Iran gebruikt steeds meer cyberbeïnvloedingsoperaties om Hamas te steunen

De cyber- en beïnvloedingsoperaties van Iran hebben meerdere fasen doorlopen sinds de terroristische aanval van Hamas op 7 oktober. Eén element van hun operaties is altijd constant gebleven: de combinatie van opportunistische doelgerichte cyberaanvallen met beïnvloedingsoperaties die vaak de precisie of omvang van de impact misleiden.

Dit rapport richt zich op Iraanse beïnvloedings- en cyberbeïnvloedingsoperaties vanaf 7 oktober tot eind 2023, terwijl het ook ingaat op trends en operaties die teruggaan tot het voorjaar van 2023.

Iraanse groepen waren reactief tijdens de beginfase van de oorlog tussen Israël en Hamas. Iraanse staatsmedia publiceerden misleidende details over vermeende cyberaanvallen en Iraanse groepen hergebruikten gedateerd materiaal van historische operaties, hergebruikten toegang die ze voor de oorlog hadden en overdreven de algehele omvang en impact van vermeende cyberaanvallen.

Na bijna vier maanden oorlog heeft Microsoft uit onze gegevens nog steeds geen duidelijk bewijs gezien dat Iraanse groepen hun cyber- of beïnvloedingsoperaties hadden gecoördineerd met de plannen van Hamas om Israël op 7 oktober aan te vallen. Het overwicht van onze gegevens en bevindingen wijst er eerder op dat Iraanse cyberactoren reactief waren en hun cyber- en beïnvloedingsoperaties na de Hamas-aanvallen snel opvoerden om Israël tegen te werken.

Misleidende details over geclaimde aanvallen via staatsmedia: 
Op de dag dat de oorlog uitbrak, beweerde Tasnim News Agency, een Iraanse krant die gelieerd is aan de Iraanse Revolutionaire Garde (IRG), ten onrechte dat een groep genaamd "Cyber Avengers" cyberaanvallen uitvoerde tegen een Israëlische elektriciteitscentrale "op hetzelfde moment" als de aanvallen van Hamas. ² Cyber Avengers, een cyber-persona onder leiding van de IRG, beweerde de avond voor de inval van Hamas een cyberaanval te hebben uitgevoerd op een Israëlisch elektriciteitsbedrijf.³ Hun bewijs: wekenoude persberichten over stroomstoringen "in de afgelopen jaren" en een screenshot van een ongedateerde storing op de website van het bedrijf. ⁴

Oud materiaal hergebruiken: 
Na de aanvallen van Hamas op Israël, beweerde Cyber Avengers een reeks cyberaanvallen tegen Israël uit te voeren, waarvan de eerste door ons onderzoek vals bleken te zijn. Op 8 oktober beweerden ze documenten van een Israëlische energiecentrale te lekken, hoewel de documenten al eerder waren gepubliceerd in juni 2022 door een andere IRG-geleide cyberpersona "Moses Staff".⁵

Toegang hergebruiken: 
Een andere cyber persona "Malek Team", waarvan wij vermoeden dat het wordt geleid door het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS), lekte op 8 oktober persoonlijke gegevens van een Israëlische universiteit zonder dat er een duidelijke link was tussen het doelwit en het opkomende conflict daar, wat erop wijst dat het doelwit opportunistisch was en misschien was gekozen op basis van reeds bestaande toegang voordat de oorlog uitbrak. In plaats van verbanden te leggen tussen de gelekte gegevens en steun voor de operaties van Hamas, gebruikte Malek Team in eerste instantie hashtags op X (voorheen Twitter) om Hamas te steunen en slechts enkele dagen later veranderde de berichtgeving om deze af te stemmen op het soort berichtgeving dat de Israëlische premier Benjamin Netanyahu kleineert, zoals te zien was in andere Iraanse beïnvloedingsoperaties.

Op 18 oktober gebruikte de Shahid Kaveh Group van de IRG, die Microsoft traceert als Storm-0784, aangepaste ransomware om cyberaanvallen uit te voeren op beveiligingscamera's in Israël. Vervolgens gebruikte het een van zijn cyberpersonas, "Soldiers of Solomon", om valse beweringen te doen dat het beveiligingscamera's en gegevens op Nevatim luchmachtbasis had weten te bemachtigen. Onderzoek van de beveiligingsbeelden die Soldiers of Solomon heeft gelekt laat zien dat ze afkomstig waren uit een stad ten noorden van Tel Aviv met een Nevatim straat, niet van de gelijknamige luchtmachtbasis. Een analyse van de locaties van de slachtoffers laat zien dat geen van hen zich in de buurt van de militaire basis bevond (zie Figuur 5). Hoewel Iraanse groepen waren begonnen met destructieve aanvallen, bleven hun operaties grotendeels opportunistisch en bleven ze gebruik maken van beïnvloedingsactiviteiten om de precisie of het effect van de aanvallen te overdrijven.

Op 21 oktober deelde een andere cyberpersona bestuurd door de IRG-groep Cotton Sandstorm (beter bekend als Emennet Pasargad) een video van de aanvallers die digitale displays bij synagogen bekladden met boodschappen die verwezen naar de Israëlische operaties in Gaza als "genocide". ⁷ Dit markeerde een methode om berichten direct te integreren in cyberaanvallen tegen een relatief zwak doelwit.

In deze fase gebruikte de Iraanse beïnvloedingsactiviteit uitgebreidere en geavanceerdere vormen van niet-authentieke versterking. In de eerste twee weken van de oorlog ontdekten we minimale geavanceerde vormen van niet-authentieke versterking - wat opnieuw suggereert dat de operaties reactief waren. Tegen de derde week van de oorlog kwam de meest productieve beïnvloeder van Iran, Cotton Sandstorm, op het toneel en lanceerde op 21 oktober drie cyberbeïnvloedingsoperaties. Zoals we vaak zien bij de groep, gebruikten ze een netwerk van social media sokpoppen om de operaties te versterken, al leken velen overhaast te zijn herplaatst zonder authentieke covers die hen als Israëli's vermomden. Bij meerdere gelegenheden stuurde Cotton Sandstorm sms-berichten of e-mails in grote hoeveelheden om hun activiteiten te versterken of erover op te scheppen, waarbij gecompromitteerde accounts werden gebruikt om de authenticiteit te versterken.⁸

Vanaf eind november breidden Iraanse groepen hun invloed via cyberspace uit tot buiten Israël, tot landen waarvan Iran denkt dat ze Israël helpen, om zo de internationale politieke, militaire of economische steun voor de militaire operaties van Israël te ondermijnen. Deze uitbreiding van het aantal doelwitten viel samen met het begin van aanvallen op internationale scheepvaart die in verband worden gebracht met Israël door de Houthi's, een door Iran gesteunde sjiitische militante groep in Jemen (zie figuur 8).⁹

De cyberbeïnvloedingsoperaties van Iran werden in deze laatste fase ook steeds geavanceerder. Ze hebben hun sokpoppen beter vermomd door sommige een andere naam te geven en hun profielfoto's te veranderen zodat ze er meer authentiek Israëlisch uitzien. Ondertussen maakten ze gebruik van nieuwe technieken die we nog niet van Iraanse actoren hebben gezien, waaronder het gebruik van AI als een belangrijk onderdeel van hun berichtgeving. We beoordelen Cotton Sandstorm die in december streaming televisiediensten in de VAE en elders verstoorde onder het mom van een persona met de naam "For Humanity". For Humanity publiceerde video's op Telegram waarop te zien is hoe de groep drie online streamingdiensten hackt en verschillende nieuwskanalen verstoort met een neppe nieuwsuitzending met een schijnbaar door AI gegenereerde presentator die beweerde beelden te tonen van Palestijnen die gewond zijn geraakt en zijn gedood door Israëlische militaire operaties (Afbeelding 7).¹⁴ De nieuwsbronnen en kijkers in de VAE, Canada en het VK meldden onderbrekingen in het streamen van televisieprogramma's, waaronder BBC, die overeenkwamen met de beweringen van For Humanity.¹⁵

Om zijn doelen in de informatieruimte te bereiken, heeft Iran de afgelopen negen maanden zwaar ingezet op vier beïnvloedingstactieken, -technieken en -procedures (TTP's). Hieronder valt het gebruik van imitatie en verbeterde vaardigheden om doelgroepen te activeren, in combinatie met een toenemend gebruik van sms-campagnes en het gebruik van aan de IRG gelieerde media om beïnvloedingsoperaties te versterken.

Zich voordoen als Israëlische activistische groepen en Iraanse partners 
Iraanse groepen hebben voortgebouwd op een al lang bestaande techniek van imitatie door specifiekere en overtuigendere personas te ontwikkelen die zich zowel als vrienden als vijanden van Iran voordoen. Veel van de eerdere operaties en personas van Iran hebben zich voorgedaan als activisten die zich inzetten voor Palestina.²⁷ Recente operaties van een persona die volgens ons wordt geleid door Cotton Sandstorm gingen nog verder en gebruikten de naam en het logo van de militaire vleugel van Hamas, de al-Qassam Brigades, om valse berichten te verspreiden over de gijzelaars in Gaza en om Israëliërs dreigende berichten te sturen. Een ander Telegram-kanaal dat IDF-personeel heeft bedreigd en hun persoonlijke gegevens heeft gelekt, waarvan we vermoeden dat het gerund wordt door een MOIS-groep, gebruikte ook het logo van de Al Qassam Brigades. Het is onduidelijk of Iran handelt met toestemming van Hamas.

Op vergelijkbare wijze heeft Iran steeds overtuigender imitaties gemaakt van fictieve Israëlische activistische organisaties aan de rechter- en linkerkant van het Israëlische politieke spectrum. Via deze nepactivisten probeert Iran te infiltreren in Israëlische gemeenschappen om hun vertrouwen te winnen en onenigheid te zaaien.

Israëliërs aanzetten tot actie 
In april en november toonde Iran herhaaldelijk succes bij het rekruteren van onwetende Israëli's om deel te nemen aan activiteiten ter plaatse ter bevordering van hun valse operaties. In één recente operatie, "Tears of War", slaagden Iraanse agenten er mogelijk in om Israëli's ervan te overtuigen om in Israëlische buurten spandoeken op te hangen met daarop een schijnbaar door Al gegenereerde afbeelding van Netanyahu en een oproep om hem uit zijn functie te verwijderen (zie Afbeelding 11).²⁸

Versterking via sms en e-mail met toenemende frequentie en geavanceerdheid 
Terwijl Iraanse beïnvloedingsoperaties nog steeds sterk afhankelijk zijn van gecoördineerde niet-authentieke versterking van sociale media om doelgroepen te bereiken, maakt Iran steeds meer gebruik van massale sms-berichten en e-mails om de psychologische effecten van hun cyberbeïnvloedingsoperaties te versterken. Versterking op sociale media met behulp van sokpoppen heeft niet dezelfde impact als een bericht dat in iemands inbox verschijnt, laat staan in iemands telefoon. Cotton Sandstorm bouwde voort op eerdere successen met het gebruik van deze methode vanaf 2022,²⁹ het massaal verzenden van sms-berichten, e-mails of beide in ten minste zes operaties sinds augustus. Het toegenomen gebruik van deze methode suggereert dat de groep het vermogen heeft aangescherpt en het als effectief beschouwt. Cotton Sandstorm's "Cyber Flood" operatie van eind oktober bestond uit wel drie reeksen massale sms-berichten en e-mails aan Israëliërs waarin beweerde cyberaanvallen werden versterkt of valse waarschuwingen werden verspreid voor Hamas-aanvallen op Israëls nucleaire installatie bij Dimona.³⁰ In minstens één geval maakten ze gebruik van een gecompromitteerde account om de authenticiteit van hun e-mails te vergroten.

De staatsmedia inzetten 
Iran heeft zowel openlijk als in het geheim IRG-gelieerde mediakanalen gebruikt om vermeende cyberoperaties uit te vergroten en soms de effecten ervan te overdrijven. Nadat Cyber Avengers in september cyberaanvallen tegen het Israëlische spoorwegsysteem hadden geclaimd, versterkten en overdreven de aan de IRG-gelieerde media hun beweringen vrijwel onmiddellijk. Het aan de IRG-gelieerde Tasnim News Agency citeerde ten onrechte Israëlische berichtgeving over een andere gebeurtenis als bewijs dat de cyberaanval had plaatsgevonden.³¹ Deze berichtgeving werd verder versterkt door andere Iraanse en door Iran gesteunde kanalen op een manier die het gebrek aan bewijs voor de beweringen over de cyberaanval verder verdoezelde.³²

AI in opkomst voor beïnvloedingsoperaties 
MTAC observeerde Iraanse actoren die AI-gegenereerde beelden en video's gebruiken sinds het uitbreken van de oorlog tussen Israël en Hamas. Cotton Sandstorm en Storm-1364, evenals aan Hezbollah en Hamas gelieerde nieuwsuitzendingen, hebben Al gebruikt om intimidatie te versterken en beelden te ontwikkelen die Netanyahu en het Israëlische leiderschap zwartmaken.

1. Opkomende samenwerking 
Weken na het begin van de oorlog tussen Israël en Hamas, begonnen we voorbeelden te zien van samenwerking tussen groepen die gelieerd waren aan Iran, waarmee de actoren meer konden bereiken. Samenwerking verlaagt de toetredingsdrempel, zodat elke groep bestaande capaciteiten kan inbrengen en er niet één groep nodig is om een volledig spectrum aan gereedschappen of vakkennis te ontwikkelen.

We hebben vastgesteld dat een paar aan MOIS-gelieerde groepen, Storm-0861 en Storm-0842, hebben samengewerkt aan een vernietigende cyberaanval in Israël eind oktober en opnieuw in Albanië eind december. In beide gevallen verschafte Storm-0861 waarschijnlijk toegang tot het netwerk voordat Storm-0842 de wiper malware uitvoerde. Op dezelfde manier voerde Storm-0842 in juli 2022 wiper-malware uit bij Albanese overheidsinstanties nadat Storm-0861 toegang had verkregen.

In oktober had een andere aan MOIS-gelieerde groep, Storm-1084, mogelijk ook toegang tot een organisatie in Israël waar Storm-0842 de "BiBi" wisser inzette, vernoemd naar de hernoeming door de malware van gewiste bestanden met de string "BiBi". Het is niet duidelijk welke rol Storm-1084 eventueel heeft gespeeld bij de vernietigende aanval. Storm-1084 voerde begin 2023 vernietigende cyberaanvallen uit op een andere Israëlische organisatie, mogelijk gemaakt door een andere aan MOIS-gelieerde groep, Mango Sandstorm (ook bekend als MuddyWater).³³

Sinds het begin van de oorlog heeft Microsoft Bedreigingsinformatie ook samenwerking ontdekt tussen een aan MOIS-gelieerde groep, Pink Sandstorm, en Hezbollah cybereenheden. Microsoft heeft overlappingen in de infrastructuur en gedeelde hulpprogramma's waargenomen. De samenwerking tussen Iran en Hezbollah op het gebied van cyberoperaties is weliswaar niet ongekend, maar het is wel een zorgwekkende ontwikkeling dat de oorlog deze groepen over de landsgrenzen heen operationeel nog dichter bij elkaar kan brengen.³⁴ Aangezien de cyberaanvallen van Iran in deze oorlog allemaal zijn gecombineerd met beïnvloedingsoperaties, is het extra waarschijnlijk dat Iran zijn beïnvloedingsoperaties en het bereik ervan verbetert door gebruik te maken van moedertaalsprekers van het Arabisch om de authenticiteit van zijn niet-authentieke personas te vergroten.

2. Hyperfocus op Israël 
Iraanse cyberactoren richten zich steeds meer op Israël. Iran richt zich al heel lang op Israël, omdat Teheran dit land naast de Verenigde Staten als zijn grootste tegenstander beschouwt. Op basis van gegevens van Microsoft Bedreigingsinformatie waren Israëlische en Amerikaanse bedrijven de afgelopen jaren dan ook bijna altijd de meest voorkomende doelwitten van Iran. In de aanloop naar de oorlog richtten Iraanse actoren zich het meest op Israël, gevolgd door de VAE en de Verenigde Staten. Na het uitbreken van de oorlog nam de aandacht voor Israël toe. Drieënveertig procent van de cyberactiviteiten van Iraanse natiestaten die door Microsoft zijn gevolgd, waren gericht op Israël, meer dan de volgende 14 landen samen.

We verwachten dat de dreiging van de cyber- en beïnvloedingsoperaties van Iran zal toenemen naarmate het conflict tussen Israël en Hamas voortduurt, vooral omdat de kans op escalatie op andere fronten toeneemt. Terwijl Iraanse groepen zich in het begin van de oorlog haastten om operaties uit te voeren of zelfs te verzinnen, hebben Iraanse groepen hun recente operaties vertraagd, waardoor ze meer tijd hebben om de gewenste toegang te krijgen of meer uitgebreide beïnvloedingsoperaties te ontwikkelen. Wat de oorlogsfases die in dit rapport worden beschreven duidelijk maken, is dat Iraanse cyber- en beïnvloedingsoperaties langzaam vorderen en steeds doelgerichter, samenwerkingsgerichter en destructiever worden.

Iraanse actoren zijn ook steeds gewaagder geworden in hun aanvallen, vooral met een cyberaanval op een ziekenhuis en het testen van de rode lijnen van Washington, schijnbaar zonder zich zorgen te maken over repercussies. De aanvallen van de IRG op Amerikaanse watercontrolesystemen waren weliswaar opportunistisch, maar ogenschijnlijk een slimme zet om Washington op de proef te stellen door aan te voeren dat het legitiem was om in Israël gemaakte apparatuur aan te vallen.

In de aanloop naar de Amerikaanse verkiezingen in november 2024 vormt de toegenomen samenwerking tussen Iraanse en aan Iran gelieerde groepen een grotere uitdaging voor de mensen die zich bezighouden met de verdediging van de verkiezingen. Verdedigers hebben niet langer genoeg aan het volgen van een paar groepen. Een groeiend aantal toegangsagenten, invloedrijke groepen en cyberactoren zorgen voor een complexere en sterker verweven bedreigingsomgeving.