Iran øger antallet af cyberdrevne påvirkningsoperationer til støtte for Hamas

Irans cyber- og påvirkningsoperationer har udviklet sig gennem flere faser siden Hamas-terrorangrebet den 7. oktober. Et element i deres handlinger har været konstant hele vejen igennem, og det er kombinationen af opportunistisk cybermålretning med påvirkningsoperationer, der ofte vildleder om præcisionen eller omfanget af påvirkningen.

Denne rapport fokuserer på iransk indflydelse og cyberdrevne påvirkningsoperationer fra 7. oktober til slutningen af 2023, mens den dækker tendenser og handlinger tilbage til foråret 2023.

Iranske grupper var reaktive i den indledende fase af krigen mellem Israel og Hamas. Iranske statsmedier udsendte misvisende detaljer om påståede cyberangreb, og iranske grupper genbrugte gammelt materiale fra historiske handlinger, genbrugte adgang, de havde før krigen, og overdrev det overordnede omfang og effekten af påståede cyberangreb.

Næsten fire måneder inde i krigen har Microsoft stadig ikke set klare beviser fra vores data, der indikerer, at iranske grupper havde koordineret deres cyber- eller påvirkningsoperationer med Hamas planer om at angribe Israel den 7. oktober. Tværtimod tyder vores data og resultater på, at iranske cyberaktører var reaktive og hurtigt øgede deres cyber- og påvirkningsoperationer efter Hamas-angrebene for at modvirke Israel.

Misvisende detaljer om påståede angreb gennem statsmedier: 
Den dag krigen brød ud, hævdede Tasnim News Agency, et iransk medie med tilknytning til Den Islamiske Revolutionsgarde (IRGC), fejlagtigt, at en gruppe kaldet "Cyber Avengers" udførte cyberangreb mod et israelsk kraftværk "på samme tid" som Hamas angreb. ² Cyber Avengers, en IRGC-drevet cyber-persona, hævdede faktisk at have udført et cyberangreb mod et israelsk elselskab aftenen før Hamas angreb.³ Deres beviser: flere uger gamle presserapporter om strømafbrydelser "i de seneste år" og et screenshot af en ikke-dateret afbrydelse af servicen på selskabets hjemmeside. ⁴

Genbrug af gammelt materiale: 
Efter Hamas angreb på Israel påstod Cyber Avengers, at de ville udføre en række cyberangreb mod Israel, hvoraf vores undersøgelser afslørede, at de tidligste var falske. Den 8. oktober hævdede de at have lækket dokumenter om et israelsk kraftværk, selvom dokumenterne tidligere var blevet offentliggjort i juni 2022 af en anden IRGC-drevet cyber-persona med navnet "Moses Staff".⁵

Genbrug af adgang: 
En anden cyber-persona, "Malek Team", som vi vurderer styres af Irans efterretnings- og sikkerhedsministerium (MOIS), lækkede persondata fra et israelsk universitet den 8. oktober uden nogen klar forbindelse til den spirende konflikt i landet, hvilket tyder på, at målet var opportunistisk og måske valgt ud fra en allerede eksisterende adgang før krigsudbruddet. Snarere end at drage en sammenhæng mellem de lækkede data og støtten til Hamas handlinger, brugte Malek Team i første omgang hashtags på X (tidligere Twitter) til at støtte Hamas, og kun få dage senere skiftede de budskab til at være på niveau med den type budskaber, der nedgør Israels premierminister Benjamin Netanyahu, som man har set i andre iranske påvirkningsoperationer.

Den 18. oktober brugte IRGC's Shahid Kaveh Group, som Microsoft sporer som Storm-0784, tilpasset ransomware til at udføre cyberangreb mod sikkerhedskameraer i Israel. Derefter brugte de en af deres cyber-personaer, "Soldiers of Solomon", til fejlagtigt at hævde, at de havde stjålet og fået adgang til sikkerhedskameraer og data på Nevatim Air Force Base. En undersøgelse af de sikkerhedsoptagelser, som Soldiers of Solomon lækkede, afslører, at de var fra en by nord for Tel Aviv med en Nevatim-gade, ikke fra Air Force-basen af samme navn. Faktisk afslører en analyse af ofrenes placering, at ingen af dem var i nærheden af militærbasen (se figur 5). Selvom iranske grupper havde påbegyndt destruktive angreb, forblev deres handlinger i vid udstrækning opportunistiske og fortsatte med at udnytte påvirkningsaktiviteter til at overdrive præcisionen eller effekten af angrebene.

Den 21. oktober delte en anden cyber-persona, der drives af IRGC-gruppen Cotton Sandstorm (almindeligvis kendt som Emennet Pasargad), en video af personer med ondsindede hensigter, der ødelagde digitale skærme ved synagoger med beskeder, der omtalte Israels handlinger i Gaza som "folkemord". ⁷ Dette markerede en metode til at indlejre budskaber direkte i cyberangreb mod et relativt blødt mål.

I denne fase brugte Irans påvirkningsaktiviteter mere omfattende og sofistikerede former for uægte forstærkning. I de første to uger af krigen opdagede vi minimale avancerede former for uægte forstærkning, hvilket igen tyder på, at handlingerne var reaktive. I krigens tredje uge trådte Irans mest produktive indflydelsesaktør, Cotton Sandstorm, ind i billedet og lancerede den 21. oktober tre cyberdrevne påvirkningsoperationer. Som vi ofte ser fra gruppen, brugte de et netværk af sockpuppets på de sociale medier til at forstærke handlingerne, selvom mange af dem så ud til at være hurtigt genskabte uden autentiske covers, der camouflerede dem som israelere. Ved flere lejligheder sendte Cotton Sandstorm sms'er eller mails i massevis for at forstærke eller prale af deres aktiviteter og udnyttede kompromitterede konti til at øge autenticiteten.⁸

Fra slutningen af november udvidede iranske grupper deres cyberdrevne påvirkning uden for Israel til også at omfatte lande, som Iran mener hjælper Israel. Dette er med stor sandsynlighed for at underminere international politisk, militær eller økonomisk støtte til Israels militære handlinger. Denne udvidelse i målretning skete på samme tid som starten på angreb på international skibsfart med forbindelse til Israel fra houthierne, en militant shiamuslimsk gruppe i Yemen, der støttes af Iran. (se figur 8).⁹

Irans cyberdrevne påvirkningsoperationer blev også mere sofistikerede i denne seneste fase. De forklædte deres sockpuppets bedre ved at omdøbe nogle af dem og ændre deres profilbilleder, så de fremstod mere autentisk som israelere. I mellemtiden gjorde de brug af nye teknikker, som vi ikke har set fra iranske aktører før, herunder brugen af kunstig intelligens som en nøglekomponent i deres budskaber. Vi vurderer, at Cotton Sandstorm forstyrrede tv-streamingtjenester i De Forenede Arabiske Emirater og andre steder i december under dække af en persona kaldet "For Humanity". For Humanity offentliggjorde videoer på Telegram, der viste at gruppen hackede sig ind på tre online streamingtjenester og forstyrrede flere nyhedskanaler med en falsk nyhedsudsendelse med en tilsyneladende AI-genereret nyhedsvært, der påstod at vise billeder af sårede og dræbte palæstinensere fra israelske militæroperationer (figur 7).¹⁴ Nyhedsbureauer og seere i De Forenede Arabiske Emirater, Canada og Storbritannien rapporterede om afbrydelser i streaming af tv-programmer, herunder BBC, som stemte overens med For Humanitys påstande.¹⁵

For at nå sine mål i informationsrummet har Iran i løbet af de sidste ni måneder i høj grad benyttet sig af fire indflydelsestaktikker, -teknikker og -procedurer (TTP'er). Disse omfatter brug af efterligning og forbedrede evner til at aktivere målgrupper, parret med stigende brug af sms-kampagner og brug af IRGC-tilknyttede medier til at forstærke påvirkningsoperationer.

Efterligning af israelske aktivistgrupper og iranske partnere 
Iranske grupper har bygget videre på en mangeårig teknik med efterligning ved at udvikle mere specifikke og overbevisende personligheder, der udgiver sig for at være både Irans venner og fjender. Mange af Irans tidligere handlinger og personaer har udgivet sig for at være aktivister som støtter den palæstinensiske sag.²⁷ Nylige handlinger fra en persona, som vi vurderer styres af Cotton Sandstorm, er gået videre og har brugt navn og logo fra Hamas militære fløj, al-Qassam Brigades, til at sprede falske budskaber om gidslerne i Gaza og sende truende beskeder til israelerne. En anden Telegram-kanal, som har truet IDF-personale og lækket deres personlige data, og som vi vurderer blev drevet af en MOIS-gruppe, brugte også al-Qassam Brigades-logoet. Det er uklart, om Iran handler med samtykke fra Hamas.

På samme måde har Iran skabt stadig mere overbevisende efterligninger af fiktive israelske aktivistorganisationer på højre og venstre side af det israelske politiske spektrum. Gennem disse falske aktivister forsøger Iran at infiltrere israelske samfund for at vinde deres tillid og skabe splittelse.

Aktivering af israelere til handling 
I april og november havde Iran gentagne gange succes med at rekruttere uvidende israelere til at deltage i aktiviteter i byerne for at fremme sine falske handlinger. I en nylig handling med navnet "Tears of War", lykkedes det angiveligt iranske agenter at overbevise israelere om at hænge bannere med mærket Tears of War op i israelske kvarterer med et tilsyneladende Al-genereret billede af Netanyahu og en opfordring til at fjerne ham fra embedet (se figur 11).²⁸

Forstærkning via sms og mail med øget hyppighed og raffinement 
Mens iranske påvirkningsoperationer fortsat er stærkt afhængige af koordineret uægte forstærkning af sociale medier for at nå ud til målgrupperne, har Iran i stigende grad udnyttet masse-sms'er og mails til at forbedre de psykologiske effekter af deres cyberdrevne påvirkningsoperationer. Forstærkning på sociale medier ved hjælp af sockpuppets har ikke den samme effekt som en besked, der dukker op i ens indbakke, endsige på ens telefon. Cotton Sandstorm byggede i 2022²⁹ videre på tidligere succeser ved at bruge denne teknik med at sende sms'er, mails eller begge dele i massevis i mindst seks operationer siden august. Deres øgede brug af denne teknik tyder på, at gruppen har finjusteret funktionaliteten og ser den som værende effektiv. Cotton Sandstorms "Cyber Flood"-handling i slutningen af oktober omfattede op til tre sæt af masse-sms'er og mails til israelere, der forstærkede påståede cyberangreb eller distribuerede falske advarsler om Hamas-angreb på Israels atomanlæg nær Dimona.³⁰ I mindst ét tilfælde udnyttede de en kompromitteret konto til at forbedre autenticiteten af deres mails.

Udnyttelse af statsmedier 
Iran har brugt åbne og skjulte IRGC-tilknyttede medier til at forstærke påståede cyberhandlinger og til tider til at overdrive deres effekt. I september, da Cyber Avengers hævdede, at de havde udført cyberangreb mod Israels jernbanesystem, forstærkede og overdrev IRGC-tilknyttede medier næsten øjeblikkeligt deres påstande. Det IRGC-tilknyttede Tasnim News Agency citerede fejlagtigt israelsk nyhedsdækning af en anden begivenhed som bevis for, at cyberangrebet havde fundet sted.³¹ Denne rapportering blev yderligere forstærket af andre iranske og Iran-allierede medier på en måde, der yderligere tilslørede manglen på beviser, der understøttede påstandene om cyberangrebet.³²

Begyndende brug af kunstig intelligens til påvirkningsoperationer 
MTAC har observeret, at iranske aktører har brugt billeder og videoer, der er generet af kunstig intelligens siden udbruddet af krigen mellem Israel og Hamas. Cotton Sandstorm og Storm-1364, såvel som Hizbollah- og Hamas-tilknyttede nyhedsmedier, har udnyttet kunstig intelligens til at øge intimideringen og udvikle billeder, der nedgør Netanyahu og den israelske ledelse.

1. Et spirende samarbejde 
Få uger inde i krigen mellem Israel og Hamas begyndte vi at se eksempler på samarbejde mellem grupper med tilknytning til Iran, hvilket forbedrede aktørernes muligheder for at opnå resultater. Samarbejde sænker adgangsbarrieren, så hver gruppe kan bidrage med eksisterende kapaciteter og fjerner behovet for, at en enkelt gruppe udvikler et fuldt spektrum af værktøjer eller håndværk.

Vi vurderer, at et par MOIS-tilknyttede grupper, Storm-0861 og Storm-0842, samarbejdede om et destruktivt cyberangreb i Israel i slutningen af oktober og igen i Albanien i slutningen af december. I begge tilfælde gav Storm-0861 sandsynligvis adgang til netværket, før Storm-0842 udførte wiper-malware. Ligeledes udførte Storm-0842 wiper-malware på albanske regeringsenheder i juli 2022, efter at Storm-0861 havde fået adgang.

I oktober kan en anden MOIS-relateret gruppe, Storm-1084, også have haft adgang til en organisation i Israel, hvor Storm-0842 implementerede "BiBi"-wiper, opkaldt efter malwarens omdøbning af slettede filer med strengen "BiBi". Det er ikke klart, hvilken rolle Storm-1084 eventuelt spillede i det destruktive angreb. Storm-1084 udførte destruktive cyberangreb mod en anden israelsk organisation i begyndelsen af 2023, muliggjort af en anden MOIS-relateret gruppe, Mango Sandstorm (a.k.a. MuddyWater).³³

Siden udbruddet af krigen har Microsoft Threat Intelligence også registreret et samarbejde mellem en MOIS-relateret gruppe, Pink Sandstorm, og Hizbollahs cyberenheder. Microsoft har observeret overlapninger i infrastrukturen og fælles værktøjer. Selvom Irans samarbejde med Hizbollah om cyberhandlinger ikke er uden fortilfælde, er det en bekymrende udvikling, at krigen rent operationelt kan bringe disse grupper endnu tættere sammen på tværs af landegrænser.³⁴ Da Irans cyberangreb i denne krig alle har været kombineret med påvirkningsoperationer, er der yderligere sandsynlighed for, at Iran forbedrer sine påvirkningsoperationer og deres rækkevidde ved at udnytte arabisktalende personer til at styrke autenticiteten af deres uægte personaer.

2. Hyperfokus på Israel 
Iranske cyberaktørers fokus på Israel blev intensiveret. Iran har længe haft fokus på Israel, som Teheran foruden USA ser som sin hovedmodstander. Baseret på Microsoft Threat Intelligence-data har israelske og amerikanske virksomheder i de seneste år næsten altid været Irans mest udbredte mål. Op til krigen fokuserede iranske aktører mest på Israel efterfulgt af De Forenede Arabiske Emirater og USA. Efter krigens udbrud steg dette fokus på Israel. Treogfyrre procent af den iranske nation-stats cyberaktivitet, som Microsoft har sporet, var rettet mod Israel, hvilket er mere end de næste 14 lande på listen tilsammen.

Vi forventer, at truslen fra Irans cyber- og påvirkningsoperationer vil vokse, efterhånden som Israel-Hamas-konflikten fortsætter, især på grund af det stigende potentiale for optrapning på flere fronter. Mens iranske grupper skyndte sig at gennemføre eller blot fabrikere handlinger i krigens tidlige dage, har iranske grupper bremset deres seneste handlinger, hvilket giver dem mere tid til at få den ønskede adgang eller udvikle mere detaljerede påvirkningsoperationer. De krigsfaser, der er skitseret i denne rapport, gør det klart, at iranske cyber- og påvirkningsoperationer langsomt har udviklet sig og er blevet mere målrettede, samarbejdende og destruktive.

Iranske aktører er også blevet mere dristige i deres målretning, især i et cyberangreb mod et hospital, og de tester Washingtons røde linjer, tilsyneladende uden at bekymre sig om konsekvenserne. IRGC's angreb på amerikanske systemer til vandkontrol var opportunistiske, men tilsyneladende et smart trick for at teste Washington ved at hævde, at de havde ret til at angribe udstyr fremstillet i Israel.

Forud for det amerikanske valg i november 2024 varsler det øgede samarbejde mellem iranske og iransk-affilierede grupper om en større udfordring for dem, der beskæftiger sig med valgforsvar. Forsvarerne kan ikke længere trøste sig med at spore nogle få grupper. I stedet skaber et voksende antal adgangsagenter, indflydelsesgrupper og cyberaktører et mere komplekst og sammenflettet trusselsmiljø.