Trace Id is missing
Przejdź do głównej zawartości
Security Insider

Iran jest odpowiedzialny za ataki na Charlie Hebdo

Udostępnij
Zbliżenie na planetę

Dzisiaj Centrum analizy cyberzagrożeń (DTAC, Digital Threat Analysis Center) firmy Microsoft przypisuje niedawną operację wywierania wpływu, której celem był francuski magazyn satyryczny Charlie Hebdo, irańskiej państwowej grupie hakerskiej. Firma Microsoft nazwała tę grupę NEPTUNIUM. Została ona także zidentyfikowana przez Departament Sprawiedliwości Stanów Zjednoczonych jako  Emennet Pasargad.

Na początku stycznia wcześniej nieznana grupa online nazywająca sama siebie „Holy Souls”, którą teraz możemy zidentyfikować jako NEPTUNIUM, oświadczyła, że przechwyciła dane osobowe ponad 200 000 klientów Charlie Hebdo po „uzyskaniu dostępu do bazy danych”. Jako dowód grupa Holy Souls opublikowała próbkę danych, która obejmowała arkusz kalkulacyjny z wyszczególnieniem imion i nazwisk, numerów telefonów oraz adresów zamieszkania i e-mail kont osób, które subskrybują wydawnictwo lub zakupiły od niego produkty. Te informacje uzyskane przez irańską grupę hakerską mogły narazić subskrybentów magazynu na ryzyko stania się ofiarą fizycznych lub internetowych ataków ze strony organizacji ekstremistycznych.

Sądzimy, że ten atak był reakcją rządu irańskiego na konkurs rysunków satyrycznych przeprowadzony przez Charlie Hebdo. Miesiąc przed przeprowadzeniem ataku przez grupę Holy Souls magazyn ogłosił, że będzie przeprowadzać międzynarodowy konkurs na rysunki satyryczne, w których Najwyższy Przywódca Iranu, Ali Khamenei, ma zostać „ośmieszony”. Wydanie ze zwycięskimi rysunkami miało zostać opublikowane na początku stycznia, w terminie zbiegającym się w czasie z ósmą rocznicą ataku dwóch azylantów zainspirowanych bojownikami Al-Kaidy na Półwyspie Arabskim (AQAP) na biura magazynu.

Grupa Holy Souls wystawiła pamięć podręczną zawierającą dane na sprzedaż za 20 bitcoinów (ówczesny równoważnik około 340 000 USD). Opublikowanie całej pamięci podręcznej zawierającej skradzione dane — przy założeniu, że hakerzy faktycznie mieli dane, które twierdzili, że posiadają — spowodowałoby masowy doxing czytelników publikacji, która była już obiektem pogróżek ekstremistów (2020) i śmiertelnych ataków terrorystycznych (2015). Aby nie dopuścić do odrzucenia rzekomo skradzionych danych klientów jako sfabrykowanych, francuska prestiżowa gazeta Le Monde była w stanie potwierdzić „u wielu ofiar tego wycieku” prawdziwość przykładowego dokumentu opublikowanego przez Holy Souls.

Po opublikowaniu przez Holy Souls przykładowych danych w serwisie YouTube i na wielu forach dla hakerów wyciek nabrał rozgłosu poprzez skoordynowane działania na kilku platformach mediów społecznościowych. W tych działaniach nagłaśniających wykorzystano konkretny zestaw taktyk, technik i procedur (TTP) wywierania wpływu, które DTAC zaobserwowała wcześniej w irańskich operacjach wywierania wpływu polegających na zahakowaniu i wycieku danych.

Atak zbiegł się w czasie z krytyką rysunków satyrycznych ze strony irańskiego rządu. 4 stycznia irański minister spraw zagranicznych, Hossein Amir-Abdollahian, opublikował tweet: „Obraźliwe i nieuprzejme działania francuskiego wydawnictwa […] przeciwko duchowemu autorytetowi religijnemu i politycznemu nie pozostaną […] bez odpowiedzi”. Tego samego dnia irański minister spraw zagranicznych wezwał francuskiego ambasadora do Iranu w sprawie „zniewagi” ze strony magazynu Charlie Hebdo. 5 stycznia Iran zamknął francuski instytut badawczy w Iranie w ramach tego, co irański minister spraw zagranicznych nazwał „pierwszym krokiem” i zapowiedział, że będzie „prowadzić poważne dochodzenie w sprawie i podejmie odpowiednie środki”.

Atak cechuje kilka elementów przypominających poprzednie ataki przeprowadzone przez irańskie państwowe grupy hakerskie, takich jak:

  • Haktywista przyznający się do cyberataku
  • Twierdzenie, że pomyślnie zniszczono witrynę internetową
  • Wyciek danych osobowych online
  • Używanie nieprawdziwych „marionetek” osób w mediach społecznościowych — kont mediów społecznościowych, na których są używane fikcyjne lub skradzione tożsamości do zaciemnienia rzeczywistego właściciela konta w celu popełnienia oszustwa — twierdzących, że pochodzą z kraju atakowanego przez hakerów w celu nagłośnienia cyberataku przy użyciu języka z błędami oczywistymi dla osób posługujących się nim natywnie
  • Podszywanie się pod autorytatywne źródła
  • Kontaktowanie się z organizacjami mediów informacyjnych

Przypisanie dokonywane przez nas dzisiaj jest oparte na szerszym zestawie analiz dostępnych dla zespołu DTAC firmy Microsoft, jednak obserwowany tutaj wzorzec jest typowy dla operacji sponsorowanych przez państwo irańskie. Te wzorce zostały również zidentyfikowane przez FBI w Powiadomieniu dla sektora prywatnego z października 2022 r. jako używane przez grupy hakerskie powiązane z Iranem do przeprowadzania operacji wywierania wpływu z wykorzystaniem środków cybernetycznych.

Kampania, której celem był magazyn Charlie Hebdo, wykorzystała dziesiątki kont marionetkowych w języku francuskim do nagłośnienia kampanii i rozpowszechniania antagonizujących przekazów. 4 stycznia konta, z których wiele miało niskie liczby obserwujących i obserwowanych oraz zostało niedawno utworzonych, zaczęło krytykować na Twitterze satyryczne rysunki przedstawiające Khameneiego. Co najważniejsze, zanim był dostępny jakikolwiek znaczący raport o domniemanym cyberataku, te konta opublikowały identyczne zrzuty ekranu zniszczonej witryny internetowej, które zawierały wiadomość w języku francuskim: „Charlie Hebdo a été piraté” („Charlie Hebdo został zahakowany”).

Kilka godzin po tym, jak marionetki zaczęły publikować tweety, dołączyły do nich co najmniej dwa konta mediów społecznościowych podszywające się pod francuskie autorytety — jedno udające prezesa firmy technologicznej, a drugie redaktora Charlie Hebdo. Te konta — oba utworzone w grudniu 2022 r., mające małą liczbę obserwatorów — zaczęły potem publikować zrzuty ekranu danych klientów Charlie Hebdo ujawnionych przez grupę Holy Souls. Od tego momentu konta zostały zawieszone przez serwis Twitter.

Fałszywe konto redaktora Charlie Hebdo w serwisie Twitter publikujące zrzuty ekranu ujawnionych danych klientów
Konto podszywające się pod redaktora Charlie Hebdo publikujące tweety o wyciekach

Wykorzystanie takich marionetkowych kont zostało zaobserwowane podczas innych operacji powiązanych z Iranem, w tym podczas ataku, do którego przyznała się organizacja Arlas Group, partner grupy Hackers of Savior, przypisanego przez FBI do Iranu w roku 2022. Podczas Mistrzostw Świata 2022 organizacja Atlas Group oświadczyła , że „spenetrowała infrastruktury” [dosłownie] i zniszczyła izraelską sportową witrynę internetową. Konta marionetkowe w języku hebrajskim oraz konto podszywające się pod reportera sportowego z popularnego izraelskiego kanału informacyjnego na Twitterze nagłośniły atak. Konto fałszywego reportera opublikowało wiadomość, że po podróży do Kataru doszedł on do wniosku, że Izraelczycy „nie powinni podróżować do krajów arabskich”.

Poza zrzutami ekranu ujawnionych danych konta marionetkowe publikowały szydercze wpisy w języku francuskim, takie jak: „Kolejnym tematem rysunków w Charlie powinni być francuscy eksperci od cyberbezpieczeństwa”. Zaobserwowano także, że te same konta próbowały rozdmuchać wiadomości o rzekomym zahakowaniu przez odpowiadanie tweetami na kontach wydawnictw i dziennikarzy, w tym w jordańskiej gazecie codziennej al-Dustour, algierskim Echorouk oraz u reportera Le Figaro Georgesa Malbrunota. Inne konta marionetkowe twierdziły, że Charlie Hebfrado działał w imieniu francuskiego rządu i chciał odciągnąć uwagę opinii publicznej od strajków pracowniczych.

Według FBI jednym z celów irańskich operacji wywierania wpływu było „podważenie zaufania publicznego do bezpieczeństwa sieci i danych ofiary, a także skompromitowanie firm będących ofiarami i krajów będących celem ataku”. W istocie przekaz w ataku, którego celem był magazyn Charlie Hebdo, przypomina ten z innych kampanii powiązanych z Iranem, takich jak te, do których przyznała się grupa Hackers of Savior, podmiot powiązany z Iranem — w kwietniu 2022 r. twierdził ona, że zinfiltrowała infrastrukturę cybernetyczną głównych izraelskich baz danych i opublikowała wiadomość ostrzegającą Izraelczyków „Nie ufajcie swoim centrom rządowym”.

Niezależnie od tego, co można sądzić o decyzjach redakcyjnych Charlie Hebdo, ujawnienie informacji o danych osobowych dziesiątek tysięcy klientów tego magazynu stanowi poważne zagrożenie. Zostało to podkreślone 10 styczna w ostrzeżeniu o „odwecie” względem wydawnictwa od przywódcy Korpusu Strażników Rewolucji Islamskiej Iranu, Hosseina Salamiego, który przywołał przykład autora Salmana Rushdie ugodzonego wielokrotnie nożem w roku 2022. Salami dodał, że „Rushdie już nie wróci”.

Przypisanie, którego dokonujemy dzisiaj, jest oparte na Strukturze przypisywania DTAC.

Firma Microsoft inwestuje w śledzenie i udostępnianie informacji o operacjach wywierania wpływu przez państwa narodowe, aby umożliwić klientom i demokracjom na całym świecie chronienie się przed atakami podobnymi do tego, którego ofiarą padł magazyn Charlie Hebdo. Będziemy nadal publikować analizy podobne do tej, gdy zaobserwujemy podobne operacje przeprowadzane przez rządy i grupy przestępcze z całego świata.

Macierz przypisywania operacji wywierania wpływu 1

Macierz wykresu Operacje wywierania cyberwpływu

Powiązane artykuły

Obrona Ukrainy: Wczesne wnioski z wojny cybernetycznej

Najnowsze ustalenia z naszych bieżących analiz zagrożeń związanych z wojną między Rosją a Ukrainą oraz szereg wniosków z pierwszych czterech miesięcy tej wojny podkreślają potrzebę ciągłych i nowych inwestycji w technologię, dane i partnerstwa służące wspieraniu rządów, przedsiębiorstw, organizacji pozarządowych i uniwersytetów.
Dowiedz się więcej

Cyberochrona

Zespół ds. rozwiązań zabezpieczających firmy Microsoft przeprowadził ankietę wśród ponad 500 specjalistów ds. zabezpieczeń, aby przeanalizować trendy wyłaniające się w tej dziedzinie i największe obawy dyrektorów ds. bezpieczeństwa informacji (CISO).
Dowiedz się więcej

Wyniki analiz na podstawie bilionów sygnałów dotyczących zabezpieczeń dziennie

Eksperci firmy Microsoft ds. bezpieczeństwa naświetlają obecny krajobraz zagrożeń, zapewniając szczegółowe informacje o wyłaniających się trendach, jak i utrzymujących się historycznie zagrożeniach.
Dowiedz się więcej

Obserwuj rozwiązania zabezpieczające firmy Microsoft