L'Iran intensifica le operazioni informatiche di influenza a sostegno di Hamas

Le operazioni di influenza e informatiche dell'Iran sono proseguite in più fasi dall'attacco terroristico di Hamas del 7 ottobre. Un elemento di tali operazioni è rimasto costante: la combinazione del targeting informatico opportunistico con operazioni di influenza che spesso incidono negativamente sulla precisione o portata dell'impatto.

Questo report riguarda l'influenza e le operazioni di influenza informatiche iraniane dal 7 ottobre fino alla fine del 2023, illustrando tendenze e operazioni risalenti alla primavera del 2023.

I gruppi iraniani sono stati reattivi nella fase iniziale della guerra tra Israele e Hamas. I media statali iraniani hanno pubblicato dettagli fuorvianti dei cyberattacchi rivendicati e i gruppi iraniani hanno riutilizzato vecchi materiali di operazioni storiche, hanno convertito l'accesso che avevano prima della guerra e hanno ingigantito la portata e l'impatto generali dei cyberattacchi rivendicati.

Dopo quasi quattro mesi di guerra, Microsoft non ha ancora trovato prove certe del fatto che i gruppi iraniani abbiano coordinato le loro operazioni informatiche o di influenza con i piani di Hamas per attaccare Israele il 7 ottobre. Piuttosto, la maggioranza dei nostri dati e dei risultati delle nostre ricerche suggerisce che gli attori di minacce informatiche iraniani siano stati reattivi, intensificando rapidamente le loro operazioni informatiche e di influenza dopo gli attacchi di Hamas contro Israele.

Il 18 ottobre, il gruppo Shahid Kaveh di IRGC, che Microsoft traccia come Storm-0784, ha usato ransomware personalizzato per condurre cyberattacchi contro le telecamere di sicurezza in Israele. Poi ha utilizzato uno dei suoi utenti tipo informatici, "Soldiers of Solomon" per dichiarare falsamente che aveva chiesto un riscatto in cambio delle telecamere di sicurezza e dei dati presso la base aerea di Nevatim. Dall'esame dei video di sicurezza rubati da Soldiers of Solomon è emerso che l'attacco proveniva da un villaggio a nord di Tel Aviv con una strada intitolata Nevatim, non dall'omonima base aerea. Infatti, l'analisi delle posizioni delle vittime ha rivelato che nessuno si trovava vicino alla base militare (Figura 5). Mentre i gruppi iraniani avevano iniziato a sferrare attacchi distruttivi, le loro operazioni rimanevano ampiamente opportunistiche e continuavano a sfruttare attività di influenza per ingigantire la precisione o l'effetto degli attacchi.

Il 21 ottobre, un altro utente tipo informatico guidato dal gruppo di IRGC Cotton Sandstorm (comunemente noto come Emennet Pasargad) ha condiviso un video degli aggressori che deturpavano pannelli digitali nelle sinagoghe con messaggi che si riferivano alle operazioni di Israele a Gaza parlando di "genocidio". ⁷ Ciò ha caratterizzato un metodo di inserimento di messaggi direttamente nei cyberattacchi contro un target relativamente delicato.

Durante questa fase, l'attività di influenza dell'Iran si è servita di forme più estese e sofisticate di amplificazione non autentica. Nelle prime due settimane della guerra, abbiamo rilevato piccole forme avanzate di amplificazione non autentica, cosa che conferma ulteriormente che le operazioni erano reattive. Nella terza settimana della guerra, l'attore di influenza più prolifico dell'Iran, Cotton Sandstorm, è entrato in scena lanciando tre operazioni di influenza informatica il 21 ottobre. Come vediamo spesso dal gruppo, ha usato una rete di sockpuppet di social media per amplificare le operazioni, anche se molte di essere sembravano convertite in modo avventato senza coperture autentiche che le mascheravano da israeliane. In molte occasioni, Cotton Sandstorm ha inviato SMS o email in blocco per amplificare o vantarsi delle sue operazioni, sfruttando account compromessi per aumentare l'autenticità.⁸

Da fine novembre, i gruppi iraniani hanno esteso la loro influenza informatica oltre i confini di Israele, per includere paesi che l'Iran considera alleati di Israele, molto probabilmente per indebolire il supporto politico, militare o economico internazionale per le operazioni militari di Israele. Questa espansione nel targeting ha coinciso con l'inizio degli attacchi alle spedizioni internazionali collegate a Israele da parte degli Houthi, un gruppo di militanti sciiti supportato dall'Iran in Yemen (Figura 8).⁹

Le operazioni di influenza informatica dell'Iran hanno continuato ad aumentare il livello di sofisticazione in questa ultima fase. I loro sockpuppet sono stati mascherati rinominandone alcuni e cambiando le relative foto del profilo in modo da farli sembrare più autenticamente israeliani. Nel frattempo, hanno utilizzato nuove tecniche che non abbiamo mai visto prima tra gli attori iraniani, come l'uso dell'IA come componente chiave dei loro messaggi. Riteniamo che Cotton Sandstorm abbia interrotto le trasmissioni televisive negli Emirati Arabi Uniti e in altre località a dicembre, sotto le spoglie di un utente tipo chiamato "For Humanity". For Humanity ha pubblicato video su Telegram che mostrano il gruppo che viola tre servizi di streaming online e interrompe diversi canali d'informazione con una trasmissione di fake news con un conduttore apparentemente generato dall'IA che diceva di mostrare immagini di Palestinesi feriti e uccisi dalle operazioni militari israeliane (Figura 7).¹⁴ Gli organi di informazione e il pubblico negli Emirati Arabi Uniti, in Canada e nel Regno Unito hanno segnalato interruzioni nelle trasmissioni televisive, tra cui quelle dalle BBC, che coincidevano con le dichiarazioni di For Humanity.¹⁵

Per raggiungere i suoi obiettivi nello spazio dell'informazione, l'Iran ha usato molto quattro tattiche, tecniche e procedure (TTP) di influenza negli ultimi nove mesi. Queste TTP includono l'uso di imitazione e funzionalità avanzate per attivare gruppi di pubblico target, oltre a un crescente utilizzo di campagne di messaggi di testo e dei media collegati a IRGC per amplificare le operazioni di influenza.

Analogamente, l'Iran ha creato imitazioni sempre più convincenti di organizzazioni di attivisti israeliane finte a destra e a sinistra dello spettro politico israeliano. Attraverso questi falsi attivisti, l'Iran cerca di infiltrarsi nelle comunità israeliane per ottenere la loro fiducia e seminare discordia.

Riteniamo che due gruppi collegati a MOIS, Storm-0861 e Storm-0842, hanno collaborato a un cyberattacco distruttivo in Israele alla fine di ottobre e poi di nuovo in Albania alla fine di dicembre. In entrambi i casi, probabilmente Storm-0861 ha fornito l'accesso alla rete prima che Storm-0842 eseguisse malware wiper. Analogamente, Storm-0842 ha eseguito malware wiper contro enti pubblici albanesi a luglio del 2022 dopo che Storm-0861 ha ottenuto l'accesso.

A ottobre, anche un altro gruppo collegato a MOIS, Storm-1084, può avere avuto accesso a un'organizzazione in Israele dove Storm-0842 ha distribuito il wiper "BiBi", chiamato così perché il malware aveva rinominato i file colpiti dal wiper con la stringa "BiBi". Non è chiaro che ruolo abbia avuto Storm-1084, eventualmente, nell'attacco distruttivo. Storm-1084 ha condotto cyberattacchi distruttivi contro un'altra organizzazione israeliana agli inizi del 2023 con l'aiuto dell'altro gruppo collegato a MOIS Mango Sandstorm (alias MuddyWater).³³

Dallo scoppio della guerra, Microsoft Threat Intelligence ha rilevato anche una collaborazione tra un gruppo collegato a MOIS, Pink Sandstorm, e le unità informatiche di Hezbollah. Microsoft ha constatato sovrapposizioni delle infrastrutture e strumenti condivisi. La collaborazione iraniana con Hezbollah sulle operazioni informatiche, anche se con precedenti, suggerisce uno sviluppo preoccupante, ovvero che la guerra potrebbe far avvicinare ancora di più questi gruppi a livello operativo.³⁴ I cyberattacchi dell'Iran in questa guerra sono stati tutti combinati con operazioni di influenza, ma esiste un'ulteriore probabilità che l'Iran migliori le sue operazioni di influenza e la relativa copertura sfruttando madrelingua arabi per aumentare l'autenticità dei suoi utenti tipo non autentici.

Prevediamo che la minaccia delle operazioni di influenza e informatiche iraniane aumenterà man mano che andrà avanti il conflitto tra Israele e Hamas, soprattutto con il rischio sempre più elevato che la guerra si estenda su altri fronti. Mentre si affrettavano a condurre, o semplicemente costruire, operazioni nei primi giorni della guerra, i gruppi iraniani hanno rallentato le loro operazioni recenti in modo da avere più tempo per ottenere l'accesso desiderato o sviluppare operazioni di influenza più elaborate. Quello che le fasi della guerra illustrate in questo report hanno chiarito è che le operazioni di influenza e informatiche iraniane sono migliorate lentamente, diventando più mirate, collaborative e distruttive.

Gli attori iraniani sono diventati anche sempre più sfrontati nel targeting, cosa particolarmente evidente in un cyberattacco contro un ospedale e testando le linee rosse di Washington apparentemente indifferenti rispetto alle ripercussioni. Gli attacchi di IRGC contro i sistemi di controllo dell'acqua degli Stati Uniti, anche se opportunistici, sembravano una strategia intelligente per mettere alla prova Washington rivendicando la legittimità nell'attacco delle apparecchiature prodotte in Israele.

In vista delle elezioni degli Stati Uniti di novembre del 2024, la maggiore collaborazione tra gruppi iraniani e affiliati all'Iran preannuncia una sfida più grande per chi dovrà occuparsi della difesa delle elezioni. Ai difensori non può più bastare il monitoraggio di qualche gruppo. Al contrario, sempre più agenti di accesso, gruppi di influenza e attori di minacce informatiche formano un ambiente caratterizzato da minacce più complesse e correlate.