Iran intensyfikuje operacje wywierania wpływu z wykorzystaniem cybertechnologii w celu wspierania Hamasu

Od ataku terrorystycznego Hamasu 7 października irańskie operacje cybernetyczne i wywierania wpływu przeszły przez wiele etapów. Jeden element ich operacji pozostaje cały czas niezmienny: łączenie oportunistycznych cyberataków z operacjami wywierania wpływu, które często wprowadzają w błąd co do precyzji uderzenia lub zakresu jego skutków.

W tym raporcie skupiono się na irańskich operacjach wywierania wpływu i operacjach wywierania wpływu z wykorzystaniem cybertechnologii w okresie od 7 października do końca 2023 roku oraz omówiono trendy i operacje z okresu od wiosny 2023 roku.

Na początkowym etapie wojny między Izraelem a Hamasem irańskie grupy działały w sposób reaktywny. Irańskie media państwowe podawały wprowadzające w błąd informacje o rzekomych cyberatakach, a irańskie grupy używały starych materiałów z przeszłych operacji, wykorzystywały do nowych celów dostęp, jaki miały przed wojną, oraz wyolbrzymiały ogólny zakres i skutki rzekomych cyberataków.

Niemal cztery miesiące po rozpoczęciu wojny firma Microsoft nadal nie zaobserwowała w zebranych danych wyraźnych dowodów wskazujących na to, że irańskie grupy koordynowały operacje cybernetyczne lub operacje wywierania wpływu z planami Hamasu dotyczącymi ataku na Izrael, jaki miał miejsce 7 października. Nasze dane i ustalenia sugerują raczej, że irańskie źródła cyberzagrożeń działały w sposób reaktywny, szybko intensyfikując operacje cybernetyczne i wywierania wpływu po atakach Hamasu w celu przeciwstawienia się Izraelowi.

Wprowadzające w błąd informacje dotyczące rzekomych ataków podawane przez media państwowe: 
W dniu wybuchu wojny irańska agencja informacyjna Tasnim News Agency powiązana z Korpusem Strażników Rewolucji Islamskiej (KSRI) fałszywie twierdziła, że ​​grupa o nazwie „Cyber ​​Avengers” przeprowadziła cyberataki na izraelską elektrownię „w tym samym czasie”, w którym trwały ataki Hamasu. ²Grupa Cyber ​​Avengers, cyberosoba sterowana przez KSRI, wzięła odpowiedzialność za przeprowadzenie cyberataku na izraelską firmę energetyczną wieczorem przed uderzeniem Hamasu³. Przedstawione przez tę grupę dowody: doniesienia prasowe sprzed kilku tygodni na temat przerw w dostawie prądu „w ostatnich latach” oraz zrzut ekranu dotyczący przerwy w działaniu strony internetowej tej firmy bez oznaczenia daty. ⁴

Ponowne używanie starych materiałów: 
Po atakach Hamasu na Izrael grupa Cyber ​​Avengers twierdziła, że ​​przeprowadziła serię cyberataków na Izrael — z naszych ustaleń wynika, że najwcześniejszy z nich był fałszywy. W dniu 8 października grupa ta twierdziła, że upubliczniła dokumenty izraelskiej elektrowni, mimo że te dokumenty zostały opublikowane już wcześniej, w czerwcu 2022 roku, przez inną sterowaną przez KSRI cyberosobę — „Moses Staff”.⁵

Wykorzystywanie dostępu do nowych celów: 
W dniu 8 października inna cyberosoba, „Malek Team”, w naszej opinii sterowana przez Ministerstwo Wywiadu i Bezpieczeństwa Iranu, ujawniła dane osobowe z izraelskiego uniwersytetu, który zaatakowano bez wyraźnego powiązania z narastającym konfliktem w tym regionie, co sugeruje, że wybór celu ataku miał charakter oportunistyczny i być może wybrano go na podstawie dostępu istniejącego przed wybuchem wojny. Zamiast tworzyć powiązania między ujawnionymi danymi a wsparciem dla działań Hamasu, grupa Malek Team początkowo wspierała Hamas, używając hasztagów w serwisie X (dawniej: Twitter), a dopiero kilka dni później zmieniła przekaz, dostosowując go do przesłań oczerniających izraelskiego premiera Benjamina Netanjahu obserwowanych w ramach innych irańskich operacji wywierania wpływu.

W dniu 18 października grupa Shahid Kaveh należąca do KSRI, którą firma Microsoft śledzi pod nazwą Storm-0784, użyła dostosowanego oprogramowania wymuszającego okup (ransomware) do przeprowadzenia cyberataków na kamery wideonadzoru w Izraelu. Następnie grupa ta wykorzystała jedną ze swoich cyberosób, „Soldiers of Solomon”, do ogłoszenia fałszywego twierdzenia, że zapłaciła okup za dostęp do kamer wideonadzoru i danych w bazie sił powietrznych Nevatim. Z analizy ujawnionego przez Soldiers of Solomon materiału z kamery wideonadzoru wynika, że ​​pochodzi on z miasta na północ od Tel Awiwu, przy ulicy Nevatim, a nie z bazy lotniczej o tej samej nazwie. Co więcej, analiza lokalizacji ofiar wykazała, że ​​żadna z nich nie znajdowała się w pobliżu bazy wojskowej (zobacz: Ilustracja 5). Mimo że irańskie grupy rozpoczęły niszczycielskie ataki, ich działania pozostawały w dużej mierze oportunistyczne i w dalszym ciągu obejmowały wywieranie wpływu w celu wyolbrzymiania precyzji lub skutków ataków.

W dniu 21 października kolejna cyberosoba sterowana przez należącą do KSRI grupę Cotton Sandstorm (powszechnie znaną jako Emennet Pasargad) udostępniła film przedstawiający napastników zmieniających treści na cyfrowych wyświetlaczach w synagogach na przekazy, w których działania Izraela w Gazie określano jako „ludobójstwo”. ⁷ To przykład metody osadzania przekazu informacyjnego bezpośrednio w cyberatakach na stosunkowo łatwy cel.

Na tym etapie w irańskich działaniach wywierania wpływu wykorzystywano bardziej rozbudowane i wyrafinowane metody nieautentycznego nagłaśniania. W ciągu pierwszych dwóch tygodni wojny wykryliśmy minimalne użycie metod nieautentycznego nagłaśniania, co ponownie sugeruje, że prowadzone operacje miały charakter reaktywny. W trzecim tygodniu wojny do gry wkroczyła grupa Cotton Sandstorm, najbardziej aktywne irańskie źródło wywierania wpływu, rozpoczynając 21 października trzy operacje wywierania wpływu z wykorzystaniem cybertechnologii. Jak często obserwujemy w przypadku tej grupy, wykorzystała ona sieć marionetek w mediach społecznościowych, aby nagłaśniać te operacje, choć wiele z nich najwyraźniej pospiesznie przydzielono z innych zadań bez maskowania ich jako prawdziwych osób mających być Izraelczykami. Grupa Cotton Sandstorm wielokrotnie wysyłała zbiorczo wiadomości SMS lub wiadomości e-mail, aby nagłaśniać swoje operacje lub chwalić się nimi, wykorzystując przy tym konta z naruszonymi zabezpieczeniami w celu zwiększenia wrażenia autentyczności⁸.

Od końca listopada irańskie grupy rozszerzyły wywieranie wpływu z wykorzystaniem cybertechnologii poza Izrael, obejmując nim kraje, które według Iranu pomagają Izraelowi, najprawdopodobniej w celu osłabienia międzynarodowego wsparcia politycznego, wojskowego lub gospodarczego dla izraelskich operacji wojskowych. To rozszerzenie celów działań zbiegło się z początkiem ataków na międzynarodową żeglugę połączoną z Izraelem prowadzonych przez Huti, wspieraną przez Iran szyicką grupę bojowników w Jemenie (zobacz: Ilustracja 8)⁹.

Na tym najnowszym etapie irańskie operacje wywierania wpływu z wykorzystaniem cybertechnologii w dalszym ciągu stawały się coraz bardziej wyrafinowane. Lepiej maskowano używane marionetki, zmieniając nazwy niektórych z nich oraz ich zdjęcia profilowe, aby bardziej przypominały autentycznych Izraelczyków. Jednocześnie wykorzystywano nowe techniki, których nie obserwowaliśmy dotąd u irańskich źródeł zagrożeń, w tym używanie sztucznej inteligencji jako elementu kluczowego dla przekazu informacyjnego. W naszej ocenie w grudniu grupa Cotton Sandstorm zakłóciła usługi telewizji strumieniowej w Zjednoczonych Emiratach Arabskich i w innych miejscach pod przykrywką osoby o nazwie „For Humanity”. Grupa For Humanity opublikowała na komunikatorze Telegram filmy, w których pokazano, jak ta grupa włamuje się do trzech usług transmisji strumieniowej online i zakłóca działanie kilku kanałów informacyjnych, publikując fałszywą transmisję informacyjną z prowadzącym najwyraźniej wygenerowanym przez sztuczną inteligencję, w której przedstawiono rzekome zdjęcia Palestyńczyków rannych i zabitych w wyniku izraelskich operacji wojskowych (Ilustracja 7)¹⁴. Serwisy informacyjne i widzowie w Zjednoczonych Emiratach Arabskich, Kanadzie i Zjednoczonym Królestwie zgłaszali zakłócenia w przesyłaniu strumieniowym programów telewizyjnych, w tym BBC, zgodne z twierdzeniami grupy For Humanity¹⁵.

Aby realizować cele w przestrzeni informacyjnej, w ciągu ostatnich dziewięciu miesięcy Iran w dużym stopniu polegał na czterech taktykach, technikach i procedurach wywierania wpływu. Obejmują one podszywanie się pod osoby i podmioty oraz rozszerzone możliwości aktywizowania odbiorców docelowych w połączeniu z coraz częstszym wykorzystywaniem kampanii z użyciem wiadomości SMS oraz wykorzystywaniem mediów powiązanych z KSRI do nagłaśniania operacji wywierania wpływu.

Podszywanie się pod izraelskie grupy aktywistów i irańskich partnerów 
Irańskie grupy rozwijają od dawna używaną technikę podszywania się, tworząc bardziej skonkretyzowane i przekonujące osoby, które udają zarówno sojuszników, jak i wrogów Iranu. W przypadku wielu wcześniejszych operacji i osób Iranu udawano aktywistów wspierających sprawę palestyńską²⁷. W niedawnych operacjach prowadzonych przez osobę, którą według nas steruje grupa Cotton Sandstorm, posunięto się dalej, wykorzystując nazwę i logo wojskowego skrzydła Hamasu, Brygad Al-Kassam, do rozpowszechniania fałszywych informacji na temat zakładników przetrzymywanych w Gazie i wysyłania Izraelczykom wiadomości z groźbami. Na kolejnym kanale komunikatora Telegram, na którym grożono pracownikom Sił Obronnych Izraela i ujawniano ich dane osobowe, a który według nas prowadziła grupa Ministerstwa Wywiadu i Bezpieczeństwa, również wykorzystywano logo Brygad Al-Kassam. Nie jest jasne, czy Iran działa za zgodą Hamasu.

Ponadto Iran coraz bardziej przekonująco podszywa się pod fikcyjne izraelskie organizacje aktywistów z prawej i lewej strony izraelskiego spektrum politycznego. Za pośrednictwem tych fałszywych aktywistów Iran próbuje infiltrować społeczności izraelskie, aby zdobyć ich zaufanie i siać niezgodę.

Aktywizowanie Izraelczyków do działania 
W kwietniu i listopadzie Iran wielokrotnie pomyślnie werbował nieświadomych Izraelczyków do angażowania się w działania tradycyjne promujące jego fałszywe operacje. W ramach jednej z niedawnych operacji, „Tears of War”, irańskim agentom udało się podobno przekonać Izraelczyków do wywieszenia w izraelskich dzielnicach znakowanych sztandarów „Tears of War” z wyglądającym na wygenerowany przez sztuczną inteligencję wizerunkiem Netanjahu i wezwaniami do usunięcia go ze stanowiska (zobacz: Ilustracja 11)²⁸.

Nagłaśnianie za pomocą wiadomości tekstowych i e-mail z większą częstotliwością i wyrafinowaniem 
Mimo że irańskie operacje wywierania wpływu nadal w dużym stopniu opierają się na skoordynowanym nagłaśnianiu za pomocą nieautentycznych zasobów w mediach społecznościowych w celu docierania do odbiorców docelowych, Iran w coraz większym stopniu wykorzystuje masowe wysyłanie wiadomości SMS i wiadomości e-mail, aby podbić skutki psychologiczne swoich operacji wywierania wpływu z wykorzystaniem cybertechnologii. Nagłaśnianie w mediach społecznościowych za pomocą marionetek nie daje takiego efektu, jak wiadomość w osobistej skrzynce odbiorczej, nie mówiąc już o wiadomości na telefonie. Grupa Cotton Sandstorm rozwinęła działania na bazie wcześniejszych pomyślnych przypadków wykorzystania tej techniki na początku 2022 r.²⁹, masowo wysyłając wiadomości SMS i wiadomości e-mail lub jedne i drugie w ramach co najmniej sześciu operacji od sierpnia. Intensywniejsze wykorzystanie tej techniki sugeruje, że grupa ta ją udoskonaliła i uważa ją za skuteczną. Operacja „Cyber ​​Flood” przeprowadzona przez grupę Cotton Sandstorm pod koniec października obejmowała do trzech zestawów masowych wiadomości SMS i e-mail kierowanych do Izraelczyków, w których nagłaśniano rzekome cyberataki lub rozpowszechniano fałszywe ostrzeżenia przed atakami Hamasu na izraelski obiekt nuklearny w pobliżu Dimony³⁰. W co najmniej jednym przypadku grupa ta wykorzystała konto z naruszonymi zabezpieczeniami, aby uwiarygodnić swoje wiadomości e-mail.

Wykorzystywanie mediów państwowych 
Iran wykorzystuje media jawnie i niejawnie powiązane z KSRI do nagłaśniania rzekomych operacji cybernetycznych, a czasami do wyolbrzymiania ich skutków. We wrześniu, po tym jak grupa Cyber Avengers przyznała się do cyberataków na izraelską sieć kolejową, media powiązane z KSRI niemal natychmiast nagłośniły i wyolbrzymiły te twierdzenia. Powiązana z KSRI agencja informacyjna Tasnim News Agency niepoprawnie przytoczyła izraelskie doniesienia prasowe dotyczące innego wydarzenia jako dowód na to, że ten cyberatak miał miejsce³¹. Inne irańskie i powiązane z Iranem media dodatkowo nagłośniły te przekazy informacyjne w sposób jeszcze bardziej maskujący brak dowodów potwierdzających twierdzenia o cyberataku³².

Coraz częstsze wykorzystywanie sztucznej inteligencji w operacjach wywierania wpływu 
Centrum analizy zagrożeń Microsoft zaobserwowało, że od wybuchu wojny między Izraelem a Hamasem irańskie źródła zagrożeń korzystają ze zdjęć i filmów wygenerowanych przez sztuczną inteligencję. Grupy Cotton Sandstorm i Storm-1364, a także serwisy informacyjne powiązane z Hezbollahem i Hamasem wykorzystują sztuczną inteligencję do skuteczniejszego zastraszania oraz do tworzenia obrazów oczerniających Netanjahu i izraelskie przywództwo.

1. Rozwijająca się współpraca 
Kilka tygodni po rozpoczęciu wojny między Izraelem a Hamasem zaczęły pojawiać się przykłady współpracy między grupami powiązanymi z Iranem, zwiększającej ich potencjalne osiągnięcia. Współpraca obniża tzw. barierę wejścia, umożliwiając poszczególnym grupom wnoszenie do współpracy ich istniejących umiejętności i eliminuje potrzebę rozwijania przez pojedynczą grupę pełnego spektrum metod lub narzędzi.

W naszej ocenie dwie grupy powiązane z Ministerstwem Wywiadu i Bezpieczeństwa, Storm-0861 i Storm-0842, współpracowały przy niszczycielskim cyberataku w Izraelu pod koniec października, a potem ponownie przy ataku w Albanii pod koniec grudnia. W obu przypadkach grupa Storm-0861 prawdopodobnie zapewniła dostęp do sieci, a następnie grupa Storm-0842 uruchomiła złośliwe oprogramowanie typu wiper. Podobnie w lipcu 2022 roku grupa Storm-0842 uruchomiła złośliwe oprogramowanie typu wiper w albańskich jednostkach administracji publicznej po uzyskaniu dostępu przez grupę Storm-0861.

W październiku również inna grupa powiązana z Ministerstwem Wywiadu i Bezpieczeństwa, Storm-1084, mogła mieć dostęp do systemu organizacji w Izraelu, w którym grupa Storm-0842 wdrożyła oprogramowanie typu wiper „BiBi”, nazwanego tak, ponieważ zmienia ono nazwy wymazywanych plików na ciąg „BiBi”. Nie jest jasne, jaką rolę odegrała grupa Storm-1084 w tym niszczycielskim ataku i czy w ogóle brała w nim udział. Na początku 2023 roku grupa Storm-1084 przeprowadziła niszczycielskie cyberataki na inną izraelską organizację przy wsparciu innej grupy powiązanej z Ministerstwem Wywiadu i Bezpieczeństwa — Mango Sandstorm (czyli MuddyWater)³³.

Od wybuchu wojny Centrum analizy zagrożeń Microsoft wykryło też współpracę między powiązaną z Ministerstwem Wywiadu i Bezpieczeństwa grupą Pink Sandstorm i jednostkami cybernetycznymi Hezbollahu. Firma Microsoft zaobserwowała pokrywanie się ich infrastruktur i wspólne narzędzia. Współpraca Iranu z Hezbollahem w zakresie operacji cybernetycznych, choć nie bezprecedensowa, jest niepokojącym sygnałem, ponieważ wojna może jeszcze bardziej operacyjnie zbliżyć te reprezentujące różne narodowości grupy³⁴. W obliczu tego, że wszystkie cyberataki Iranu związane z tą wojną łączono z operacjami wywierania wpływu, istnieje dodatkowe prawdopodobieństwo, że Iran usprawni swoje operacje wywierania wpływu i ich zasięg, wykorzystując osoby natywnie posługujące się językiem arabskim w celu zwiększenia wiarygodności wykorzystywanych nieautentycznych osób.

2. Wysoki poziom koncentracji na Izraelu 
Irańskie źródła zagrożeń zintensyfikowały koncentrację działań na Izraelu. Iran od dawna koncentruje się na Izraelu, który obok Stanów Zjednoczonych jest w Teheranie uważany za głównego przeciwnika. W związku z tym, jak wynika z danych Centrum analizy zagrożeń Microsoft, w ciągu ostatnich kilku lat niemal zawsze najczęstszymi celami Iranu były izraelskie i amerykańskie przedsiębiorstwa. Krótko przed wojną irańskie źródła zagrożeń koncentrowały się najbardziej na Izraelu, a następnie na Zjednoczonych Emiratach Arabskich i Stanach Zjednoczonych. Po wybuchu wojny ta koncentracja na Izraelu wzrosła. Czterdzieści trzy procent cyberdziałań irańskich grup państwowych śledzonych przez firmę Microsoft było wymierzonych w Izrael — więcej niż w przypadku kolejnych 14 atakowanych krajów łącznie.

Oczekujemy, że zagrożenie stwarzane przez irańskie operacje cybernetyczne i operacje wywierania wpływu będzie rosło w miarę trwania konfliktu między Izraelem a Hamasem, szczególnie w obliczu zwiększającego się ryzyka eskalacji na dodatkowych frontach. Mimo że na początku wojny irańskie grupy pośpiesznie ruszały do działań lub po prostu fabrykowały operacje, w przypadku ostatnich operacji zwolniły tempo, zapewniając sobie więcej czasu na uzyskanie pożądanego dostępu lub opracowanie bardziej wyrafinowanych operacji wywierania wpływu. Etapy ​​wojny przedstawione w tym raporcie jasno ilustrują stopniowy postęp irańskich operacji cybernetycznych i operacji wywierania wpływu, w wyniku którego stały się bardziej ukierunkowane, oparte na współpracy i niszczycielskie.

Ponadto ataki irańskich źródeł zagrożeń są coraz śmielsze, co szczególnie dobrze zobrazowały cyberuderzenie na szpital i testowanie czerwonych linii Waszyngtonu — najwyraźniej bez przejmowania się konsekwencjami. Ataki KSRI na amerykańskie systemy gospodarki wodnej, choć oportunistyczne, najwyraźniej były przemyślnym posunięciem mającym przetestować reakcję Waszyngtonu przy jednoczesnym usprawiedliwianiu atakowania sprzętu wyprodukowanego w Izraelu.

Przed wyborami w Stanach Zjednoczonych w listopadzie 2024 roku wzmożona współpraca między irańskimi i powiązanymi z Iranem grupami stanowi większe wyzwanie dla osób i podmiotów odpowiedzialnych za obronę wyborów. Obrońcy nie mogą już poprzestawać na śledzeniu kilku grup. Zamiast tego rosnąca liczba agentów zajmujących się uzyskiwaniem dostępu, grup działających w celu wywierania wpływu i źródeł cyberzagrożeń powoduje, że środowisko zagrożeń staje się bardziej złożone i powiązane wewnętrznie.