Iran intenzivira operacije uticaja omogućene kibernetičkom tehnologijom radi podrške Hamasu

Kibernetičke operacije i operacije uticaja Irana napredovale su u više faza otkako se desio teroristički napad Hamasa 7. oktobra. Jedan element njihovih operacija je uvek isti: kombinacija oportunističkog kibernetičkog targetiranja i operacija uticaja, koji često stvaraju lažnu sliku o preciznosti i obimu uticaja.

Ovaj izveštaj se fokusira na iranski uticaj i operacije uticaja omogućene kibernetičkom tehnologijom od 7. oktobra do kraja 2023. i pokriva trendove i operacije iz proleća 2023.

Iranske grupe su bile reaktivne tokom prve faze rata između Izraela i Hamasa. Državni iranski mediji su izdali obmanjujuće informacije o priznatim kibernetičkim napadima, a iranske grupe su ponovo iskoristile zastarele materijale iz pređašnjih operacija i pristup koji su imale pre rata i preuveličale su ukupni opseg i uticaj priznatih kibernetičkih napada.

Ni posle skoro četiri meseca od početka rata, Microsoft i dalje nije našao jasne dokaze iz naših podataka koji ukazuju na to da su iranske grupe koordinisale kibernetičke operacije ili operacije uticaja sa Hamasovima planovima da napadnu Izrael 7. oktobra. Šta više, većina naših podataka i nalaza ukazuje na to da su iranski kibernetički akteri reagovali i brzo intenzivirali kibernetičke operacije i operacije uticaja nakon napada Hamasa da bi se suprotstavili Izraelu.

Obmanjujuće informacije o priznatim napadima preko državnih medija: 
Na dan kada je izbio rat, novinska agencija Tasnim, iranska medijska kuća povezana sa Korpusom čuvara islamske revolucije (IRGC), lažno je tvrdila da je grupa pod nazivom „Cyber Avengers“ („Kibernetički osvetnici“) sprovela kibernetičke napade na izraelsku elektranu „u isto vreme“ kad su se desili napadi Hamasa. ² „Cyber Avengers“, kibernetička personalnost kojom upravlja IRGC, tvrdila je da je izvela kibernetički napad na izraelsku elektroenergetsku kompaniju veče uoči napada Hamasa.³ Njihovi dokazi: novinski izveštaj star nekoliko nedelja o nestancima struje „proteklih godina“ i snimak ekrana poremećaja usluge na veb-sajtu kompanije bez naznačenog datuma. ⁴

Ponovno korišćenje starog materijala: 
Nakon napada Hamasa na Izrael, Cyber Avengers su tvrdili da su izveli niz kibernetičkih napada na Izrael, a prvi među njima je lažan, kako je otkriveno u našim istraživanja. Dana 8. oktobra, tvrdili su da su objavili dokumenta izraelske elektrane, iako je ta dokumenta ranije objavila, u junu 2022, druga kibernetička personalnost kojom upravlja IRGC „Moses Staff“ („Mojsijev štap“).⁵

Ponovno korišćenje pristupa: 
Druga kibernetička personalnost „Malek Team“ („Tim Malek“), kojom, prema našoj proceni, upravlja Ministarstvo Irana za obaveštavanje i bezbednost (MOIS), objavila je podatke o ličnosti sa izraelskog univerziteta 8. oktobra, bez jasne povezanosti između tog napada i rastućeg sukoba tamo, što ukazuje na to da je meta izabrana oportunistički, možda na osnovu postojećeg pristupa pre izbijanja rata. „Malekt Team“ nije pokazivao veze između objavljenih podataka i podrške za operacije Hamasa, već je u početku koristio heš oznake na mreži X (ranije poznate pod nazivom Twitter) za podršku Hamasu, a tek je nekoliko dana kasnije promenio poruke tako da se usaglase sa porukama kojima se omalovažava izraelski premijer Benjamin Netanjahu iz drugih iranskih operacija uticaja.

Dana 18. oktobra, grupa „Shahid Kaveh“ Korpusa čuvara islamske revolucije, koju je Microsoft označio kao „Storm-0784“, koristila je prilagođeni ransomver za sprovođenje kibernetičkih napada na sigurnosne kamere u Izraelu. Zatim je iskoristila jednu od kibernetičkih personalnosti, „Soldiers of Solomon“ („Solomonovi vojnici“), za lažne tvrdnje da je otela sigurnosne kamere i podatke iz vazdušne baze Nevatim. Pregledanjem snimaka sa sigurnosnih kamera koje je grupa „Soldiers of Solomon“ otkrila, utvrđeno je da potiču iz grada severno od Tel Aviva, gde postoji ulica pod nazivom Nevatim, a ne iz istoimene vazdužne baze. Šta više, analizom lokacija žrtava otkriveno je da niko nije bio blizu vojne baze (videti Sliku 5). Iako su iranske grupe započele destruktivne napade, njihove operacije su i dalje u velikoj meri oportunističke i još uvek se koriste aktivnosti uticaja za preuveličavanje preciznosti ili efekta napada.

Dana 21. oktobra, druga kibernetička personalnost kojom upravlja grupa IRGC-a pod nazivom „Cotton Sandstorm“ („Pamučna peščana oluja“), poznatija kao „Emennet Pasargad“, podelila je video kako napadači uništavaju digitalne ekrane u sinagogi uz poruke u kojima se operacije Izraela u Gazi nazivaju genocidom. ⁷ To predstavlja metodu ugrađivanja poruka direktno u kibernetičke napade na relativno laku metu.

Tokom te faze, u iranskim aktivnostima uticaja korišćeni su širi i sofisitciraniji oblici lažnog jačanja. Tokom prve dve nedelje rata, otkrili smo minimalno napredne oblike lažnog jačanja, što opet ukazuje na to da su operacije bile reaktivne. Do treće nedelje rata, najaktivniji akter uticaja Irana, „Cotton Sandstorm“, stupio je na scenu pokretanjem tri operacije uticaja omogućene kibernetičkom tehnologijom 21. oktobra. Kao što smo to često viđali kod te grupe, koristili su mrežu botova na društvenim mrežama za jačanje operacija, iako deluje da je mnogima na brzinu promenjena namena bez autentičnih maski koje bi ih prerušile u Izraelce. Grupa „Cotton Sandstorm“ je više puta slala veliki broj SMS poruka i e-poruka da bi jačala ili istakla svoje operacije, koristeći ugrožene naloge da bi dobili na verodostojnosti.⁸

Krajem novembra, iranske grupe su počele da šire uticaj omogućen kibernetičkom tehnologijom van Izraela, na zemlje koje, po uverenju Irana, pomažu Izraelu, najverovatnije radi podrivanja međunarodne političke, vojne ili ekonomske podrške vojnim operacijama Izraela. To širenje meta se podudarilo sa početkom napada Huta, šiitske militantne grupe iz Jemena koju podržava Iran, na međunarodne pošiljke povezane sa Izraelom (videti Sliku 8).⁹

Iranske operacije uticaja omogućene kibernetičkom tehnologijom takođe su postajale sve sofisticiranije u najnovijoj fazi. Bolje su prerušili svoje botove promenom imena i menjanjem fotografija profila tako da više izgledaju kao Izraelci. U međuvremenu, iskoristili su nove tehnike koje nismo videli od iranskih aktera, uključujući korišćenje AI kao glavni element u porukama. Procenjujemo da je grupa „Cotton Sandstorm“ ometala usluge emitovanja TV programa u UAE i na drugim mestima u decembru, pod okriljem personalnosti „For Humanity“ („Za čovečanstvo“). Grupa „For Humanity“ je objavila video zapise na Telegramu, na kojima hakuju tri usluge strimovanja na mreži i ometaju nekoliko informativnih kanala emitovanjem lažnih vesti sa spikerom, koji je izgleda generisan veštačkom inteligencijom, i koji je tvrdio da prikazuje slike ranjenih i ubijenih Palestinaca tokom izraelskih vojnih operacija (Slika 7).¹⁴ Medijske kuće i gledaoci u UAE, Kanadi i UK prijavili su smetnje u emitovanju televizijskog programa, uključujući i program kanala BBC, što se podudaralo sa tvrdnjama grupe „For Humanity“.¹⁵

Da bi postigao svoje ciljeve u informativnom prostoru, Iran se u velikoj meri oslanjao na četiri taktike, tehnike i procedure uticaja (TTP) proteklih devet meseci. To obuhvata korišćenje imitiranja i poboljšanih sposobnosti za aktiviranje ciljne publike, zajedno sa pojačanim korišćenjem kampanja preko SMS poruka i korišćenjem medija povezanih sa IRGC-om radi jačanja operacija uticaja.

Imitiranje grupa izraelskih aktivista i iranskih partnera 
Iranske grupe su nadogradile dugogodišnje tehnike imitiranja uspostavljanjem konkretnijih i ubedljivijih personalnosti koje su se prerušavale i u prijatelje i neprijatelje Irana. Za mnoge prošle operacije i personalnosti Irana navodilo se da su aktivisti koji podržavaju palestinsku borbu.²⁷ Nedavne operacije personalnosti kojom, prema našim procenama, upravlja „Cotton Sandstorm“, otišle su korak dalje, korišćenjem naziva i logotipa vojnog krila Hamasa brigade Al Kasam, radi širenja lažnih poruka o držanju talaca u Gazi i slanja pretećih poruka Izraelcima. Na jednom drugom kanalu na Telegramu, gde je prećeno osoblju IDF-a i gde su objavljeni njihovi podaci o ličnosti, a kojim je, prema našoj proceni, upravljala grupa MOIS-a, takođe je korišćen logotip brigada Al Kasam. Nije jasno da li Iran postupa po odobrenju Hamasa.

Isto tako, Iran stvara sve ubedljivije imitacije fiktivnih izraelskih aktivističkih organizacija sa desnog i levog kraja političkog spektra u Izraelu. Putem tih lažnih aktivista, Iran želi da se infiltrira u izraelske zajednice da bi zadobio njihovo poverenje i širio neslogu.

Podstrekivanje Izraelaca na akciju 
U aprilu i novembru, Iran je više puta uspešno regrutovao nesvesne Izraelce za učestvovanje u aktivnostima promocije lažnih operacija na samom licu mesta. U jednoj nedavnoj operaciji, „Tears of War“, iranski operativci su, navodno, uspeli da ubede Izraelce da okače transparente sa obeležjima grupe „Tears of War“ u izraelskim naseljima sa slikom Netanjahua, izgleda napravljenom pomoću veštačke inteligencije, i pozivom na njegovu smenu s vlasti (Slika 11).²⁸

Jačanje efekata preko SMS poruka i e-poruka sve češće i sve sofisticiranije 
Iako se iranske operacije uticaja i dalje uglavnom oslanjaju na koordinisana lažna jačanja preko društvenih mreža da bi doprli do ciljne publike, Iran sve više koristi slanje velikog broja SMS poruka i e-poruka radi povećavanja psiholoških efekata operacija uticaja omogućenih kibernetičkom tehnologijom. Jačanje na društvenim mrežama pomoću botova nema isti efekat kao poruka u prijemnom sandučetu, a kamoli na telefonu. Grupa „Cotton Sandstorm“ je iskoristila prošle uspehe korišćenja te tehnike od 2022. godine,²⁹ slanjem velikog broja SMS poruka, e-poruka ili i jednih i drugih tokom najmanje šest operacija od avgusta. Povećano korišćenje te tehnike ukazuje na to da je grupa unapredila sposobnosti i da smatra da je efikasna. Operacija grupe „Cotton Sandstorm“ pod nazivom „Cyber Flood“ („Kibernetička poplava)“ krajem oktobra obuhvatala je najviše tri skupa velikog broja SMS poruka i e-poruka Izraelcima, kojima su jačaju kibernetički napadi za koje su preuzeli odgovornost ili širena lažna upozorenja napada Hamasa na izraelski nuklearni objekat u blizini Dimone.³⁰ U barem jednom slučaju, koristili su ugroženi nalog radi veće verodostojnosti e-poruka.

Iskorišćavanje državnih medija 
Iran koristi medijske kuće koje su otvoreno ili prikriveno povezane sa IRGC-om za jačanje navodnih kibernetičkih operacija, a ponekad i za preuveličavanje njihovih efekata. U septembru, kada je grupa „Cyber Avengers“ preuzela odgovornost za kibernetičke napade na železnice Izraela, mediji povezani sa IRGC-om su gotovo odmah pojačali i preuveličali te tvrdnje. Novinska agencija Tasnim povezana sa IRGC-om pogrešno je citirala izveštaj izraelskih vesti o drugom događaju kao dokaz da se kibernetički napad zaista dogodio.³¹ Taj izveštaj su dodatno pojačale i druge iranske medijske kuće i medijske kuće povezane sa Iranom na način da nedostatak dokaza za tvrdnje o kibernetičkom napadu bude još nejasniji³²

Usvajanje novonastalog AI za operacije uticaja 
MTAC je posmatrao iranske aktere kako koriste slike i video zapise napravljene pomoću veštačke inteligencije od izbijanja rata između Izraela i Hamasa. „Cotton Sandstorm“ i „Storm-1364“, kao i Hezbolah i medijske kuće povezane sa Hamasom, iskoristili su AI za pojačavanje zastrašivanja i pravljenje slika kojima se omalovažava Netanjahu i čelnici Izraela.

1. Sve veća saradnja 
Nekoliko nedelja od početka rata između Izraela i Hamasa, počeli su da se javljaju primeri saradnje između grupa koje su povezane sa Iranom, čime se povećava potencijal onoga što akteri mogu da postignu. Saradnjom se smanjuje prepreka za ulazak, pa se svakoj grupi omogućava da doprinese postojećim mogućnostima i uklanja se potreba da jedna grupa razvije čitav spektar alatki i zanata.

Procenjujemo da je par grupa povezan sa MOIS-om Storm-0861 i Storm-0842 sarađivao na destruktivnom kibernetičkom napadom u Izraelu krajem oktobra i ponovo u Albaniji krajem decembra. U oba slučaja, Storm-0861 je verovatno omogućio pristup mreži, nakon čega je Storm-0842 pokrenuo zlonamerni softver za brisanje. Slično tome, Storm-0842 je pokrenuo zlonamerni softver za brisanje u subjektima Vlade Albanije u julu 2022. godine, pošto je Storm-0861 dobio pristup.

U oktobru, druga grupa povezana sa MOIS-om Storm-1084 možda je isto imala pristup organizaciji u Izraelu gde je grupa Storm-0842 primenila zlonamerni softver za brisanje „BiBi“, nazvan po tome što zamenjuje nazive izbrisanih datoteka nizom „BiBi“. Nije jasno kakvu ulogu je grupa Storm-1084 imala u destruktivnom napadu, ako ju je uopšte i imala. Storm-1084 je sprovela destruktivne kibernetičke napade na drugu izraelsku organizaciju početkom 2023. godine, koju je omogućila druga grupa povezana sa MOIS-om „Mango Sandstorm“ („Mango peščana oluja“), poznata i pod nazivom „MuddyWater“ („Mutna voda“).³³

Od izbijanja rata, u zajednici Microsoft informacije o pretnjama primećena je i saradnja između grupe povezane sa MOIS-om, „Pink Sandstorm“, i kibernetičkih jedinica Hezbolaha. Microsoft je primetio podudaranja u infrastrukturi i zajedničke alatke. Iranska saradnja sa Hezbolahom na kibernetičkim operacijama, iako se ne dešava prvi put, dovodi do zabrinutosti da rat može još više da zbliži te grupe iz različitih zemalja u operativnom smislu.³⁴ Kako su svi iranski kibernetički napadi u ovom ratu bili kombinovani sa operacijama uticaja, postoji još veća verovatnoća da će Iran poboljšati operacija uticaja i njihov doseg korišćenjem izvornih govornika arapskog radi veće verodostojnosti njegovih lažnih personalnosti.

2. Velika usredsređenost na Izrael 
Intenzivirao se fokus iranskih kibernetičkih aktera na Izrael. Iran je već dugo usredsređen na Izrael, koji za Teheran predstavlja glavnog neprijatelja uz Sjedinjene Američke Države. Shodno tome, na osnovu podataka zajednice Microsoft informacije o pretnjama, poslednjih godina, preduzeća iz Izraela i SAD skoro uvek su bila najčešće mete Irana. Pre rata, iranski akteri su se najviše usredsređivali na Izrael, a zatim UAE i Sjedinjene Američke Države. Od izbijanja rata, taj fokus na Izrael je još više skočio. Četrdeset i tri posto iranskih kibernetičkih aktivnosti nacionalne države praćenih u korporaciji Microsoft targetirali su Izrael, što je više od napada na 14 narednih zemalja zajedno.

Očekujemo da će pretnja izazvana kibernetičkim operacijama i operacijama uticaja Irana biti sve veća tokom trajanja sukoba između Izraela i Hamasa, pogotovu usled sve većeg potencijala za eskalaciju na dodatnim frontovima. Dok su iranske grupe žurile da sprovedu ili barem lažiraju operacije u prvim danima rata, iranske grupe su usporile najnovije operacije, čime su dobile na vremenu da ostvare željeni pristup ili razviju složenije operacije uticaja. Ono što je jasno iz faza rata opisanih u ovom izveštaju jeste da su iranske kibernetičke operacije i operacije uticaja polako napredovale i postale usmerenije, destruktivnije i obuhvataju više saradnika.

Iranski akteri postaju sve hrabriji u napadima, naročito u kibernetičkom napadu na bolnicu i testiraju granice Vašingtona kao da ne brinu o posledicama. Napadi IRGC-a na sisteme upravljanja vodom u SAD, premda oportunistički, bili su naizgled dovitljiv način da se testira Vašington tvrdnjom da su napadi legitimni jer je napadnuta oprema napravljena u Izraelu.

Povećana saradnja iranskih grupa i grupa povezanih sa Iranom pred izbore u SAD u novembru 2024. godine predstavlja veliki izazov za one koji se bore za regularnost izbora. Zaštitnici više ne mogu da se teše praćenjem nekoliko grupa. Naprotiv, sve veći broj agenata za pristup, grupa za uticaj i kibernetičkih aktera stvara okruženje pretnji koje je sve složenije i isprepletanije.