伊朗激增網路影響力作戰以支援哈馬斯

自 10 月 7 日哈馬斯恐怖襲擊以來，伊朗的網路和影響力作業經歷了多個階段。他們作業的一個元素始終保持不變：機會主義的網路目標與影響力作業相結合，這些行動往往會誤導影響的精確度或範圍。

本報告重點關注 10 月 7 日至 2023 年底期間伊朗的影響力和網路影響力作業，同時涵蓋可追溯到 2023 年春季的趨勢和作業。

伊朗群組在以色列 - 哈馬斯戰爭的初始階段是被動的。伊朗官方媒體發佈了據稱網路攻擊的誤導性細節，伊朗群組重複使用了以往行動中的過時材料，重新利用了他們在戰前的存取權，並誇大了據稱網路攻擊的整體範圍和影響。

戰爭已經持續了近四個月，Microsoft 仍然沒有從我們的資料中看到明確的證據表明，伊朗群組已經將其網路或影響力作業與哈馬斯在 10 月 7 日襲擊以色列的計劃加以協調。相反，我們的資料和調查結果的大多數表明，伊朗網路執行者是被動的，在哈馬斯襲擊后，其迅速激增網路和影響力作業以對抗以色列。

關於官方媒體據稱攻擊的誤導性詳細資料： 
戰爭爆發當天，隸屬於伊斯蘭革命衛隊（IRGC）的伊朗新聞媒體塔斯尼姆通訊社（Tasnim News Agency）不實地聲稱，在哈馬斯襲擊的同時，一個名為「網络復仇者聯盟」的組織對以色列發電廠進行了網路攻擊。 ²網路復讎者聯盟是伊斯蘭革命衛隊運營的網路角色，事實上在哈馬斯入侵的前一天晚上宣告對一家以色列電力公司進行了網路攻擊。³其證據為：數周前關於「近年來」停電的新聞報導，以及該公司網站服務中斷的未註明日期的截圖。 ⁴

舊材料的再利用： 
在哈馬斯襲擊以色列之後，網路復讎者聯盟聲稱對以色列進行了一系列網路攻擊，我們的調查顯示，其中最早的攻擊是不實的。10 月 8 日，他們宣告洩露了以色列發電廠的文件，儘管這些文件此前已於 2022 年 6 月由另一個伊斯蘭革命衛隊運營的網路角色「摩西人員」發佈。⁵

重新調整存取用途： 
我們存取的由伊朗情報和安全部（MOIS）運營的另一個網路角色「馬利克團隊」於 10 月 8 日洩露了以色列一所大學的個人資料，但與那裡迅速爆發的衝突沒有任何明確的連結，這表明其目標是機會主義的，可能是根據戰爭爆發前預先存在的存取所選擇的。馬利克團隊最初沒有在洩露的資料和對哈馬斯行動的支持之間建立聯繫，而是在 X（前身為 Twitter）上使用主題標籤來支援哈馬斯，幾天后才改變了傳訊方式，以與在其他伊朗影響力行動中看到的詆毀以色列總理本雅明·內塔尼亞胡的信息類型對齊。

10 月 18 日，伊斯蘭革命衛隊的 Shahid Kaveh 群組（Microsoft 將其追蹤為 Storm-0784）使用定製的勒索軟體對以色列的安全性相機進行網路攻擊。然後，它使用其網路角色之一「所羅門士兵」虛假地宣告已經贖回了內瓦蒂姆空軍基地的安全性相機和資料。對所羅門士兵洩露的安全性錄像的檢查顯示，它來自特拉維夫以北的一個小鎮，那裡有一條內瓦蒂姆街，而不是同名的空軍基地。事實上，對受害者位置的分析表明，沒有人在軍事基地附近（見圖 5）。雖然伊朗群組已經開始進行破壞性襲擊，但他們的行動在很大程度上仍然是機會主義的，並繼續利用影響力活動來誇大襲擊的精確度或效果。

10 月 21 日，伊斯蘭革命衛隊組織 Cotton Sandstorm（俗稱 Emennet Pasargad）運營的另一個網路角色分享了一段視頻，視頻中攻擊者破壞了猶太教堂的數位顯示器，並將以色列在加沙的行動稱為「種族滅絕」。 ⁷ 這標誌著一種將傳訊直接內嵌到針對相對軟目標的網路攻擊中的方法。

在這個階段，伊朗的影響力活動使用了更廣泛和更複雜的不真確放大形式。在戰爭的前兩周，我們檢測到了最低限度的不真確放大的進階形式——再次表明作業是被動的。到戰爭的第三周，伊朗最多產的影響力執行者 Cotton Sandstorm 於 10 月 21 日上場，發起了三項網路影響力作業。正如我們經常從該群組中看到的那樣，他們使用社交媒體傀儡帳號來擴大作業，儘管許多似乎是匆忙中重新利用的，而沒有偽裝成以色列人的真實身分。Cotton Sandstorm 多次批量發送簡訊或電子郵件，以放大或吹噓他們的作業，利用遭入侵的帳戶來增強真確性。⁸

從 11 月下旬開始，伊朗群組將其網路影響力擴大到以色列以外，包括伊朗認為正在援助以色列的國家/地區，這些國家/地區很可能會破壞對以色列軍事行動的國際政治、軍事或經濟支援。這種目標的擴大與伊朗支援的葉門什葉派激進組織胡塞武裝開始襲擊與以色列有關的國際航運相一致（見圖 8）。⁹

在最新階段，伊朗的網路影響力作業也繼續複雜化。他們通過重命名一些傀儡帳戶並更改其個人資料照片，以使其看起來更像真實的以色列人而更好地偽裝。與此同時，他們利用了我們從伊朗執行者處所未見的新技術，包括使用人工智慧作為其傳訊的關鍵組成部分。我們評估了 Cotton Sandstorm，其在 12 月以一個名為“For Humanity”的角色為幌子，擾亂了阿聯酋和其他地區的流媒體電視服務。“For Humanity”在 Telegram 上發佈了影片，顯示該組織入侵了三個線上流媒體服務，並通過一個虛假新聞廣播擾亂了幾個新聞頻道，該廣播以一個顯然是 AI 生成的主播為錨點，聲稱展示了巴勒斯坦人在以色列軍事行動中受傷和死亡的圖像（圖 7）。 ¹⁴ 阿聯酋、加拿大和英國的新聞媒體和觀眾報導了包括 BBC 在內的流媒體電視節目的中斷，這與“For Humanity”的說法相符。¹⁵

為了實現其在資訊空間的目標，伊朗在過去九個月中嚴重依賴四種影響力策略、技術和程式（TTP）。這些措施包括使用模擬和增強能力來啟動目標受眾，同時日漸使用簡訊活動和使用與伊斯蘭革命衛隊有聯繫的媒體來擴大影響力作業。

冒充以色列活動家群組和伊朗合作夥伴 
伊朗群組通過開發更具體和令人信服的角色來建立一種長期的模擬技術，這些角色不僅偽裝成伊朗的朋友，也偽裝成伊朗的敵人。伊朗過去的許多行動和角色都聲稱是支援巴勒斯坦事業的活動家。²⁷我們所評估的 Cotton Sandstorm 執行角色的最近行動更進一步，借哈馬斯軍事部門 al-Qassam Brigades 的名義和標誌散佈有關在加沙被扣押的人質的虛假資訊，並向以色列人發送威脅資訊。另一個威脅以色列國防軍人員並洩露其個人資料的 Telegram 頻道（我們評估該頻道是由 MOIS 的一個團體運營）也使用了 al-Qassam Brigades 的標誌。目前尚不清楚伊朗是否在哈馬斯的同意下採取行動。

同樣，在以色列政治光譜的左右兩派中，伊朗所製造的對虛構以色列激進組織的冒充越來越令人信服。通過這些冒牌活動家，伊朗試圖滲透到以色列社區，以獲得他們的信任並挑撥離間。

激發以色列人採取行動 
在 4 月和 11 月，伊朗在招募不知情的以色列人從事宣傳其虛假行動的實地活動方面一再取得成功。據報導，在最近的一次名為「戰爭之淚」的作業中，伊朗特工成功地說服以色列人在以色列社區懸掛了「戰爭之淚」的品牌橫幅，上面似乎是內塔尼亞胡的 AI 生成形象，並呼籲將他免職（見圖 11）。²⁸

通過文字簡訊和電子郵件進行擴大，頻率和複雜度更高 
雖然伊朗的影響力作業繼續嚴重依賴座標的虛偽社交媒體放大來觸達目標受眾，但伊朗愈發地利用大量文字簡訊和電子郵件，以此來啟用其網路影響力作業的心理影響。使用傀儡帳戶在社交媒體上放大，與收件匣中出現的訊息相比，其影響是不一樣的，更不用說電話了。從 2022 年開始，基於過去使用這種技術的成功基礎，²⁹自 8 月以來，Cotton Sandstorm 在至少 6 次操作中批量發送了 29 條文字簡訊、電子郵件或兩者兼有。更多地使用這種技術表明該小組已經磨練了這種功能，並認為它是有效的。Cotton Sandstorm 在 10 月下旬的「網络洪水」行動包括向以色列人發送多達三組大量文字簡訊和電子郵件，放大聲稱的網路攻擊或散布哈馬斯襲擊以色列迪莫納附近核設施的虛假警告。³⁰至少在一個案例中，他們利用一個遭入侵的帳戶來增強其電子郵件的真確性。

利用官方媒體 
伊朗利用與伊斯蘭革命衛隊有關聯的公開和隱蔽媒體來放大所謂的網路作業，有時甚至誇大其影響。9 月，在網路復讎者聯盟聲稱對以色列鐵路系統進行網路攻擊后，與伊斯蘭革命衛隊有聯繫的媒體幾乎立即放大和誇大了其主張。與伊斯蘭革命衛隊有聯繫的塔斯尼姆通訊社錯誤地引用了以色列對另一起事件的新聞報導，作為網路攻擊發生的證據。³¹其他伊朗和與伊朗結盟的媒體進一步放大了這一報導，更多地掩蓋了缺乏支援網路攻擊宣告的證據。³²

新興 AI 在影響力作業中的應用 
自以色列-哈馬斯戰爭爆發以來，MTAC 觀察到伊朗執行者使用人工智慧生成的圖像和影片。Cotton Sandstorm 和 Storm-1364 以及真主黨和哈馬斯附屬新聞媒體利用 Al，來加強恐嚇並塑造詆毀內塔尼亞胡和以色列領導層的映像。

1. 蓬勃發展的共同作業 
在以色列-哈馬斯戰爭爆發幾周后，我們開始看到與伊朗有關聯的群組之間的合作示例，這增強了執行者所能取得的成就。共同作業降低了輸入門檻，允許每個群組貢獻現有能力，並移除了單一群組開發全方位工具或工藝的需要。

我們評估說，與 MOIS 有連結的一對群組 Storm-0861 和 Storm-0842 於 10 月下旬在以色列和 12 月下旬在阿爾巴尼亞合作進行了破壞性網路攻擊。在這兩種情況下，Storm-0861 都可能在 Storm-0842 執行抹除惡意軟體之前提供了對網路的存取。同樣，在 Storm-0861 獲得存取權后，Storm-0842 於 2022 年 7 月在阿爾巴尼亞政府實體執行了抹除器惡意軟體。

10 月，另一個與 MOIS 相關的組織 Storm-1084 也可能存取了以色列的一個組織，Storm-0842 在那裡部署了“BiBi”抹除器，該抹除器一名源自以惡意軟體使用字符串“BiBi”重新命名抹除的檔案。目前尚不清楚 Storm-1084 在破壞性攻擊中扮演了什麼角色。Storm-1084 於 2023 年初對另一個以色列組織進行了破壞性網路攻擊，該攻擊由另一個與 MOIS 相關的組織 Mango Sandstorm（又名MuddyWater)啟用。³³

自戰爭爆發以來，Microsoft 威脅情報還偵測到與 MOIS 連結的組織 Pink Sandstorm 和真主黨網路部隊之間的合作。Microsoft 觀察到基礎結構重疊和共用工具。伊朗與真主黨在網路行動上的共同作業雖然不是史無前例的，但引起了一個令人擔憂的事態發展，即這場戰爭可能會使這些團體在行動上更加緊密地聯繫在一起。³⁴由於伊朗在這場戰爭中的網路攻擊都與影響力作業相結合，因此伊朗更有可能通過利用以阿拉伯文為母語的人來增強其不真實角色的真確性，來改善其影響力作業及其影響力。

2. 高度關注以色列 
伊朗網路執行者對以色列的關注愈演愈烈。伊朗長期以來一直關注以色列，德黑蘭將其視為與美國並駕齊驅的主要敵人。因此，根據 Microsoft 威脅情報資料，在過去幾年中，以色列和美國企業幾乎一直是伊朗最常見的目標。在戰爭爆發之前，伊朗執行者最關注的是以色列，其次是阿聯酋和美國。戰爭爆發后，對以色列的關注激增。在 Microsoft 追蹤的伊朗民族國家網路活動中，有 43% 針對以色列，超過了接下來的 14 個目標國家/地區的總和。

我們預計，隨著衝突的持續，尤其是在戰爭擴大可能性不斷上升的情況之下，伊朗的網路和影響力作業構成的威脅將會增加。雖然伊朗群組在戰爭初期急於開展或簡單地捏造作業，但伊朗群組已經放慢了他們最近的作業，使他們能夠有更多時間獲得所需的存取或發展更複雜的影響力作業。本報告中概述的戰爭階段清楚地表明，伊朗的網路和影響力作業進展緩慢，變得更具針對性、協作性和破壞性。

伊朗執行者在瞄準目標方面也變得日益大膽，最引人注目的是針對一家醫院的網路攻擊，並測試華盛頓的底線，似乎不關心後果。伊斯蘭革命衛隊對美國水控制系統的攻擊雖然是見機行事，但似乎是一種聰明的策略，通過宣告攻擊以色列製造設備的合法性來測試華盛頓。

在 2024 年 11 月美國大選之前，伊朗和伊朗附屬群組之間加強合作，預示著那些參與選舉辯護的人將面臨更大的挑戰。防禦者再也無法從追蹤幾個群組中得到安慰。相反，越來越多的存取代理程式、影響群組和網路執行者使威脅環境更加複雜和相互交織。