Irán zintenzívňuje operácie ovplyvňujúce kybernetickú bezpečnosť na podporu Hamasu

Od teroristického útoku Hamasu 7. októbra prešli kybernetické a vplyvové operácie Iránu viacerými fázami. Jeden prvok ich operácií zostal po celý čas konštantný: kombinácia oportunistického kybernetického cielenia s vplyvovými operáciami, ktoré často zavádzajú presnosťou alebo rozsahom vplyvu.

Táto správa sa zameriava na iránske vplyvové a kybernetické operácie od 7. októbra do konca roka 2023, pričom zahŕňa trendy a operácie už od jari 2023.

Iránske skupiny boli počas počiatočnej fázy vojny medzi Izraelom a Hamasom reaktívne. Iránske štátne médiá zverejnili zavádzajúce údaje o údajných kybernetických útokoch a iránske skupiny opätovne použili staršie materiály z historických operácií, opätovne využili prístup, ktorý mali pred vojnou, a zveličili celkový rozsah a vplyv kybernetických útokov, ku ktorým sa hlásili.

Po takmer štyroch mesiacoch od začiatku vojny spoločnosť Microsoft z našich údajov stále nezaznamenala jasný dôkaz o tom, že by iránske skupiny koordinovali svoje kybernetické alebo vplyvové operácie s plánmi Hamasu zaútočiť 7. októbra na Izrael. Prevažná časť našich údajov a zistení skôr naznačuje, že iránski kybernetickí aktéri boli reaktívni a po útokoch Hamasu rýchlo zvýšili svoje kybernetické a vplyvové operácie, aby čelili Izraelu.

Zavádzajúce informácie o deklarovaných útokoch prostredníctvom štátnych médií: 
V deň vypuknutia vojny iránska tlačová agentúra Tasnim, ktorá je napojená na Islamské revolučné gardy (IRGC), nepravdivo tvrdila, že skupina s názvom Cyber Avengers uskutočnila kybernetické útoky na izraelskú elektráreň „v rovnakom čase“, ako došlo k útokom Hamasu. ² Cyber Avengers, kybernetická identita riadená IRGC, v skutočnosti tvrdila, že večer pred vpádom Hamasu uskutočnila kybernetický útok na izraelskú energetickú spoločnosť.³ ch dôkazy: týždne staré správy v tlači o výpadkoch elektriny „v posledných rokoch“ a snímka obrazovky nedatovaného prerušenia prevádzky webovej stránky spoločnosti. ⁴

Opätovné používanie starších materiálov: 
Po útokoch Hamasu na Izrael skupina Cyber Avengers tvrdila, že uskutočnila sériu kybernetických útokov proti Izraelu, pričom prvé z nich boli podľa nášho vyšetrovania falošné. 8. októbra skupina tvrdila, že unikli dokumenty o izraelskej elektrárni, hoci tieto dokumenty predtým v júni 2022 zverejnila iná kybernetická identita Moses Staff riadená IRGC.⁵

Opätovné využívanie prístupu: 
Ďalšia kybernetická identita Malek Team, ktorú podľa našich odhadov riadi iránske ministerstvo pre spravodajské služby a bezpečnosť (MOIS), 8. októbra vypustila osobné údaje z istej izraelskej univerzity bez jasnej súvislosti so vznikajúcim konfliktom, čo naznačuje, že cieľ bol oportunistický a možno vybraný na základe prístupu už existujúceho pred vypuknutím vojny. Namiesto toho, aby Malek Team vytvoril spojitosť medzi uniknutými údajmi a podporou operácií Hamasu, spočiatku používal hashtagy na X (predtým Twitter) na podporu Hamasu a až o niekoľko dní neskôr zmenil komunikáciu a prispôsobil sa typu komunikácie očierňujúcej izraelského premiéra Benjamina Netanjahua, ktorá sa objavila v iných iránskych vplyvových operáciách.

Skupina IRGC Shahid Kaveh, ktorú spoločnosť Microsoft sleduje ako Storm-0784, použila 18. októbra prispôsobený ransomware na kybernetické útoky na bezpečnostné kamery v Izraeli. Potom použila jednu zo svojich kybernetických identít „Soldiers of Solomon“ a falošne tvrdila, že zaplatila výkupné za bezpečnostné kamery a údaje na leteckej základni Nevatim. Preskúmanie bezpečnostných záberov, ktoré unikli na verejnosť, odhalilo, že pochádzajú z mesta severne od Tel Avivu s ulicou Nevatim, a nie z rovnomennej leteckej základne. Z analýzy polohy obetí vyplýva, že žiadna z nich sa nenachádzala v blízkosti vojenskej základne (pozri obrázok 5). Iránske skupiny síce začali s ničivými útokmi, ale ich operácie boli do veľkej miery oportunistické a naďalej využívali vplyvové aktivity na zveličenie presnosti alebo účinku útokov.

21. októbra iná kybernetická identita riadená skupinou IRGC Cotton Sandstorm (všeobecne známa ako Emennet Pasargad) zdieľala video, na ktorom útočníci napísali na digitálne displeje v synagógach odkazy, ktoré označovali izraelské operácie v Gaze za genocídu. ⁷ To znamenalo metódu zakomponovania správ priamo do kybernetických útokov proti relatívne ľahkému cieľu.

Počas tejto fázy iránska vplyvová činnosť využívala rozsiahlejšie a sofistikovanejšie formy neautentického zosilňovania. V prvých dvoch týždňoch vojny sme zistili minimálne pokročilé formy neautentického zosilnenia – čo opäť naznačuje, že operácie boli reaktívne. V treťom týždni vojny vstúpil na scénu najplodnejší iránsky vplyvový aktér Cotton Sandstorm, ktorý 21. októbra spustil tri kybernetické vplyvové operácie. Ako u tejto skupiny často vidíme, na rozšírenie operácií použili sieť sockpuppetov na sociálnych sieťach, hoci sa zdá, že mnohí z nich boli narýchlo „prezlečení“ bez autentických zásteriek, ktoré by ich maskovali za Izraelčanov. Skupina Cotton Sandstorm pri viacerých príležitostiach hromadne posielala textové správy alebo e-maily s cieľom posilniť svoje operácie alebo sa nimi pochváliť, pričom na zvýšenie autenticity využívala zneužité kontá.⁸

Od konca novembra iránske skupiny rozšírili svoj kybernetický vplyv aj mimo Izraela, a to na krajiny, ktoré Irán považuje za krajiny pomáhajúce Izraelu, s veľkou pravdepodobnosťou s cieľom podkopať medzinárodnú politickú, vojenskú alebo hospodársku podporu vojenských operácií Izraela. Toto rozšírenie cielenia sa zladilo so začiatkom útokov na medzinárodnú lodnú dopravu spojenú s Izraelom zo strany húsíov, šiitskej militantnej skupiny podporovanej Iránom v Jemene (pozri obrázok 8).⁹

Aj v tejto poslednej fáze kybernetické vplyvové operácie Iránu naďalej rástli na sofistikovanosti. Svojich sockpuppetov lepšie zamaskovali tým, že niektoré premenovali a zmenili ich profilové fotografie, aby autentickejšie vyzerali ako Izraelčania. Medzitým využili nové techniky, ktoré sme u iránskych aktérov doteraz nevideli, vrátane využitia umelej inteligencie ako kľúčovej zložky svojich posolstiev. Predpokladáme, že skupina Cotton Sandstorm v decembri narušila streamovacie televízne služby v Spojených arabských emirátoch a inde pod zámienkou identity s názvom „For Humanity“. Skupina For Humanity zverejnila na Telegrame videá, na ktorých je vidieť, ako sa nabúrala do troch online streamovacích služieb a narušila niekoľko spravodajských kanálov falošným spravodajstvom, v ktorom zjavne vystupoval hlásateľ vytvorený umelou inteligenciou, ktorý tvrdil, že ukazuje zábery Palestínčanov zranených a zabitých pri izraelských vojenských operáciách (obrázok 7).¹⁴ Spravodajské kanály a diváci v Spojených arabských emirátoch, Kanade a Spojenom kráľovstve hlásili narušenie streamovaného televízneho vysielania vrátane BBC, ktoré sa zhodovalo s tvrdeniami organizácie For Humanity.¹⁵

Na dosiahnutie svojich cieľov v informačnom priestore sa Irán v posledných deviatich mesiacoch vo veľkej miere spoliehal na štyri taktiky, techniky a postupy ovplyvňovania (TTP). Patrí medzi ne využívanie vydávania sa za niekoho iného a posilnených schopností aktivizovať cieľové publikum spolu s čoraz častejším využívaním kampaní prostredníctvom textových správ a využívaním médií prepojených s IRGC na posilnenie vplyvových operácií.

Vydávanie sa za izraelské aktivistické skupiny a iránskych partnerov 
Iránske skupiny nadviazali na dlhoročnú techniku vydávania sa za niekoho iného a vytvorili konkrétnejšie a presvedčivejšie identity, ktoré sa vydávajú za priateľov aj nepriateľov Iránu. Mnohé z iránskych operácií a osôb v minulosti sa vydávali za aktivistov na podporu palestínskej veci.²⁷ Nedávne operácie identity, ktorú podľa našich odhadov riadi skupina Cotton Sandstorm, zašli ešte ďalej a na šírenie falošných správ o rukojemníkoch zadržiavaných v Gaze a zasielanie výhražných správ Izraelčanom používali názov a logo vojenského krídla Hamasu, brigád al-Kassám. Ďalší kanál Telegramu, ktorý sa vyhrážal príslušníkom IDF a zverejnil ich osobné údaje a ktorý podľa našich odhadov prevádzkovala skupina MOIS, tiež používal logo brigád al-Kassám. Nie je jasné, či Irán koná so súhlasom Hamasu.

Podobne Irán vytvára čoraz presvedčivejšie napodobeniny fiktívnych izraelských aktivistických organizácií na pravej i ľavej strane izraelského politického spektra. Prostredníctvom týchto falošných aktivistov sa Irán snaží infiltrovať do izraelských komunít, aby získal ich dôveru a zasial rozpory.

Aktivizácia Izraelčanov k činnosti 
V apríli a novembri Irán opakovane úspešne verboval nevedomých Izraelčanov, aby sa zapojili do aktivít na podporu jeho falošných operácií. V rámci jednej z nedávnych operácií „Tears of War“ sa iránskym agentom údajne podarilo presvedčiť Izraelčanov, aby v izraelských štvrtiach rozvešali transparenty Tears of War, na ktorých bol zobrazený Netanjahu zrejme vytvorený umelou inteligenciou a ktoré vyzývali na jeho odvolanie z funkcie (pozri obrázok 11).²⁸

Zosilňovanie prostredníctvom SMS správ a e-mailov so zvýšenou frekvenciou a sofistikovanosťou 
Hoci sa iránske vplyvové operácie naďalej vo veľkej miere spoliehajú na koordinované neautentické šírenie informácií na sociálnych sieťach s cieľom zasiahnuť cieľové publiká, Irán čoraz viac využíva hromadné textové správy a e-maily na posilnenie psychologických účinkov svojich kybernetických vplyvových operácií. Zosilňovanie na sociálnych sieťach pomocou sockpuppetov nemá rovnaký účinok ako správa, ktorá sa objaví v e-mailovej schránke, nieto ešte v telefóne. Skupina Cotton Sandstorm nadviazala na predchádzajúce úspechy pri používaní tejto techniky od roku 2022²⁹, pričom od augusta uskutočnila najmenej šesť operácií, pri ktorých hromadne odoslala textové správy, e-maily alebo oboje. Častejšie používanie tejto techniky naznačuje, že skupina si túto schopnosť zdokonalila a považuje ju za účinnú. Operácia „Cyber Flood“ skupiny Cotton Sandstorm koncom októbra zahŕňala až tri súbory hromadných textových správ a e-mailov Izraelčanom, ktoré zosilňovali údajné kybernetické útoky alebo šírili falošné varovania pred útokmi Hamasu na izraelské jadrové zariadenie pri Dimone.³⁰ Najmenej v jednom prípade využila zneužité konto na zvýšenie autenticity svojich e-mailov.

Využívanie štátnych médií 
Irán využíva otvorené a skryté médiá napojené na IRGC, aby posilnil údajné kybernetické operácie a niekedy zveličil ich účinky. V septembri, keď sa skupina Cyber Avengers prihlásila ku kybernetickým útokom na izraelský železničný systém, médiá napojené na IRGC jej tvrdenia takmer okamžite rozšírili a zveličili. Tlačová agentúra Tasnim napojená na IRGC nesprávne citovala izraelské spravodajstvo o inej udalosti ako dôkaz, že došlo ku kybernetickému útoku.³¹ Toto spravodajstvo ďalej rozšírili ďalšie iránske a s Iránom spojené médiá spôsobom, ktorý ešte viac zahmlil nedostatok dôkazov podporujúcich tvrdenia o kybernetickom útoku.³²

Rodiace sa zavádzanie umelej inteligencie na ovplyvňovanie operácií 
Centrum MTAC pozorovalo iránskych aktérov, ktorí od vypuknutia vojny medzi Izraelom a Hamasom používajú obrázky a videá vytvorené umelou inteligenciou. Skupiny Cotton Sandstorm a Storm-1364, ako aj spravodajské kanály napojené na Hizballáh a Hamas, využívali umelú inteligenciu na posilnenie zastrašovania a vytváranie obrázkov očierňujúcich Netanjahua a izraelské vedenie.

1. Rozvíjajúca sa spolupráca 
Po niekoľkých týždňoch vojny medzi Izraelom a Hamasom sme začali pozorovať príklady spolupráce medzi skupinami napojenými na Irán, čo zvýšilo možnosti aktérov. Spolupráca znižuje vstupnú bariéru, pretože umožňuje každej skupine prispieť existujúcimi schopnosťami a odstraňuje potrebu jednej skupiny vyvinúť celé spektrum nástrojov alebo technológií.

Podľa našich odhadov dvojica skupín napojených na MOIS, Storm-0861 a Storm-0842, spolupracovala na ničivom kybernetickom útoku v Izraeli koncom októbra a v Albánsku koncom decembra. V oboch prípadoch skupina Storm-0861 pravdepodobne poskytla prístup do siete predtým, ako skupina Storm-0842 spustila malvér wiper. Podobne skupina Storm-0842 spustila v júli 2022 po získaní prístupu skupinou Storm-0861 malvér wiper v albánskych vládnych subjektoch.

V októbri ďalšia skupina napojená na MOIS, Storm-1084, možno tiež získala prístup do organizácie v Izraeli, v ktorej skupina Storm-0842 nasadila wiper BiBi, pomenovaný podľa toho, že tento malvér premenúval vymazané súbory reťazcom „BiBi“. Nie je jasné, či a akú úlohu pri tomto ničivom útoku zohrala skupina Storm-1084. Skupina Storm-1084 uskutočnila začiatkom roku 2023 ničivé kybernetické útoky na inú izraelskú organizáciu, ktoré umožnila ďalšia skupina napojená na MOIS Mango Sandstorm (tzv. MuddyWater).³³

Od vypuknutia vojny služba Microsoft Analýza hrozieb zistila aj spoluprácu medzi skupinou Pink Sandstorm napojenou na MOIS a kybernetickými jednotkami Hizballáhu. Spoločnosť Microsoft zaznamenala prekrývanie infraštruktúry a zdieľanie nástrojov. Spolupráca Iránu s Hizballáhom v oblasti kybernetických operácií síce nie je bezprecedentná, ale predstavuje znepokojujúci vývoj, pretože vojna môže tieto skupiny, ktoré sú rozdelené na viacero štátov, ešte viac operačne zblížiť.³⁴ Keďže všetky kybernetické útoky Iránu v tejto vojne boli kombinované s vplyvovými operáciami, existuje ďalšia pravdepodobnosť, že Irán zlepšuje svoje vplyvové operácie a ich dosah tým, že využíva ľudí s rodnou Arabčinou na zvýšenie autenticity svojich neautentických identít.

2. Mimoriadne zameranie na Izrael 
Zameranie iránskych kybernetických aktérov na Izrael sa zintenzívnilo. Irán sa dlhodobo zameriava na Izrael, ktorý Teherán považuje popri Spojených štátoch za svojho hlavného protivníka. V súlade s tým boli podľa údajov služby Microsoft Analýza hrozieb v posledných rokoch najčastejšími cieľmi Iránu takmer vždy izraelské a americké podniky. Pred vojnou sa iránski aktéri najviac zameriavali na Izrael, po ktorom nasledovali Spojené arabské emiráty a Spojené štáty. Po vypuknutí vojny zameranie na Izrael výrazne vzrástlo. Štyridsaťtri percent kybernetických aktivít iránskeho štátu sledovaných spoločnosťou Microsoft bolo zameraných na Izrael, čo je viac ako ďalších 14 cieľových krajín dohromady.

Očakávame, že hrozba, ktorú predstavujú kybernetické a vplyvové operácie Iránu, bude s pretrvávajúcim konfliktom medzi Izraelom a Hamasom rásť, najmä v súvislosti s rastúcim potenciálom eskalácie na ďalších frontoch. Zatiaľ čo v prvých dňoch vojny sa iránske skupiny ponáhľali vykonávať, alebo jednoducho vymýšľať, operácie, v poslednom období iránske skupiny svoje operácie spomalili, čo im poskytlo viac času na získanie požadovaného prístupu alebo na vypracovanie dômyselnejších vplyvových operácií. Fázy vojny uvedené v tejto správe jasne ukazujú, že iránske kybernetické a vplyvové operácie pomaly napredujú a stávajú sa cielenejšími, kolaboratívnejšími a ničivejšími.

Iránski aktéri sa tiež čoraz odvážnejšie zameriavajú na svoje ciele, najmä pri kybernetickom útoku na nemocnicu, a testujú červené čiary Washingtonu zdanlivo bez obáv z následkov. Útoky IRGC na americké vodovodné systémy boli síce oportunistické, ale zrejme išlo o šikovný trik, ako otestovať Washington tvrdením, že útoky na zariadenia vyrobené v Izraeli sú legitímne.

Pred voľbami v USA v novembri 2024 je zvýšená spolupráca medzi iránskymi a s Iránom spojenými skupinami väčšou výzvou pre tých, ktorí sa podieľajú na ochrane volieb. Obrancovia sa už nemôžu uspokojiť sledovaním niekoľkých skupín. Rastúci počet agentov prístupu, vplyvových skupín a kybernetických aktérov vytvára zložitejšie a prepojenejšie prostredie hrozieb.