Iran krepi kibernetsko omogočene postopke vplivanja v podporo Hamasu

Od terorističnega napada Hamasa 7. oktobra so iranske kibernetske in vplivne operacije napredovale v več fazah. Eden od elementov njihovih operacij je ostal nespremenjen: kombinacija oportunističnega kibernetskega ciljanja s postopki vplivanja, ki pogosto zavajajo glede natančnosti ali obsega učinka.

To poročilo se osredotoča na iranski vpliv in kibernetsko podprte postopke vplivanja od 7. oktobra do konca leta 2023, hkrati pa zajema trende in operacije od pomladi leta 2023.

Iranske skupine so se odzvale v začetni fazi vojne med Izraelom in Hamasom. Iranski državni mediji so objavljali zavajajoče podrobnosti o domnevnih kibernetskih napadih, iranske skupine pa so ponovno uporabile zastarelo gradivo iz preteklih operacij, ponovno uporabile dostop, ki so ga imele pred vojno, ter pretiravale glede splošnega obsega in vpliva domnevnih kibernetskih napadov.

Po skoraj štirih mesecih vojne Microsoft iz naših podatkov še vedno ni pridobil jasnih dokazov, ki bi kazali, da so iranske skupine usklajevale svoje kibernetske ali vplivne operacije z načrti Hamasa za napad na Izrael 7. oktobra. Večina naših podatkov in ugotovitev kaže, da so se iranski kibernetski akterji odzvali in po napadih Hamasa hitro okrepili svoje kibernetske napade in postopke vplivanja, da bi se zoperstavili Izraelu.

Zavajajoče podrobnosti o prijavljenih napadih v državnih medijih: 
Na dan začetka vojne je iranska tiskovna agencija Tasnim, ki je povezana z Islamsko revolucionarno gardo (IRGC), lažno trdila, da je skupina, imenovana »Cyber Avengers«, izvedla kibernetski napad na izraelsko elektrarno »sočasno« z napadi Hamasa. ²Cyber Avengers, kibernetska organizacija, ki jo vodi IRGC, je dejansko trdila, da je večer pred Hamasovim vdorom izvedla kibernetski napad na izraelsko električno podjetje.³Njihovi dokazi: več tednov staro poročanje tiska o izpadih električne energije »v zadnjih letih« in posnetek zaslona nedatirane motnje v delovanju spletne strani podjetja. ⁴

Ponovna uporaba starega gradiva: 
Po napadih Hamasa na Izrael je organizacija Cyber Avengers trdila, da je izvedla vrsto kibernetskih napadov na Izrael, pri čemer je naša preiskava pokazala, da so bili prvi izmed njih lažni. 8. oktobra so trdili, da so razkrili dokumente o izraelski elektrarni, čeprav jih je junija 2022 že objavila druga kibernetska oseba »Moses Staff«, ki jo vodi IRGC.⁵

Ponovna uporaba dostopa: 
Druga kibernetska oseba »Malek Team«, ki jo po naši oceni vodi iransko ministrstvo za obveščevalne in varnostne zadeve (MOIS), je 8. oktobra izpustila osebne podatke z izraelske univerze brez jasne povezave med ciljem in razvijajočim se konfliktom, kar kaže, da je bila tarča oportunistična in morda izbrana na podlagi že obstoječega dostopa pred izbruhom vojne. Namesto da bi vzpostavila povezavo med razkritimi podatki in podporo operacijam Hamasa, je skupina Malek Team sprva uporabljala ključnike v omrežju X (nekdanji Twitter) v podporo Hamasu, le nekaj dni pozneje pa je sporočila spremenila in jih uskladila s sporočili, ki blatijo izraelskega ministrskega predsednika Benjamina Netanjahuja in so bila uporabljena v drugih iranskih postopkih vplivanja.

Skupina IRGC Shahid Kaveh Group, ki jo Microsoft spremlja pod imenom Storm-0784, je 18. oktobra s prilagojeno izsiljevalsko programsko opremo izvedla kibernetske napade na varnostne kamere v Izraelu. Skupina je nato uporabila eno od svojih kibernetskih osebnosti »Soldiers of Solomon« in lažno trdila, da je zavzela varnostne kamere in podatke v letalski bazi Nevatim. Pregled varnostnih posnetkov, ki so jih objavili Solomonovi vojaki, je pokazal, da so bili posnetki iz mesta severno od Tel Aviva z ulico Nevatim in ne iz letalskega oporišča z istim imenom. Analiza lokacij žrtev je pokazala, da nobena ni bila v bližini vojaškega oporišča (glejte sliko 5). Čeprav so iranske skupine začele z uničujočimi napadi, so bile njihove operacije večinoma oportunistične in so še naprej izkoriščale dejavnosti vplivanja za poveličevanje natančnosti ali učinka napadov.

21. oktobra je druga kibernetska oseba, ki jo vodi skupina IRGC Cotton Sandstorm (splošno znana kot Emennet Pasargad), delila videoposnetek napadalcev, ki so poškodovali digitalne zaslone v sinagogah s sporočili, v katerih so izraelske operacije v Gazi označili za »genocid«. ⁷To je bila metoda neposredne vdelave sporočil v kibernetske napade na relativno lahko tarčo.

V tej fazi so iranske dejavnosti vplivanja uporabljale obsežnejše in bolj izpopolnjene oblike lažnega poveličevanja. V prvih dveh tednih vojne smo zaznali le minimalne napredne oblike lažnega poveličevanja – kar ponovno kaže na to, da so bile operacije reaktivne narave. V tretjem tednu vojne je na prizorišče stopil aktiven iranski akter vplivanja Cotton Sandstorm, ki je 21. oktobra sprožil tri postopke vplivanja s kibernetskimi sredstvi. Kot se pri skupini pogosto dogaja, so za poveličevanje teh operacij uporabljali mrežo lutk v družabnih omrežjih, čeprav se je zdelo, da so bili mnoge od njih v naglici ponovno uporabljene brez pristnih krink. Skupina Cotton Sandstorm je večkrat množično pošiljala besedilna sporočila ali e-pošto, da bi se pohvalila s svojim delovanjem, pri čemer je za večjo verodostojnost uporabljala kompromitirane račune.⁸

Od konca novembra so iranske skupine svoj kibernetski vpliv razširile onkraj Izraela na države, za katere Iran meni, da pomagajo Izraelu, s čimer so zelo verjetno spodkopale mednarodno politično, vojaško ali gospodarsko podporo izraelskim vojaškim operacijam. Ta širitev ciljnih napadov se je ujemala z začetkom napadov hutijev, šiitske militantne skupine v Jemnu, ki jo podpira Iran, na mednarodni ladijski promet, povezan z Izraelom (glej sliko 8).⁹

Tudi v tej zadnji fazi so iranski postopki vplivanja s kibernetskimi sredstvi postali še bolj izpopolnjeni. Svoje lutke so bolje prikrili tako, da so nekatere preimenovali in jim spremenili fotografije profilov, da so bile videti bolj pristno izraelske. Pri tem so uporabili nove tehnike, ki jih pri iranskih akterjih še nismo videli, vključno z uporabo umetne inteligence kot ključnega elementa svojih sporočil. Ocenjujemo, da je skupina Cotton Sandstorm decembra v Združenih arabskih emiratih in drugod pod krinko osebe z imenom »For Humanity« prekinila pretočne televizijske storitve. Skupina For Humanity je v omrežju Telegram objavila videoposnetke in zmotila pretakanje vsebine več novičarskih agencij, na katerih je prikazala, kako je vdrla v tri spletne pretočne storitve in z lažnimi novicami, v katerih je nastopal voditelj, ki ga je očitno ustvarila umetna inteligenca in je prikazoval slike Palestincev, ranjenih in ubitih v izraelskih vojaških operacijah (slika 7).¹⁴Novičarski servisi in gledalci v ZAE, Kanadi in Združenem kraljestvu so poročali o motnjah v pretakanju televizijskih programov, vključno z BBC, ki so se ujemale s trditvami organizacije For Humanity.¹⁵

Da bi dosegel svoje cilje v informacijskem prostoru, se je Iran v zadnjih devetih mesecih močno oprl na štiri taktike, tehnike in postopke vplivanja (TTP). Ti vključujejo uporabo pretvarjanja in izboljšanih zmožnosti za aktiviranje ciljnega občinstva, skupaj z vse pogostejšo uporabo kampanj z besedilnimi sporočili in uporabo medijev, povezanih z IRGC, za okrepitev postopkov vplivanja.

Izdajanje za izraelske aktivistične skupine in iranske partnerje 
Iranske skupine so nadgradile dolgoletno tehniko pretvarjanja in razvile bolj specifične in prepričljive osebe, ki se izdajajo tako za iranske prijatelje kot sovražnike. Številne iranske operacije in osebe so se v preteklosti izdajale za aktiviste, ki podpirajo palestinsko stvar.²⁷ Nedavne operacije osebe, ki jo po naši oceni vodi skupina Cotton Sandstorm, so šle še dlje, saj je oseba uporabila ime in logotip Hamasovega vojaškega krila, brigad al-Kasam, za širjenje lažnih sporočil o talcih v Gazi in pošiljanje grozilnih sporočil Izraelcem. Drugi kanal mreže Telegram, ki je grozil osebju IDF in razkril njihove osebne podatke ter ga je po naši oceni vodila skupina MOIS, je prav tako uporabljal logotip brigad al-Kasam. Ni jasno, ali Iran deluje s soglasjem Hamasa.

Podobno je Iran ustvaril vse bolj prepričljive imitacije izmišljenih izraelskih aktivističnih organizacij na desnem in levem delu izraelskega političnega spektra. S temi lažnimi aktivisti se Iran skuša infiltrirati v izraelske skupnosti, da bi pridobil njihovo zaupanje in sejal razdor.

Spodbujanje Izraelcev k ukrepanju 
Aprila in novembra je Iran večkrat dokazal uspeh pri novačenju nevednih Izraelcev za sodelovanje pri dejavnostih na terenu, s katerimi je spodbujal svoje lažne operacije. V eni od nedavnih operacij »Solze vojne« naj bi iranskim agentom uspelo prepričati Izraelce, da so v izraelskih soseskah razobesili transparente z blagovno znamko »Solze vojne«, na katerih je bila na videz podoba Netanjahuja, ki jo je ustvarila UI, in pozivali k njegovi odstavitvi (glejte sliko 11).²⁸

Pogostejše in bolj prefinjeno razširjanje prek besedila in e-pošte 
Medtem ko se iranski postopki vplivanja še vedno v veliki meri zanašajo na usklajeno lažno razširjanje prek družabnih omrežij, da bi dosegli ciljno občinstvo, Iran vse bolj uporablja množično pošiljanje besedilnih sporočil in elektronske pošte za povečanje psiholoških učinkov svojih kibernetsko podprtih postopkov vplivanja. Poveličevanje v družabnih omrežjih z lutkami nima enakega učinka kot sporočilo, ki se pojavi v poštnem predalu, kaj šele na telefonu. Skupina Cotton Sandstorm je nadgradila pretekle uspehe z uporabo te tehnike, ki se je začela leta 2022,²⁹ in od avgusta dalje v vsaj šestih operacijah množično pošiljala besedilna sporočila, e-pošto ali oboje. Pogostejša uporaba te tehnike kaže, da je skupina to sposobnost izpopolnila in jo ocenjuje kot učinkovito. Operacija skupine Cotton Sandstorm »Cyber Flood« konec oktobra je vključevala do tri sklope množičnih besedilnih sporočil in elektronskih sporočil Izraelcem, ki so krepila domnevne kibernetske napade ali širila lažna opozorila o napadih Hamasa na izraelski jedrski objekt v bližini Dimone.³⁰Vsaj v enem primeru so uporabili kompromitiran račun, da bi povečali verodostojnost svojih elektronskih sporočil.

Izkoriščanje državnih medijev 
Iran uporablja odkrite in prikrite medije, povezane z IRGC, da bi okrepil domnevne kibernetske operacije in poveličeval njihove učinke. Septembra, ko so kibernetski maščevalci prijavili kibernetske napade na izraelski železniški sistem, so mediji, povezani z IRGC, skoraj takoj razširili in pretiravali njihove trditve. Tiskovna agencija Tasnim, ki je povezana z IRGC, je kot dokaz, da je prišlo do kibernetskega napada, napačno navedla izraelsko poročanje o drugem dogodku.³¹ To poročanje so še dodatno razširili drugi iranski in z Iranom povezani mediji na način, ki je še dodatno prikril pomanjkanje dokazov, ki bi podpirali trditve o kibernetskem napadu.³²

Uporaba umetne inteligence pri vplivanju 
MTAC je od začetka vojne med Izraelom in Hamasom opazil, da iranski akterji uporabljajo slike in videoposnetke, ki jih ustvarja umetna inteligenca. Cotton Sandstorm in Storm-1364 ter s Hezbolahom in Hamasom povezane novičarske postaje so Ul izkoristili za krepitev ustrahovanja in ustvarjanje podob, ki blatijo Netanjahuja in izraelsko vodstvo.

1. Razvijajoče se sodelovanje 
Nekaj tednov po začetku vojne med Izraelom in Hamasom smo začeli opažati primere sodelovanja med skupinami, povezanimi z Iranom, kar je povečalo možnosti, ki so jih akterji lahko dosegli. Sodelovanje zmanjšuje vstopne ovire, saj vsaki skupini omogoča, da prispeva obstoječe zmogljivosti, in odpravlja potrebo po tem, da bi ena sama skupina razvila celoten spekter orodij ali veščin.

Ocenjujemo, da je par skupin, povezanih z MOIS, Storm-0861 in Storm-0842, sodelovalo pri uničujočem kibernetskem napadu v Izraelu konec oktobra in v Albaniji konec decembra. V obeh primerih je skupina Storm-0861 verjetno omogočila dostop do omrežja, preden je Storm-0842 zagnal zlonamerno programsko opremo wiper. Podobno je skupina Storm-0842 julija 2022, potem ko je Storm-0861 pridobil dostop, zagnala zlonamerno programsko opremo wiper v albanskih vladnih ustanovah.

Oktobra je imela druga skupina, povezana z MOIS, Storm-1084, morda tudi dostop do organizacije v Izraelu, kjer je Storm-0842 namestil programsko opremo »BiBi«. Ime je dobila po tem, da izbrisane datoteke poimenuje »BiBi«. Ni jasno, kakšno vlogo je imela skupina Storm-1084 pri tem uničujočem napadu, če jo je sploh imela. Skupina Storm-1084 je v začetku leta 2023 izvedla uničujoče kibernetske napade na drugo izraelsko organizacijo, ki jih je omogočila druga z MOIS povezana skupina Mango Sandstorm (znana tudi kot MuddyWater).³³

Po izbruhu vojne je ekipa Obveščanje o grožnjah Microsoft zaznala tudi sodelovanje med skupino Pink Sandstorm, povezano z MOIS, in kibernetskimi enotami Hezbolaha. Microsoft je opazil prekrivanje infrastrukture in skupna orodja. Sodelovanje Irana s Hezbolahom pri kibernetskih operacijah je zaskrbljujoče, saj bi lahko vojna te skupine, ki se razlikujejo med državami, operativno še bolj zbližala.³⁴ Ker so bili vsi iranski kibernetski napadi v tej vojni združeni z operacijami vplivanja, obstaja dodatna verjetnost, da Iran izboljšuje svoje postopke vplivanja in njihov doseg z izkoriščanjem rojenih arabskih govorcev za povečanje verodostojnosti svojih lažnih oseb.

2. Velik poudarek na Izraelu 
Iranski kibernetski akterji so se vse bolj osredotočali na Izrael. Iran se že dlje časa osredotoča na Izrael, ki ga ima poleg ZDA za glavnega nasprotnika. Po podatkih ekipe Obveščanje o grožnjah Microsoft so bila v zadnjih nekaj letih izraelska in ameriška podjetja skoraj vedno najpogostejše tarče Irana. Pred vojno so iranski akterji največ pozornosti namenili Izraelu, nato pa Združenim arabskim emiratom in Združenim državam Amerike. Po izbruhu vojne se je osredotočenost na Izrael še povečala. Triinštirideset odstotkov kibernetskih dejavnosti iranske nacionalne države, ki jih je spremljal Microsoft, je bilo usmerjenih proti Izraelu, kar je več kot v naslednjih 14 ciljanih državah skupaj.

Pričakujemo, da se bo grožnja iranskih kibernetskih in vplivnih operacij z nadaljevanjem spora med Izraelom in Hamasom še povečala, zlasti zaradi vse večje možnosti zaostrovanja na dodatnih frontah. Medtem ko so iranske skupine na začetku vojne hitele z izvajanjem operacij ali jih preprosto izmišljale, so iranske skupine v zadnjem času upočasnile svoje operacije, kar jim je omogočilo več časa za pridobitev želenega dostopa ali pripravo bolj zapletenih postopkov vplivanja. Faze vojne, opisane v tem poročilu, jasno kažejo, da iranske kibernetske operacije in postopki vplivanja počasi napredujejo ter postajajo bolj ciljno usmerjeni, sodelovalni in uničujoči.

Iranski akterji so postali tudi vse bolj drzni pri svojih ciljih, zlasti pri kibernetskem napadu na bolnišnico, in preizkušajo meje Washingtona, pri čemer se zdi, da jih ne skrbijo posledice. Napadi IRGC na ameriške sisteme za nadzor vode so bili sicer oportunistični, vendar je šlo za spretno potezo, s katero so želeli preizkusiti Washington in se sklicevati na legitimnost napadov na opremo, izdelano v Izraelu.

Pred ameriškimi volitvami novembra 2024 bo okrepljeno sodelovanje med iranskimi in z Iranom povezanimi skupinami pomenilo večji izziv za tiste, ki se ukvarjajo z obrambo volitev. Zaščitniki se ne morejo več zadovoljiti s sledenjem nekaj skupin. Zaradi vse večjega števila dostopnih agentov, vplivnih skupin in kibernetskih akterjev je okolje groženj bolj zapleteno in prepleteno.