Trace Id is missing

Irāna ir atbildīga par uzbrukumiem laikrakstam Charlie Hebdo

Kopīgot
Planētas tuvplāns

Šodien Microsoft digitālo draudu analīzes centrs (DTAC) uzskata, ka neseno ietekmes operāciju, kuras mērķis bija Francijas satīriskais laikraksts Charlie Hebdo, veica Irānas valsts izpildorganizācija. Microsoft šo izpildītāju dēvē par NEPTUNIUM, kuru ir identificējušas arī Amerikas Savienotās Valstis. Tieslietu departaments kā  Emennet Pasargad.

Janvāra sākumā līdz šim nedzirdēta tiešsaistes zvanu grupa, kas sevi dēvē par Holy Souls un ko tagad varam identificēt kā NEPTUNIUM, apgalvoja , ka ir ieguvusi vairāk nekā 200 000 Charlie Hebdo klientu personas datu, “iegūstot piekļuvi datu bāzei”. Kā pierādījumu Holy Souls publiskoja datu paraugu, kas ietvēra izklājlapu, kurā bija detalizēti norādīti kontu īpašnieku, kuri bija abonējuši izdevumu vai iegādājušies preces, pilni vārdi, tālruņa numuri, mājas adreses un e-pasta adreses. Šī informācija, ko ieguva Irānas izpildorganizācija, žurnāla abonentus varētu pakļaut riskam, ka ekstrēmistu organizācijas pret viņiem vērsīsies tiešsaistē vai fiziski.

Mēs uzskatām, ka šis uzbrukums ir Irānas valdības reakcija uz Charlie Hebdo karikatūru konkursu. Mēnesi pirms Holy Souls uzbrukuma žurnāls paziņoja , ka rīkos starptautisku konkursu par Irānas garīgo līderi Alī Hāmenejī (Ali Khamenei) “izsmejošām” karikatūrām. Uzvarējušās karikatūras bija paredzēts publicēt janvāra sākumā, lai tas sakristu ar astoto gadadienu kopš uzbrukuma žurnāla birojam, ko sarīkoja divi organizācijas “Al Qaida” Arābijas pussalā (AQAP) iedvesmoti uzbrucēji.

Holy Souls piedāvāja pārdot datu kešatmiņu par 20 BTC (kas tobrīd bija aptuveni USD$ 340 000). Pilna nozagto datu kešatmiņas publiskošana, pieņemot, ka hakeru rīcībā patiešām ir dati, kurus viņi norādīja, būtībā nozīmētu jau tā ekstrēmistu draudiem (2020. gads) un nāvējošiem terora aktiem (2015. gads) pakļauto publikācijas lasītāju masveida doksingu. Lai, iespējams, nozagtie klientu dati netiktu norādīti kā safabricēti, Francijas laikraksts Le Monde spēja pārbaudīt Holy Souls publicētā parauga patiesumu “ar vairākiem šīs datu noplūdes upuriem”.

Pēc tam, kad Holy Souls publicēja datu paraugu YouTube un vairākos hakeru forumos, datu noplūdi pastiprināja saskaņota operācija vairākās sociālo tīklu platformās. Šajos centienos tika izmantots īpašs taktiku, metožu un procedūru (TTP) kopums, ko DTAC jau iepriekš ir novērojis Irānas hakeru un datu noplūdes ietekmes operācijās.

Uzbrukums sakrita ar Irānas valdības kritiku par karikatūrām. 4. janvārī Irānas ārlietu ministrs Hoseins Amirs Abdollahians (Hossein Amir-Abdollahian) Twitter ierakstīja: “Francijas izdevuma [..] apvainojošā un necienīgā rīcība pret reliģisko un politiski garīgo autoritāti netiks [..] atstāta bez atbildes.” Tajā pašā dienā Irānas Ārlietu ministrija izsauca Francijas vēstnieku Irānā par Charlie Hebdo “apvainojumu”. 5. janvārī Irāna slēdza Francijas pētniecības institūtu Irānā, ko Irānas Ārlietu ministrija raksturoja kā “pirmo soli”, un paziņoja, ka “nopietni izskatīs šo lietu un veiks nepieciešamos pasākumus”.

Uzbrukumā ir vairāki elementi, kas līdzinās iepriekšējiem uzbrukumiem, ko veikušas Irānas valsts izpildorganizācijas, tostarp:

  • Haktīvistu persona, kas apgalvo, ka ir kiberuzbrukuma autors
  • Prasības par veiksmīgu tīmekļa vietnes bojāšanu
  • Privātu datu nopludināšanā tiešsaistē
  • Sociālo tīklu viltus profilos (sock puppets) — sociālo tīklu kontos, kas izveidoti, izmantojot izdomātas vai nozagtas identitātes, lai maldināšanas nolūkā slēptu konta īsto īpašnieku,— apgalvo, ka to īpašnieki ir no valsts, uz kuru bija vērsts uzbrukums, lai veicinātu kiberuzbrukumu, un izmanto valodu ar kļūdām, kas ir acīmredzamas dzimtās valodas lietotājiem
  • Uzdošanās par autoratīvu avotu
  • Saziņa ar ziņu mediju organizācijām

Lai gan šodienas attiecinājuma pamatā ir lielāks informācijas kopums, kas pieejams Microsoft DTAC komandai, šeit redzamais modelis ir tipisks Irānas valsts sponsorētām operācijām. Šie modeļi ir identificēti arī FIB 2022. gada oktobra Privātās nozares paziņojumā (PIN) , jo tos izmanto ar Irānu saistīti izpildītāji, lai īstenotu kiberietekmes operācijas.

Kampaņā, kas bija vērsta pret Charlie Hebdo, tika izmantoti vairāki desmiti viltus profili (sock puppets) franču valodā, lai paplašinātu kampaņu un izplatītu naidīgas ziņas. 4. janvārī šie konti, no kuriem daudziem ir maz sekotāju un kontu, kuriem tie seko, un daudzi ir nesen izveidoti, sāka publicēt Hāmenejī (Khamenei) karikatūrām veltītu kritiku Twitter. Būtiski, ka, vēl pirms tika ziņots par iespējamo kiberuzbrukumu, šajos kontos tika publicēti identiski ekrānuzņēmumi ar bojāto tīmekļa vietni un ziņu franču valodā: “Charlie Hebdo a été piraté” (“Charlie Hebdo tika uzlauzts”).

Dažas stundas pēc tam, kad viltus profili (sock puppets) sāka rakstīt ziņas Twitter, viņiem pievienojās vismaz divi sociālo tīklu konti, kas uzdodas par Francijā ietekmīgām personām — viens no tiem imitēja vadošu speciālistu tehnoloģiju jomā, bet otrs — Charlie Hebdo redaktoru. Šie konti (abi izveidoti 2022. gada decembrī un ir ar mazu sekotāju skaitu) pēc tam sāka publicēt ekrānuzņēmumus ar Charlie Hebdo klientu datiem, ko nopludināja Holy Souls. Kopš tā laika Twitter apturēja šos kontus.

Charlie Hebdo redaktora viltus Twitter konts, kurā publicēti ekrānuzņēmumi ar noplūdušiem klientu datiem
Charlie Hebdo redaktora viltus konts platformā Twitter raksta par datu noplūdi

Šādu viltus profilu (sock puppet) izmantošana ir novērota arī citās ar Irānu saistītās operācijās, tostarp uzbrukumā, kuru pieprasīja Atlas Group, Hackers of Savior partneris , un kuru FIB 2022. gadā piedēvēja Irānai. 2022. gada Pasaules kausa izcīņas laikā Atlas Group apgalvoja , ka ir “ielauzušies infrastruktūrās” [sic] un sabojājuši Izraēlas sporta tīmekļa vietni. Sociālajā tīklā Twitter uzbrukumu pastiprināja ebreju valodā izveidoti viltus profili (sock puppets) un populāra Izraēlas ziņu kanāla sporta reportiera viltus profils. Viltus reportiera kontā bija rakstīts, ka pēc ceļojuma uz Kataru viņš secinājis, ka izraēliešiem “nevajadzētu ceļot uz arābu valstīm”.

Kopā ar noplūdušo datu ekrānuzņēmumiem viltus profilu (sock puppets) kontos tika publicēti arī izsmejoši ziņojumi franču valodā, tostarp: “Manuprāt, nākamajam Charlie karikatūru objektam vajadzētu būt Francijas kiberdrošības ekspertiem,” Tajos pašos kontos tika novēroti arī mēģinājumi izplatīt ziņas par iespējamo uzlaušanu, Twitter atbildot publikācijām un žurnālistiem, tostarp laikrakstiem “al-Dustour”, “Algeria’s Echorouk” un “Le Figaro” reportierim Žoržam Malbrunotam (Georges Malbrunot). Citi viltus profili apgalvoja, ka Charlie Hebdo darbojas Francijas valdības vārdā, un norādīja, ka valdība cenšas novērst sabiedrības uzmanību no darba pārtraukumiem.

FIB uzskata, ka viens no Irānas ietekmes operāciju mērķiem ir “graut sabiedrības uzticību upuru tīkla un datu drošībai, kā arī samulsināt upuru kompānijas un izvēlētās valstis”. Patiešām, uzbrukumā, kas vērsts pret Charlie Hebdo, izmantotie vēstījumi atgādina citas ar Irānu saistītu kampaņu vēstījumus, piemēram, tos, par kuriem paziņoja ar Irānu saistītā persona no Hackers of Savior 2022. gada aprīlī, apgalvojot, ka ir iefiltrējusies lielāko Izraēlas datu bāzu kiberinfrastruktūrā, un publicējot brīdinājumu izraēliešiem: “Neuzticieties savas valdības centriem.”

Lai arī ko kāds domātu par Charlie Hebdo redakcionālajām izvēlēm, personu identificējošas informācijas publiskošana par desmitiem tūkstošu tās klientu ir nopietns apdraudējums. Tas tika uzsvērts 10. janvārī, kad Irānas Islāma revolucionārās gvardes korpusa komandieris Hoseins Salami (Hossein Salami) brīdināja par “atriebību” par publikāciju, norādot uz 2022. gadā sadurtā autora Salmana Rušdi (Salman Rushdie) piemēru. Salami piebilda: “Rušdi neatgriezīsies.”

Šodien veiktais attiecinājums ir balstīts DTAC attiecinājuma struktūrā.

Microsoft iegulda līdzekļus, lai sekotu līdzi informācijai par valstu izpildorganizāciju ietekmes operācijām un dalītos ar to, lai klienti un demokrātiskās valstis visā pasaulē varētu sevi pasargāt no tādiem uzbrukumiem, kāds tika vērsts pret Charlie Hebdo. Mēs turpināsim publicēt šādu informāciju, kad redzēsim, ka valdības un noziedzīgas grupas visā pasaulē veic līdzīgas operācijas.

Ietekmes operāciju attiecinājuma matrica 1

Kiberietekmes operāciju diagrammas matrica

Saistītie raksti

Ukrainas aizstāvība: Kiberkara pirmās mācības

Jaunākie secinājumi, kas gūti mūsu draudu informācijas pasākumos Krievijas un Ukrainas karā, un virkne secinājumu par pirmajiem četriem mēnešiem pastiprina nepieciešamību turpināt un ieguldīt tehnoloģijās, datos un partnerībās, lai atbalstītu valsts iestādes, uzņēmumus, NVO un universitātes.
Papildinformācija

Kibernoturība

Microsoft drošības speciālisti veica vairāk nekā 500 drošības profesionāļu aptauju, lai izprastu drošības tendenču attīstību un svarīgākos apstākļus, kas rada bažas informācijas drošības vadītājiem.
Papildinformācija

Ieskati no triljoniem drošības signālu dienā

Microsoft drošības eksperti izgaismo mūsdienu apdraudējumu kopumu, sniedzot ieskatus par jaunajām tendencēm, kā arī apdraudējumiem, kas joprojām pastāv.
Papildinformācija

Sekot Microsoft drošībai