Iran intensifierar cyberbaserade påverkansoperationer för att stödja Hamas

Irans cyber- och påverkansoperationer har genomgått flera faser sedan Hamas terrorattack den 7 oktober. En del av deras verksamhet har dock varit genomgående konstant: kombinationen av opportunistiska cyberangrepp i kombination med påverkansoperationer som ofta vilseleder påverkans precision och omfattning.

Den här rapporten fokuserar på iransk påverkan och cyberaktiverade påverkansoperationer från den 7 oktober till slutet av 2023, samtidigt som den täcker trender och operationer som går tillbaka till våren 2023.

De iranska grupperna var reaktiva under den inledande fasen av kriget mellan Israel och Hamas. De iranska statliga medierna publicerade vilseledande detaljer om påstådda cyberattacker och iranska grupper återanvände daterat material från historiska operationer, återanvände åtkomst de hade före kriget och överdrev den övergripande omfattningen och effekten av de påstådda cyberattackerna.

Nästan fyra månader in i kriget har Microsoft fortfarande inte sett några tydliga bevis från våra data som tyder på att iranska grupper hade samordnat sina cyber- eller påverkansoperationer med Hamas planer på att attackera Israel den 7 oktober. Snarare tyder merparten av våra data och fynd på att de iranska cyberaktörerna var reaktiva och sedan snabbt ökade sina cyber- och påverkansoperationer efter Hamas-attackerna för att bemöta Israel.

Vilseledande detaljer om påstådda attacker genom statliga medier: 
Samma dag som kriget bröt ut, hävdades felaktigt av Tasnim News Agency, en iransk kanal kopplad till Irans islamiska revolutionsgarde, att en grupp som kallade sig för ”Cyber Avengers” genomförde cyberattacker mot ett israeliskt kraftverk “samtidigt” som Hamas genomförde sina attacker. ² Cyber ​​Avengers, en cyberprofil som drivs av IRGC, påstod sig faktiskt ha utfört en cyberattack mot ett israeliskt elbolag kvällen före Hamas intrång.³ Deras bevis: flera veckor gammal pressrapportering om strömavbrott "under de senaste åren" och en skärmdump av ett odaterat tjänstavbrott på företagets webbplats. ⁴

Återanvända gammalt material: 
Efter Hamas attacker mot Israel påstod sig Cyber Avengers ha genomfört en serie cyberattacker mot Israel, av vilka den första visade sig vara falsk enligt våra undersökningar. Den 8 oktober hävdade de att de hade läckt dokument från ett israeliskt kraftverk, fastän dessa dokument hade publicerats tidigare, redan i juni 2022, av en annan cyberprofil, med kopplingar till det islamiska revolutiongardet, nämligen ”Moses Staff”.⁵

Återanvända åtkomst: 
En annan cyberprofil, "Malek Team", som vi förmodar drivs av Irans underrättelse- och säkerhetsministerium (MOIS), läckte personuppgifter från ett israeliskt universitet den 8 oktober utan någon tydlig koppling till den spirande konflikten där, vilket tyder på att målet var opportunistiskt och kanske valdes ut därför att det råkade vara tillgängligt innan kriget bröt ut. Snarare än att skapa kopplingar mellan de läckta uppgifterna och stödet för Hamas verksamhet, så använde Malek Team till en början hashtaggar på X (tidigare Twitter) för att stödja Hamas, för att bara några dagar senare ändra meddelandena till en typ av förringande meddelanden om Israels premiärminister Benjamin Netanyahu, vilka tidigare setts i andra Iranska påverkansoperationer.

Den 18 oktober använde IRGC:s Shahid Kaveh Group, som Microsoft identifierat som Storm-0784, en anpassad utpressningstrojan för att utföra cyberattacker mot säkerhetskameror i Israel. Den använde sedan en av sina cyberprofiler, ”Soldiers of Solomon”, för att felaktigt hävda att de hade komprometterat säkerhetskameror och data vid Nevatim Air Force Base. En undersökning av säkerhetsfilmerna som Soldiers of Solomon läckte visade dock att filmerna hade hämtats från en stad norr om Tel Aviv med en gata som heter Nevatim. Det handlade alltså inte om flygbasen med samma namn. Faktum är att analysen av platserna visade att ingen låg i närheten av militärbasen (se bild 5). Även om de iranska grupperna hade påbörjat sina destruktiva attacker, så förblev deras operationer till stor del opportunistiska och fortsatte att utnyttja påverkansaktiviteter för att överdriva attackernas precision och effekt.

Den 21 oktober delade en annan cyberprofil, som drivs av IRGC-gruppen Cotton Sandstorm, (allmänt känd som Emennet Pasargad) en video med angripare som förstör digitala skärmar vid synagogor med meddelanden som refererade till Israels operationer i Gaza som ”folkmord”. ⁷ Detta indikerade en metod där man bäddade in påståenden direkt i cyberattackerna mot ett relativt mjukt mål.

Under denna fas använde Irans påverkansaktiviteter mer omfattande och sofistikerade former av inautentisk förstärkning. Under krigets första två veckor upptäckte vi minimala avancerade former av inautentisk förstärkning – vilket återigen tydde på att operationerna var reaktiva. Efter tre veckors krig trädde Irans mest produktiva påverkansaktör, Cotton Sandstorm, in på scenen och lanserade den 21 oktober tre cyberaktiverade påverkansoperationer. Som vi så ofta kan se från den här gruppen, så använde de ett nätverk av sockpuppet-profiler i sociala medier med vilka de förstärkte operationerna, även om många verkade återanvändas hastigt utan autentiska förklädnader som maskerade dem som israeler. Vid flera tillfällen genomförde Cotton Sandstorm massutskick av textmeddelanden eller e-postmeddelanden i syfte att förstärka eller skryta om sina operationer, och man förstärkte intrycket av äkthet genom att utnyttjade komprometterade konton.⁸

Mot slutet av november började iranska grupper att utöka sitt cyberaktiverade inflytande utanför Israel till att även omfatta länder som Iran anser hjälper Israel, vilket med stor sannolikhet kommer att undergräva det internationella politiska, militära och ekonomiska stöd som Israel får för sina militära operationer. Denna utökade inriktning sammanföll med att attackerna mot internationell sjöfart länkad till Israel tog sin början – attacker kopplade till houthirebellerna, en shiitisk militant grupp i Jemen som stöds av Iran (se bild 8).⁹

I den här senare fasen blev Irans cyberaktiverade påverkansoperationer även mer sofistikerade. De kamouflerade sina sockpuppet-profiler bättre genom att byta namn på några av dem och ändra deras profilfoton, så att de framstod som mer autentiskt israeliska. Samtidigt använde de sig av nya tekniker som vi tidigare inte har sett hos iranska aktörer, t.ex. användning av AI som en nyckelkomponent deras meddelanden. Vi har kommit fram till att Cotton Sandstorm störde tv-direktuppspelningstjänster i Förenade Arabemiraten och på andra håll under december under täckmantel som profilen ”For Humanity”. For Humanity publicerade videor på Telegram som visar hur gruppen hackar tre onlinestreamingtjänster och stör flera nyhetskanaler med en falsk nyhetssändning med ett helt klart AI-genererat ankare som visar bilder på palestinier som påståtts ha skadats och dödats i samband med israeliska militära operationer (bild 7).¹⁴ Nyhetskanaler, som BBC, och tittare i Förenade Arabemiraten, Kanada och Storbritannien rapporterade störningar i direktuppspelade tv-program, vilka överensstämde med For Humanitys påståenden.¹⁵

För att uppnå sina mål i informationsrymden har Iran i hög grad förlitat sig på fyra taktiker, tekniker och procedurer (TTP) för påverkan under de senaste nio månaderna. Dessa omfattar användning av identitetsstöld och förbättrade förmågor när det gäller att aktivera sina målgrupper, tillsammans med en ökad användning av textmeddelandekampanjer och av IRGC-anknutna media i syfte att förstärka dessa påverkansoperationer.

Utge sig för att representera israeliska aktivistgrupper och iranska partner 
Iranska grupper har sedan länge utvecklat en imitationsteknik genom att ta fram mer specifika och övertygande profiler som kan utge sig vara såväl Irans vänner som dess fiender. Många av Irans tidigare operationer och profiler har gett sken av att verka till förmån för den palestinska saken.²⁷ De senaste operationerna från en profil som vi bedömer drivs av Cotton Sandstorm har gått längre, genom att helt enkelt använda namnet och logotypen för al-Qassam-brigaderna, Hamas militära gren, för att sprida falska meddelanden om gisslan som hålls i Gaza och skicka hotfulla meddelanden till israeler. En annan Telegram-kanal som har hotat IDF:s personal och läckt deras personuppgifter, och som vi bedömer drivs av en MOIS-grupp, använde också al-Qassam-brigadernas logotyp. Det är oklart huruvida Iran agerar med Hamas samtycke eller inte.

Iran har på liknande sätt skapat allt mer övertygande fiktiva israeliska aktivistorganisationer såväl till höger som vänster i det israeliska politiska spektrumet. Genom dessa falska aktivister försöker Iran infiltrera det israeliska samhället genom att vinna förtroende hos olika grupper och så oenighet.

Få israelerna att handla 
I april och november kunde Iran vid upprepade tillfällen visa hur man nådde framgångar med att rekrytera intet ont anande israeler i att engagera sig i lokala aktiviteter som främjade falska operationer. I den nyligen genomförda operationen Tears of War lyckades iranska agenter enligt uppgift övertyga israeler att hänga upp Tears of War-banderoller i israeliska kvarter med en till synes Al-genererad bild av Netanyahu och kräva att han avsätts som president (se bild 11).²⁸

Förstärkning genom text och e-post med ökad frekvens och sofistikation 
Samtidigt som iranska påverkansoperationer fortsätter att i hög grad förlita sig på samordnad inautentisk förstärkning via sociala medier för att nå målgrupperna, så har Iran i allt större utsträckning kommit att utnyttja massutskick av meddelanden och e-postmeddelanden för att förstärka de psykologiska effekterna av deras cyberaktiverade påverkansoperationer. Förstärkning via sockpuppet-profiler på sociala medier har inte samma effekt som meddelanden som bara dyker upp i ens inkorg, eller än mindre i ens telefon. Cotton Sandstorm byggde vidare på tidigare framgångar med den här tekniken från och med 2022,²⁹ och har gjort massutskick av textmeddelanden, e-postmeddelanden eller bådadera i samband med minst sex operationer sedan augusti. Gruppens ökade användning av denna teknik tyder på att man har finslipat den och ser den som effektiv. Cotton Sandstorms Cyber ​​Flood-operation i slutet av oktober omfattade upp till tre uppsättningar massutskick av text- och e-postmeddelanden till israeler, och förstärkte därigenom effekten av påstådda cyberattacker eller distribuerade falska varningar om Hamas-attacker mot Israels kärnkraftsanläggning i närheten av Dimona.³⁰ I åtminstone ett av fallen använde de sig av ett komprometterat konto och kunde därigenom stärka illusionen av äkthet i e-postmeddelandena.

Utnyttja statliga medier 
Iran har använt medier med såväl öppna som dolda kopplingar till det islamiska revolutionsgardet för att förstärka påstådda cyberoperationer och emellanåt överdriva deras effekter. I september, efter det att Cyber ​​Avengers hade påstått att cyberattacker hade riktats mot Israels järnvägssystem, så förstärkte och överdrev medier med kopplingar till det islamiska revolutionsgardet nästan omedelbart dessa påståenden. Tasnim News Agency, med kopplingar till det islamiska revolutionsgardet, felciterade den israeliska nyhetsrapporteringen av en annan händelse som bevis på att cyberattacken hade inträffat.³¹ Denna rapportering förstärktes ytterligare av andra iranska kanaler och kanaler med kopplingar till Iran på ett sätt som ytterligare kamouflerade avsaknaden av bevis som stöder dessa påståenden om en cyberattack.³²

Ökad användning av AI i påverkansoperationer 
MTAC har observerat att iranska aktörer har börjat använda sig av AI-genererade bilder och videor efter det att Israel-Hamas-kriget bröt ut. Cotton Sandstorm och Storm-1364, såväl som nyhetskanaler med kopplingar till Hizbollah och Hamas, har använt sig av Al för att förstärka sina hot och ta fram förnedrande bilder på Netanyahu och det israeliska ledarskapet.

1. Spirande samarbete 
Några veckor in i kriget mellan Israel och Hamas började vi se tecken på samarbete mellan olika grupper med Iran-kopplingar, vilket medförde att de kunde åstadkomma mycket mer. Samarbete sänker barriären för att ta sig in, eftersom varje grupp bidrar med sina olika befintliga kunskaper, vilket tar bort behovet att varje enskild grupp måste utveckla ett komplett spektrum av verktyg och färdigheter.

Enligt vår uppskattning har ett par grupper med MOIS-koppling, Storm-0861 och Storm-0842, samarbetet kring en cyberattack i Israel sent i oktober och sedan på nytt i Albanien sent i december. I båda fallen tillhandahöll Storm-0861 sannolikt åtkomst till nätverket innan Storm-0842 genomförde en rensningsattack. Storm-0842 genomförde på motsvarande sätt en rensningsattack mot albanska myndigheter i juli 2022 efter det att Storm-0861 skaffat åtkomst.

I oktober kan även en annan grupp med MOIS-kopplingar, Storm-1084, ha haft åtkomst till en organisation i Israel där Storm-0842 distribuerade rensningsprogrammet BiBi, som fått sitt namn eftersom den skadliga programvaran ändrar namn på de rensade filerna med strängen ”BiBi”. Det är oklart vilken roll Storm-1084 spelade, om ens någon, i den destruktiva attacken. Storm-1084 genomförde destruktiva cyberattacker mot en annan israelisk organisation i början av 2023, vilket möjliggjordes av en annan grupp med MOIS-anknytning, nämligen Mango Sandstorm (även känd som MuddyWater).³³

Efter krigsutbrottet har Microsoft Threat Intelligence även identifierat samarbete mellan en MOIS-anknuten grupp, Pink Sandstorm, och Hizbollahs cyberenheter. Microsoft har kunnat se hur deras infrastrukturer överlappar varandra och delar verktyg. Det iranska samarbetet med Hizbollah kring cyberoperationer innebär, även om det inte saknar motsvarigheter, en oroande utveckling, eftersom kriget kan få dessa grupper att komma närmare varandra och samarbeta operativt över nationsgränserna i tilltagande utsträckning.³⁴ Eftersom Irans cyberattacker i det här kriget alla har kombinerats med påverkansoperationer, kan man anta att det är sannolikt att Iran kommer att förbättra sina påverkansoperationer och deras räckvidd genom att använda sig av arabiska som modersmål, vilket förhöjer skenet av äkthet hos dessa falska profiler.

2. Hyperfokus på Israel 
De iranska cyberaktörernas fokus på Israel har intensifierats. Iran har haft ett långvarigt fokus på Israel, som Teheran ser som sin främsta fiende vid sidan av USA. Därför har, baserat på Microsoft Threat Intelligence-data, Irans fokus nästan hela tiden legat på israeliska och amerikanska företag under de senaste åren. Under perioden närmast för kriget fokuserade de iranska aktörerna mest på Israel, följt av Förenade Arabemiraten och USA. Efter krigsutbrottet har fokuset på Israel uppnått nya höjder. 43 % procent av cyberaktiviteten hos de iranska nationella statsaktörernas som spårades av Microsoft riktade sig mot Israel, vilket motsvarade mer än de 14 följande länderna tillsammans.

Vi förväntar oss att hotet från Irans cyber- och påverkansoperationer kommer att växa i takt med att Israel-Hamas-konflikten fortsätter, särskilt med tanke på den ökande potentialen för en eskalering utmed nya fronter. Medan iranska grupper skyndade sig med att genomföra operationer, eller rent av bara fabricera dem, under krigets första dagar, så har de bromsat in sina senaste operationer, vilket givit dem mer tid att få den åtkomst de vill ha eller utveckla mer genomarbetade påverkansoperationer. Vad som står klart genom beskrivningen av krigets olika faser i denna rapport är att iranska cyber- och påverkansoperationer har utvecklats gradvis, och blivit alltmer målinriktade, samarbetspräglade och destruktiva.

De iranska aktörerna har dessutom blivit alltmer djärva i sina attacker, vilket i synnerhet har märkts i ett cyberangrepp mot ett sjukhus och testandet av Washingtons röda linjer till synes utan att bekymra sig om konsekvenserna. Det islamiska revolutionsgardets attacker mot amerikanska vattenförsörjningssystem framstår, även om de var opportunistiska, som ett smart knep för att testa Washington samtidigt som man hävdade att det var ett legitimt mål eftersom utrustningen var tillverkad i Israel.

Inför valet i USA i november 2024 innebär det ökade samarbetet mellan iranska och Iran-trogna grupper en större utmaning för dem som engagerar sig i att försvara valets integritet. Nu kan man inte längre finna trygghet i att spåra några enskilda grupper. Det är snarare så att det växande antalet åtkomstagenter, påverkansgrupper och cyberaktörer skapar en mer komplex och sammanflätad hotmiljö.