Iran intenzivira operacije uticaja omogućene kibernetičkom tehnologijom radi podrške Hamasu

Kibernetičke operacije i operacije uticaja Irana napredovale su u više faza otkako se desio teroristički napad Hamasa 7. oktobra. Jedan element njihovih operacija je uvek isti: kombinacija oportunističkog kibernetičkog targetiranja i operacija uticaja, koji često stvaraju lažnu sliku o preciznosti i obimu uticaja.

Ovaj izveštaj se fokusira na iranski uticaj i operacije uticaja omogućene kibernetičkom tehnologijom od 7. oktobra do kraja 2023. i pokriva trendove i operacije iz proleća 2023.

Iranske grupe su bile reaktivne tokom prve faze rata između Izraela i Hamasa. Državni iranski mediji su izdali obmanjujuće informacije o priznatim kibernetičkim napadima, a iranske grupe su ponovo iskoristile zastarele materijale iz pređašnjih operacija i pristup koji su imale pre rata i preuveličale su ukupni opseg i uticaj priznatih kibernetičkih napada.

Ni posle skoro četiri meseca od početka rata, Microsoft i dalje nije našao jasne dokaze iz naših podataka koji ukazuju na to da su iranske grupe koordinisale kibernetičke operacije ili operacije uticaja sa Hamasovima planovima da napadnu Izrael 7. oktobra. Šta više, većina naših podataka i nalaza ukazuje na to da su iranski kibernetički akteri reagovali i brzo intenzivirali kibernetičke operacije i operacije uticaja nakon napada Hamasa da bi se suprotstavili Izraelu.

Obmanjujuće informacije o priznatim napadima preko državnih medija: 
Na dan izbijanja rata, novinska agencija Tasnim, iranska medijska kuća povezana sa organizacijom Korpus čuvara Islamske revolucije (IRGC), lažno je tvrdila da je grupa pod nazivom „Cyber Avengers“ („Kibernetički osvetnici“) izvršila kibernetičke napade na izraelsku elektranu „u isto vreme“ kada su sprovedeni napadi grupe Hamas. ² Grupa „Cyber Avengers“, kibernetička personalnost kojom upravlja IRGC, zapravo je tvrdila da je napad na izraelsko elektroenergetsko preduzeće izvršila veče uoči upada grupe Hamas.³ Njihovi dokazi: izveštaj štampanih medija od pre više nedelja o nestancima struje „tokom proteklih godina“ i snimak ekrana prekida snabdevanja sa veb sajta preduzeća bez naznačenog datuma. ⁴

Ponovno korišćenje starog materijala: 
Nakon napada organizacije Hamas na Izrael, grupa „Cyber Avengers“ je izjavila da je izvršila niz kibernetičkih napada na Izrael, a naša istraživanja su pokazala da je prvi od njih bio lažan. 8. oktobra su izjavili da je došlo do curenja dokumenata o izraelskoj elektrani, iako je juna 2022. godine te dokumente prethodno objavila druga kibernetička personalnost kojom upravlja IRGC, grupa „Moses Staff“.⁵

Ponovno korišćenje pristupa: 
Druga kibernetička personalnost „Malek Team“ („Tim Malek“), kojom, prema našoj proceni, upravlja Ministarstvo Irana za obaveštavanje i bezbednost (MOIS), objavila je podatke o ličnosti sa izraelskog univerziteta 8. oktobra, bez jasne povezanosti između tog napada i rastućeg sukoba tamo, što ukazuje na to da je meta izabrana oportunistički, možda na osnovu postojećeg pristupa pre izbijanja rata. „Malekt Team“ nije pokazivao veze između objavljenih podataka i podrške za operacije Hamasa, već je u početku koristio heš oznake na mreži X (ranije poznate pod nazivom Twitter) za podršku Hamasu, a tek je nekoliko dana kasnije promenio poruke tako da se usaglase sa porukama kojima se omalovažava izraelski premijer Benjamin Netanjahu iz drugih iranskih operacija uticaja.

Dana 18. oktobra, grupa „Shahid Kaveh“ Korpusa čuvara islamske revolucije, koju je Microsoft označio kao „Storm-0784“, koristila je prilagođeni ransomver za sprovođenje kibernetičkih napada na sigurnosne kamere u Izraelu. Zatim je iskoristila jednu od kibernetičkih personalnosti, „Soldiers of Solomon“ („Solomonovi vojnici“), za lažne tvrdnje da je otela sigurnosne kamere i podatke iz vazdušne baze Nevatim. Pregledanjem snimaka sa sigurnosnih kamera koje je grupa „Soldiers of Solomon“ otkrila, utvrđeno je da potiču iz grada severno od Tel Aviva, gde postoji ulica pod nazivom Nevatim, a ne iz istoimene vazdužne baze. Šta više, analizom lokacija žrtava otkriveno je da niko nije bio blizu vojne baze (videti Sliku 5). Iako su iranske grupe započele destruktivne napade, njihove operacije su i dalje u velikoj meri oportunističke i nastavile su da koriste aktivnosti uticaja sa ciljem preuveličavanja preciznosti ili efekata napada.

21. oktobra, još jedna kibernetička personalnost kojom upravlja grupa IRGC, pod nazivom Cotton Sandstorm (poznatija kao Emennet Pasargad), podelila je video u kojem napadači uništavaju digitalne ekrane u sinagogi, sa porukama koje operacije Izraela nazivaju „genocidom“. ⁷To predstavlja metod ugrađivanja poruka direktno u kibernetičke napade na relativno laku metu.

Tokom te faze, u iranskim aktivnostima uticaja korišćeni su opsežniji i složeniji oblici lažnog jačanja aktivnosti. Tokom prve dve nedelje rata, otkrili smo minimalno napredne oblike lažnog jačanja, što opet ukazuje na to da su operacije bile reaktivne. Do treće nedelje rata, najaktivniji akter uticaja Irana, „Cotton Sandstorm“, stupio je na scenu pokretanjem tri operacije uticaja omogućene kibernetičkom tehnologijom 21. oktobra. Često smo zapažali da ta grupa koristi mrežu botova na društvenim mrežama sa ciljem pojačavanja operacija, iako deluje da su mnogi od njih na brzinu preuređeni bez autentičnih maski koje bi ih prerušile u Izraelce. Grupa Cotton Sandstorm je u više navrata slala veliki broj SMS poruka ili e-poruka sa ciljem da pojača ili istakne svoje operacije, koristeći za to ugrožene naloge radi poboljšanja verodostojnosti.⁸

Krajem novembra iranske grupe su počele da šire uticaj zasnovan na kibernetičkoj tehnologiji i van Izraela, kako bi obuhvatile zemlje za koje Iran smatra da pomažu Izraelu, što će vrlo verovatno dovesti do podrivanja međunarodne političke, vojne ili ekonomske podrške izraelskim vojnim operacijama. To širenje meta napada podudarilo se sa početkom napada na međunarodne pošiljke povezane sa Izraelom koje su sprovodili Huti, šiitska militantna grupa iz Jemena koju podržava Iran (pogledati sliku 8).⁹

Iranske operacije uticaja zasnovane na kibernetičkoj tehnologiji postajale su sve složenije u ovoj najnovijoj fazi. Bolje su prerušili svoje botove promenom imena i menjanjem fotografija profila tako da više izgledaju kao Izraelci. U međuvremenu, iskoristili su nove tehnike koje nismo videli od iranskih aktera, uključujući korišćenje AI kao glavni element u porukama. Procenjujemo da je grupa Cotton Sandstorm u decembru ometala usluge emitovanja TV programa u UAE kao i na drugim lokacijama, a sve pod maskom personalnosti „For Humanity“. Organizacija „For Humanity“ objavila je na društvenoj platformi Telegram video snimke na kojima se vidi kako grupa hakuje tri servisa za strimovanje medijskih sadržaja na mreži i ometa nekoliko informativnih kanala emitovanjem lažnih vesti, pri čemu voditelj, očigledno generisan veštačkom inteligencijom, izjavljuje da snimak prikazuje slike Palestinaca, povređenih i ubijenih u izraelskim vojnim operacijama (slika 7).¹⁴ Medijske kuće i gledaoci u UAE, Kanadi i Ujedinjenom Kraljevstvu prijavili su ometanja u emitovanju televizijskog programa koja su se podudarala sa izjavama organizacije „For Humanity“.¹⁵

Da bi postigao svoje ciljeve u informativnom prostoru, Iran se u velikoj meri oslanjao na četiri taktike, tehnike i procedure uticaja (TTP) proteklih devet meseci. To obuhvata korišćenje imitiranja i poboljšanih sposobnosti za aktiviranje ciljne publike, zajedno sa pojačanim korišćenjem kampanja preko SMS poruka i korišćenjem medija povezanih sa IRGC-om radi jačanja operacija uticaja.

Lažno predstavljanje grupa izraelskih aktivista i iranskih partnera 
Iranske grupe izgradile su dugogodišnju tehniku lažnog predstavljanja razvijanjem konkretnijih i ubedljivijih personalnosti koje se prerušavaju kako u prijatelje tako i u neprijatelje Irana. Mnoge od prethodnih operacija i personalnosti Irana navodno su bile aktivisti koji podržavaju palestinsku borbu.²⁷ Nedavne operacije personalnosti kojom prema našim procenama upravlja grupa Cotton Sandstorm, otišle su korak dalje, koristeći naziv i logotip vojnog krila Hamasa, Brigade Al Kasam, za širenje lažnih poruka o taocima u Gazi i slanje pretećih poruka Izraelcima. Još jedan Telegram kanal na kojem se pretilo osoblju IDF i gde su objavljeni njihovi lični podaci, a kojim je prema našoj proceni upravljala MOIS grupa, takođe je korišćen logotip Brigada Al Kasam. Nije jasno da li Iran postupa po odobrenju Hamasa.

Isto tako, Iran stvara sve ubedljivije imitacije fiktivnih izraelskih aktivističkih organizacija sa desnog i levog kraja političkog spektra u Izraelu. Putem tih lažnih aktivista, Iran želi da se infiltrira u izraelske zajednice da bi zadobio njihovo poverenje i širio neslogu.

Podstrekivanje Izraelaca na akciju 
U aprilu i novembru, država Iran je više puta uspela u regrutovanju Izraelaca da se bez spoznaje krajnjih namera uključe u aktivnosti kojima se promovišu lažne operacije na terenu. U jednoj nedavnoj operaciji, grupa iranskih operativaca pod nazivom „Tears of War“ navodno je uspela da ubedi Izraelce da u izraelskim naseljima okače transparente sa obeležjima grupe „Tears of War“, na kojima je se nalazi slika Netanjahua generisana veštačkom inteligencijom i poziv na njegovo smenjivanje sa funkcije (pogledati sliku 11).²⁸

Jačanje efekata preko SMS poruka i e-poruka sve češće i složenije 
Iako se iranske operacije uticaja i dalje u velikoj meri oslanjaju na koordinisano lažno širenje uticaja društvenih mreža za dosezanje ciljnih korisnika, Iran sve više koristi slanje velikog broja SMS poruka i e-poruka radi povećavanja psiholoških efekata operacija uticaja zasnovanih na kibernetičkoj tehnologiji. Širenje uticaja na društvenim mrežama pomoću botova nema isti efekat kao poruka u prijemnom sandučetu, a kamoli na telefonu. Grupa Cotton Sandstorm iskoristila je prethodne uspehe korišćenja te tehnike od 2022. godine,²⁹ slanjem velikog broja SMS poruka, e-poruka ili i jednih i drugih tokom najmanje šest operacija od avgusta. Povećano korišćenje te tehnike ukazuje na to da je grupa usavršila sposobnost i smatra je efikasnom. Operacija „Cyber Flood“ koju je grupa Cotton Sandstorm sprovela krajem oktobra obuhvatala je najviše tri skupa velikog broja SMS poruka i e-poruka Izraelcima, kojima su pojačavani kibernetički napadi i distribuirana lažna upozorenja o napadima grupe Hamas na izraelsko nuklearno postrojenje u blizini Dimone.³⁰U barem jednom slučaju iskoristili su ugrožen nalog kako bi povećali stepen verodostojnosti e-poruka.

Iskorišćavanje državnih medija 
Iran je koristio medijske kuće koje su bilo otvoreno ili tajno bile povezane sa organizacijom IRGC za jačanje navodnih kibernetičkih operacija i povremeno preuveličavanje njihovih efekata. U septembru, kada je grupa Cyber Avengers iznela tvrdnje o kibernetičkim napadima na izraelski železnički sistem, mediji povezani sa organizacijom IRGC gotovo odmah su pojačali i preuveličali te tvrdnje. Novinska agencija Tasnim povezana sa organizacijom IRGC pogrešno je citirala izraelsko izveštavanje o jednom drugom događaju kao dokaz da se taj kibernetički napad zaista dogodio.³¹Taj izveštaj dodatno su pojačale i druge iranske i sa Iranom povezane medijske kuće na način kojim je prikriven nedostatak dokaza koji bi podržali tvrdnje o kibernetičkom napadu.³²

Usvajanje veštačke inteligencije u razvoju operacija uticaja 
MTAC je posmatrao iranske aktere kako koriste slike i video zapise napravljene pomoću veštačke inteligencije od izbijanja rata između Izraela i Hamasa. Grupe Cotton Sandstorm i Storm-1364, kao i medijske kuće povezane sa Hezbolahom i Hamasom, iskoristile su veštačku inteligenciju kako bi pojačale zastrašivanje i kreirale slike koje omalovažavaju Netanjahua i izraelsko rukovodstvo.

1. Sve veća saradnja 
Nekoliko nedelja od početka rata između Izraela i Hamasa, počeli su da se javljaju primeri saradnje između grupa koje su povezane sa Iranom, čime se povećava potencijal onoga što akteri mogu da postignu. Saradnjom se smanjuje prepreka za ulazak, pa se svakoj grupi omogućava da doprinese postojećim mogućnostima i uklanja se potreba da jedna grupa razvije čitav spektar alatki i zanata.

Procenjujemo da je par grupa povezan sa MOIS-om Storm-0861 i Storm-0842 sarađivao na destruktivnom kibernetičkom napadom u Izraelu krajem oktobra i ponovo u Albaniji krajem decembra. U oba slučaja, Storm-0861 je verovatno omogućio pristup mreži, nakon čega je Storm-0842 pokrenuo zlonamerni softver za brisanje. Na sličan način je u julu 2022. godine grupa Storm-0842 izvršila malver napad za brisanje u subjektima vlade Albanije, pošto je grupa Storm-0861 prethodno dobila pristup.

U oktobru je i druga grupa povezana sa agencijom MOIS, Storm-1084, imala pristup organizaciji u Izraelu u kojoj je grupa Storm-0842 primenila brisač „BiBi“, nazvan nakon što je malver sa nizom „BiBi“ doveo do preimenovanja izbrisanih datoteka. Nije jasno kakvu ulogu je grupa Storm-1084 imala u destruktivnom napadu, ako ju je uopšte i imala. Grupa Storm-1084 je početkom 2023. godine izvršila destruktivne kibernetičke napade na još jednu izraelsku organizaciju, a omogućila ih je druga grupa povezana sa agencijom MOIS, Mango Sandstorm (poznata i kao MuddyWater).³³

Od izbijanja rata, služba za Microsoft informacije o pretnjama otkrila je i saradnju grupe Pink Sandstorm, povezane sa agencijom MOIS, sa kibernetičkim jedinicama Hezbolaha. Korporacija Microsoft je uočila preklapanja u infrastrukturi i zajedničke alatke. Saradnja Irana sa Hezbolahom na kibernetičkim operacijama, iako nije bez presedana, ipak izaziva zabrinutost da bi rat mogao da dovede do snažnijeg operativnog zbližavanja putem nacionalnih linija.³⁴ Budući da su svi iranski kibernetički napadi u ovom ratu kombinovani sa operacijama uticaja, postoji dodatna verovatnoća da Iran poboljša operacije uticaja i njihov domet korišćenjem osoba čiji je govorni jezik izvorno arapski radi postizanja veće verodostojnosti lažnih personalnosti.

2. Velika usredsređenost na Izrael 
Intenzivirao se fokus iranskih kibernetičkih aktera na Izrael. Iran je već dugo usredsređen na Izrael, koji za Teheran predstavlja glavnog neprijatelja uz Sjedinjene Američke Države. Shodno tome, na osnovu podataka zajednice Microsoft informacije o pretnjama, poslednjih godina, preduzeća iz Izraela i SAD skoro uvek su bila najčešće mete Irana. Pre rata, iranski akteri su se najviše usredsređivali na Izrael, a zatim UAE i Sjedinjene Američke Države. Od izbijanja rata, taj fokus na Izrael je još više skočio. Četrdeset i tri posto iranskih kibernetičkih aktivnosti nacionalne države praćenih u korporaciji Microsoft targetirali su Izrael, što je više od napada na 14 narednih zemalja zajedno.

Očekujemo da će pretnja izazvana kibernetičkim operacijama i operacijama uticaja Irana biti sve veća tokom trajanja sukoba između Izraela i Hamasa, pogotovu usled sve većeg potencijala za eskalaciju na dodatnim frontovima. Dok su iranske grupe žurile da sprovedu ili barem lažiraju operacije u prvim danima rata, iranske grupe su usporile najnovije operacije, čime su dobile na vremenu da ostvare željeni pristup ili razviju složenije operacije uticaja. Ono što je jasno iz faza rata opisanih u ovom izveštaju jeste da su iranske kibernetičke operacije i operacije uticaja polako napredovale i postale usmerenije, destruktivnije i obuhvataju više saradnika.

Iranski akteri postaju sve hrabriji u napadima, naročito u kibernetičkom napadu na bolnicu i testiraju granice Vašingtona kao da ne brinu o posledicama. Napadi IRGC-a na sisteme upravljanja vodom u SAD, premda oportunistički, bili su naizgled dovitljiv način da se testira Vašington tvrdnjom da su napadi legitimni jer je napadnuta oprema napravljena u Izraelu.

Povećana saradnja iranskih grupa i grupa povezanih sa Iranom pred izbore u SAD u novembru 2024. godine predstavlja veliki izazov za one koji se bore za regularnost izbora. Zaštitnici više ne mogu da se teše praćenjem nekoliko grupa. Naprotiv, sve veći broj agenata za pristup, grupa za uticaj i kibernetičkih aktera stvara okruženje pretnji koje je sve složenije i isprepletanije.