Використання Іраном кібероперацій впливу для підтримки ХАМАС

Після теракту ХАМАС 7 жовтня кібероперації та операції впливу Ірану пройшли кілька етапів. Один елемент їхніх операцій залишається постійним: поєднання опортуністичних кібератак з операціями впливу, які часто вводять в оману щодо точності удару чи масштабу його впливу.

У цьому звіті зосереджено увагу на впливі й кіберопераціях впливу Ірану від 7 жовтня до кінця 2023 року, а також обговорюються тенденції та операції з весни 2023 року.

На початковому етапі війни між Ізраїлем і ХАМАСом іранські групи діяли у відповідь. Іранські державні ЗМІ повідомляли оманливу інформацію про заявлені кібератаки, а іранські угрупування повторно використовували старі кадри з минулих операцій, адаптували доступ, який вони мали до війни, для нових цілей та перебільшували загальний масштаб і вплив заявлених кібератак.

Через майже чотири місяці війни корпорація Майкрософт досі не знайшла в зібраних даних чітких доказів того, що іранські угруповання координували кібероперації або операції впливу з планами ХАМАС атакувати Ізраїль 7 жовтня. Швидше наші дані й висновки свідчать про те, що іранські джерела кіберзагрози діяли у відповідь, швидко активізуючи кібероперації та операції впливу після атак ХАМАС, щоб протистояти Ізраїлю.

Оманлива інформація про заявлені атаки, повідомлена державними ЗМІ 
У день початку війни іранське інформаційне агентство Tasnim News Agency, пов’язане з Корпусом вартових ісламської революції (IRGC), неправдиво заявило, що група "Cyber Avengers" здійснила кібератаки на ізраїльську електростанцію "одночасно" з нападом ХАМАСу. ²Група "Cyber ​​​​Avengers" – кіберперсона, якою керує IRGC, – узяла на себе відповідальність за кібератаку на ізраїльську енергетичну компанію ввечері перед нападом ХАМАСу.³Докази, надані цією групою: повідомлення преси кількатижневої давнини про перебої в електропостачанні "в останні роки" та знімок екрана недатованого сповіщення про припинення обслуговування на веб-сайті компанії. ⁴

Повторне використання старих матеріалів 
Після нападу ХАМАСу на Ізраїль група "Cyber Avengers" заявила, що здійснила серію кібератак на Ізраїль, найперша з яких, як показало наше розслідування, була неправдивою. 8 жовтня ця група заявила, що оприлюднила документи ізраїльської електростанції, хоча ці документи вже були опубліковані раніше в червні 2022 року іншою кіберперсоною, якою керує IRGC, під назвою "Moses Staff".⁵

Адаптація доступу для нових цілей 
8 жовтня інша кіберперсона, "Malek Team", якою, на нашу думку, керує Міністерство розвідки та безпеки Ірану (MOIS), розголосила персональні дані з ізраїльського університету без видимого зв’язку зі зростаючим конфліктом у регіоні, що свідчить про те, що вибір цілі для атаки був опортуністичним і, можливо, зроблений на основі доступу, наявного до початку війни. Замість того щоб пов’язувати витік даних із підтримкою дій ХАМАСу, група "Malek Team" спочатку використовувала гештеги на X (раніше Twitter) для підтримки ХАМАСу й лише через кілька днів змінила своє повідомлення, щоб воно відповідало повідомленням такого типу, які дискредитують прем’єр-міністра Ізраїля Біньяміна Нетаньягу, як видно з інших іранських операцій впливу.

18 жовтня група "Shahid Kaveh" з IRGC, яку корпорація Майкрософт відстежує як Storm-0784, використовувала спеціальну зловмисну програму з вимогою викупу, щоб здійснити кібератаки на камери відеоспостереження в Ізраїлі. Потім група використала одну зі своїх кіберперсон, "Soldiers of Solomon", щоб неправдиво заявити, що вона викупила доступ до камер відеоспостереження та даних авіабази Неватім. Аналіз записів із камер відеоспостереження, оприлюднених кіберперсоною "Soldiers of Solomon", показує, що це відбулося з міста на північ від Тель-Авіва з вулицею Неватім, а не з однойменної авіабази. Крім того, аналіз розташування жертв показав, що ніхто з них не перебував поблизу військової бази (див. рисунок 5). Незважаючи на те, що іранські групи почали руйнівні атаки, їх дії залишалися здебільшого опортуністичними та продовжували використовувати вплив, щоб перебільшити точність чи наслідки атак.

21 жовтня інша кіберперсона під керівництвом групи "Cotton Sandstorm" IRGC (відома як Emennet Pasargad) опублікувала відео, на якому зловмисники змінюють вміст цифрових дисплеїв у синагогах на повідомлення, у яких дії Ізраїлю в Газі називаються "геноцидом". ⁷Це приклад методу вбудовування інформації безпосередньо в кібератаки проти відносно легкої цілі.

На цьому етапі для впливу Ірану використовувалися масштабніші та складніші методи фальшивого посилення. Протягом перших двох тижнів війни ми виявили мінімальне використання вдосконалених методів фальшивого посилення, що знову свідчить про те, що операції мали реактивний характер. На третьому тижні війни в дію вступив найактивніший суб’єкт впливу Ірану "Cotton Sandstorm", який 21 жовтня розпочав три кібероперації впливу. Як ми часто бачимо на прикладі цієї групи, вона використовувала мережу маріонеток у соцмережах, щоб посилити свої дії, хоча багато хто з них, очевидно, був поспішно переведений з інших завдань без справжніх прикриттів, що маскують їх під ізраїльтян. Група "Cotton Sandstorm" неодноразово масово надсилала текстові повідомлення або електронні листи, щоб підсилити свою діяльність або похвалитися нею, використовуючи уражені облікові записи для підвищення автентичності.⁸

З кінця листопада іранські групи розширили кібервплив за межі Ізраїлю, охопивши країни, які, на думку Ірану, допомагають Ізраїлю, щоб, імовірно, підірвати міжнародну політичну, військову чи економічну підтримку ізраїльських військових операцій. Це розширення цілей збіглося з початком атак на міжнародне судноплавство, пов’язане з Ізраїлем, з боку хуситів, підтримуваного Іраном шиїтського бойового угруповання в Ємені (див. рисунок 8).⁹

На цьому останньому етапі кібероперації впливу Ірану продовжували ставати все складнішими. Використані маріонетки були краще замасковані: деяким із них змінили імена та їхні фотографії профілю, щоб зробити їх більш схожими на справжніх ізраїльтян. Водночас використовувалися нові методи, які раніше не спостерігалися серед іранських джерел загроз, зокрема застосовувався штучний інтелект як основний компонент їхніх повідомлень. На нашу думку, у грудні група Cotton Sandstorm перервала послуги потокового телебачення в ОАЕ та інших країнах під виглядом кіберперсони під назвою "For Humanity". Група "For Humanity" опублікувала в Telegram відео, на яких видно, як вона зламала три онлайн-сервіси потокового передавання й перервала роботу кількох каналів новин за допомогою фейкової трансляції новин, де ведучий, очевидно створений штучним інтелектом, стверджує, що показує фотографії палестинців, поранених і вбитих унаслідок військових операцій Ізраїлю (рисунок 7).¹⁴Новинні ЗМІ та глядачі в ОАЕ, Канаді й Великій Британії повідомили про збої в потоковому мовленні телевізійних програм, зокрема BBC, що відповідало заявам "For Humanity".¹⁵

Щоб досягти своїх цілей в інформаційному просторі, Іран за останні дев’ять місяців значною мірою покладався на чотири тактики, методики та процедури впливу. До них належить видавання себе за іншу особу та розширення можливостей активізації цільової аудиторії, а також ширше використання кампаній із текстовими повідомленнями та використання пов’язаних з IRGC ЗМІ для підкріплення операцій впливу.

Видавання себе за ізраїльські групи активістів та іранських партнерів 
Покладаючись на давню методику видавання себе за іншу особу, іранські групи розробили конкретніших і переконливіших персон, які маскуються під союзників і ворогів Ірану. Багато попередніх операцій і персон Ірану видавали себе за активістів, які підтримують палестинську справу.²⁷Нещодавні операції від персони, якою, як ми вважаємо, керує група "Cotton Sandstorm", пішли далі, використовуючи назву й емблему військового крила ХАМАСу, Бригади Аль-Кассама, щоб поширювати неправдиву інформацію про заручників, які утримуються в Газі, і надсилати погрози ізраїльтянам. Інший Telegram-канал, який погрожував військовослужбовцям ЦАХАЛу й розкривав їхні персональні дані та яким, на нашу думку, керувала група з Міністерства розвідки та безпеки, також використовував емблему Бригад Аль-Кассама. Незрозуміло, чи діє Іран за згодою ХАМАСу.

Крім того, Іран створює все переконливіші імітації фіктивних ізраїльських активістських організацій праворуч і ліворуч в ізраїльському політичному спектрі. Через цих фальшивих активістів Іран намагається проникнути в ізраїльські спільноти, щоб завоювати їхню довіру та посіяти розбрат.

Активізація ізраїльтян до дій 
У квітні й листопаді Іран неодноразово успішно вербував ізраїльтян, які нічого не підозрюють, для участі в локальних заходах, що пропагують фальшиві операції. Під час однієї з нещодавніх операцій "Tears of War" іранським агентам, як повідомляється, удалося переконати ізраїльтян вивісити в ізраїльських кварталах банери "Tears of War" із зображенням Нетаньягу, створеним штучним інтелектом, і закликами до його усунення з посади (див. рисунок 11).²⁸

Підкріплення за допомогою текстових повідомлень і електронної пошти з підвищеною частотою та складністю 
Хоча операції впливу Ірану продовжують значною мірою покладатися на скоординоване підкріплення через неавтентичні ресурси соцмереж для охоплення цільової аудиторії, Іран усе частіше використовує масове розсилання текстових повідомлення та електронних листів, щоб підсилити психологічний вплив своїх кібероперацій впливу. Підкріплення в соцмережах за допомогою маріонеткок не має такого впливу, як повідомлення в папці "Вхідні", не кажучи вже про повідомлення на телефоні. Група "Cotton Sandstorm" покладалася на попереднє успішне використання цієї методики на початку 2022 року,²⁹і масово надсилала текстові повідомлення та/або електронні листи щонайменше під час шістьох операцій із серпня. Розширене використання цієї методики свідчить про те, що група вдосконалила її та вважає ефективною. Операція "Cyber Flood", проведена групою "Cotton Sandstorm" наприкінці жовтня, містила до трьох серій масового розсилання текстових повідомлень і електронних листів ізраїльтянам, які підкріплювали передбачувані кібератаки або розповсюджували неправдиві попередження про атаки ХАМАСу на ізраїльський ядерний об’єкт біля Дімони.³⁰Принаймні в одному випадку група використовувала уражений обліковий запис, щоб підвищити автентичність електронних листів.

Використання державних ЗМІ 
Іран використовує ЗМІ, відкрито й приховано пов’язані з IRGC, щоб підкріплювати ймовірні кібероперації та, іноді, перебільшувати їхні наслідки. У вересні після того, як група "Cyber Avengers" узяла на себе відповідальність за кібератаки на залізничну систему Ізраїлю, пов’язані з IRGC ЗМІ майже відразу оприлюднили й перебільшили ці твердження. Інформаційне агентство Tasnim, пов’язане з IRGC, неправильно процитувало висвітлення ізраїльських новин про іншу подію як доказ того, що ця кібератака відбулася.³¹Інші іранські та пов’язані з Іраном ЗМІ ще більше підкріпили ці повідомлення таким чином, щоб ще краще приховати відсутність доказів на підтримку тверджень про кібератаку.³²

Зростання використання штучного інтелекту в операціях впливу 
Центр аналізу загроз Microsoft помітив, що з початку війни між Ізраїлем і ХАМАСом джерела загроз з Ірану використовували фотографії та відео, згенеровані ШІ. Групи "Cotton Sandstorm" і "Storm-1364", а також новинні ЗМІ, пов’язані з Хезболлою та ХАМАСом, використовували штучний інтелект, щоб посилити залякування й створити фотографії, що обмовляють Нетаньягу та керівництво Ізраїлю.

1. Зростаюча співпраця 
Через кілька тижнів після початку війни між Ізраїлем і ХАМАСом почали з’являтися приклади співпраці між групами, пов’язаними з Іраном, що збільшило їхні потенційні досягнення. Співпраця знижує бар’єр для входу, дозволяючи окремим групам використовувати наявні навички та усуваючи необхідність для однієї групи розробляти повний спектр методів або інструментів.

За нашою оцінкою, дві групи, пов’язані з Міністерством розвідки та безпеки, "Storm-0861" і "Storm-0842", співпрацювали в руйнівній кібератаці в Ізраїлі наприкінці жовтня, а потім знову в атаці в Албанії наприкінці грудня. В обох випадках група "Storm-0861", імовірно, надала доступ до мережі, а потім група "Storm-0842" запустила зловмисну програму, що стирає інформацію. Аналогічно, у липні 2022 року група "Storm-0842" запустила зловмисну програму, що стирає інформацію, у державних установах Албанії після того, як до них отримала доступ група "Storm-0861".

У жовтні інша група, пов’язана з Міністерством розвідки та безпеки, "Storm-1084", також могла отримати доступ до системи організації в Ізраїлі, де група "Storm-0842" розгорнула програму для стирання інформації "BiBi", яка отримала свою назву, оскільки перейменовує стерті файли на рядок "BiBi". Незрозуміло, яку роль група "Storm-1084" зіграла в цій руйнівній атаці й чи брала участь узагалі. На початку 2023 року група "Storm-1084" здійснила руйнівні кібератаки на іншу ізраїльську організацію за підтримки іншої групи, пов’язаної з Міністерством розвідки та безпеки, "Mango Sandstorm" (також відомої як "MuddyWater").³³

З початку війни Аналіз загроз Microsoft також виявив співпрацю між групою "Pink Sandstorm", пов’язаною з Міністерством розвідки та безпеки, і кіберпідрозділами Хезболли. Корпорація Майкрософт помітила збіги між їхніми інфраструктурами та спільні інструменти. Хоча співпраця Ірану з Хезболлою в кіберопераціях не безпрецедентна, однак викликає занепокоєння, що війна може ще більше зблизити ці групи через національні кордони в оперативному плані.³⁴Оскільки всі кібератаки Ірану в цій війні пов’язані з операціями впливу, досить імовірно, що Іран покращить свої операції впливу та їх охоплення, використовуючи носіїв арабської мови, щоб підвищити довіру до недостовірних персон.

2. Високий рівень уваги до Ізраїлю 
Зосередження іранських джерел кіберзагроз на Ізраїлі посилилося. Іран тривалий час зосереджувався на Ізраїлі, який разом із США вважають головним супротивником Тегерана. За даними Аналізу загроз Microsoft, головними цілями Ірану протягом останніх кількох років майже постійно були ізраїльські й американські компанії. Незадовго до війни іранські джерела загрози були найбільше зосереджені на Ізраїлі, за яким йшли Об’єднані Арабські Емірати та Сполучені Штати. Після початку війни ця увага до Ізраїлю зросла. Сорок три відсотки кіберактивності іранських державних угрупувань, відстежуваної корпорацією Майкрософт, були спрямовані на Ізраїль, що більше, ніж наступні 14 країн у списку разом узяті.

Ми очікуємо, що загроза, яку представляють іранські кібероперації та операції впливу, зростатиме з продовженням конфлікту між Ізраїлем і ХАМАСом, зокрема враховуючи ризик ескалації на інших фронтах. Хоча іранські групи поспішно почали діяти або просто сфабрикували операції на початку війни, останнім часом вони сповільнилися, даючи собі більше часу, щоб отримати бажаний доступ або розробити складніші операції впливу. Етапи війни, викладені в цьому звіті, чітко ілюструють поступове прогресування кібероперацій і операцій впливу Ірану, які стають більш цілеспрямованими, кооперативними та руйнівними.

Крім того, атаки з боку іранських джерел загрози стають дедалі сміливішими, що зокрема продемонстровано кібератакою на лікарню та перевіркою "червоних ліній" Вашингтона – очевидно, без побоювань за наслідки. Атаки IRGC на системи управління водними ресурсами США, хоч і були опортуністичними, очевидно, були хитрим кроком, щоб перевірити відповідь Вашингтона, водночас виправдовуючи атаку обладнання, виготовленого в Ізраїлі.

Напередодні виборів у США в листопаді 2024 року посилення співпраці між Іраном і групами, пов’язаними з Іраном, ставить перед тими, хто відповідає за безпеку виборів, серйозніші проблеми. Захисники більше не можуть обмежуватися відстеженням лише кількох груп. Натомість зростаюча кількість агентів доступу, груп впливу та джерел кіберзагроз робить середовище загроз складнішим і взаємопов’язаним.