Иран увеличава операциите за влияние с помощта на киберпространството в подкрепа на Хамас

Операциите на Иран в киберпространството и за оказване на влияние преминаха през няколко фази след терористичната атака на Хамас на 7 октомври. Един елемент от операциите им остава постоянен през цялото време: съчетаването на опортюнистични кибернетични цели с операции за оказване на влияние, които често заблуждават за точността или обхвата на въздействието.

Настоящият доклад се фокусира върху иранските операции за влияние и кибернетични операции за влияние от 7 октомври до края на 2023 г., като същевременно обхваща тенденции и операции от пролетта на 2023 г.

Иранските групировки бяха реактивни по време на началната фаза на войната между Израел и Хамас. Иранските държавни медии публикуваха подвеждащи подробности за заявените кибератаки, а иранските групи използваха отново остарели материали от исторически операции, използваха отново достъпа, който имаха преди войната, и преувеличиха цялостния обхват и въздействие на заявените кибератаки.

Почти четири месеца след началото на войната Microsoft все още не е видяла ясни доказателства от нашите данни, които да сочат, че ирански групи са координирали своите кибероперации или операции за влияние с плановете на Хамас да атакува Израел на 7 октомври. По-скоро преобладаващата част от нашите данни и констатации сочат, че иранските кибергрупировки са били реактивни, като бързо са увеличили своите кибероперации и операции за влияние след атаките на Хамас, за да противодействат на Израел.

Заблуждаващи подробности за заявените атаки чрез държавните медии: 
В деня на избухването на войната иранската информационна агенция Tasnim, свързана с Корпуса на гвардейците на ислямската революция (КГИР), невярно твърди, че група, наречена „Cyber Avengers“, е извършила кибератаки срещу израелска електроцентрала „по същото време“ като атаките на Хамас. ² Cyber Avengers, киберперсона, управлявана от IRGC, всъщност твърди, че е извършил кибератака срещу израелска електрическа компания вечерта преди нахлуването на Хамас.³ Доказателствата им: седмични съобщения в пресата за прекъсвания на електрозахранването „през последните години“ и екранна снимка на недатирано прекъсване на услугата на уебсайта на компанията. ⁴

Повторна употреба на стари материали: 
След нападенията на Хамас срещу Израел Cyber Avengers заяви, че ще извърши поредица от кибератаки срещу Израел, най-ранната от които нашето разследване разкри като фалшива. На 8 октомври те твърдяха, че са изтекли документи за израелска електроцентрала, въпреки че документите са били публикувани преди това през юни 2022 г. от друга киберперсона, управлявана от IRGC, „Moses Staff“.⁵

Повторно използване на достъпа: 
Друга киберперсона „Malek Team“, която по наша оценка се управлява от Министерството на разузнаването и сигурността (МРС) на Иран, изнася лични данни от израелски университет на 8 октомври без ясна връзка в насочването към разрастващия се конфликт там, което предполага, че целта е опортюнистична и може би е избрана въз основа на вече съществуващ достъп преди избухването на войната. Вместо да направи връзка между изтеклите данни и подкрепата за операциите на Хамас, Malek Team първоначално използва хаштагове в X (бившият Twitter), за да подкрепи Хамас, и само няколко дни по-късно променя съобщенията, за да ги приведе в съответствие с вида съобщения, очернящи израелския министър-председател Бенямин Нетаняху, наблюдавани в други ирански операции за влияние.

На 18 октомври Shahid Kaveh Group на IRGC, която Microsoft проследява като Storm-0784, използва персонализиран рансъмуер, за да извърши кибератаки срещу охранителни камери в Израел. След това тя използва една от своите киберперсони, „Soldiers of Solomon“, за да твърди невярно, че е откупила камери за сигурност и данни във военновъздушната база Неватим. Прегледът на изтеклите записи от охранителни камери на „Soldiers of Solomon“ разкрива, че те са от градче северно от Тел Авив на улица „Неватим“, а не от едноименната военновъздушна база. Всъщност анализът на местоположението на жертвите разкрива, че нито една от тях не е била в близост до военната база (вж. фигура 5). Въпреки че иранските групировки са започнали разрушителни нападения, операциите им са останали до голяма степен опортюнистични и са продължили да използват дейности за оказване на влияние, за да преувеличат точността или ефекта от нападенията.

На 21 октомври друга киберперсона, ръководена от групата Cotton Sandstorm на IRGC (по-известна като Emennet Pasargad), сподели видеоклип, в който нападателите повреждат цифрови дисплеи в синагоги с послания, в които операциите на Израел в Газа се наричат „геноцид“. ⁷ Това бележи метод за вграждане на послания директно в кибератаки срещу сравнително мека цел.

През тази фаза дейността на Иран за оказване на влияние използва по-обширни и сложни форми на неавтентично усилване. През първите две седмици на войната открихме минимално количество напреднали форми на неавтентично усилване, което отново подсказва, че операциите са били реактивни. През третата седмица на войната на сцената се появи най-продуктивният ирански фактор за влияние – Cotton Sandstorm, който на 21 октомври стартира три операции за влияние с кибернетични средства. Както често виждаме от тази група, тя използва мрежа от марионетки в социалните медии, за да подсили операциите, макар че много от тях изглеждат набързо пренасочени без автентични покрития, прикриващи ги като израелци. В много случаи Cotton Sandstorm изпращаше масово текстови съобщения или имейли, за да подсили или да се похвали с операциите си, като използваше компрометирани акаунти за повишаване на автентичността.⁸

От края на ноември иранските групировки разшириха влиянието си с киберсредства отвъд Израел, за да включат държави, които Иран смята, че подпомагат Израел, като е много вероятно да подкопаят международната политическа, военна или икономическа подкрепа за военните операции на Израел. Това разширяване на обхвата на таргетирането съвпадна с началото на нападенията срещу международното корабоплаване, свързани с Израел, от страна на хутите, подкрепяна от Иран шиитска военна групировка в Йемен (вж. фигура 8).⁹

Операциите на Иран за оказване на влияние с помощта на киберпространството продължиха да се усъвършенстват и през този последен етап. Те прикриха по-добре своите марионетки, като преименуваха някои от тях и промениха профилните им снимки, за да изглеждат по-автентично израелски. Същевременно те използваха нови техники, които не сме виждали от ирански действащи лица, включително използването на изкуствен интелект като ключов компонент на съобщенията си. Оценяваме, че през декември Cotton Sandstorm наруши услугите за стрийминг на телевизия в ОАЕ и на други места под прикритието на личност, наречена „For Humanity“. В Telegram „For Humanity“ публикува видеоклипове, показващи как групата хаква три онлайн стрийминг услуги и нарушава работата на няколко новинарски канала с фалшива новинарска емисия с водещ, очевидно генериран от изкуствен интелект, който твърди, че показва изображения на ранени и убити палестинци от израелски военни операции (фигура 7).¹⁴ Новинарски агенции и зрители в ОАЕ, Канада и Обединеното кралство съобщават за смущения в стрийминг на телевизионни програми, включително на Би Би Си, които съвпадат с твърденията на „For Humanity“.¹⁵

За да постигне целите си в информационното пространство, през последните девет месеца Иран разчита в голяма степен на четири тактики, техники и процедури за оказване на влияние (TTP). Те включват използване на въплъщаване и засилени способности за активиране на целевите аудитории, съчетани с все по-често използване на кампании с текстови съобщения и използване на медии, свързани с IRGC, за засилване на операциите за влияние.

Въплъщаване на израелски активистки групи и ирански партньори 
Иранските групи надграждат дългогодишната техника на въплъщаване, като разработват по-конкретни и убедителни образи, които се маскират както като приятели, така и като врагове на Иран. Много от предишните операции на Иран и техните лица са се представяли за активисти в полза на палестинската кауза.²⁷ Неотдавнашните операции на личност, която по наша оценка се ръководи от Cotton Sandstorm, отидоха по-далеч, като използваха името и емблемата на военното крило на Хамас – бригадите „Ал Касам“, за да разпространяват фалшиви съобщения за заложниците, държани в Газа, и да изпращат заплашителни съобщения на израелците. Друг канал в Telegram, който е заплашвал служители на ЦАХАЛ и е изнасял техни лични данни, и който по наша оценка е управляван от група на MOIS, също е използвал емблемата на бригадите „Ал Касам“. Не е ясно дали Иран действа със съгласието на Хамас.

По подобен начин Иран създава все по-убедителни имитации на фиктивни израелски активистки организации от десния и левия израелски политически спектър. Чрез тези фалшиви активисти Иран се опитва да проникне в израелските общности, за да спечели тяхното доверие и да сее раздор.

Активизиране на израелците за действие 
През април и ноември Иран демонстрира неколкократен успех в набирането на неосъзнати израелци, които да се включат в дейности по места, насърчаващи фалшивите му операции. При една от последните операции, „Сълзите на войната“, иранските оперативни работници според сведенията успяват да убедят израелците да окачат в израелските квартали брандирани плакати „Сълзите на войната“, на които е изобразен Нетаняху, очевидно създаден от изкуствен интелект, и се призовава за неговото отстраняване от длъжност (вж. фигура 11).²⁸

Засилване чрез текст и електронна поща с повишена честота и сложност 
Въпреки че иранските операции за оказване на влияние продължават да разчитат в голяма степен на координирано неавтентично засилване в социалните медии, за да достигнат до целевите аудитории, Иран все по-често използва масови текстови съобщения и имейли, за да засили психологическия ефект на своите операции за оказване на влияние с помощта на киберпространството. Засилването в социалните медии с помощта на марионетки няма същото въздействие като съобщение, което се появява в пощенската кутия, да не говорим за телефона. Cotton Sandstorm надгражда предишните си успехи, използвайки тази техника от 2022 г. насам,²⁹ изпращайки текстови съобщения, имейли или и двете в насипно състояние в поне шест операции от август насам. Засиленото използване на тази техника предполага, че групата е усъвършенствала възможностите си и ги смята за ефективни. Операцията „Cyber Flood“ на Cotton Sandstorm в края на октомври включваше до три комплекта масови текстови съобщения и имейли до израелци, които засилваха заявените кибератаки или разпространяваха фалшиви предупреждения за атаки на Хамас срещу израелското ядрено съоръжение край Димона.³⁰ Поне в един от случаите те са използвали компрометиран акаунт, за да повишат автентичността на имейлите си.

Използване на държавните медии 
Иран използва явни и тайни медии, свързани с IRGC, за да подсили предполагаемите кибероперации и понякога да преувеличи ефекта от тях. През септември, след като Cyber Avengers заявиха, че са извършили кибератаки срещу железопътната система на Израел, свързаните с IRGC медии почти веднага засилиха и преувеличиха твърденията им. Свързаната с IRGC информационна агенция Tasnim некоректно цитира израелски новинарски репортажи за друго събитие като доказателство, че кибератаката е била извършена.³¹ Тези съобщения бяха допълнително подсилени от други ирански и свързани с Иран медии по начин, който още повече замъгли липсата на доказателства в подкрепа на твърденията за кибератака.³²

Начално внедряване на ИИ за операции за влияние 
От началото на войната между Израел и Хамас MTAC наблюдава, че ирански действащи лица използват изображения и видеоклипове, генерирани от ИИ. Cotton Sandstorm и Storm-1364, както и свързаните с Хизбула и Хамас новинарски канали, използват ИИ за засилване на сплашването и разработване на изображения, очернящи Нетаняху и израелското ръководство.

1. Разрастващо се сътрудничество 
Седмици след началото на войната между Израел и Хамас започнахме да виждаме примери за сътрудничество между свързани с Иран групи, което увеличава възможностите на действащите лица. Сътрудничеството понижава бариерата за навлизане, като позволява на всяка група да допринесе със съществуващи способности и премахва необходимостта една група да разработи пълен спектър от инструменти или средства за действие.

Оценяваме, че двойка групи, свързани с MOIS, Storm-0861 и Storm-0842, са си сътрудничили за разрушителна кибератака в Израел в края на октомври и отново в Албания в края на декември. И в двата случая Storm-0861 вероятно е осигурила достъп до мрежата, преди Storm-0842 да изпълни зловредния софтуер Wiper. По подобен начин Storm-0842 е изпълнил злонамерен софтуер „уайпър“ в албански правителствени структури през юли 2022 г., след като Storm-0861 е получил достъп.

През октомври друга свързана с MOIS група, Storm-1084, може би също е имала достъп до организация в Израел, където Storm-0842 е внедрила „уайпър“ „BiBi“, наречен така заради преименуването на изтритите файлове от злонамерения софтуер със стринга „BiBi“. Не е ясно каква роля е играл Storm-1084, ако изобщо е играл такава, в разрушителната атака. В началото на 2023 г. Storm-1084 провежда разрушителни кибератаки срещу друга израелска организация, активирани от друга свързана с MOIS група Mango Sandstorm (известна още като MuddyWater).³³

След избухването на войната Наборът от ресурси на Microsoft срещу заплахи също така е открил сътрудничество между свързана с MOIS група Pink Sandstorm и киберзвена на Хизбула. Microsoft наблюдава припокриване на инфраструктурата и общи инструменти. Сътрудничеството на Иран с Хизбула в областта на кибероперациите, макар и да не е безпрецедентно, е обезпокоително, тъй като войната може да сближи тези групировки отвъд националните граници в оперативен план.³⁴ Тъй като всички кибератаки на Иран в тази война са съчетани с операции за оказване на влияние, съществува допълнителна вероятност Иран да подобри операциите си за оказване на влияние и техния обхват, като използва носители на арабски език, за да повиши автентичността на своите неавтентични личности.

2. Свръхфокусиране върху Израел 
Фокусът на иранските кибероператори върху Израел се засилва. Иран отдавна е съсредоточил вниманието си върху Израел, който Техеран разглежда като свой основен противник наред със Съединените щати. Съответно, въз основа на данни на Набора от ресурси на Microsoft срещу заплахи, през последните няколко години израелските и американските предприятия почти винаги са били най-честите цели на Иран. В навечерието на войната иранските действащи лица са се фокусирали най-много върху Израел, следван от ОАЕ и САЩ. След избухването на войната фокусът върху Израел рязко нарасна. Четиридесет и три процента от киберактивността на иранската национална държава, проследена от Microsoft, е насочена към Израел – повече от следващите 14 държави, взети заедно.

Очакваме, че заплахата от иранските кибероперации и операции за оказване на влияние ще нараства с продължаването на конфликта между Израел и Хамас, особено на фона на нарастващия потенциал за ескалация по допълнителни фронтове. Докато в първите дни на войната иранските групи бързаха да провеждат или просто да измислят операции, напоследък иранските групи забавиха операциите си, което им дава повече време да получат желания достъп или да разработят по-сложни операции за влияние. Фазите на войната, очертани в настоящия доклад, ясно показват, че иранските кибероперации и операции за оказване на влияние напредват бавно, като стават все по-целенасочени, съвместни и разрушителни.

Иранските действащи лица също така стават все по-смели в своите цели, най-вече при кибернетичния удар срещу болница и тестването на червените линии на Вашингтон, привидно без да се притесняват от последиците. Нападенията на IRGC срещу американски системи за контрол на водата, макар и опортюнистични, бяха привидно хитър трик за изпитание на Вашингтон, като претендираха за легитимност при атакуването на оборудване, произведено в Израел.

В навечерието на изборите в САЩ през ноември 2024 г. засиленото сътрудничество между иранските и свързаните с Иран групировки предвещава по-голямо предизвикателство за тези, които се занимават със защита на изборите. Защитниците вече не могат да се успокояват с проследяването на няколко групи. Напротив, нарастващият брой агенти за достъп, групи за влияние и кибернетични действащи лица създава по-сложна и преплетена среда на заплахи.