Trace Id is missing

Iran er ansvarlig for Charlie Hebdo-angreb

Del
Et nærbillede af en planet

I dag tilskriver Microsofts Digital Threat Analysis Center (DTAC) en nylig påvirkningsoperation rettet mod det satiriske franske magasin Charlie Hebdo til en iransk nation-stat-aktør. Microsoft kalder denne aktør for NEPTUNIUM, som også er blevet identificeret af USA. Justitsministeriet som  Emennet Pasargad.

I begyndelsen af januar hævdede en hidtil ukendt online-gruppe, der kaldte sig "Holy Souls", og som vi nu kan identificere som NEPTUNIUM, at de havde fået fat i personlige oplysninger om mere end 200.000 Charlie Hebdo-kunder efter at have "fået adgang til en database." Som bevis frigav Holy Souls et eksempel på dataene, som omfattede et regneark med de fulde navne, telefonnumre og hjemme- og e-mailadresser på konti, der havde abonneret på eller købt merchandise fra publikationen. Disse oplysninger, som den iranske aktør har fået fat i, kan udsætte bladets abonnenter for ekstremistiske organisationers online eller fysiske angreb.

Vi mener, at dette angreb er et svar fra den iranske regering på en tegnekonkurrence, som Charlie Hebdo har afholdt. En måned før Holy Souls gennemførte sit angreb, annoncerede magasinet, at det ville afholde en international konkurrence for tegninger, der "latterliggjorde" den iranske øverste leder Ali Khamenei. Udgaven med de vindende tegninger skulle udkomme i begyndelsen af januar på samme tid som otteårsdagen for et angreb fra to al-Qaeda-inspirerede (AQAP) angribere på magasinets kontorer.

Holy Souls annoncerede cachen med data til salg for 20 BTC (svarende til ca. 340.000 USD på det tidspunkt). Offentliggørelsen af alle de stjålne data - forudsat at hackerne rent faktisk har de data, de hævder at være i besiddelse af – ville i bund og grund være en masse-doxing af læserne af en publikation, der allerede har været udsat for ekstremistiske trusler (2020) og dødbringende terrorangreb (2015). For at de påståede stjålne kundedata ikke skulle blive afvist som opdigtede, var den franske avis Le Monde i stand til at bekræfte rigtigheden af det prøvedokument, der blev offentliggjort af Holy Souls, "med flere ofre for denne lækage".

Efter at Holy Souls havde lagt eksemplet med dataene ud på YouTube og flere hackerfora, blev lækagen forstærket af en koordineret aktion på flere sociale medieplatforme. Denne forstærkningsindsats gjorde brug af et bestemt sæt af påvirkningstaktikker, -teknikker og -procedurer (TTP'er), som DTAC har set før i iranske hack-and-leak påvirkningshandlinger.

Angrebet faldt sammen med kritik af tegningerne fra den iranske regering. Den 4. januar tweeted: den iranske udenrigsminister Hossein Amir-Abdollahian: "Den franske publikations fornærmende og uhøflige handling [...] mod den religiøse og politisk-spirituelle autoritet vil ikke ske [...] uden et svar". Samme dag indkaldte det iranske udenrigsministerium den franske ambassadør i Iran på grund af Charlie Hebdos "fornærmelse". Den 5. januar lukkede Iran det franske institut for forskning i Iran, i det som det iranske udenrigsministerium beskrev som et "første skridt", og sagde, at det ville "forfølge sagen seriøst og træffe de nødvendige foranstaltninger."

Der er flere elementer i angrebet, som minder om tidligere angreb udført af iranske nation-stat-aktører, bl.a:

  • En hacktivist-persona, der påtager sig æren for cyberangrebet
  • Påstande om en vellykket skamfering af et websted
  • Lækage af private data på nettet
  • Brugen af uægte "sockpuppet"-personer på sociale medie-konti, der bruger fiktive eller stjålne identiteter til at sløre kontoens rigtige ejer med det formål at bedrage andre, ved at hævde at være fra det land/område, som hacket var rettet mod, for at promovere cyberangrebet ved hjælp af sprog med fejl, der er indlysende for personer der taler sproget
  • Efterligning af autoritative kilder
  • Kontakt til nyhedsmedier

Selvom den tilskrivning, vi foretager i dag, er baseret på et større sæt efterretninger, som Microsofts DTAC-team har adgang til, er det mønster, vi ser her, typisk for iranske statssponsorerede handlinger. Disse mønstre er også blevet identificeret af FBI's Private Industry Notification (PIN) fra oktober 2022 som værende brugt af aktører med forbindelse til Iran til at køre cyberaktiverede påvirkningshandlinger.

Kampagnen mod Charlie Hebdo gjorde brug af dusinvis af fransksprogede sockpuppet-konti til at forstærke kampagnen og distribuere fjendtlige budskaber. Den 4. januar begyndte kontiene, hvoraf mange har et lavt antal følgere og var nyoprettede, at slå kritik af Khamenei-tegningerne op på Twitter. Afgørende var det, at disse konti, før der havde været nogen væsentlig rapportering om det påståede cyberangreb, begyndte at lægge identiske skærmbilleder ud på nettet af et skamferede websted, der indeholdt den fransksprogede besked: "Charlie Hebdo a été piraté" ("Charlie Hebdo blev hacket").

Et par timer efter, at disse sockpuppets begyndte at tweete, fik de følgeskab af mindst to konti på de sociale medier, der udgav sig for at være franske myndighedspersoner – den ene efterlignede en teknologidirektør og den anden en Charlie Hebdo-redaktør. Disse konti – begge oprettet i december 2022 og med et lavt antal følgere, begyndte derefter at sende skærmbilleder af de lækkede kundedata fra Charlie Hebdo fra Holy Souls. Kontiene er siden blevet suspenderet af Twitter.

Falsk Charlie Hebdo-redaktør på Twitter med skærmbilleder af lækkede kundedata
En konto, der udgiver sig for at være Charlie Hebdo-redaktør, tweeter om lækagerne

Brugen af sådanne sockpuppet-konti er blevet observeret i andre Iran-relaterede handlinger, herunder et angreb hævdet af Atlas Group, en partner til Hackers of Savior, som af FBI blev tilskrevet Iran i 2022. Under VM i 2022 hævdede Atlas Group at have "trængt ind i infrastrukturen" [sic] og ødelagt en israelsk sportshjemmeside. På Twitter forstærkede hebraisksprogede sockpuppet-konti og en efterligning af en sportsreporter fra en populær israelsk nyhedskanal angrebet. Den falske reporters konto skrev, at han efter at have rejst til Qatar havde konkluderet, at israelere "ikke bør rejse til arabiske lande".

Sammen med skærmbilleder af de lækkede data postede sockpuppet-kontiene hånlige beskeder på fransk, herunder: "For mig at se bør det næste emne for Charlies tegninger være franske cybersikkerhedseksperter." De samme konti blev også set i et forsøg på at øge nyheden om det påståede hack ved at svare i tweets til publikationer og journalister, herunder det jordanske dagblad al-Dustour, Algeriets Echorouk og Le Figaro-reporteren Georges Malbrunot. Andre sockpuppet-konti hævdede, at Charlie Hebfrado arbejdede på vegne af den franske regering og sagde, at sidstnævnte forsøgte at aflede offentlighedens opmærksomhed fra arbejdsnedlæggelser.

Ifølge FBI er et af målene med iranske påvirkningshandlinger at "underminere offentlighedens tillid til sikkerheden i offerets netværk og data, samt at bringe offerets virksomheder og målland i forlegenhed." Budskaberne i angrebet på Charlie Hebdo minder faktisk om budskaberne i andre Iran-relaterede kampagner, som dem, der blev hævdet af Hackers of Savior, en persona, med forbindelse til Iran, der i april 2022 hævdede at infiltrere cyberinfrastrukturen i store israelske databaser og offentliggjorde en besked, der advarede israelerne: "Stol ikke på jeres regeringscentre."

Uanset hvad man måtte mene om Charlie Hebdos redaktionelle valg, udgør udgivelsen af personligt identificerbare oplysninger om titusindvis af deres kunder en alvorlig trussel. Dette blev understreget den 10. januar i en advarsel om "hævn" mod udgivelsen fra chefen for Irans Islamiske Revolutionsgarde, Hossein Salami, som pegede på eksemplet med forfatteren Salman Rushdie, der blev stukket ned i 2022. Tilføjede Salami, “Rushdie kommer ikke tilbage.”

Den tilskrivning, vi foretager i dag, er baseret på DTAC Framework for Attribution.

Microsoft investerer i at spore og dele information om nation-staters påvirkningshandlinger, så kunder og demokratier verden over kan beskytte sig mod angreb som det mod Charlie Hebdo. Vi vil fortsætte med at offentliggøre efterretninger som denne, når vi ser lignende operationer fra regeringer og kriminelle grupper rundt om i verden.

Tilskrivningsmatrix for påvirkningshandlinger 1

Tilskrivningsmatrix om cyber- og påvirkningshandlinger

Relaterede artikler

Beskyttelse af Ukraine: Tidlige erfaringer fra cyberkrigen

De seneste resultater af vores igangværende efterretningsarbejde om trusler i krigen mellem Rusland og Ukraine og en række konklusioner fra de første fire måneder understreger behovet for løbende og nye investeringer i teknologi, data og partnerskaber for at støtte regeringer, virksomheder, NGO'er og universiteter.
Få mere at vide

Cyberrobusthed

Microsoft Security foretog en undersøgelse blandt flere end 500 sikkerhedsfagfolk for at forstå de nyeste sikkerhedstendenser og største bekymringer blandt CISO'er.
Få mere at vide

Indsigter fra billioner af daglige sikkerhedssignaler

Microsofts sikkerhedseksperter belyser nutidens trusselslandskab og giver indblik i fremspirende tendenser samt historisk vedvarende trusler.
Få mere at vide

Følg Microsoft Security