Iran øker cyberaktiverte påvirkningsoperasjoner til støtte for Hamas

Irans cyber og påvirkningsoperasjoner har utviklet seg gjennom flere faser siden Hamas-terroristangrepet 7. oktober. Ett element i operasjonene deres har vært konstant hele veien: kombinasjonen av opportunistisk cybermålretting med påvirkninsoperasjoner som ofte villedet presisjonen eller omfanget til påvirkningen.

Denne rapporten fokuserer på Irans påvirkning og cyberaktiverte påvirkningsoperasjoner fra 7. oktober til utgangen av 2023, og dekker trender og operasjoner datert tilbake til våren 2023.

Iranske grupper var reaktive under den første fasen i Israel-Hamas-krigen. Iranske statlige medier sendte ut villedende informasjon om påståtte cyberangrep, og iranske grupper brukte datert materiale på nytt fra historiske operasjoner, brukte tilgangen de hadde før krigen på nytt, og overdrev det generelle omfanget og virkningen til påståtte cyberangrep.

Nesten fire måneder inn i krigen hadde Microsoft fremdeles ikke funnet tydelige bevis i dataene, som indikerte at iranske grupper hadde koordinert cyber- eller påvirkningsoperasjoner med Hamas’ planer om å angripe Israel 7. oktober. Overvekten av dataene og funnene antydet heller at iranske cyberaktører var reaktive, og økte raskt cyber- og påvirkningsoperasjonene etter Hamas’ angrep mot Israel.

Villedende detaljer om påståtte angrep gjennom statlige medier: 
Dagen krigen brøt ut, påstod nyhetsbyrået Tasnim, en iransk kanal tilknyttet Irans revolusjonsgarde (IRGC), at en gruppe kalt «Cyber Avengers» hadde gjennomført cyberangrep mot et israelsk kraftanlegg «samtidig med» angrepene til Hamas. ² Cyber Avengers, en IRGC-drevet cyberidentitet, påstod faktisk å ha gjennomført et cyberangrep mot et israelsk energiverk kvelden før Hamas’ angrep.³ Beviset: en uke gammel presserapport om strømbrudd i «senere år» og et skjermbilde av et udatert servicebrudd på selskapets nettsted. ⁴

Bruke gammelt materiale på nytt: 
Etter Hamas’ angrep på Israel påstod Cyber Avengers å ha gjennomført en rekke cyberangrep mot Israel, der de tidligste av disse viste seg å være falske. 8. oktober påstod de å ha lekket dokumenter fra et israelsk kraftanlegg, selv om dokumentene hadde blitt publisert tidligere, i juni 2022, av en annen IRGC-drevet cyberidentitet kalt «Moses Staff».⁵

Bruke tidligere tilgang på nye måter: 
En annen cyberidentitet «Malek Team», som vi tror drives av Etterretningsministeriet i Iran (MOIS), lekket personopplysninger fra et israelsk universitet 8. oktober, uten noen klar kobling til målretting mot den spirende konflikten der, noe som tyder på at målet var opportunistisk, og kanskje valgt basert på forhåndseksisterende tilgang før krigens utbrudd. I stedet for å trekke koblinger mellom de lekkede dataene og støtte for Hamas’ operasjoner, brukte Malek Teams først emneknagger på X (tidligere Twitter) for å støtte Hamas, og endret meldingene bare noen dager senere, for å tilpasse dem til meldingene som vanæret Israels statsminister Benjamin Netanyahu, som sett i andre iranske påvirkningsoperasjoner.

18. oktober brukte IRGCs Shahid Kaveh-gruppe, som Microsoft følger som Storm 0784, tilpassede løsepengevirus for å gjennomføre cyberangrep mot sikkerhetskameraer i Israel. Deretter brukte de én av cyberidentitetene sine «Soldiers of Solomon», til å komme med falske påstander om at de krevde løsepenger for sikkerhetskameraer og data på Nevatim Air Force Base. Undersøkelser av sikkerhetsmaterialet Soldiers of Solomon hadde lekket, avslørte at det var fra en by nord for Tel Aviv, med en gate som het Nevatim, ikke flybasen med samme navn. En analyse av ofrenes lokasjoner viste at ingen var i nærheten av den militære basen (se figur 5). Selv om iranske grupper hadde begynt destruktive angrep, forble operasjonene svært opportunistiske og fortsatte å bruke påvirkningsaktivitet for å overdrive presisjonen eller virkningen av angrepene.

21. oktober delte en annen cyberidentitet, drevet av IRGC-gruppen Cotton Sandstorm (vanligvis kjent som Emennet Pasargad), en video av angriperne som uleseliggjorde digitale visninger i synagoger med meldinger som refererte til Israels operasjoner i Gaza som «folkemord». ⁷ Dette markerte en metode som bygger meldinger inn direkte i cyberangrepene, mot et relativt mykt mål.

I denne fasen brukte Irans påvirkningsaktivitet mer omfattende og komplekse former for ueautentisk forsterkning. I de første to ukene av krigen oppdaget vi minimalt med avanserte former for uautentisk forsterkning – noe som igjen antyder at operasjonene var reaktive. Innen den tredje uka i krigen kom Irans mest profilerte påvirkningsaktør, Cotton Sandstorm, på banen og startet tre cyberaktiverte påvirkningsoperasjoner 21. oktober. Som vi ofte har sett fra gruppen, brukte de et nettverk med sokkedukker på sosiale medier for å forsterke operasjonene, selv om mange så ut til å ha blitt brukt på nytt noe forhastet, uten autentisk dekke for å forkle dem som israelere. Ved flere anledninger brukte Cotton Sandstorm masseutsending av tekstmeldinger eller e-post for å forsterke eller skryte av operasjonene sine, og utnyttet kompromitterte kontoer for å forbedre autentisiteten.⁸

Fra og med slutten av november utvidet iranske grupper den cyberaktiverte påvirkningen utover Israel, for å inkludere land som Iran oppfatter at hjelper Israel, og som med stor sannsynlighet undergraver internasjonal politisk, militær eller økonomisk støtte for Israels militære operasjoner. Denne utvidelsen i målretting var på linje med starten av angrepene på internasjonal shipping koblet til Israel av houthier, en Shi’ite militant gruppe i Jemen, støttet av Iran (se figur 8).⁹

Irans cyberaktiverte påvirkningsoperasjoner fortsatte også å vokse i kompleksitet i denne siste fasen. De forkledde sokkedukkene bedre ved å gi dem nye navn og endre profilbildene så de så mer autentisk israelske ut. Samtidig nyttet de seg av nye teknikker vi ikke har sett fra iranske aktører tidligere, inkludert bruk av kunstig intelligens som nøkkelkomponent i budskapene. Vi tror Cotton Sandstorm avbrøt strømmingen av TV-tjenestene i De forente arabiske emirater og andre steder i desember, under dekke av identiteten kalt «For Humanity». For Humanity publiserte videoer på Telegram som viste at gruppen hacket tre nettbaserte strømmetjenester, og avbrøt flere nyhetskanaler med en falsk nyhetssending, med en nyhetsanker tilsynelatende generert av kunstig intelligens, som påstod å vise bilder av palestinere som var skadde og drept i israelske militæroperasjoner (figur 7).¹⁴ Nyhetskanaler og seere i De forente arabiske emirater, Canada og Storbritannia rapporterte avbrudd under strømming av TV-programmer, blant annet BBC, noen som stemte overens med For Humanitys påstander.¹⁵

For å oppnå målene i informasjonsområdet har Iran vært svært avhengig av fire påvirkningstaktikker, -teknikker og -prosedyrer (TTP-er) de siste ni månedene. Disse omfatter bruken av etterligning og forbedrede evner til å aktivere målgrupper, kombinert med økt bruk av tekstmeldingskampanjer og bruken av IRGC-tilknyttede medier for å forsterke påvirkningsoperasjonene.

Etterligning av israelske aktivistgrupper og iranske partnere 
Iranske grupper bygger på en langvarig teknikk med etterligning ved å utvikle mer spesifikke og overbevisende identiteter som utgir seg for å være både både venner og fiender av Iran. Mange av Irans tidligere operasjoner og identiteter har påstått å være aktivister for det palestinske formålet.²⁷ Nylige operasjoner fra en identitet vi tror drives av Cotton Sandstorm, har gått litt lenger og bruker navnet og logoen til Hamas’ militære ving, al-Qassam-brigaden, for å spre falske meldinger om gisler som holdes i Gaza, og sender truende meldinger til israelerne. En annen Telegram-kanal som har truet IDF-personale og lekket personopplysninger, som vi tror ble drevet av en MOIS-gruppe, brukte også al-Qassam Brigades-logoen. Det er uklart om Iran handler med Hamas’ samtykke.

På samme måte har Iran laget overbevisende etterligninger av fiktive israelske aktivistorganisasjoner på høyre og venstre side av det israelske politiske spektrum. Gjennom disse falske aktivistene prøver Iran å infiltrere israelske fellesskap for å oppnå tillit og skape splid.

Aktiverer israelere til å handle 
I april og november demonstrerte Iran gjentatt suksess med å rekruttere uvitende israelere til å engasjere seg i aktiviteter på bakkenivå som fremmer de falske operasjonene. I en nylig operasjon kalt «Tears of War», lyktes iranske agenter angivelig med å overbevise israelere om å henge merkede Tears of War-bannere i israelske nabolag med et bilde av Netanyahu, tilsynelatende generert av kunstig intelligens, med krav om at han ble avsatt (se figur 11).²⁸

Forsterkning gjennom tekstmelding og e-post med økt frekvens og kompleksitet 
Mens iranske påvirkningsoperasjoner fortsetter å være svært avhengige av koordinert uautentisk forsterkning på sosiale medier for å nå målgrupper, har Iran i økende grad brukt massetekstmeldinger og -e-post for å forsterke den psykologiske effekten til cyberaktiverte påvirkningsoperasjoner. Forsterkning på sosiale medier med sokkedukker har ikke samme innvirkning som en melding som dukker opp i innboksen, for ikke å snakke om på telefonen. Cotton Sandstorm bygde på tidligere suksess med denne teknikken, fra og med 2022,²⁹ med masseutsending av tekstmeldinger, e-post, eller begge deler i minst seks operasjoner siden august. Den økte bruken av denne teknikken tyder på at gruppen har perfeksjonert funksjonen og ser på den som effektiv. Cotton Sandstorms «Cyber Flood»-operasjon i slutten av oktober inkluderte opptil tre sett med masseutsending av tekstmeldinger og e-post til israelere, som forsterket påståtte cyberangrep eller distribusjon av falske advarsler om Hamas-angrep på Israels kjernekraftanlegg i nærheten av Dimona.³⁰ I minst ett tilfelle utnyttet de en kompromittert konto for å forsterke troverdigheten til e-postene.

Utnytte statlige medier 
Iran har brukt åpenlyse og skjulte IRGC-tilknyttede mediekanaler for å forsterke påståtte cyberoperasjoner og tidvis overdrevet virkningen. I september, etter Cyber Avengers’ påståtte cyberangrep mot Israels jernbanenett, forsterket og overdrev IRGC-tilknyttede medier nesten umiddelbart kravene. Det IRGC-tilknyttede nyhetsbyrået Tasnim henviste feilaktig til en israelsk nyhetsdekning av en annen hendelse som bevis på at det hadde skjedd et cyberangrep.³¹ Denne rapporteringen ble ytterligere forsterket av andre iranske og Iran-tilpassede kanaler, på en måte som ytterligere skjulte mangelen på bevis som støttet påstandene om et cyberangrep.³²

Begynnende bruk av kunstig intelligens i påvirkningsoperasjoner 
MTAC observerte at iranske aktører hadde brukt bilder og videoer generert av kunstig intelligens siden utbruddet av Israel-Hamas-krigen. Cotton Sandstorm og Storm-1364, i tillegg til Hezbollah og Hamas-tilknyttede nyhetskanaler, har brukt kunstig intelligens for å forsterke truslene og utvikle bilder som vanærer Netanyahu og Israels lederskap.

1. Spirende samarbeid 
Flere uker inn i Israel-Hamas-krigen begynte vi å se eksempler på samarbeid mellom Iran-tilknyttede grupper, som forsterket det aktørene ville oppnå. Samarbeid senker barrieren for å delta, og lar hver gruppe bidra med eksisterende funksjoner og fjerner behovet for at én enkelt gruppe må utvikle et helt spekter av verktøy eller metoder.

Vi tror at et par MOIS-tilknyttede grupper, Storm-0861 og Storm-0842, samarbeidet om et destruktivt cyberangrep i Israel i slutten av oktober og igjen i Albania i slutten av desember. I begge tilfeller ga Storm-0861 sannsynligvis tilgang til nettverket før Storm-0842 kjørte wiper-programvare. På samme måte kjørte Storm-0842 wiper-programvare på albanske myndighetsinstanser i juni 2022 etter at Storm-0861 hadde fått tilgang.

I oktober kan også en annen MOIS-tilknyttet gruppe, Storm-1084, ha hatt tilgang til en organisasjon i Israel hvor Storm-0842 distribuerte «BiBi»-wiper-programvaren, som fikk navnet etter at den skadelige programvaren ga nytt navn til slettede filer med strengen «BiBi». Det er ikke klart hvilken rolle Storm-1084 spilte, om noen i det hele tatt i det destruktive angrepet. Storm-1084 gjennomførte destruktive cyberangrep mot en annen israelsk organisasjon tidlig i 2023, muliggjort av en annen MOIS-tilknyttet gruppe, Mango Sandstorm (aka MuddyWater).³³

Siden krigens utbrudd har Microsoft trusselinformasjon også oppdaget samarbeid mellom en MOIS-tilknyttet gruppe, Pink Sandstorm, og Hezbollah-cyberenheter. Microsoft har observert overlappende infrastruktur og delte verktøy. Iransk samarbeid med Hezbollah om cyberoperasjoner er ikke ekstraordinært, men byr på en bekymrende utvikling om at krigen trekker disse gruppene enda tettere sammen driftsmessig over nasjonalgrensene.³⁴ Etter hvert som Irans cyberangrep i denne krigen har blitt kombinert med påvirkningsoperasjoner, finnes det en ytterligere sannsynlighet for at Iran forbedrer påvirkningsoperasjonene og rekkevidden ved å utnytte innfødte arabisktalende personer for å forsterke autentisiteten til de uautentiske identitetene.

2. Hyperfokus på Israel 
Iranske cyberaktørers intensiverte fokus på Israel. Iran har hatt langvarig fokus på Israel, som Teheran ser på som sin hovedfiende i tillegg til USA. Følgelig, basert på Microsoft trusselinformasjondata, har israelske og amerikanske virksomheter nesten alltid vært Irans vanligste mål. I opptakten til krigen fokuserte iranske aktører mest på Israel, etterfulgt av De forente arabiske emirater og USA. Etter utbruddet av krigen økte dette fokuset på Israel kraftig. 43 prosent av iransk statlig cyberaktivitet som følges av Microsoft, rettet seg mot Israel, noe som er mer enn de neste 14 målrettede landene sammenlagt.

Vi forventer at trusselen fra Irans cyber- og påvirkningsoperasjoner vokser etter hvert som Israel-Hamas-konflikten vedvarer, særlig midt i den økende muligheten for eskalering langs flere fronter. Mens iranske grupper skyndte seg med å gjennomføre, eller simpelthen forfalske, operasjoner tidlig i krigen, senket iranske grupper farten på de siste operasjonene, slik at de fikk mer tid til å oppnå ønsket tilgang eller utvikle mer omfattende operasjoner. Det fasene i krigen, som er fremhevet i denne rapporten, tydeliggjør, er at iranske cyber- og påvirkningsoperasjoner har utviklet seg sakte, og blitt mer målrettet, samarbeidsfokusert og destruktive.

Iranske aktører har også blitt stadig mer dristige i målrettingen – noe som særlig viste seg i et cyberangrep mot et sykehus og ved testing av Washingtons røde linjer – og er tilsynelatende lite bekymret for konsekvenser. Til tross for å være noe opportunistisk var IRGCs angrep på amerikanske vannverk et tilsynelatende lurt knep for å teste Washington ved å påberope seg legitimitet ved angrep av utstyr som ble laget i Israel.

I forkant av valget i USA i november 2024 varsler det økte samarbeidet blant iranske og iransk-tilknyttede grupper en større utfordring for de som engasjerer seg i forsvaret rundt valget. Forsvarere kan ikke lenger nøye seg med å følge bare noen få grupper. For antallet tilgangsagenter, påvirkningsgrupper og cyberaktører vokser og utgjør et stadig mer komplekst og sammenflettet trusselmiljø.