Trace Id is missing
Pereiti prie pagrindinio turinio
Security Insider

Iranas atsakingas už „Charlie Hebdo“ išpuolius

Bendrinti
Planetos vaizdas stambiu planu

Prieš satyrinį Prancūzijos žurnalą „Charlie Hebdo“ nukreiptą įtakos operaciją „Microsoft“ skaitmeninių grėsmių analizės centras (DTAC) šiandien priskiria Irano valstybiniam veikėjui. „Microsoft“ vaidina šį veikėją „NEPTUNIUM“. JAV Teisingumo departamentas jį taip pat identifikavo kaip  „Emennet Pasargad“.

Sausio pradžioje anksčiau niekam negirdėta internetinė grupė pavadinimu „Holy Souls“, kuri, kaip nustatėme, yra „NEPTUNIUM“, pareiškė „priėjusi prie duomenų bazės“ ir gavusi daugiau kaip 200 000 „Charlie Hebdo“ klientų asmeninius duomenis. Kaip įrodymą „Holy Souls“ paskelbė atrinktus duomenis, t. y. skaičiuoklę su paskyrų, kurios prenumeravo arba buvo pirkusios prekių iš leidinio, vardais, pavardėmis, telefono numeriais, namų adresais ir el. pašto adresais. Irano veikėjui įgijus tokią informaciją, žurnalo prenumeratoriams gali kilti pavojus, kad į juos fiziškai ir internete nusitaikys ekstremistų organizacijos.

Manome, kad ši ataka yra Irano vyriausybės atsakas į „Charlie Hebdo“ organizuojamą komiksų konkursą. Mėnuo iki „Holy Souls“ atakos žurnalas paskelbė, kad surengs tarptautinį komiksų konkursą, skirtą „pajuokti“ Irano aukščiausiąjį lyderį Ali Khamenei. Skelbta, kad numeris su konkursą laimėjusiais komiksais bus publikuotas sausio pradžioje, aštuntųjų dviejų al-Qa’idos Arabijos pusiasalyje įkvėptų užpuolikų atakos žurnalo redakcijoje metinių proga.

„Holy Souls“ paskelbė duomenų podelį pardavimui už 20 BTC (tuo metu tai siekė maždaug 340 000 USD). Viso pavogtų duomenų podėlio atskleidimas – jei programišiai iš tikrųjų turi duomenis – iš esmės reikštų masinį leidinio, kuris jau susilaukė ekstremistų grėsmių (2020) ir mirtinos teroro atakos (2015), skaitytojų duomenų atskleidimą. Kad būtų galima atmesti tariamai pavogtus klientų duomenis kaip sufabrikuotus, žinomas Prancūzijos laikraštis „Le Monde“ susisiekė „su keliais nukentėjusiaisiais nuo nutekėjimo“, kad patikrintų, ar „Holy Souls“ publikuoti duomenys yra tikri.

„Holy Souls“ paskelbus duomenis „YouTube“ ir įvairiuose programišių forumuose, keliose socialinių tinklų platformose pastebėti su nutekinimu susiję veiksmai. Tai buvo pastangos, išnaudojančios tam tikras įtakos taktikas, technikas ir procedūras, kurias DTAC jau buvo pastebėjusi anksčiau Irano nulaužimo ir nutekinimo įtakos veiksmuose.

Ataka sutapo su Irano vyriausybės kritika dėl komiksų. Sausio 4 d. Irano užsienio reikalų ministras Hossein Amir-Abdollahian „Twitter“ paskyroje paskelbė: „Į Prancūzijos leidinio įžeidų ir neišauklėtą veiksmą, [...] nukreiptą į religinę ir politinę-dvasinę instituciją, nebus [...] neatsakyta.“ Tą pačią dieną Irano užsienio reikalų ministras pakvietė Prancūzijos ambasadorių į Iraną dėl „Charlie Hebdo“ „įžeidimo“. Sausio 5 d. Iranas uždarė Prancūzijos tyrimų institutą Irane. Irano užsienio ministerija apibūdino tai kaip „pirmąjį žingsnį“ ir teigė, kad „rimtai žiūri į šį reikalą ir imsis reikiamų priemonių“.

Yra keletas atakos elementų, primenančių ankstesnes Irano valstybinių veikėjų atakas, įskaitant:

  • Haktyvistas nori prisiimti atsakomybę už kibernetinę ataką
  • Pareiškimai dėl sėkmingo svetainės sudarkymo
  • Privačių duomenų nutekinimas internete
  • Netikrų socialinių tinklų „marionetinių“ paskyrų – socialinių tinklų paskyrų su netikromis ar pavogtomis tapatybėmis, apsimetant kilusiais iš tos šalies, kurioje siekiama įvykdyti kibernetinę ataką, ir vartojant tos šalies kalbą su vietiniams akivaizdžiomis klaidomis – naudojimas siekiant užmaskuoti tikrąjį paskyros savininką apgaulės tikslais
  • Apsimetimas autoritetingais šaltiniais
  • Bendravimas su naujienų organizacijomis

Nors operaciją priskiriame jiems remdamiesi platesniais „Microsoft“ DTAC komandai prieinamais žvalgybos rezultatais, tai tipiškas Irano valstybės remiamų operacijų braižas. 2022 m. spalio mėn. FTB Privataus sektoriaus pranešime (PIN) taip pat pastebėta, kad su Iranu susiję veikėjai tokius elementus naudoja kibernetinėms įtakos operacijoms.

Į „Charlie Hebdo“ nukreipta kampanija panaudojo dešimtis prancūziškų marionetinių paskyrų plėsti kampanijai ir platinti antagonistinius pranešimus. Sausio 4 d. „Twitter“ socialiniame tinkle pasirodė Khamenei komiksų kritika, tačiau ją skelbusios paskyros nesekė daug kitų paskyrų, neturėjo daug sekėjų bei buvo neseniai sukurtos. Iš esmės prieš pasirodant reikšmingiems pranešimams apie ketinamą vykdyti kibernetinę ataką, šios paskyros ėmė skelbti vienodas ekrano kopijas apie nulaužtą svetainę su prancūziška žinute: „Charlie Hebdo a été piraté“ („Charlie Hebdo“ nulaužtas“).

Praėjus kelioms valandoms po šių marionetinių paskyrų paskelbtų įrašų, prie jų prisidėjo bent dvi socialinių tinklų paskyros, apsimetančios Prancūzijos autoritetingais asmenimis – viena apsimetė technologijų pramonės vykdomuoju direktoriumi, o kita – „Charlie Hebdo“ redaktoriumi. Šios paskyros – abi sukurtos 2022 m. gruodžio mėn. ir turinčios nedaug sekėjų – ėmė skelbti „Holy Souls“ nutekintų „Charlie Hebdo“ klientų duomenų ekrano kopijas. „Twitter“ užblokavo šias paskyras.

Netikra „Charlie Hebdo“ redaktoriaus „Twitter“ paskyra, pateikianti nutekintų klientų duomenų ekrano kopijas
„Charlie Hebdo“ redaktoriumi apsimetanti paskyra, „Twitter“ socialiniame tinkle skelbianti apie nutekinimą

Tokių marionetinių paskyrų naudojimas pastebėtas ir kitose su Iranu siejamose operacijose, taip pat ir per ataką, už kurią atsakomybę prisiima „Atlas Group“, „Hackers of Savior“ partneris . 2022 m. FTB priskyrė šią ataką Iranui. 2022 m. Pasaulio taurės metu „Atlas Group“ pareiškė, kad „pateko į infrastruktūrą“ ir nulaužė Izraelio sporto svetainę. Hebrajiškos marionetinės paskyros ir populiariu Izraelio naujienų kanalo sporto pranešėju apsimetanti paskyra „Twitter“ socialiniame tinkle dar prisidėjo prie atakos. Iš netikros sporto pranešėjo paskyros paskelbtas įrašas, kad nuvykęs į Katarą, jis priėjo prie išvados, jog Izraelio gyventojams „nereikėtų keliauti į arabų šalis“.

Kartu su nutekintų duomenų ekrano kopijomis, marionetinės paskyros skelbė pašaipias žinutes prancūziškai, pvz.: „Manau, kad kitų „Charlie“ komiksų veikėjai turėtų būti Prancūzijos kibernetinės saugos ekspertai.“ Šiomis paskyromis taip pat bandyta išplatinti naujienas apie tariamą nulaužimą „Twitter“ paskyroje atsakant į leidinių ir žurnalistų įrašus, įskaitant į Jordanijos dienraščio „al-Dustour“, Alžyro „Echorouk“ ir „Le Figaro“ žurnalisto Georgeso Malbrunot. Kitos marionetinės paskyros teigė, kad „Charlie Hebfrado“ dirba Prancūzijos vyriausybės naudai, siekdama nukreipti visuomenės dėmesį nuo darbo trūkumo.

Pasak FTB, vienas iš Irano įtakos operacijų tikslų yra „pakirsti visuomenės pasitikėjimą nukentėjusiųjų tinklo ir duomenų saugumu, taip pat sugėdinti nukentėjusias bendroves ir šalis, į kurias nusitaikyta.“ Iš tiesų į „Charlie Hebdo“ nukreiptos atakos žinutė primena kitų su Iranu susijusių kampanijų žinutes, pvz., atakos, už kurią atsakomybę prisiima „Hackers of Savior“, su Iranu susietas personažas, kuris 2022 m. balandį teigė patekęs į didžiausių Izraelio duomenų bazių kibernetinę infrastruktūrą ir paskelbęs įspėjimą Izraelio gyventojams: „nepasitikėkite savo vyriausybiniais centrais.“

Kad ir ką manytume apie „Charlie Hebdo“ redakcijos pasirinkimus, tūkstančių klientų asmens identifikavimo informacijos atskleidimas – rimta grėsmė. Tai pabrėžta sausio 10 d. Irano islamo revoliucinės gvardijos vado Hosseino Salami įspėjime apie „kerštą“ leidiniui. Hosseinas Salami priminė rašytoją Salmaną Rushdie, kuris buvopadurtas2022 m. Salami pridėjo: „Rushdie negrįš.“

Operaciją priskiriame remdamiesi DTAC priskyrimo sistema.

„Microsoft“ investuoja į valstybinių įtakos operacijų sekimą ir dalijimąsi informacija, kad klientai ir demokratinės šalys visame pasaulyje galėtų apsisaugoti nuo tokių atakų, kaip prieš „Charlie Hebdo“. Tęsime tokią žvalgybą, kai išvysime panašias vyriausybės ir nusikaltėlių grupių operacijas pasaulyje.

Įtakos operacijų priskyrimo matrica 1

Kibernetinės įtakos operacijų diagramos matrica

Susiję straipsniai

Ginant Ukrainą: pirmosios kibernetinio karo pamokos

Naujausi mūsų nuolat vykdomos grėsmių analizės Rusijos ir Ukrainos kare duomenys ir išvados, padarytos per pirmuosius keturis mėnesius, sustiprina nuolatinių ir naujų investicijų į technologijas, duomenis ir partnerystę poreikį, siekiant palaikyti vyriausybes, bendroves, nevyriausybines organizacijas ir universitetus.
Sužinokite daugiau

Kibernetinis atsparumas

„Microsoft“ sauga atliko daugiau nei 500 saugos specialistų apklausą, siekdama išsiaiškinti kylančias saugumo tendencijas ir svarbiausias CISO susirūpinimą keliančias problemas.
Sužinokite daugiau

Įžvalgos remiantis trilijonais kasdienių saugos signalų

„Microsoft“ saugos ekspertai nušviečia šiandienos grėsmių kraštovaizdį, pateikia įžvalgų apie naujas tendencijas ir istoriškai išliekančias grėsmes.
Sužinokite daugiau

Stebėkite „Microsoft“ saugą