Írán posiluje operace kybernetického ovlivňování na podporu Hamásu

Od teroristického útoku Hamásu 7. října prošly íránské kybernetické operace a operace ovlivňování vývojem s několika fázemi. Jeden prvek těchto operací však zůstával po celou dobu konstantní: kombinace oportunistického kybernetického cílení s operacemi ovlivňování, které často zkreslují přesnost nebo rozsah dopadu.

Tato studie se zaměřuje na íránské operace ovlivňování a operace kybernetického ovlivňování od 7. října do konce roku 2023, přičemž zahrnuje trendy a operace od jara 2023.

Íránské skupiny pracovaly v počáteční fázi války mezi Izraelem a Hamásem reaktivně. Íránská státní média zveřejňovala klamavé podrobnosti o údajných kybernetických útocích a íránské skupiny opětovně používaly starší materiály z historických operací, znovu využívaly přístup, který měly před válkou, a zveličovaly celkový rozsah a dopad údajných kybernetických útoků.

Po téměř čtyřech měsících války Microsoft v datech stále nezaznamenal jasný důkaz, že by íránské skupiny koordinovaly své kybernetické operace nebo operace ovlivňování s plány Hamásu zaútočit 7. října na Izrael. Většina našich dat a zjištění spíše naznačuje, že íránští kybernetičtí aktéři byli reaktivní a po útocích Hamásu rychle rozšířili své kybernetické operace a operace ovlivňování namířené proti Izraeli.

Klamavé podrobnosti o údajných útocích šířené prostřednictvím státních médií: 
V den vypuknutí války íránská tisková agentura Tasnim napojená na Islámské revoluční gardy (IRGC) nepravdivě tvrdila, že skupina označovaná jako „Cyber Avengers“ provedla kybernetické útoky proti izraelské elektrárně „ve stejnou dobu“, kdy probíhaly útoky Hamásu. ² Skupina „Cyber Avengers“, kybernetická osoba řízená Islámskými revolučními gardami (IRGC), skutečně tvrdila, že večer před vpádem Hamásu provedla kybernetický útok proti izraelské elektrárenské společnosti.³ Použitými důkazy byly několik týdnů staré zprávy v tisku o výpadcích elektřiny „v posledních letech“ a snímek obrazovky s nedatovaným narušením služeb na webu této společnosti. ⁴

Opětovné používání starého materiálu: 
Po útocích Hamásu na Izrael skupina Cyber Avengers tvrdila, že provedla řadu kybernetických útoků proti Izraeli, z nichž nejstarší, jak jsme zjistili, byly falešné. 8. října tato skupina tvrdila, že stojí za únikem dokumentů z izraelské elektrárny, tyto dokumenty však už dříve, v červnu 2022, zveřejnila jiná kybernetická osoba „Moses Staff“ řízená Islámskými revolučními gardami (IRGC).⁵

Opětovný přístup: 
Další kybernetická osoba „Malek Team“, kterou podle našich odhadů řídí íránské ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS), zveřejnila 8. října odcizené osobní údaje z izraelské univerzity, aniž by to mělo jasnou souvislost s probíhajícím konfliktem. To naznačuje, že tento cíl byl oportunistický a možná byl vybrán na základě přístupu, který existoval už před vypuknutím války. Místo toho, aby osoba „Malek Team“ hledala souvislosti mezi uniklými daty a podporou operací Hamásu, používala nejprve na síti X (dříve Twitter) hashtagy na podporu Hamásu a teprve o několik dní později změnila texty zpráv tak, aby odpovídaly typu zpráv očerňujících izraelského premiéra Benjamina Netanjahua, které se objevovaly v jiných íránských operacích ovlivňování.

Skupina Shahid Kaveh Group napojená na Islámské revoluční gardy (IRGC), kterou Microsoft sleduje jako skupinu Storm-0784, použila 18. října přizpůsobený ransomware ke kybernetickým útokům na bezpečnostní kamery v Izraeli. Pak použila jednu ze svých kybernetických identit „Soldiers of Solomon“ a lživě tvrdila, že ransomwarem napadla bezpečnostní kamery a data na letecké základně Nevatim. Zkoumání záběrů bezpečnostních kamer, které unikly na veřejnost, odhalilo, že pocházejí z města severně od Tel Avivu s ulicí Nevatim, nikoli ze stejnojmenné letecké základny. Z analýzy zeměpisné polohy obětí útoků vyplývá, že žádná z lokací se nenacházela v blízkosti této vojenské základny (viz obrázek 5). I když íránské skupiny zahájily destruktivní útoky, jejich operace zůstaly do značné míry oportunistické a nadále využívaly aktivity ovlivňování ke zveličování přesnosti nebo účinku útoků.

21. října sdílela jiná kybernetická osoba řízená Islámskými revolučními gardami (IRGC) – Cotton Sandstorm (obecně známá jako Emennet Pasargad) – video, ve kterém útočníci na digitálních displejích v synagogách zobrazují vzkazy, které označují izraelské operace v Gaze za „genocidu“. ⁷ To představovalo metodu vkládání sdělení přímo do kybernetických útoků proti relativně měkkému cíli.

V této fázi íránské aktivity ovlivňování využívaly rozsáhlejší a sofistikovanější formy neautentického zesilování dopadu. V prvních dvou týdnech války jsme detekovali minimální pokročilé formy neautentického zesilování – což opět ukazuje na to, že operace byly reaktivní. Ve třetím týdnu války se na scéně objevil nejproduktivnější íránský aktér operací ovlivňování – Cotton Sandstorm. Tato skupina 21. října zahájila tři operace kybernetického ovlivňování. Jak u této skupiny často vidíme, využívala k zesilování operací síť loutkových účtů na sociálních sítích, ačkoli se zdálo, že mnohé z nich byly narychlo přetvořeny na Izraelce bez autentického maskování. Skupina Cotton Sandstorm při více příležitostech posílala hromadné textové zprávy nebo e-maily, aby zesilovala své operace nebo se jimi chlubila, přičemž ke zvýšení autenticity využívala napadené účty.⁸

Od konce listopadu začaly íránské skupiny rozšiřovat působnost svého kybernetického ovlivňování mimo Izrael i na země, které podle Íránu pomáhají Izraeli, aby tak velmi pravděpodobně podkopávaly mezinárodní politickou, vojenskou nebo ekonomickou podporu izraelských vojenských operací. Toto rozšíření cílení souviselo se zahájením útoků na mezinárodní lodní dopravu spojenou s Izraelem ze strany Hútíů, šíitské militantní skupiny v Jemenu podporované Íránem (viz obrázek 8).⁹

Íránské operace kybernetického ovlivňování se v této poslední fázi také dále zdokonalovaly. Aktéři lépe maskovali své loutkové účty tím, že některé přejmenovali a změnili jejich profilové fotky, aby tyto účty působily autentičtěji jako izraelské. Mezitím začali využívat nové techniky, které jsme u íránských aktérů do té doby neviděli, včetně využívání AI jako klíčové komponenty při vytváření zpráv. Domníváme se, že to byla skupina Cotton Sandstorm, která v prosinci narušila streamovací televizní služby ve Spojených arabských emirátech i jinde pod maskou osoby s označením „For Humanity“. Osoba „For Humanity“ zveřejnila v síti Telegram videa, ve kterých je vidět, jak tato skupina pronikla do tří online streamovacích služeb a narušila vysílání několika zpravodajských kanálů pomocí falešného zpravodajství, kde zjevně umělou inteligencí vygenerovaný moderátor tvrdil, že ukazuje záběry Palestinců zraněných a zabitých při izraelských vojenských operacích (obrázek 7).¹⁴ Zpravodajské kanály a diváci ve Spojených arabských emirátech, Kanadě a Spojeném království hlásili narušení streamovaného televizního vysílání, včetně BBC, které odpovídalo tvrzením osoby „For Humanity“.¹⁵

K dosažení svých cílů v informačním prostoru Írán v posledních devíti měsících ve velké míře využíval čtyři taktiky, techniky a postupy ovlivňování. Patří mezi ně využívání vydávání se za někoho jiného a zvýšené schopnosti aktivizovat cílové skupiny, spolu s rostoucím využíváním kampaní vedených prostřednictvím textových zpráv a využíváním médií napojených na Islámské revoluční gardy (IRGC) k zesilování operací ovlivňování.

Vydávání se za izraelské aktivistické skupiny a íránské partnery 
Íránské skupiny staví na dlouholeté technice vydávání se za přátele i nepřátele Íránu a vyvinuly konkrétnější a přesvědčivější „osoby“, které se za ně vydávají. Mnoho íránských operací a „osob“ se v minulosti vydávalo za aktivisty podporující Palestinu.²⁷ Nedávné operace takové „osoby“, kterou podle našeho odhadu řídí skupina Cotton Sandstorm, šly ještě dál a používaly jméno a logo vojenského křídla Hamásu, brigád al-Kassám, k šíření falešných zpráv o rukojmích zadržovaných v Gaze a zasílání výhružných zpráv Izraelcům. Další kanál na Telegramu, který vyhrožoval příslušníkům IDF a vyzrazoval jejich osobní údaje a který podle našich odhadů provozovala skupina napojená na ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS), také používal logo brigád al-Kásam. Není jasné, jestli Írán jedná se souhlasem Hamásu.

Podobně Írán vytváří stále přesvědčivější napodobeniny fiktivních izraelských aktivistických organizací na pravé i levé straně izraelského politického spektra. Prostřednictvím těchto falešných aktivistů se Írán snaží infiltrovat izraelské komunity, aby získal jejich důvěru a podněcoval neshody.

Aktivizace Izraelců k akci 
V dubnu a listopadu Írán opakovaně úspěšně přesvědčil nevědomé Izraelce, aby se zapojili do místních akcí propagujících jeho falešné operace. V jedné z nedávných operací „Tears of War“ se íránským agentům údajně podařilo přesvědčit Izraelce, aby v izraelských čtvrtích vyvěsili transparenty se značkou „Tears of War“ se zjevně umělou inteligencí vygenerovanou podobiznou premiéra Netanjahua a výzvou k jeho odvolání z funkce (viz obrázek 11).²⁸

Zesilování prostřednictvím textových zpráv a e-mailů se zvýšenou frekvencí a sofistikovaností 
Zatímco íránské operace ovlivňování se při oslovování cílových skupin nadále ve velké míře spoléhají na koordinované neautentické zesilování zpráv na sociálních sítích, Írán stále častěji využívá hromadné zasílání textových zpráv a e-mailů k posilování psychologických účinků svých operací kybernetického ovlivňování. Zesilování na sociálních sítích pomocí loutkových účtů nemá stejný dopad jako zpráva, která se lidem objeví v doručené poště, natož pak v telefonu. Skupina Cotton Sandstorm navázala na předchozí úspěchy při používání této techniky od roku 2022²⁹ a od srpna nejméně v šesti případech hromadně odeslala textové zprávy, e-maily nebo obojí. Častější používání této techniky ukazuje na to, že skupina tuto schopnost zdokonalila a považuje ji za účinnou. Operace skupiny Cotton Sandstorm s názvem „Cyber Flood“ z konce října zahrnovala až tři sady hromadných textových zpráv a e-mailů zasílaným Izraelcům, které zesilovaly údajné kybernetické útoky nebo šířily falešná varování před útoky Hamásu na izraelské jaderné zařízení poblíž Dimony.³⁰ Přinejmenším v jednom případě tito aktéři využili napadený účet, aby zvýšili autenticitu e-mailů.

Využití státních médií 
Írán využívá otevřená i skrytá média napojená na Islámské revoluční gardy (IRGC), aby údajné kybernetické operace zesílil a někdy zveličil jejich účinky. Poté, co se v září skupina Cyber Avengers přihlásila ke kybernetickým útokům na izraelský železniční systém, média napojená na Islámské revoluční gardy (IRGC) jejich tvrzení téměř okamžitě zesílila a zveličila. Tisková agentura Tasnim napojená na Islámské revoluční gardy (IRGC) nesprávně citovala izraelské zpravodajství o jiné události jako důkaz, že k tomuto kybernetickému útoku došlo.³¹ Toto zpravodajství bylo dále zesilováno dalšími íránskými a s Íránem spojenými médii způsobem, který dále skrýval nedostatek důkazů podporujících tvrzení o kybernetickém útoku.³²

Postupné využívání AI pro operace ovlivňování 
Od vypuknutí války mezi Izraelem a Hamásem středisko MTAC pozorovalo, že íránští aktéři používají umělou inteligencí (AI) generované obrázky a videa. Skupiny Cotton Sandstorm a Storm-1364, stejně jako zpravodajské kanály napojené na Hizballáh a Hamás, využívají Al k posílení zastrašování a vytváření obrázků očerňujících premiéra Netanjahua a izraelské vedení.

1. Rozvíjející se spolupráce 
Po několika týdnech války mezi Izraelem a Hamásem jsme se začali setkávat s příklady spolupráce mezi skupinami napojenými na Írán. Tato spolupráce posílila možnosti těchto aktérů. Spolupráce snižuje vstupní bariéru, protože umožňuje každé skupině přispět stávajícími schopnostmi a odstraňuje potřebu, aby jediná skupina vyvíjela celé spektrum nástrojů nebo postupů.

Vyhodnotili jsme, že dvojice skupin napojených na ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS), Storm-0861 a Storm-0842, spolupracovala na destruktivním kybernetickém útoku v Izraeli na konci října a pak znovu v Albánii na konci prosince. V obou případech skupina Storm-0861 pravděpodobně poskytla přístup do sítě předtím, než Storm-0842 spustil destruktivní malware typu „wiper“. Podobně skupina Storm-0842 spustila malware typu „wiper“ v albánských vládních subjektech v červenci 2022 poté, co skupina Storm-0861 získala přístup.

V říjnu měla další skupina napojená na ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS), Storm-1084, možná také přístup do organizace v Izraeli, kde skupina Storm-0842 nasadila software typu wiper s názvem „BiBi“, pojmenovaný podle toho, že tento malware přejmenovával smazané soubory řetězcem „BiBi“. Není jasné, jakou roli skupina Storm-1084 v tomto destruktivním útoku hrála, pokud vůbec nějakou. Skupina Storm-1084 provedla počátkem roku 2023 destruktivní kybernetické útoky na jinou izraelskou organizaci, které umožnila další skupina napojená na ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS) – Mango Sandstorm (neboli MuddyWater).³³

Od vypuknutí války zjistila Analýza hrozeb Microsoft také spolupráci mezi skupinou Pink Sandstorm napojenou na ministerstvo pro zpravodajskou činnost a bezpečnost (MOIS) a kybernetickými jednotkami Hizballáhu. Microsoft pozoroval překrývání infrastruktury a sdílení nástrojů. Spolupráce Íránu s Hizballáhem na kybernetických operacích sice není bezprecedentní, představuje však znepokojivý vývoj, protože válka může tyto skupiny v různých státech ještě více operačně sblížit.³⁴ Vzhledem k tomu, že všechny íránské kybernetické útoky v této válce byly kombinovány s operacemi ovlivňování, je dále pravděpodobné, že Írán bude zlepšovat své operace ovlivňování a jejich dosah využíváním arabsky hovořících rodilých mluvčích ke zvýšení autenticity svých neautentických osob.

2. Intenzivní zaměření na Izrael 
Zaměření íránských kybernetických aktérů na Izrael zesílilo. Írán se dlouhodobě zaměřuje na Izrael, který Teherán považuje vedle Spojených států za svého hlavního protivníka. Podle dat Analýzy hrozeb Microsoft byly v posledních několika letech nejčastějšími cíli íránských útoků téměř vždy izraelské a americké podniky. Před válkou se íránští aktéři nejvíce zaměřovali na Izrael. Pak následovaly Spojené arabské emiráty a Spojené státy. Po vypuknutí války se zaměření na Izrael prudce zvýšilo. 43 % kybernetických aktivit íránských státních aktérů sledovaných Microsoftem cílilo na Izrael, což je více než u dalších 14 zemí dohromady.

Očekáváme, že hrozba ze strany íránských kybernetických operací a operací ovlivňování, bude s pokračujícím konfliktem mezi Izraelem a Hamásem narůstat, zejména v souvislosti s rostoucí možností eskalace na dalších frontách. Zatímco v prvních dnech války íránské skupiny s prováděním operací spěchaly, nebo si je jednoduše vymýšlely, v poslední době íránské skupiny své operace zpomalily. To jim poskytuje více času na získání požadovaného přístupu nebo přípravu propracovanějších operací ovlivňování. Fáze války popsané v této zprávě jasně ukazují, že íránské kybernetické operace a operace ovlivňování se pomalu zlepšují, jsou postupně více cílené, využívají spolupráci a jsou destruktivnější.

Íránští aktéři jsou ve svém cílení také stále odvážnější, což bylo vidět zejména při kybernetickém útoku na nemocnici, a testují červené linie Washingtonu zdánlivě bez obav z následků. Útoky Islámských revolučních gard (IRGC) na americké systémy kontroly vody byly sice oportunistické, ale zřejmě se jednalo o chytrý trik, jak otestovat Washington a prohlásit, že útoky na zařízení vyrobená v Izraeli jsou legitimní.

Před volbami v USA v listopadu 2024 představuje zvýšená spolupráce íránských a na Írán napojených skupin větší výzvu pro ty, kdo se podílejí na obraně voleb. Obránci se už nemůžou spokojit se sledováním několika málo skupin. Rostoucí počet přístupových agentů, vlivových skupin a kybernetických aktérů spíše vytváří složitější a provázanější prostředí hrozeb.