Iran meningkatkan operasi-pengaruh cyber untuk mendukung Hamas

Operasi pengaruh dan cyber Iran telah berproses melalui sejumlah fase sejak serangan teroris Hamas pada tanggal 7 Oktober. Salah satu elemen operasi mereka tetap konsisten, yakni mengombinasikan penargetan cyber oportunis, dengan operasi pengaruh yang kerap menyesatkan dalam hal akurasi atau lingkup dampak.

Laporan ini berfokus pada operasi pengaruh dan operasi-pengaruh cyber Iran, mulai dari tanggal 7 Oktober hingga penghujung 2023. Laporan juga mencakup tren dan operasi yang berawal sejak musim semi pada tahun 2023.

Kelompok Iran bersifat reaktif selama fase awal perang Israel-Hamas. Media negara Iran melansir detail menyesatkan mengenai klaim serangan cyber, dan kelompok Iran menggunakan kembali materi lama dari operasi di masa lampau, mengalihfungsikan akses yang mereka miliki sebelum perang, serta membesar-besarkan lingkup dan dampak keseluruhan dari serangan cyber yang mereka klaim tersebut.

Hingga nyaris empat bulan setelah perang, Microsoft masih belum melihat bukti jelas dari data kami, belum ada yang menunjukkan bahwa kelompok Iran telah mengoordinasi operasi cyber atau pengaruh mereka untuk mendukung rencana Hamas menyerang Israel pada tanggal 7 Oktober. Sebaliknya, data dan temuan kami lebih banyak menunjukkan, bahwa pelaku cyber Iran bersikap reaktif, serta-merta meningkatkan operasi cyber dan pengaruh mereka pascaserangan Hamas untuk melawan balik Israel.

Detail menyesatkan mengenai serangan yang diklaim melalui media negara: 
Pada hari pecahnya perang, Tasnim News Agency, sebuah saluran Iran yang terafiliasi dengan Korps Garda Revolusi Islam (Islamic Revolutionary Guard Corps/IRGC), secara tidak benar mengklaim, bahwa kelompok dengan julukan “Cyber ​​Avengers” menyelenggarakan serangan cyber terhadap pembangkit listrik Israel “pada saat yang bersamaan” dengan serangan Hamas. ² Cyber ​​Avengers, persona cyber yang ditunggangi oleh IRGC, sebenarnya mengklaim telah melancarkan serangan cyber terhadap perusahaan listrik Israel pada malam sebelum penyerbuan oleh Hamas.³ Bukti mereka yaitu: media berusia mingguan yang melaporkan pemadaman listrik “dalam beberapa tahun terakhir”, dan cuplikan layar yang memuat disrupsi layanan terhadap situs web perusahaan tersebut tanpa tertera tanggal. ⁴

Menggunakan kembali materi lama: 
Setelah serangan Hamas terhadap Israel, Cyber ​​​​Avengers mengklaim menyelenggarakan rentetan serangan cyber untuk melawan Israel, ini bagian paling awal yang terbukti salah oleh riset kami. Pada tanggal 8 Oktober, mereka mengklaim membocorkan dokumen pembangkit listrik Israel, tetapi dokumen tersebut telah diterbitkan sebelumnya pada bulan Juni 2022 oleh persona cyber lain kelolaan IRGC, “Moses Staff.”⁵

Mengalihfungsikan akses: 
Persona cyber lainnya, “Malek Team,” yang menurut penilaian kami dijalankan oleh Kementerian Intelijen dan Keamanan Iran (MOIS), membocorkan data pribadi dari sebuah universitas Israel pada tanggal 8 Oktober tanpa kaitan jelas dengan penargetan konflik yang meruak di tempat itu. Ini menunjukkan, bahwa target bersifat oportunis dan mungkin dipilih berdasarkan akses yang sudah ada sebelum pecahnya perang. Malek Team tidak menyangkut-pautkan antara data yang bocor dan dukungan terhadap operasi Hamas. Tetapi, pada awalnya mereka menggunakan hashtag di X (sebelumnya Twitter) untuk mendukung Hamas, dan hanya dalam beberapa hari kemudian, mereka mengubah pesan agar selaras dengan jenis pesan yang mencoreng Perdana Menteri Israel, Benjamin Netanyahu, yang juga muncul di operasi pengaruh Iran lainnya.

Pada tanggal 18 Oktober, Grup Shahid Kaveh dari IRGC, yang dilacak oleh Microsoft sebagai Storm-0784, menggunakan ransomware kustom untuk menyelenggarakan serangan cyber terhadap kamera keamanan di Israel. Mereka lantas menggunakan salah satu persona cyber mereka, “Soldiers of Solomon,” untuk menyampaikan klaim palsu bahwa mereka menuntut tebusan untuk kamera keamanan dan data di Pangkalan Angkatan Udara Nevatim. Pemeriksaan terhadap rekaman keamanan Soldiers of Solomon yang bocor mengungkapkan, bahwa rekaman itu berasal dari kota di utara Tel Aviv dengan sebuah jalan bernama Nevatim, bukan pangkalan udara dengan nama yang sama. Faktanya, analisis terhadap lokasi korban menunjukkan, bahwa tidak ada satu pun yang berada di dekat pangkalan militer (lihat Gambar 5). Meskipun kelompok Iran telah memulai serangan destruktif, operasi mereka sebagian besar masih oportunis dan terus memanfaatkan aktivitas pengaruh untuk melebih-lebihkan akurasi atau dampak serangan.

Pada tanggal 21 Oktober, persona cyber lain yang dijalankan oleh kelompok IRGC, Cotton Sandstorm (umumnya dikenal juga dengan nama Emennet Pasargad), membagikan video penyerang yang mencoret tampilan digital di sinagoge, berisikan pesan yang menyebut operasi Israel di Gaza sebagai “genosida.” ⁷ Ini menandai adanya metode penyematan pesan langsung di dalam serangan cyber saat menyasar target yang relatif lunak.

Selama fase ini, aktivitas pengaruh Iran menggunakan bentuk amplifikasi inotentik yang lebih ekstensif dan canggih. Dalam dua minggu pertama perang, kami mendeteksi, bahwa hanya sedikit bentuk amplifikasi inotentik yang bertingkat lanjut—lagi-lagi, ini menunjukkan bahwa operasi tersebut bersifat reaktif. Pada minggu ketiga perang, pelaku pengaruh yang paling produktif di Iran, Cotton Sandstorm, memasuki kancah dengan meluncurkan tiga operasi-pengaruh cyber pada tanggal 21 Oktober. Seperti yang kerap kita lihat dari kelompok tersebut, mereka menggunakan jaringan sockpuppet di media sosial untuk amplifikasi operasi, meskipun tampaknya, banyak yang dialihfungsikan secara tergesa-gesa tanpa penyamaran autentik ketika mereka berpura-pura menjadi orang Israel. Di dalam banyak kesempatan, Cotton Sandstorm mengirimkan pesan teks atau email dalam jumlah besar untuk mengamplifikasi atau menggadang-gadang operasi mereka, memanfaatkan akun yang disusupi untuk membuatnya semakin autentik.⁸

Dimulai pada akhir November, kelompok Iran memperluas pengaruh cyber mereka hingga ke luar Israel, termasuk ke negara yang mereka anggap membantu Israel, yang kemungkinan besar bertujuan untuk meredam dukungan politik, militer, atau ekonomi internasional terhadap operasi militer Israel. Perluasan penargetan ini selaras dengan dimulainya serangan terhadap pelayaran internasional terkait Israel oleh kelompok Houthi, sebuah kelompok militan Syiah di Yaman yang didukung oleh Iran (lihat Gambar 8).⁹

Operasi-pengaruh cyber Iran juga terus berkembang kian canggih pada fase terakhir ini. Mereka menyamarkan sockpuppet dengan lebih baik, mengganti sejumlah nama dan mengubah foto profil agar terlihat lebih autentik seolah berkebangsaan Israel. Sementara itu, mereka menggunakan teknik baru yang belum pernah dilakukan oleh pelaku Iran, termasuk menggunakan AI sebagai komponen utama pada pesan. Menurut penilaian kami, Cotton Sandstorm mendisrupsi layanan televisi streaming di Uni Emirat Arab dan lokasi lain pada bulan Desember dengan menyamar sebagai persona bernama “For Humanity.” For Humanity memublikasikan video di Telegram, memperlihatkan saat kelompok tersebut meretas tiga layanan streaming online dan mendisrupsi sejumlah saluran berita dengan siaran berita palsu, menampilkan pembawa berita yang tampaknya dibuat oleh AI dan mengklaim menunjukkan gambar orang-orang Palestina yang terluka dan terbunuh akibat operasi militer Israel (Gambar 7).¹⁴ Saluran berita dan pemirsa di Uni Emirat Arab, Kanada, dan Inggris Raya melaporkan terjadinya disrupsi dalam program televisi streaming, termasuk BBC, sama seperti yang diklaim oleh For Humanity.¹⁵

Untuk mencapai tujuan mereka di ruang informasi, Iran sangat bergantung pada empat taktik, teknik, dan prosedur (TTP) pengaruh selama sembilan bulan terakhir. Ini termasuk penggunaan penyamaran dan kemampuan yang diasah untuk menggerakkan audiens target, ditambah dengan peningkatan penggunaan kampanye pesan teks dan media terkait IRGC untuk mengamplifikasi operasi pengaruh.

Menyamar sebagai kelompok aktivis Israel dan mitra Iran 
Kelompok Iran mengembangkan teknik penyamaran yang telah lama ada, dengan cara membangun persona yang lebih spesifik dan meyakinkan, berpura-pura menjadi teman sekaligus musuh Iran. Ada banyak operasi dan persona Iran di masa lalu yang mengaku sebagai aktivis pendukung perjuangan otoritas Palestina.²⁷ Belum lama ini, operasi persona, yang menurut penilaian kami ditunggangi oleh Cotton Sandstorm, telah bergerak lebih jauh, menggunakan nama dan logo sayap militer Hamas, Brigade al-Qassam, untuk menyebarkan pesan palsu mengenai para sandera yang ditahan di Gaza dan mengirimkan pesan ancaman kepada orang-orang Israel. Saluran Telegram lain yang telah mengancam personel IDF dan membocorkan data pribadi mereka, yang menurut penilaian kami diselenggarakan oleh kelompok MOIS, juga menggunakan logo Brigade al-Qassam. Tidak jelas apakah Iran bertindak atas persetujuan Hamas.

Demikian pula, Iran telah membentuk penyamaran yang kian meyakinkan sebagai organisasi aktivis fiktif Israel, di sayap kanan dan kiri spektrum politik Israel. Melalui aktivis palsu ini, Iran berupaya untuk menginfiltrasi komunitas Israel, dalam rangka memperoleh kepercayaan mereka dan menebar perselisihan.

Menggerakkan Israel untuk bertindak 
Pada bulan April dan November, Iran berulang kali menunjukkan keberhasilan dalam merekrut warga Israel tanpa mereka sadari, untuk terlibat di dalam aktivitas lapangan yang mempromosikan operasi palsu Iran. Dalam sebuah operasi baru-baru ini, “Tears of War,” agen Iran dilaporkan berhasil meyakinkan warga Israel untuk menggantungkan spanduk bertuliskan Tears of War di lingkungan Israel, menampilkan gambar Netanyahu yang tampaknya dibuat oleh Al dan menuntut pencabutan Netanyahu dari jabatannya (lihat Gambar 11).²⁸

Amplifikasi lewat teks dan email dengan frekuensi dan kecanggihan yang semakin tingi 
Operasi pengaruh Iran terus mengandalkan amplifikasi di media sosial yang inotentik dan terkoordinasi untuk menjangkau audiens target. Seiring hal tersebut, Iran juga kian intens memanfaatkan pesan teks dan email dalam jumlah besar, untuk memperbesar dampak psikologis hasil operasi-pengaruh cyber mereka. Amplifikasi dengan sockpuppet di media sosial tidak berdampak sama jika dibandingkan dengan pesan yang muncul di kotak masuk seseorang, apalagi di ponselnya. Cotton Sandstorm membangun teknik ini berdasarkan kesuksesan di masa lalu semenjak tahun 2022,²⁹ mengirimkan pesan teks, email, atau keduanya, di dalam jumlah besar, dalam setidaknya enam operasi sejak bulan Agustus. Meningkatnya penggunaan teknik ini menunjukkan, bahwa kelompok tersebut telah mempertajam kemampuan, dan mereka melihat, bahwa teknik ini efektif. Operasi “Cyber Flood” oleh Cotton Sandstorm pada akhir Oktober menyertakan tiga untai pesan teks dan email massal untuk Israel, mengamplifikasi klaim serangan cyber atau mendistribusikan peringatan palsu mengenai serangan Hamas terhadap fasilitas nuklir Israel di dekat Dimona.³⁰ Setidaknya di dalam satu kasus, mereka memanfaatkan akun yang telah disusupi untuk meningkatkan keautentikan email.

Memanfaatkan media negara 
Iran telah menggunakan media terbuka dan saluran media rahasia terkait IRGC untuk mengamplifikasi operasi cyber terduga, serta terkadang membesar-besarkan dampaknya. Pada bulan September, setelah Cyber ​​Avengers mengklaim serangan cyber terhadap sistem jalan kereta api Israel, media terkait IRGC hampir seketika itu juga mengamplifikasi dan membesar-besarkan klaim mereka. Tasnim News Agency yang terkait dengan IRGC, secara keliru mengutip liputan berita Israel tentang peristiwa lain sebagai bukti dari serangan cyber yang terjadi.³¹ Pelaporan ini diamplifikasi kian jauh oleh saluran Iran dan saluran lain yang berpihak pada Iran, dengan cara-cara yang semakin menutup erat-erat perihal tidak adanya bukti yang mendukung klaim serangan cyber tersebut.³²

Adopsi AI baru untuk operasi pengaruh 
Sejak pecahnya perang Israel-Hamas, MATC memantau pelaku Iran menggunakan gambar dan video yang dibuat oleh AI. Cotton Sandstorm dan Storm-1364, serta saluran berita yang terafiliasi dengan Hezbollah dan Hamas, telah memanfaatkan Al untuk eskalasi intimidasi dan membentuk citra yang mencoreng Netanyahu dan kepemimpinan Israel.

1. Kolaborasi yang meruak 
Beberapa minggu setelah perang Israel-Hamas, kami mulai melihat contoh kolaborasi di antara kelompok yang terafiliasi dengan Iran, meningkatkan hasil yang dapat dicapai oleh para pelaku. Kolaborasi akan mengurangi hambatan masuk, memungkinkan setiap kelompok untuk berkontribusi lewat kemampuan yang ada, menyingkirkan kebutuhan akan satu kelompok tunggal dalam pengembangan seluruh spektrum perkakas atau keahlian.

Kami menilai, bahwa sepasang kelompok terkait MOIS, Storm-0861 dan Storm-0842, berkolaborasi dalam serangan cyber destruktif di Israel pada akhir Oktober, dan kembali terjadi di Albania pada akhir Desember. Di dalam kedua kasus tersebut, Storm-0861 kemungkinan besar menyediakan akses ke jaringan, sebelum Storm-0842 mengeksekusi program jahat yang melakukan penghapusan menyeluruh (wiper). Demikian pula, Storm-0842 mengeksekusi program jahat penghapus (wiper) di entitas pemerintah Albania pada bulan Juli 2022 setelah Storm-0861 memperoleh akses.

Pada bulan Oktober, kelompok lain terkait MOIS, Storm-1084, kemungkinan juga telah memiliki akses ke sebuah organisasi di Israel tempat Storm-0842 menyebarkan wiper “BiBi”, julukan ini diambil karena program jahat tersebut menamai ulang file yang dihapus dengan string “BiBi.” Tidak jelas peran apa yang dimainkan oleh Storm-1084—jika memang ada—di dalam serangan destruktif tersebut. Storm-1084 menyelenggarakan serangan cyber destruktif terhadap organisasi Israel lainnya pada awal tahun 2023, digerakkan oleh grup lain terkait MOIS, yakni Mango Sandstorm (alias MuddyWater).³³

Sejak pecahnya perang, Microsoft Threat Intelligence juga mendeteksi kolaborasi antara kelompok yang terhubung dengan MOIS, Pink Sandstorm, dan unit cyber Hezbollah. Microsoft telah memantau infrastruktur yang saling terkait dan perkakas yang mereka gunakan bersama. Kolaborasi Iran dengan Hezbollah dalam operasi cyber bukanlah hal yang belum pernah terjadi sebelumnya. Namun, ini menimbulkan perkembangan yang mengkhawatirkan, karena perang mungkin saja mempererat kelompok-kelompok lintas negara ini secara operasional.³⁴ Semua serangan cyber yang Iran lakukan di dalam perang ini dikombinasikan dengan operasi pengaruh, sehingga ada kemungkinan tambahan, bahwa Iran akan meningkatkan operasi pengaruh dan jangkauan mereka dengan memanfaatkan penutur asli berbahasa Arab, untuk meningkatkan keautentikan dari persona yang inotentik.

2. Terlalu berfokus pada Israel 
Fokus pelaku cyber Iran terhadap Israel semakin tajam. Iran sudah sekian lama berfokus pada Israel, yang Teheran anggap sebagai musuh utama di samping Amerika Serikat. Oleh karena itu, berdasarkan data Microsoft Threat Intelligence, di dalam beberapa tahun terakhir, perusahaan Israel dan AS hampir selalu menjadi target paling lazim bagi Iran. Menjelang perang, pelaku Iran menaruh fokus utama mereka pada Israel, diikuti Uni Emirat Arab, dan Amerika Serikat. Setelah pecahnya perang, fokus terhadap Israel melejit. Empat puluh tiga persen aktivitas cyber negara-bangsa Iran yang dilacak di Microsoft menarget Israel, melampaui aktivitas terhadap 14 negara yang menjadi target berikutnya jika digabungkan.

Kami memperkirakan, bahwa ancaman dari operasi cyber dan pengaruh Iran akan berkembang seiring berlanjutnya konflik Israel-Hamas, terutama di tengah naiknya potensi eskalasi dengan musuh-musuh tambahan. Walaupun kelompok Iran dahulu terburu-buru, atau sekadar mengada-ada soal operasi pada masa awal perang, belum lama ini mereka telah memperlambat operasi, sehingga mereka memiliki lebih banyak waktu untuk memperoleh akses yang diinginkan atau mengembangkan operasi pengaruh yang lebih terperinci. Fase perang di dalam laporan ini menggarisbawahi, bahwa operasi cyber dan pengaruh Iran berproses secara perlahan-lahan, targetnya kian tajam, serta semakin kolaboratif dan destruktif.

Pelaku Iran juga semakin berani dalam menentukan target serangan mereka, salah satu catatan paling menarik adalah gempuran cyber terhadap rumah sakit, serta percobaan melintasi ‘garis merah’ Washington yang terlihat tak peduli akan dampaknya. Serangan IRGC terhadap sistem kendali air AS, meskipun bersifat oportunis, tampaknya merupakan manuver cerdas, dalam rangka menguji Washington dengan mengklaim legitimasi terkait penyerangan peralatan yang dibuat di Israel..

Menjelang pemilu AS pada bulan November 2024, meningkatnya kolaborasi antara Iran dan kelompok yang terafiliasi dengan Iran menjadi pertanda, bahwa akan ada tantangan lebih besar bagi orang-orang yang terlibat di dalam pertahanan pemilu. Jajaran pertahanan tidak bisa lagi menenangkan diri karena hanya perlu melacak beberapa kelompok. Sebaliknya, jumlah agen akses, kelompok pengaruh, dan pelaku cyber akan bertambah, sehingga lingkungan ancaman menjadi semakin kompleks dan berkelindan.