Iran intenzivira operacije utjecaja omogućene kibernetičkom tehnologijom kao podršku Hamasu

Kibernetičke operacije i operacije utjecaja Irana napredovale su u više faza od terorističkog napada Hamasa 7. listopada. Jedan je element njihovih operacija uvijek isti: kombinacija oportunističkog kibernetičkog ciljanja i operacija utjecaja, koji često stvaraju lažnu sliku o preciznosti ili obujmu utjecaja.

U ovom je izvješću fokus na iranskom utjecaju i operacijama utjecaja omogućenih kibernetičkom tehnologijom od 7. listopada do kraja 2023 i pokriva trendove i operacije iz proljeća 2023.

Iranske grupe bile su reaktivne tijekom prve faze rata između Izraela i Hamasa. Državni iranski mediji izdali su obmanjujuće pojedinosti o priznatim računalnim napadima, a iranske grupe ponovo su iskoristile ponovno iskorištene, zastarjele materijale iz prijašnjih operacija i pristup koji su imale prije rata i preuveličale su ukupni opseg i utjecaj priznatih računalnih napada.

Ni nakon skoro četiri mjeseca od početka rata Microsoft i dalje ne vidi jasne dokaze iz naših podataka koji ukazuju na to da su iranske grupe koordinirale kibernetičke operacije ili operacije utjecaja s Hamasovima planovima da napadne Izrael 7. listopada. Štoviše, većina naših podataka i rezultata ukazuje na to da su iranski kibernetički akteri reagirali i brzo intenzivirali kibernetičke operacije i operacije utjecaja nakon napada Hamasa kako bi se suprotstavili Izraelu.

Obmanjujuće pojedinosti o priznatim napadima preko državnih medija: 
Na dan kada je izbio rat, novinska agencija Tasnim, iranska medijska kuća povezana s Korpusom islamske revolucionarne garde (IRGC), lažno je tvrdila da je grupa pod nazivom „Cyber Avengers” provela računalne napade na izraelsku elektranu „u isto vrijeme“ kad su se dogodili napadi Hamasa. ² Grupa Cyber Avengers, kibernetička persona kojom upravlja IRGC, tvrdila je da je provela računalni napad na izraelsko elektroenergetsko poduzeće večer uoči napada Hamasa.³ Njihovi dokazi: novinsko izvješće staro nekoliko tjedana o nestancima struje „proteklih godina” i snimka zaslona poremećaja usluge na web-mjestu poduzeća bez naznačenog datuma. ⁴

Ponovna upotreba starog materijala: 
Nakon napada Hamasa na Izrael, grupa Cyber Avengers tvrdila tvrdili je da je izvela niz kibernetičkih napada na Izrael, a naša su istraživanja otkrila da je najraniji bio lažan. Dana 8. listopada tvrdili su da su objavili dokumente izraelske elektrane, iako je te dokumente ranije objavila, u lipnju 2022., druga kibernetička persona kojom upravlja IRGC „Moses Staff”.⁵

Pristup u druge svrhe: 
Druga kibernetička persona „Malek Team” kojom, prema našoj procjeni, upravlja Ministarstvo Irana za obavještavanje i sigurnost (MOIS), objavila je osobne podatke s izraelskog sveučilišta 8. listopada, bez jasne povezanosti između tog napada i rastućeg sukoba tamo, što ukazuje na to da je meta izabrana oportunistički, možda na osnovi postojećeg pristupa prije izbijanja rata. Malek Team nije pokazivao veze između objavljenih podataka i podrške za operacije Hamasa, već je u početku koristio oznake sa znakom # na mreži X (ranije poznate pod nazivom Twitter) za podršku Hamasu, a tek je nekoliko dana kasnije promijenio poruke tako da se usklade s porukama kojima se omalovažava izraelski premijer Benjamin Netanyahu, a koje su viđene u drugim iranskim operacijama utjecaja.

Dana 18. listopada grupa Shahid Kaveh IRGC-a, koju Microsoft prati kao Storm-0784, koristila je prilagođeni ucjenjivački softver za provođenje računalnih napada na sigurnosne kamere u Izraelu. Zatim je iskoristila jednu od kibernetičkih persona, Soldiers of Solomon, za lažne tvrdnje da je otela sigurnosne kamere i podatke iz zrakoplovne baze Nevatim. Pregledom snimaka sa sigurnosnih kamera koje je grupa Soldiers of Solomon otkrila, utvrđeno je da potiču iz grada sjeverno od Tel Aviva, gdje postoji ulica pod nazivom Nevatim, a ne istoimena zrakoplovna baza. Štoviše, analizom lokacija žrtava otkriveno je da nitko nije bio blizu vojne baze (vidjeti Sliku 5.). Iako su iranske grupe započele destruktivne napade, njihove operacije su i dalje u velikoj mjeri oportunističke i još uvijek se koriste aktivnosti utjecaja za preuveličavanje preciznosti ili učinka napada.

Dana 21. listopada druga kibernetička persona kojom upravlja grupa IRGC-a pod nazivom Cotton Sandstorm (poznatija kao Emennet Pasargad), podijelila je video kako napadači uništavaju digitalne zaslone u sinagogi uz poruke u kojima se operacije Izraela u Gazi nazivaju „genocidom”. ⁷ To predstavlja metodu ugrađivanja poruka izravno u računalne napade na relativno laku metu.

Tijekom te faze u iranskim aktivnostima utjecaja koristili su se širi i sofisticiraniji oblici neautentičnog povećavanja. Tijekom prva dva tjedna rata otkrili smo minimalno napredne oblike lažnog jačanja – što opet ukazuje na to da su operacije bile reaktivne. Do trećeg tjedna rata najaktivniji iranski akter utjecaja, Cotton Sandstorm, 21. listopada stupio je na scenu pokretanjem triju operacija utjecaja omogućenih kibernetičkom tehnologijom. Kao što smo često viđali od grupe, koristila je mrežu lutaka od čarapa na društvenim mrežama za jačanje operacija, iako djeluje da je mnogima brzo promijenjena namjena bez autentičnih maski koje bi ih prerušile u Izraelce. Grupa Cotton Sandstorm više je puta slala veliki broj tekstualnih poruka ili poruka e-pošte kako bi jačala ili istaknula svoje operacije, koristeći ugrožene račune kako bi pojačala autentičnost.⁸

Krajem studenoga iranske grupe počele su širiti utjecaj omogućen kibernetičkom tehnologijom izvan Izraela, na zemlje koje, prema Iranu, pomažu Izraelu, najvjerojatnije radi potkopavanja međunarodne političke, vojne ili gospodarske podrške vojnim operacijama Izraela. To širenje meta uskladilo se s početkom napada Huta, šiitske militantne grupe iz Jemena koju podržava Iran, na međunarodne pošiljke povezane s Izraelom (vidjeti Sliku 8.).⁹

Iranske operacije utjecaja omogućene kibernetičkom tehnologijom također su postajale sve sofisticiranije u najnovijoj fazi. Bolje su prerušili svoje lutke od čarapa promjenom imena i mijenjanjem fotografija profila tako da više izgledaju kao Izraelci. U međuvremenu su iskoristili nove tehnike koje nismo vidjeli od iranskih aktera, uključujući korištenje AI-ja kao glavnog elementa u porukama. Procjenjujemo da je u prosincu grupa Cotton Sandstorm ometala usluge strujanja televizijskih usluga u UAE-u i na drugim mjestima, u obliku persone naziva „For Humanity”. Grupa For Humanity objavila je videozapise na Telegramu, na kojima hakiraju tri usluge strujanja na mreži i ometaju nekoliko informativnih kanala emitiranjem lažnih vijesti sa spikerom, koji izgleda kao da je generiran umjetnom inteligencijom, i koji je tvrdio da prikazuje slike ranjenih i ubijenih Palestinaca tijekom izraelskih vojnih operacija (Slika 7.).¹⁴ Medijske kuće i gledatelji u UAE-u, Kanadi i UK-u prijavili su smetnje u strujanju televizijskog programa, uključujući i program kanala BBC, što se podudaralo s tvrdnjama grupe For Humanity.¹⁵

Da bi ostvario svoje ciljeve u informativnom prostoru, Iran se u velikoj mjeri oslanjao na četiri taktike, tehnike i procedure utjecaja (TTP) proteklih devet mjeseci. One obuhvaćaju primjenu imitiranja i poboljšanih sposobnosti za aktiviranje ciljne publike, zajedno s pojačanom upotrebom kampanja preko tekstualnih poruka i upotrebom medija povezanih s IRGC-om radi jačanja operacija utjecaja.

Imitiranje grupa izraelskih aktivista i iranskih partnera 
Iranske grupe su nadogradile dugogodišnje tehnike imitiranja uspostavljanjem konkretnijih i uvjerljivijih persona koje su se predstavljale i kao prijatelji i kao neprijatelji Irana. Za mnoge prošle operacije i persone Irana navodilo se da su aktivisti koji podržavaju palestinsku svrhu.²⁷ Nedavne operacije persone kojom, prema našim procjenama, upravlja Cotton Sandstorm, otišle su korak dalje, korištenjem naziva i logotipa vojnog krila Hamasa, brigade al-Qassam, radi širenja lažnih poruka o držanju taoca u Gazi i slanja prijetećih poruka Izraelcima. Na jednom drugom kanalu na Telegramu, gdje su snage IDF-a primale prijetnje i gdje su objavljeni njihovi osobni podaci, a kojim je, prema našoj procjeni, upravljala grupa MOIS-a, također je korišten logotip brigada al-Qassam. Nije jasno postupa li Iran uz odobrenje Hamasa.

Isto tako, Iran stvara sve uvjerljivije imitacije fiktivnih izraelskih aktivističkih organizacija s desnog i lijevog kraja političkog spektra u Izraelu. Preko tih lažnih aktivista Iran se želi infiltrirati u izraelske zajednice kako bi zadobio njihovo povjerenje i širio neslaganje.

Poticanje Izraelaca na akciju 
U travnju i studenome Iran je više puta uspješno regrutirao nesvjesne Izraelce za sudjelovanje u aktivnostima promocije lažnih operacija na samom mjestu. U jednoj nedavnoj operaciji, Tears of War, iranski operativci su, navodno, uspjeli uvjeriti Izraelce da objese transparente s obilježjima grupe Tears of War u izraelskim naseljima sa slikom Netanyahua, koja je izgledala kao da je generirana umjetnom inteligencije, i pozivaju na njegovu smjenu s vlasti (Slika 11.).²⁸

Jačanje učinaka preko tekstualnih poruka i poruka e-pošte sve češće i sve sofisticiranije 
Iako se iranske operacije utjecaja i dalje uglavnom oslanjaju na koordinirana lažna jačanja preko društvenih mreža kako bi došle do ciljne publike, Iran sve više koristi slanje velikog broja tekstualnih poruka i poruka e-pošte radi povećavanja psiholoških učinaka operacija utjecaja omogućenih kibernetičkom tehnologijom. Jačanje na društvenim mrežama s pomoću lutaka od čarapa nema isti učinak kao poruka u ulaznoj pošti, a kamoli na telefonu. Grupa Cotton Sandstorm iskoristila je prošle uspjehe korištenja te tehnike od 2022. godine,²⁹ slanjem skupa tekstualnih poruka, e-poruka ili i jednih i drugih tijekom najmanje šest operacija od kolovoza. Povećana primjena te tehnike ukazuje na to da je grupa unaprijedila sposobnosti i da smatra da je učinkovita. Operacija grupe Cotton Sandstorm pod nazivom Cyber Flood krajem listopada obuhvaćala je najviše tri skupa velikog broja tekstualnih poruka i poruka e-pošte Izraelcima, kojima se jačaju računalni napadi za koje su preuzeli odgovornost ili šire lažna upozorenja napada Hamasa na izraelski nuklearni objekt u blizini Dimone.³⁰ U barem jednom slučaju koristili su ugroženi račun radi veće vjerodostojnosti poruka e-pošte.

Iskorištavanje državnih medija 
Iran koristi medijske kuće koje su otvoreno ili prikriveno povezane s IRGC-om radi jačanja navodnih kibernetičkih operacija, a ponekad i za preuveličavanje njihovih učinaka. U rujnu kada je grupa Cyber Avengers preuzela odgovornost za računalne napade na željeznice Izraela, mediji povezani s IRGC-om gotovo su odmah pojačali i preuveličali njihove tvrdnje. Novinska agencija Tasnim povezana s IRGC-om pogrešno je citirala izraelsku reportažu o drugom događaju kao dokaz da se računalni napad zaista dogodio.³¹ To su izvješće dodatno pojačale i druge iranske medijske kuće i medijske kuće povezane s Iranom na način da nedostatak dokaza za tvrdnje o računalnom napadu bude još nejasniji.³²

Usvajanje novonastalog AI-ja za operacije utjecaja 
MTAC je promatrao iranske aktere kako koriste slike i videozapise generirane s pomoću umjetne inteligencije od izbijanja rata između Izraela i Hamasa. Cotton Sandstorm i Storm-1364, kao i Hezbollah i medijske kuće povezane s Hamasom, iskoristili su AI za pojačavanje zastrašivanja i razvijanje slika kojima se omalovažava Netanyahu i čelnici Izraela.

1. Sve veća suradnja 
Nekoliko tjedana od početka rata između Izraela i Hamasa počeli smo viđati primjere suradnje između grupa koje su povezane s Iranom, čime se povećava potencijal onoga što akteri mogu postići. Suradnjom se smanjuje prepreka za ulazak, a što svakoj grupi omogućava da pridonese postojećim mogućnostima i uklanja se potreba da jedna grupa razvije čitav spektar alata i zanata.

Procjenjujemo da je par grupa povezan s MOIS-om, Storm-0861 i Storm-0842, surađivao na destruktivnom računalnom napadu u Izraelu krajem listopada i ponovo u Albaniji krajem prosinca. U oba je slučaja Storm-0861 vjerojatno omogućio pristup mreži, nakon čega je Storm-0842 pokrenuo zlonamjerni softver za brisanje. Slično tome, Storm-0842 je pokrenuo zlonamjerni softver za brisanje u subjektima vlade Albanije u srpnju 2022. nakon što je Storm-0861 ostvario pristup.

U listopadu je druga grupa povezana s MOIS-om, Storm-1084, možda isto imala pristup organizaciji u Izraelu gdje je grupa Storm-0842 implementirala zlonamjerni softver za brisanje, „BiBi”, nazvan po tome što zamjenjuje nazive izbrisanih datoteka nizom „BiBi”. Nije jasno kakvu je ulogu grupa Storm-1084 imala u destruktivnom napadu, ako ju je uopće i imala. Grupa Storm-1084 provela je destruktivne računalne napade na drugu izraelsku organizaciju početkom 2023., koju je omogućila druga grupa povezana s MOIS-om, Mango Sandstorm (poznata i pod nazivom MuddyWater).³³

Od izbijanja rata Microsoftovo obavještavanje o prijetnjama uočilo je suradnju između grupe povezane s MOIS-om, Pink Sandstorm, i kibernetičkih jedinica Hezbollaha. Microsoft je primijetio podudaranja u infrastrukturi i zajedničke alate. Iranska suradnja s Hezbollahom na kibernetičkim operacijama, iako se ne događa prvi put, stvara zabrinutost da rat još više može zbližiti te grupe iz različitih zemalja u operativnom smislu.³⁴ Budući da su svi iranski kibernetički napadi u ovom ratu bili kombinirani s operacijama utjecaja, postoji još veća vjerojatnost da će Iran poboljšati operacije utjecaja i njihov doseg korištenjem izvornih govornika arapskog radi veće vjerodostojnosti njegovih lažnih persona.

2. Veliki fokus na Izrael 
Pojačao se fokus iranskih kibernetičkih aktera na Izrael. Iran je već dugo fokusiran na Izrael, koji za Teheran predstavlja glavnog neprijatelja uz Sjedinjene Američke Države. U skladu s time, temeljem obavještajnih podataka Microsoftova obavještavanje o prijetnjama posljednjih nekoliko godina, poduzeća iz Izraela i SAD-a skoro su uvijek bila najčešće mete Irana. Prije rata, iranski akteri su se najviše fokusirali na Izrael, a zatim na UAE i Sjedinjene Američke Države. Od izbijanja rata, taj fokus na Izrael još se više povećao. Četrdeset i tri posto iranskih državnih kibernetičkih aktivnosti praćenih u Microsoftu za metu su imale Izrael, što je više od napada na 14 sljedećih zemalja zajedno.

Očekujemo da će prijetnja izazvana kibernetičkim operacijama i operacijama utjecaja Irana biti sve veća tijekom trajanja sukoba između Izraela i Hamasa, pogotovo usred sve većeg potencijala za eskalaciju na dodatnim frontovima. Dok su žurile da provedu ili barem lažiraju operacije u prvim danima rata, iranske grupe su usporile najnovije operacije i tako dobile na vremenu da ostvare željeni pristup ili razviju složenije operacije utjecaja. Ono što je jasno iz faza rata opisanih u ovom izvješću je da su iranske kibernetičke operacije i operacije utjecaja polako napredovale i postale više usmjerene, destruktivnije i obuhvaćale su više suradnika.

Iranski akteri postaju sve hrabriji u napadima, posebice u računalnom napadu na bolnicu i testiraju granice Washingtona kao da ne brinu o posljedicama. Napadi IRGC-a na sustave upravljanja vodom u SAD-u, premda oportunistički, bili su naizgled pametan način testiranja Washingtona tvrdnjom da su napadi legitimni jer je napadnuta oprema napravljena u Izraelu.

Povećana suradnja iranskih grupa i grupa povezanih s Iranom pred izbore u SAD-u u studenome 2024. predstavlja veliki izazov za one koji se bore za obranu izbora. Branitelji se više ne mogu tješiti praćenjem nekoliko grupa. Naprotiv, sve veći broj agenata za pristup, grupa za utjecaj i kibernetičkih aktera stvara okruženje prijetnji koje je sve složenije i više isprepleteno.