Irāna palielina ar kibernoziegumiem saistītu ietekmes operāciju skaitu, lai atbalstītu Hamās

Irānas kiberoperācijas un ietekmes operācijas kopš Hamās teroristu uzbrukuma 7. oktobrī ir attīstījušās vairākās fāzēs. Viens šo darbību elements ir palicis nemainīgs: oportūnistisku kiberuzbrukumu apvienošana ar ietekmes operācijām, kas bieži vien maldina par ietekmes precizitāti vai apjomu.

Šajā pārskatā galvenā uzmanība pievērsta Irānas ietekmes un ar kibernoziegumiem saistītām ietekmes operācijām, kas īstenotas no 7. oktobra līdz 2023. gada beigām, vienlaikus aptverot arī tendences un darbības 2023. gada pavasarī.

Irānas grupas reaģēja uz Izraēlas-Hamās kara sākuma fāzi. Irānas plašsaziņas līdzekļi izplatīja maldinošas ziņas par minētajiem kiberuzbrukumiem un Irānas grupām, kas atkārtoti izmantoja datētus materiālus no vēsturiskajām operācijām, atkārtoti centās piekļūt tiem pirms kara, kā arī pārspīlēja apgalvoto kiberuzbrukumu kopējo apjomu un ietekmi.

Gandrīz četrus mēnešus pēc kara sākuma Microsoft joprojām nav ieguvis skaidrus pierādījumus, kas liecinātu, ka Irānas grupas būtu koordinējušas savas kiberoperācijas vai ietekmes operācijas ar Hamās plāniem uzbrukt Izraēlai 7. oktobrī. Mūsu dati un atklājumi pārsvarā liecina, ka Irānas kiberizpildītāji reaģēja, ātri palielinot savas kiberoperācijas un ietekmes operācijas pēc Hamās uzbrukumiem, lai pretotos Izraēlai.

Maldinoša informācija par apgalvotajiem uzbrukumiem ar valsts plašsaziņu līdzekļu starpniecību: 
Dienā, kad sākās karš, ar Islāma revolucionāro gvardu korpusu (IRGC) saistītā Irānas ziņu aģentūra Tasnim nepatiesi apgalvoja, ka grupa ar nosaukumu Cyber Avengers veikusi kiberuzbrukumus Izraēlas spēkstacijai “vienlaikus” ar Hamās uzbrukumiem. ² IRGC kiberpersona Cyber Avengers faktiski apgalvoja, ka vakarā pirms Hamās iebrukuma ir veikusi kiberuzbrukumu Izraēlas elektrouzņēmumam.³  Viņu pierādījumi: nedēļu veci ziņojumi plašsaziņas līdzekļos par elektroenerģijas padeves pārtraukumiem “pēdējo gadu” laikā un ekrānuzņēmums ar nedatētu pakalpojuma pārtraukumu uzņēmuma tīmekļa vietnē. ⁴

Veca materiāla atkārtota izmantošana: 
Pēc Hamās uzbrukumiem Izraēlai Cyber Avengers apgalvoja, ka veic virkni kiberuzbrukumu Izraēlai, no kuriem pirmie, kā atklājās mūsu izmeklēšanā, bija nepatiesi. 8. oktobrī viņi apgalvoja, ka ir nopludinājuši dokumentus par kādu Izraēlas spēkstaciju, lai gan šos dokumentus 2022. gada jūnijā jau bija publicējusi cita IRGC kiberpersona “Moses Staff”.⁵

Atkārtota piekļuve: 
Cita kiberpersona “Malek Team”, kuru, mūsuprāt, vada Irānas Informācijas un drošības ministrija (MOIS), 8. oktobrī nopludināja personas datus no Izraēlas universitātes bez skaidras mērķtiecīgas saistības ar tur notiekošo konfliktu, kas liecina, ka mērķis bija oportūnistisks un, iespējams, izvēlēts, pamatojoties uz iepriekšēju piekļuvi pirms kara sākšanās. Tā vietā, lai meklētu saistību starp nopludinātajiem datiem un atbalstu Hamās operācijām, Malek Team sākotnēji izmantoja atsauces tagus vietnē X (bijušais Twitter), lai atbalstītu Hamās, un tikai dažas dienas vēlāk mainīja ziņojumus, lai tie atbilstu Izraēlas premjerministru Benjaminu Netanjahu (Benjamin Netanyahu) nomelnojošiem ziņojumiem, kas bija vērojami citās Irānas ietekmes operācijās.

18. oktobrī IRGC grupa Shahid Kaveh, ko Microsoft izseko kā Storm-0784, izmantoja pielāgotu izspiedējprogrammatūru, lai veiktu kiberuzbrukumus drošības kamerām Izraēlā. Pēc tam tā izmantoja vienu no savām kiberpersonām “Soldiers of Solomon”, lai maldinoši apgalvotu, ka ir izpirkusi drošības kameras un datus Nevatimas gaisa spēku bāzē. Pārbaudot Soldiers of Solomon nopludinātos drošības kameru kadrus, atklājās, ka tie ir no pilsētas uz ziemeļiem no Telavivas ar Nevatim ielu, nevis no tāda paša nosaukuma aviobāzes. Patiesībā, analizējot upuru atrašanās vietas, redzams, ka neviens no viņiem neatradās militārās bāzes tuvumā (skatīt 5. attēlu). Lai gan Irānas grupas bija sākušas postošus uzbrukumus, to operācijas joprojām bija lielā mērā oportūnistiskas un turpināja izmantot ietekmes pasākumus, lai pārspīlētu uzbrukumu precizitāti vai ietekmi.

21. oktobrī kāda cita IRGC grupas kiberpersona Cotton Sandstorm (plašāk pazīstama kā Emennet PASARGAD) koplietoja video, kurā uzbrucēji pie sinagogām deformē digitālos displejus ar vēstījumiem, kuros Izraēlas operācijas Gazā dēvētas par “genocīdu”. ⁷ Tas iezīmēja metodi, kā iekļaut ziņojumapmaiņu kiberuzbrukumos pret salīdzinoši maigu mērķi.

Šajā fāzē Irānas ietekmes darbībās tika izmantotas plašākas un sarežģītākas neautentiskas izplatīšanas formas. Pirmajās divās kara nedēļās konstatējām minimālas neautentiskas izplatīšanas formas, kas atkal liecina, ka operācijas bija reaktīvas. Kara trešajā nedēļā uz skatuves parādījās Irānas visproduktīvākais ietekmes izpildītājs Cotton Sandstorm, kas 21. oktobrī uzsāka trīs ar kibernoziegumiem saistītas ietekmes operācijas. Kā tas bieži gadās grupai, lai pastiprinātu operācijas, viņi izmantoja sociālo tīklu izraēliešu viltus profilus, lai gan daudzi profili, šķiet, bija izveidoti steigā bez autentiska personas tēla. Vairākas reizes Cotton Sandstorm masveidā sūtīja īsziņas vai e-pasta ziņojumus, lai pastiprinātu savas darbības vai lielītos ar tām, izmantojot apdraudētus kontus, lai uzlabotu autentiskumu.⁸

Sākot ar novembra beigām, Irānas grupas paplašināja savu ar kibernoziegumiem saistīto ietekmi ārpus Izraēlas, iekļaujot valstis, kuras Irāna uzskata par tādām, kas palīdz Izraēlai, ļoti iespējams, lai mazinātu starptautisku politisko, militāro vai ekonomisko atbalstu Izraēlas militārajām operācijām. Šāda mērķtiecīga uzbrukumu paplašināšana sakrita ar hutiešu, Irānas atbalstītās šiītu kaujinieku grupas Jemenā, uzbrukumiem starptautiskajiem jūras pārvadājumiem, kas saistīti ar Izraēlu (skatīt 8. attēlu).⁹

Arī šajā pēdējā fāzē Irānas ar kibernoziegumiem saistītās ietekmes operācijas turpināja attīstīties arvien sarežģītāk. Viņi labāk maskēja savus viltus profilus, dažus pārdēvējot un mainot profila fotoattēlus, lai tie vairāk izskatītos kā autentiski izraēlieši. Tajā pašā laikā viņi izmantoja jaunus paņēmienus, kādus Irānas pārstāvji līdz šim nav izmantojuši, tostarp mākslīgā intelekta izmantošanu, kas ir galvenais ziņojumu veidošanas komponents. Mēs novērtējam Cotton Sandstorm decembrī veiktos traucējumus straumēšanas televīzijas pakalpojumiem AAE un citviet, izmantojot personāžu ar nosaukumu “For Humanity”. For Humanity vietnē Telegram publicēja videoklipus, kuros redzams, kā grupa uzlauž trīs tiešsaistes straumēšanas pakalpojumus un traucē vairāku ziņu kanālu darbību ar viltus ziņu raidījumu, kurā, šķiet, mākslīgā intelekta radīts diktors rādīja Izraēlas militāro operāciju rezultātā ievainoto un nogalināto palestīniešu attēlus (7. attēls).¹⁴ Ziņu aģentūras un skatītāji AAE, Kanādā un Apvienotajā Karalistē ziņoja par televīzijas programmu, tostarp BBC, straumēšanas traucējumiem, kas atbilda For Humanity apgalvojumiem.¹⁵

Lai sasniegtu savus mērķus informācijas telpā, Irāna pēdējo deviņu mēnešu laikā ir lielā mērā izmantojusi četras ietekmes taktikas, paņēmienus un procedūras (TTP). Tie ietver uzdošanos un uzlabotu iespēju izmantošanu, lai aktivizētu mērķa auditoriju, kā arī arvien plašāku īsziņu kampaņu izmantošanu un ar IRGC saistītu plašsaziņas līdzekļu izmantošanu, lai pastiprinātu ietekmes operācijas.

Izraēlas aktīvistu grupu un Irānas partneru izlikšanās par Izraēlas aktīvistiem 
Irānas grupas ir pilnveidojušas sen izmantoto uzdošanās metodi, izstrādājot konkrētākus un pārliecinošākus personāžus, kas maskējas gan par Irānas draugiem, gan par tās ienaidniekiem. Daudzas Irānas agrāk veiktās operācijas un personāži ir apgalvojuši, ka ir aktīvisti, kas atbalsta palestīniešus.²⁷ Nesen veiktās operācijas no personāža, kuru, pēc mūsu aplēsēm, vada Cotton Sandstorm, ir gājušas vēl tālāk, izmantojot Hamās militārā spārna al-Qassam Brigades nosaukumu un logotipu, lai izplatītu nepatiesus ziņojumus par Gazā turētajiem ķīlniekiem un sūtītu izraēliešiem draudošus ziņojumus. Citā Telegram kanālā, kurā tika izteikti draudi IDF personālam un noplūdināti viņu personas dati un kuru, pēc mūsu domām, vadīja MOIS grupa, arī tika izmantots al-Qassam Brigades logotips. Nav skaidrs, vai Irāna rīkojas ar Hamās piekrišanu.

Tāpat Irāna ir radījusi aizvien pārliecinošākas fiktīvas Izraēlas aktīvistu organizācijas, kas pārstāv gan labējo, gan kreiso Izraēlas politisko spektru. Ar šo viltus aktīvistu starpniecību Irāna cenšas iefiltrēties Izraēlas kopienās, lai iegūtu to uzticību un sētu nesaskaņas.

Izraēliešu aktivizēšana rīcībai 
Aprīlī un novembrī Irāna atkārtoti demonstrēja panākumus, vervējot neapzinīgus izraēliešus iesaistīties viltus operāciju veicināšanas pasākumos uz vietas. Vienā no nesenajām operācijām “Tears of War” Irānas aģentiem, kā ziņots, izdevās pārliecināt izraēliešus Izraēlas apkaimēs izkarināt Tears of War plakātus ar šķietami mākslīgā intelekta radītu Netanjahu attēlu un aicinājumu gāzt viņu no amata (skatīt 11. attēlu).²⁸

Biežāka un sarežģītāka informācijas izplatīšana, izmantojot īsziņas un e-pasta ziņojumus 
Lai gan Irānas ietekmes operācijas joprojām lielā mērā paļaujas uz koordinētu neautentisku sociālo tīklu izplatīšanu, lai sasniegtu mērķa auditoriju, Irāna arvien vairāk izmanto masveida īsziņu un e-pasta ziņojumu sūtīšanu, lai pastiprinātu ar kibernoziegumiem saistīto ietekmes operāciju psiholoģisko iespaidu. Izplatīšanai sociālajos tīklos, izmantojot viltus profilus, nav tādas pašas ietekmes kā ziņai, kas parādās iesūtnē, nemaz nerunājot par tālruni. Cotton Sandstorm turpināja iepriekšējos panākumus, izmantojot šo paņēmienu no 2022. gada,²⁹ un kopš augusta veica vismaz sešas operācijas, kurās masveidā sūtīja īsziņas, e-pasta ziņojumus vai abus. Aizvien biežāka šīs metodes izmantošana liecina, ka grupa ir pilnveidojusi šīs iespējas un uzskata tās par efektīvām. Cotton Sandstorm operācija “Cyber Flood” oktobra beigās ietvēra līdz pat trīs masveida īsziņu un e-pasta ziņojumu kopas izraēliešiem, kas pastiprināja minētos kiberuzbrukumus vai izplatīja viltus brīdinājumus par Hamās uzbrukumiem Izraēlas kodoliekārtai pie Dimonas.³⁰Vismaz vienā gadījumā viņi izmantoja apdraudētu kontu, lai uzlabotu e-pasta ziņojumu autentiskumu.

Valsts plašsaziņas līdzekļu izmantošana 
Irāna ir izmantojusi atklātus un slēptus ar IRGC saistītus plašsaziņas līdzekļus, lai izplatītu iespējamās kiberoperācijas un dažkārt pārspīlētu to ietekmi. Septembrī pēc tam, kad Cyber Avengers paziņoja par kiberuzbrukumiem Izraēlas dzelzceļa sistēmai, ar IRGC saistītie plašsaziņas līdzekļi gandrīz nekavējoties izplatīja un pārspīlēja viņu apgalvojumus. Ar RGC saistītā ziņu aģentūra Tasnim nepareizi citēja Izraēlas ziņu reportāžu par citu notikumu kā pierādījumu tam, ka kiberuzbrukums ir noticis.³¹ Šos ziņojumus izplatīja citi Irānas un ar Irānu saistīti plašsaziņas līdzekļi, tādējādi vēl vairāk aizēnojot pierādījumu trūkumu, kas pamatotu apgalvojumus par kiberuzbrukumiem.³²

Mākslīgā intelekta ieviešanas sākums ietekmes operācijās 
MTAC novēroja, ka kopš Izraēlas-Hamās kara sākuma Irānas dalībnieki izmanto mākslīgā intelekta radītos attēlus un video. Cotton Sandstorm un Storm-1364, kā arī ar Hezbollah un Hamās saistītie ziņu mediji ir izmantojuši mākslīgo intelektu, lai pastiprinātu iebiedēšanu un veidotu Netanjahu un Izraēlas vadību nomelnojošus tēlus.

1. Aizvien biežāka sadarbība 
Dažas nedēļas pēc Izraēlas-Hamās kara sākuma sākām novērot sadarbības piemērus starp ar Irānu saistītām grupām, tādējādi palielinot to, ko šie izpildītāji varētu sasniegt. Sadarbība samazina šķēršļus ienākšanai tirgū, ļaujot katrai grupai dot ieguldījumu esošajās iespējās un novēršot nepieciešamību vienai grupai izstrādāt pilnu rīku vai prasmju spektru.

Mēs uzskatām, ka divas ar MOIS saistītas grupas Storm-0861 un Storm-0842 sadarbojās, lai īstenotu postošu kiberuzbrukumu Izraēlā oktobra beigās un vēlreiz Albānijā decembra beigās. Abos gadījumos Storm-0861, visticamāk, nodrošināja piekļuvi tīklam, pirms Storm-0842 izpildīja tīrītāja ļaunprogrammatūru. Līdzīgi arī Storm-0842 2022. gada jūlijā pēc tam, kad piekļuvi ieguva Storm-0861, Albānijas valdības struktūrvienībās izpildīja tīrītāja ļaunprogrammatūru.

Oktobrī citam ar MOIS saistītai grupai Storm-1084, iespējams, arī bija piekļuve organizācijai Izraēlā, kur Storm-0842 izvietoja tīrītāju “BiBi”, kas nosaukts pēc ļaunprogrammatūras izdzēsto failu pārdēvēšanas ar virkni “BiBi”. Nav skaidrs, kāda bija Storm-1084 loma postošajā uzbrukumā, ja tāda vispār bija. 2023. gada sākumā Storm-1084 veica postošus kiberuzbrukumus citai Izraēlas organizācijai, ko veicināja cita ar MOIS saistīta grupa Mango Sandstorm (dēvēta arī par MuddyWater).³³

Kopš kara sākuma Microsoft draudu informācija ir atklājusi arī sadarbību starp ar MOIS saistītu grupu Pink Sandstorm un Hezbollah kibervienībām. Microsoft ir novērojis infrastruktūras pārklāšanos un kopīgu rīku izmantošanu. Irānas sadarbība ar Hezbollah kiberoperācijās, lai gan šis nav bezprecedenta gadījums, rada bažas par to, ka karš operatīvā ziņā varētu vēl vairāk tuvināt šīs grupas pat pāri valsts robežām.³⁴Tā kā visi Irānas kiberuzbrukumi šajā karā ir bijuši apvienoti ar ietekmes operācijām, pastāv iespēja, ka Irāna uzlabo savas ietekmes operācijas un to sasniedzamību, izmantojot lietotājus, kuru dzimtā valoda ir arābu, lai uzlabotu savu viltus personāžu autentiskumu.

2. Pastiprināta uzmanība Izraēlai 
Irānas kiberizpildītāji pastiprināti pievērsās Izraēlai. Irāna jau ilgu laiku ir pievērsusi uzmanību Izraēlai, kuru Teherāna uzskata par savu galveno pretinieku līdzās Amerikas Savienotajām Valstīm. Tāpēc, pamatojoties uz Microsoft draudu informācijas datiem, pēdējos gados Izraēlas un ASV uzņēmumi gandrīz vienmēr ir bijuši biežākie Irānas mērķi. Gatavojoties karam, Irānas pārstāvji lielāko uzmanību pievērsa Izraēlai, kam sekoja AAE un Amerikas Savienotās Valstis. Pēc kara sākuma Izraēlai tika pievērsta pastiprināta uzmanība. 43% no Microsoft izsekotajām Irānas valsts kiberdarbībām bija vērstas pret Izraēlu, kas ir vairāk nekā nākamajās 14 valstis kopā.

Mēs sagaidām, ka, turpinoties Izraēlas-Hamās konfliktam, pieaugs draudi, ko rada Irānas kiberoperācijas un ietekmes operācijas, īpaši ņemot vērā pieaugošo eskalācijas potenciālu papildu frontēs. Ja kara sākumā Irānas grupas steidzās īstenot vai vienkārši viltot operācijas, tad pēdējā laikā Irānas grupas ir palēninājušas savas operācijas, dodot vēl vairāk laika, lai iegūtu vēlamo piekļuvi vai izstrādātu sarežģītākas ietekmes operācijas. Šajā pārskatā aprakstītās kara fāzes skaidri parāda, ka Irānas kiberoperācijas un ietekmes operācijas ir lēnām progresējušas, kļūstot mērķtiecīgākas, uz sadarbību orientētākas un postošākas.

Arī Irānas spēki ir kļuvuši arvien drosmīgāki savos uzbrukumos, jo īpaši kiberuzbrukumā slimnīcai un Vašingtonas sarkano līniju pārbaudē, šķietami neuztraucoties par sekām. IRGC uzbrukumi ASV ūdens vadības sistēmām, lai gan tie bija oportūnistiski, šķiet, bija atjautīgs triks, lai pārbaudītu Vašingtonu, apgalvojot, ka uzbrukumi Izraēlā ražotām iekārtām ir likumīgi.

Pirms ASV vēlēšanām 2024. gada novembrī pieaugošā sadarbība starp Irānas un ar Irānu saistītajām grupām nozīmē lielāku izaicinājumu tiem, kas iesaistās vēlēšanu aizsardzībā. Aizsargi vairs nevar samierināties ar dažu grupu izsekošanu. Drīzāk pieaugošais piekļuves aģentu, ietekmes grupu un kiberizpildītāju skaits rada sarežģītāku un savstarpēji saistītu draudu vidi.