé.³³

A háború kitörése óta a Microsoft Veszélyforrás-intelligencia a MOIS-hoz kötődő Pink Sandstorm nevű csoport és a Hezbollah kibercsoportjai közötti együttműködést is észlelte. A Microsoft megfigyelte az infrastruktúra átfedéseit és a közös eszközhasználatot. Noha a Hezbollahhal való iráni együttműködés nem példa nélküli a kiberműveletek terén, aggodalomra ad okot, hogy a háború a nemzetek közötti határokat átlépve még közelebb hozhatja ezeket a csoportokat egymáshoz a műveletek terén.³⁴ Mivel Irán a háború során végrehajtott kibertámadásait mindig befolyásolási műveletekkel kombinálta, az is valószínűsíthető, hogy Irán az arab anyanyelvűek felhasználásával javítja befolyásolási műveleteit és azok hatókörét, hogy növelje a hamis személyiségek hitelességét.

2. Izrael fokozottan a figyelem középpontjában 
Az iráni kiberszereplők egyre nagyobb figyelmet fordítanak Izraelre. Irán már régóta kiemelten foglalkozik Izraellel, amelyet Teherán az Egyesült Államok mellett fő ellenfelének tekint. Ennek megfelelően a Microsoft Veszélyforrás-intelligencia adatai szerint az elmúlt években szinte mindig az izraeli és az amerikai vállalatok voltak Irán leggyakoribb célpontjai. A háborút megelőzően az iráni szereplők elsősorban Izraelre, azt követően pedig az Egyesült Arab Emírségekre és az Egyesült Államokra összpontosítottak. A háború kitörését követően az Izraelre irányuló figyelem még inkább megnőtt. A Microsoft által nyomon követett iráni nemzetállami kibertevékenységek 43 százaléka Izrael ellen irányult, ami több, mint a következő 14 célországé együttvéve.

Arra számítunk, hogy az iráni kiber- és befolyásolási műveletek által okozott veszély az Izrael és a Hamász közötti konfliktus elhúzódásával tovább fog nőni, különösen a további frontokon történő eszkaláció növekvő lehetőségei közepette. Míg a háború kezdeti időszakában az iráni csoportok sietve hajtottak végre, vagy egyszerűen csak kitaláltak állítólagos műveleteket, az utóbbi időben lelassították akcióikat, így több idejük maradt a kívánt hozzáférés megszerzésére vagy a bonyolultabb befolyásolási műveletek kidolgozására. Az ebben a jelentésben felvázolt háborús fázisok világossá teszik, hogy az iráni kiber- és befolyásolási műveletek fokozatosan fejlődtek, miközben egyre célzottabbá, együttműködőbbé és pusztítóbbá váltak.

Az iráni szereplők a célpontok tekintetében is egyre vakmerőbbé váltak: legfőbb példaként említhetünk egy kórház elleni kibertámadást, amellyel Washington türelmét is próbára tették, látszólag nem törődve a következményekkel. Az IRGC támadásai az amerikai vízgazdálkodási ellenőrző rendszerek ellen, bár opportunisták voltak, látszólag okos trükknek tűntek, amellyel próbára akarták tenni Washingtont azzal, hogy az Izraelben gyártott berendezések megtámadásának jogosságára hivatkoztak.

A 2024. novemberi amerikai választások előtt az iráni és Iránhoz köthető csoportok fokozott együttműködése komoly kihívást jelent a választások védelmét ellátó szervezetek számára. A védők már nem nyugodhatnak meg azzal, hogy néhány csoportot nyomon követnek. A hozzáférést szerezni próbáló szereplők, a befolyásolási csoportok és a kiberszereplők egyre nagyobb száma egy sokkal összetettebb és összefonódottabb fenyegetettségi környezetet eredményez.