Iranas stiprina kibernetinės įtakos operacijas, kuriomis remiamas „Hamas“

Nuo spalio 7 d. „Hamas“ teroristinio išpuolio Irano kibernetinės ir įtakos operacijos perėjo kelis etapus. Vienas jų operacijų elementas per visą laiką išliko pastovus: oportunistiniai kibernetiniai taikiniai derinami su įtakos operacijomis, kurios dažnai klaidina dėl poveikio tikslumo ar masto.

Šioje ataskaitoje daugiausia dėmesio skiriama Irano įtakos ir kibernetinės įtakos operacijoms nuo spalio 7 d. iki 2023 m. pabaigos, kartu apžvelgiant tendencijas ir operacijas nuo 2023 m. pavasario.

Irano grupuotės buvo neiniciatyvios pradiniame Izraelio ir „Hamas“ karo etape. Irano valstybinė žiniasklaida paskelbė klaidinančią informaciją apie tariamas kibernetines atakas, o Irano grupės pakartotinai panaudojo seną ankstesnių operacijų medžiagą, pasinaudojo prieš karą turėta prieiga ir išpūtė bendrą tariamų kibernetinių atakų mastą ir poveikį.

Praėjus beveik keturiems karo mėnesiams, „Microsoft“ vis dar neturi aiškių įrodymų, kad Irano grupuotės būtų koordinavusios savo kibernetines ar įtakos operacijas su „Hamas“ planais spalio 7 d. pulti Izraelį. Dauguma mūsų duomenų ir išvadų rodo, kad Irano kibernetiniai veikėjai veikiau reagavo ir po „Hamas“ išpuolių, siekdami pasipriešinti Izraeliui, greitai išplėtė savo kibernetines ir įtakos operacijas.

Valstybinėje žiniasklaidoje pateikiama klaidinanti informacija apie tariamus išpuolius: 
Tą dieną, kai prasidėjo karas, Irano naujienų agentūra „Tasnim News Agency“, susijusi su Islamo revoliucijos gvardijos korpusu (IRGC), melagingai teigė, kad grupuotė, pasivadinusi „Cyber Avengers“, vykdė kibernetines atakas prieš Izraelio elektrinę „tuo pačiu metu“, kada buvo vykdomi „Hamas“ išpuoliai. ² IRGC valdoma kibernetinė persona „Cyber Avengers“ teigė, kad vakare prieš „Hamas“ įsiveržimą įvykdė kibernetinę ataką prieš Izraelio elektros bendrovę.³ Jų įrodymai: kelių savaičių senumo spaudos pranešimai apie elektros energijos tiekimo sutrikimus „pastaraisiais metais“ ir ekrano nuotrauka, kurioje užfiksuotas nedatuotas bendrovės interneto svetainės veikimo sutrikimas. ⁴

Pakartotinis senos medžiagos naudojimas. 
Po „Hamas“ išpuolių prieš Izraelį „Cyber Avengers“ teigė surengę virtinę kibernetinių atakų prieš Izraelį, iš kurių pirmosios, kaip parodė mūsų tyrimai, buvo melagingos. Spalio 8 d. jie teigė, kad nutekino Izraelio elektrinės dokumentus, nors šiuos dokumentus 2022 m. birželį paskelbė kita IRGC valdoma kibernetinė persona „Moses Staff“.⁵

Pakartotinis prieigos panaudojimas. 
Kita kibernetinė persona „Malek Team“, kuriai, mūsų manymu, vadovauja Irano žvalgybos ir saugumo ministerija (MOIS), spalio 8 d. nutekino asmeninius duomenis iš Izraelio universiteto, tačiau tai nebuvo aiškiai susieta su kylančiu konfliktu šioje šalyje, o tai rodo, kad taikinys buvo oportunistinis ir galbūt pasirinktas atsižvelgiant į ankstesnę prieigą prieš prasidedant karui. Užuot ieškojus sąsajų tarp nutekintų duomenų ir paramos „Hamas“ operacijoms, „Malek Team“ iš pradžių naudojo X (anksčiau – „Twitter“) saitažodžius, kuriais palaikė „Hamas“, ir tik po kelių dienų pakeitė pranešimus, kad jie atitiktų Izraelio ministrą pirmininką Benjaminą Netanyahu menkinančius pranešimus, pastebėtus kitose Irano įtakos operacijose.

Spalio 18 d. IRGC „Shahid Kaveh“ grupuotė, kurią „Microsoft“ seka kaip „Storm-0784“, naudodama pritaikytą išpirkos reikalaujančią programinę įrangą surengė kibernetines atakas prieš Izraelio saugos kameras. Tada ji pasinaudojo viena iš savo kibernetinių personų „Soldiers of Solomon“ ir melagingai pareiškė, kad užgrobė Nevatimo oro pajėgų bazės saugos kameras ir duomenis. Išnagrinėjus nutekintą „Soldiers of Solomon“ saugos kamerų filmuotą medžiagą, paaiškėjo, kad ji daryta mieste į šiaurę nuo Tel Avivo su Nevatimo gatve, o ne to paties pavadinimo oro pajėgų bazėje. Iš tiesų, išanalizavus aukų buvimo vietas, paaiškėjo, kad nė viena iš jų nebuvo netoli karinės bazės (žr. 5 pav.). Nors Irano grupuotės pradėjo destruktyvias atakas, jų operacijos tebebuvo iš esmės oportunistinės, ir jos ir toliau naudojosi įtakos veikla, kad išpūstų šių atakų tikslumą ar poveikį.

Spalio 21 d. kita IRGC grupuotės „Cotton Sandstorm“ (dar žinomos kaip „Emennet Pasargad“) kibernetinė persona pasidalijo vaizdo įrašu, kuriame įsilaužėliai sudarkė sinagogų skaitmeninius ekranus žinutėmis, kuriose Izraelio operacijos Gazoje vadinamos „genocidu“. ⁷ Tai metodas, kad į kibernetines atakas, nukreiptas prieš sąlyginai lengvą taikinį, tiesiogiai įtraukiami pranešimai.

Šiuo etapu Irano įtakos veikloje buvo naudojamos platesnės ir sudėtingesnės melagingo stiprinimo formos. Per pirmąsias dvi karo savaites aptikome tik minimalias pažangias melagingo stiprinimo formas – tai vėlgi rodo, kad operacijos buvo reaktyvios. Trečiąją karo savaitę į kovą įsitraukė produktyviausia Irano įtakos veikėja „Cotton Sandstorm“, kuri spalio 21 d. pradėjo tris kibernetines įtakos operacijas. Kaip dažnai pastebime iš šios grupuotės, operacijoms sustiprinti jie naudojo socialinių tinklų marionečių tinklą, nors daugelis jų atrodė paskubomis perkurtos be autentiškų priedangų, kad tai izraeliečiai. Keletą kartų „Cotton Sandstorm“ masiškai siuntė teksto žinutes arba el. laiškus, kad sustiprintų arba pasigirtų savo operacijomis, pasinaudodama pažeistomis paskyromis, kad padidintų tikrumą.⁸

Nuo lapkričio pabaigos Irano grupuotės išplėtė savo kibernetinę įtaką ne tik Izraeliui, bet ir šalims, kurios, Irano nuomone, padeda Izraeliui, labai tikėtina, kad gali pakenkti tarptautinei politinei, karinei ar ekonominei paramai Izraelio karinėms operacijoms. Tiksliniai išpuoliai buvo vykdomi tuo pat metu, kai Irano remiama Irano šiitų kovotojų grupuotė „Houthis“ Jemene pradėjo vykdyti išpuolius prieš tarptautinę laivybą, susijusią su Izraeliu (žr. 8 pav.).⁹

Naujausiame etape Irano įtakos operacijos, vykdomos kibernetinėmis priemonėmis, taip pat darėsi vis sudėtingesnės. Jie geriau užmaskavo savo marionetes – kai kurias iš jų pervadino ir pakeitė profilio nuotraukas, kad atrodytų tikresni izraeliečiai. Taip pat jie pasinaudojo naujais metodais, kurių Irano veikėjai dar nebuvo naudoję, įskaitant dirbtinio intelekto naudojimą kaip pagrindinį savo pranešimų komponentą. Manome, kad „Cotton Sandstorm“ gruodžio mėn. sutrikdė televizijos transliavimo paslaugų teikimą Jungtiniuose Arabų Emyratuose ir kitur, prisidengdama persona, pavadinta „For Humanity“. „For Humanity“ „Telegram“ paskelbė vaizdo įrašų, kuriuose matyti, kaip grupuotė įsilaužia į tris internetinės transliacijos paslaugas ir sutrikdo kelių naujienų kanalų veiklą, rodydama netikras naujienas, kurias transliuoja akivaizdžiai dirbtinio intelekto sukurtas diktorius, teigiantis, kad rodo Izraelio karinių operacijų metu sužeistų ir nužudytų palestiniečių vaizdus (7 pav.).¹⁴ JAE, Kanados ir Jungtinės Karalystės naujienų tarnybos bei žiūrovai pranešė apie televizijos transliacijų programų, įskaitant BBC, sutrikimus, kurie atitiko „For Humanity“ teiginius.¹⁵

Siekdamas tikslų informacinėje erdvėje, Iranas per pastaruosius devynis mėnesius daug dėmesio skyrė keturioms įtakos taktikoms, metodams ir procedūroms (TTP). Tai apima apsimetinėjimą ir geresnius gebėjimus paskatinti veikti tikslinę auditoriją, taip pat vis dažniau naudojamasi tekstinių žinučių kampanijomis ir su IRGC susijusia žiniasklaida, kad būtų sustiprintos įtakos operacijos.

Apsimetinėjimas Izraelio aktyvistų grupėmis ir Irano partneriais 
Irano grupuotės, remdamosi sena apsimetinėjimo technika, sukūrė konkretesnes ir įtikinamesnes personas, kurios apsimeta ir Irano draugais, ir priešais. Daugelis ankstesnių Irano operacijų ir personų prisistatė kaip Palestinos reikalą palaikantys aktyvistai.²⁷ Neseniai vykdytos personos, kuriai, mūsų manymu, vadovauja „Cotton Sandstorm“, operacijos žengė dar toliau – ji naudojosi „Hamas“ karinio sparno, „Al-Qassam“ brigadų, pavadinimu ir logotipu, kad skleistų melagingus pranešimus apie Gazoje laikomus įkaitus ir siųstų izraeliečiams grasinančias žinutes. Kitame „Telegram“ kanale, kuriuo grasinta IDF darbuotojams ir nutekinti jų asmeniniai duomenys ir kurį, mūsų manymu, valdė MOIS grupuotė, taip pat buvo naudojamas „Al-Qassam“ brigadų logotipas. Neaišku, ar Iranas veikia su „Hamas“ sutikimu.

Panašiai Iranas sukūrė vis įtikinamesnes fiktyvių Izraelio dešiniojo ir kairiojo politinio spektro aktyvistų organizacijų imitacijas. Pasitelkdamas šiuos netikrus aktyvistus, Iranas siekia įsiskverbti į Izraelio bendruomenes, įgyti jų pasitikėjimą ir sėti nesantaiką.

Izraeliečių skatinimas veikti 
Balandžio ir lapkričio mėn. Iranas ne kartą sėkmingai verbavo nieko nenutuokiančius izraeliečius įsitraukti į veiklą, skatinančią jo netikras operacijas. Pranešama, kad per vieną neseniai vykdytą operaciją „Tears of War“ Irano agentams pavyko įtikinti izraeliečius Izraelio rajonuose pakabinti „Tears of War“ pažymėtus plakatus su iš pažiūros dirbtinio intelekto sukurtu Netanyahu atvaizdu ir raginimu pašalinti jį iš pareigų (žr. 11 pav.).²⁸

Eskalavimas vis dažniau ir sumaniau siunčiant teksto žinutes ir el. laiškus 
Nors Iranas, siekdamas pasiekti tikslinę auditoriją, ir toliau daugiausia remiasi koordinuotu pranešimų platinimu per netikrus socialinius tinklus, jis vis dažniau naudoja masinį tekstinių žinučių ir elektroninių laiškų siuntimą, kad sustiprintų psichologinį kibernetinių įtakos operacijų poveikį. Socialiniuose tinkluose naudojantis marionetėmis platinama informacija neturi tokio paties poveikio kaip žinutė, atsidūrusi asmeninėje pašto dėžutėje, jau nekalbant apie telefoną. „Cotton Sandstorm“ pasinaudojo ankstesniais laimėjimais naudojant šį metodą nuo 2022 m.,²⁹ nuo rugpjūčio mėn. bent šešiose operacijose masiškai siuntė trumpąsias žinutes, el. laiškus arba ir viena, ir kita. Tai, kad grupuotė vis dažniau naudoja šį metodą, rodo, jog ji ištobulino šį gebėjimą ir mano, kad jis yra veiksmingas. Spalio pabaigoje vykdyta „Cotton Sandstorm“ operacija „Cyber Flood“ apėmė iki trijų masinių tekstinių žinučių ir elektroninių laiškų rinkinių izraeliečiams, kuriais buvo stiprinamos tariamos kibernetinės atakos arba platinami melagingi perspėjimai apie „Hamas“ atakas prieš Izraelio branduolinį objektą netoli Dimonos.³⁰ Bent vienu atveju jie pasinaudojo užkrėsta paskyra, kad padidintų savo el. laiškų tikroviškumą.

Naudojimasis valstybine žiniasklaida 
Iranas pasitelkė atviras ir slaptas su IRGC susijusias žiniasklaidos priemones, kad sustiprintų tariamas kibernetines operacijas ir kartais sureikšmintų jų poveikį. Rugsėjį, kai „Cyber Avengers“ pareiškė apie kibernetines atakas prieš Izraelio geležinkelių sistemą, su IRGC susijusi žiniasklaida beveik iš karto sustiprino ir išpūtė jų teiginius. Su IRGC susijusi naujienų agentūra „Tasnim News Agency“ neteisingai citavo Izraelio naujienų reportažus apie kitą įvykį kaip įrodymą, kad kibernetinė ataka įvyko.³¹ Šį pranešimą dar labiau eskalavo kitos Irano ir su Iranu susijusios žiniasklaidos priemonės, taip dar labiau užgoždamos įrodymų, patvirtinančių teiginius apie kibernetinę ataką, trūkumą.³²

Besirandantis dirbtinio intelekto pritaikymas įtakos operacijoms 
Nuo Izraelio ir „Hamas“ karo pradžios MTAC pastebėjo, kad Irano veikėjai naudoja dirbtinio intelekto sukurtus vaizdus ir vaizdo įrašus. „Cotton Sandstorm“ ir „Storm-1364“, taip pat su „Hezbollah“ ir „Hamas“ susijusios naujienų tarnybos pasinaudojo dirbtiniu intelektu, kad sustiprintų bauginimą ir sukurtų Netanyahu ir Izraelio vadovybę menkinančius vaizdus.

1. Stiprėjantis bendradarbiavimas 
Praėjus kelioms savaitėms po Izraelio ir „Hamas“ karo, pradėjome pastebėti su Iranu susijusių grupuočių bendradarbiavimo pavyzdžių, kurie sustiprino šių veikėjų galimybes. Bendradarbiavimas sumažina patekimo barjerą, nes leidžia kiekvienai grupuotei prisidėti turimais pajėgumais ir pašalina būtinybę vienai grupuotei kurti visą spektrą įrankių ar įgūdžių.

Manome, kad su MOIS susijusios grupuotės „Storm-0861“ ir „Storm-0842“ bendradarbiavo rengiant destruktyvią kibernetinę ataką Izraelyje spalio pabaigoje ir Albanijoje gruodžio pabaigoje. Abiem atvejais „Storm-0861“ greičiausiai suteikė prieigą prie tinklo prieš tai, kai „Storm-0842“ įvykdė kenkėjišką ištrynimo programą. Panašiai „Storm-0842“ 2022 m. liepos mėn., po to, kai „Storm-0861“ įgijo prieigą, ištrynimo kenkėjišką programinę įrangą įdiegė Albanijos vyriausybinėse įstaigose.

Spalio mėnesį kita su MOIS susijusi grupuotė „Storm-1084“ taip pat galėjo turėti prieigą prie organizacijos Izraelyje, kurioje „Storm-0842“ įdiegė „BiBi“ ištrynimo programą, pavadintą pagal tai, kad ši kenkėjiška programa ištrintus failus pervadina eilute „BiBi“. Neaišku, koks buvo „Storm-1084“ vaidmuo, jei jis apskritai buvo, vykdant šią destruktyvią ataką. 2023 m. pradžioje „Storm-1084“ vykdė destruktyvias kibernetines atakas prieš kitą Izraelio organizaciją, kurias įgalino kita su MOIS susijusi grupė „Mango Sandstorm“ (dar žinoma kaip „MuddyWater“).³³

Nuo karo pradžios „Microsoft“ grėsmių žvalgyba taip pat aptiko su MOIS susijusios grupės „Pink Sandstorm“ ir „Hezbollah“ kibernetinių padalinių bendradarbiavimą. „Microsoft“ pastebėjo infrastruktūros sutapimų ir bendrų įrankių. Nors Irano bendradarbiavimas su „Hezbollah“ vykdant kibernetines operacijas nėra precedento neturintis atvejis, tačiau kelia nerimą tai, kad karas gali dar labiau suartinti šias grupuotes.³⁴ Kadangi visos Irano kibernetinės atakos šiame kare buvo derinamos su įtakos operacijomis, yra papildoma tikimybė, kad Iranas gerina savo įtakos operacijas ir jų aprėptį, pasitelkdamas gimtakalbius arabus, kad savo netikroms personoms suteiktų daugiau tikroviškumo.

2. Padidėjęs dėmesys Izraeliui 
Irano kibernetinių veikėjų dėmesys Izraeliui suintensyvėjo. Iranas nuo seno daug dėmesio skiria Izraeliui, kurį Teheranas kartu su Jungtinėmis Valstijomis laiko pagrindiniu savo priešininku. Todėl, remiantis „Microsoft“ grėsmių žvalgybos duomenimis, per pastaruosius kelerius metus Izraelio ir JAV įmonės beveik visada buvo dažniausi Irano taikiniai. Prieš karą Irano veikėjai daugiausiai dėmesio skyrė Izraeliui, po to – Jungtiniams Arabų Emyratams ir Jungtinėms Valstijoms. Prasidėjus karui, dėmesys Izraeliui padidėjo. Keturiasdešimt trys procentai „Microsoft“ sektos Irano nacionalinės valstybės kibernetinės veiklos buvo nukreipta prieš Izraelį, t. y. daugiau nei prieš kitas 14 šalių kartu sudėjus.

Manome, kad Irano kibernetinių ir įtakos operacijų grėsmė didės, nes Izraelio ir „Hamas“ konfliktas tęsiasi, ypač didėjant galimai eskalacijai papildomuose frontuose. Pirmosiomis karo dienomis Irano grupuotės skubėjo vykdyti operacijas arba tiesiog jas sufabrikuoti, o pastaruoju metu Irano grupuotės sulėtino savo operacijas, kad turėtų daugiau laiko įgyti norimą prieigą arba parengti sudėtingesnes įtakos operacijas. Šioje ataskaitoje aprašyti karo etapai aiškiai rodo, kad Irano kibernetinės ir įtakos operacijos pamažu progresuoja, tampa vis tikslingesnės, labiau bendradarbiaujančios ir destruktyvios.

Irano veikėjai taip pat vis drąsiau renkasi taikinius, ypač kibernetiniu būdu smogdami ligoninei ir išbandydami Vašingtono raudonąsias linijas, regis, nesirūpindami dėl pasekmių. Nors IRGC išpuoliai prieš JAV vandens kontrolės sistemas buvo oportunistiški, tačiau, regis, tai buvo gudrus būdas išbandyti Vašingtoną, teigiant, kad išpuoliai prieš Izraelyje pagamintą įrangą yra teisėti.

Prieš 2024 m. lapkritį vyksiančius JAV rinkimus sustiprėjęs Irano ir su Iranu susijusių grupuočių bendradarbiavimas reiškia didesnį iššūkį rinkimų gynybos dalyviams. Gynėjai nebegali būti ramūs sekdami kelias grupuotes. Didėjantis prieigos agentų, įtakos grupių ir kibernetinių veikėjų skaičius suformuoja sudėtingesnę ir labiau susipynusią grėsmių aplinką.