Irão intensifica operações de influência cibernética para apoiar o Hamas

As operações cibernéticas e de influência do Irão passaram por várias fases desde o ataque terrorista do Hamas, a 7 de outubro. Um elemento das suas operações tem-se mantido constante: a combinação de alvos cibernéticos oportunistas com operações de influência, que muitas vezes induzem em erro a precisão ou o âmbito do impacto.

O presente relatório foca-se na influência iraniana e nas operações de ciberinfluência, desde 7 de outubro até ao final de 2023, abrangendo, simultaneamente, as tendências e operações que remontam à primavera de 2023.

Os grupos iranianos foram reativos durante a fase inicial da guerra entre Israel e o Hamas. Os meios de comunicação social estatais iranianos divulgaram informações enganadoras sobre os alegados ciberataques e os grupos iranianos reutilizaram material datado de operações históricas, reutilizaram o acesso que tinham antes da guerra e exageraram o âmbito e o impacto globais dos alegados ciberataques.

Quase quatro meses após o início da guerra, a Microsoft ainda não viu provas claras nos nossos dados que indiquem que os grupos iranianos coordenaram as suas operações cibernéticas ou de influência com os planos do Hamas para atacar Israel, a 7 de outubro. Pelo contrário, a preponderância dos nossos dados e conclusões sugere que os atores cibernéticos iranianos foram reativos, aumentando rapidamente as suas operações cibernéticas e de influência após os ataques do Hamas para contrariar Israel.

Informações enganosas sobre os alegados ataques pelos meios de comunicação social estatais: 
O dia em que a guerra deflagrou, a Tasnim News Agency, um meio de comunicação iraniano afiliado ao Corpo de Guardas da Revolução Islâmica (IRGC), afirmou falsamente que um grupo chamado "Cyber Avengers" conduziu ciberataques contra uma central elétrica israelita "ao mesmo tempo" que os ataques do Hamas. ² Os Cyber Avengers, uma persona cibernética gerida pelo IRGC, alegou ter efetuado um ciberataque contra uma companhia de eletricidade israelita na noite anterior à incursão do Hamas.³ As suas provas: notícias antigas sobre cortes de energia "nos últimos anos" e uma captura de ecrã de uma interrupção de serviço não datada no site da empresa. ⁴

Reutilização de material antigo: 
Após os ataques do Hamas a Israel, os Cyber Avengers afirmaram ter efetuado uma série de ciberataques contra Israel, o primeiro dos quais as nossas investigações revelaram ser falso. A 8 de outubro, alegaram a divulgação de documentos de uma central elétrica israelita, embora os documentos tivessem sido publicados anteriormente, em junho de 2022, por outra persona cibernética gerida pelo IRGC, “Moses Staff.”⁵

Reutilização do acesso: 
Outra persona cibernética, a "Malek Team", que julgamos ser gerida pelo Ministério dos Serviços Secretos e da Segurança (MOIS) do Irão, divulgou dados pessoais de uma universidade israelita, a 8 de outubro, sem qualquer ligação clara entre o alvo e o conflito que se desenrolava no país, o que sugere que o alvo foi oportunista e talvez escolhido com base num acesso pré-existente, antes do início da guerra. Em vez de estabelecer ligações entre a fuga de dados e o apoio às operações do Hamas, a Malek Team utilizou inicialmente hashtags no X (antigo Twitter) para apoiar o Hamas e, apenas uns dias mais tarde, mudou as mensagens para se alinhar com o tipo de mensagens que denegriam o primeiro-ministro israelita Benjamin Netanyahu, visto noutras operações de influência iraniana.

A 18 de outubro, o grupo Shahid Kaveh, do IRGC, que a Microsoft monitoriza como Storm-0784, utilizou ransomware personalizado para executar ciberataques contra câmaras de segurança em Israel. Depois, utilizou uma das suas personas cibernéticas, "Soldiers of Solomon", para afirmar falsamente que tinha pedido um resgate por câmaras de segurança e dados na Base Aérea de Nevatim. A análise das imagens de segurança divulgadas por Soldiers of Solomon revela que se trata de uma cidade a norte de Telavive, com uma rua Nevatim, e não da base aérea com o mesmo nome. De facto, a análise da localização das vítimas revela que nenhuma se encontrava perto da base militar (ver Figura 5). Apesar de os grupos iranianos terem iniciado ataques destrutivos, as suas operações continuaram a ser, em grande parte, oportunistas e continuaram a utilizar atividades de influência para exagerar a precisão ou o efeito dos ataques.

A 21 de outubro, outra persona cibernética gerida pelo grupo Cotton Sandstorm (vulgarmente conhecido por Emennet Pasargad), do IRGC, partilhou um vídeo dos atacantes a adulterar ecrãs digitais em sinagogas com mensagens que referiam as operações de Israel em Gaza como "genocídio". ⁷ Isto marcou um método de incorporação de mensagens diretamente nos ciberataques contra um alvo relativamente fraco.

Durante esta fase, a atividade de influência do Irão utilizou formas mais extensas e sofisticadas de amplificação não autêntica. Nas primeiras duas semanas da guerra, detetámos formas avançadas mínimas de amplificação não autêntica, o que sugere, mais uma vez, que as operações eram reativas. Na terceira semana da guerra, o mais prolífico ator de influência do Irão, Cotton Sandstorm, entrou em cena, lançando três operações de ciberinfluência, a 21 de outubro. Tal como acontece frequentemente com o grupo, utilizaram uma rede de contas falsas nas redes sociais para amplificar as operações, embora muitos deles parecessem ter sido reutilizados à pressa, sem proteção autêntica que os disfarçassem de israelitas. Em várias ocasiões, o Cotton Sandstorm enviou mensagens de texto ou e-mails em massa para amplificar ou gabar-se das suas operações, tirando partido de contas comprometidas para aumentar a autenticidade.⁸

A partir do final de novembro, os grupos iranianos expandiram a sua ciberinfluência além de Israel, incluindo países que o Irão considera estarem a ajudar Israel, muito provavelmente para minar o apoio político, militar ou económico internacional às operações militares de Israel. Esta expansão de alvos coincidiu com o início de ataques a navios internacionais ligados a Israel pelos Houthis, um grupo militante xiita no Iémen, apoiado pelo Irão (ver Figura 8).⁹

As operações de ciberinfluência do Irão também continuaram a crescer em sofisticação nesta última fase. Disfarçaram melhor as suas contas falsas, ao mudar o nome de alguns e alterar as suas fotografias de perfil para parecerem mais israelitas. Entretanto, utilizaram novas técnicas, que ainda não tínhamos visto por parte de atores iranianos, incluindo a utilização da IA como componente principal das suas mensagens. Consideramos que o Cotton Sandstorm perturbou os serviços de televisão por transmissão em fluxo nos Emirados Árabes Unidos e noutros locais, em dezembro, sob o disfarce de uma persona chamada "For Humanity". O For Humanity publicou vídeos no Telegram que mostram o grupo a aceder de modo ilícito a três serviços de transmissão em fluxo online e a perturbar vários canais de notícias com uma emissão de notícias falsas, com um pivô aparentemente gerado por IA, que alegava mostrar imagens de palestinianos feridos e mortos em operações militares israelitas (Figura 7).¹⁴ As agências de notícias e os telespectadores dos Emirados Árabes Unidos, do Canadá e do Reino Unido relataram interrupções na programação televisiva por transmissão em fluxo, incluindo a BBC, que correspondiam às alegações do For Humanity.¹⁵

Para alcançar os seus objetivos no espaço de informação, o Irão tem-se apoiado fortemente em quatro táticas, técnicas e procedimentos de influência (TTP) nos últimos nove meses. Estes incluem a utilização de usurpação de identidade e capacidades melhoradas para ativar públicos-alvo, juntamente com a utilização crescente de campanhas de mensagens de texto e a utilização de meios de comunicação ligados ao IRGC para amplificar as operações de influência.

Passar por grupos ativistas israelitas e parceiros iranianos 
Os grupos iranianos desenvolveram uma técnica de usurpação de identidade de longa data, ao desenvolver personas mais específicas e convincentes, que se disfarçam tanto de amigos como de inimigos do Irão. No passado, muitas das operações e personas do Irão afirmaram ser ativistas a favor da causa palestiniana.²⁷ As operações recentes de uma persona que julgamos ser gerido pelo Cotton Sandstorm foram mais longe, utilizando o nome e o logótipo da ala militar do Hamas, as Brigadas al-Qassam, para difundir mensagens falsas sobre os reféns detidos em Gaza e enviar mensagens ameaçadoras aos israelitas. Outro canal do Telegram, que ameaçou o pessoal das IDF e divulgou os seus dados pessoais, que julgamos ser gerido por um grupo do MOIS, também utilizou o logótipo das Brigadas al-Qassam. Não é claro se o Irão está a agir com o consentimento do Hamas.

Da mesma forma, o Irão tem criado imitações cada vez mais convincentes de organizações ativistas israelitas fictícias, à direita e à esquerda do espetro político israelita. Através destes falsos ativistas, o Irão pretende infiltrar-se nas comunidades israelitas para ganhar a sua confiança e semear a discórdia.

Mobilizar israelitas para ação 
Em abril e novembro, o Irão demonstrou repetidamente o seu sucesso no recrutamento de israelitas inconscientes para participarem em atividades no terreno, promovendo as suas operações falsas. Numa operação recente, "Tears of War", os operacionais iranianos terão conseguido convencer os israelitas a pendurar cartazes nos bairros israelitas com a marca "Tears of War", com uma imagem de Netanyahu, aparentemente gerada por IA, e apelando à sua destituição do cargo (ver Figura 11).²⁸

Amplificação através de texto e e-mail com maior frequência e sofisticação 
Embora as operações de influência iranianas continuem a basear-se fortemente na amplificação coordenada e não autêntica das redes sociais para atingir públicos-alvo, o Irão tem utilizado cada vez mais mensagens de texto e e-mails em massa para aumentar os efeitos psicológicos das suas operações de ciberinfluência. A amplificação nas redes sociais através de contas falsas não tem o mesmo impacto que uma mensagem que aparece na caixa de entrada de alguém, muito menos no seu telemóvel. O Cotton Sandstorm baseou-se em sucessos anteriores com a utilização desta técnica, a partir de 2022,²⁹ ao enviar mensagens de texto, e-mails, ou ambos, em massa, em, pelo menos, seis operações, desde agosto. A utilização crescente desta técnica sugere que o grupo aperfeiçoou a sua capacidade e considera-a eficaz. A operação "Cyber Flood", do Cotton Sandstorm, no final de outubro, incluía até três conjuntos de mensagens de texto e de e-mails em massa para israelitas, amplificando alegados ciberataques ou distribuindo falsos avisos de ataques do Hamas às instalações nucleares israelitas perto de Dimona.³⁰ Em, pelo menos, um caso, tiraram partido de uma conta comprometida para aumentar a autenticidade dos seus e-mails.

Tirar partido dos meios de comunicação social estatais 
O Irão tem utilizado meios de comunicação social abertos e encobertos ligados ao IRGC para amplificar alegadas operações cibernéticas e, por vezes, exagerar os seus efeitos. Em setembro, depois de os Cyber Avengers terem reivindicado ciberataques contra o sistema ferroviário israelita, os meios de comunicação social ligados ao IRGC amplificaram e exageraram quase imediatamente as alegações. A Tasnim News Agency, ligada ao IRGC, citou incorretamente a cobertura de notícias israelita de um evento diferente, como prova de que o ciberataque tinha ocorrido.³¹ Esta notícia foi ainda amplificada por outros meios de comunicação iranianos e alinhados com o Irão, de forma a obscurecer ainda mais a falta de provas que sustentassem as alegações do ciberataque.³²

Adoção emergente da IA para operações de influência 
A MTAC observou atores iranianos a utilizar imagens e vídeos gerados por IA, desde o início da guerra Israel-Hamas. O Cotton Sandstorm e o Storm-1364, bem como o Hezbollah e meios de comunicação social afiliados ao Hamas, utilizaram IA para reforçar a intimidação e desenvolver imagens que denigrem Netanyahu e a liderança israelita.

1. Colaboração em expansão 
Semanas após o início da guerra Israel-Hamas, começámos a ver exemplos de colaboração entre grupos afiliados ao Irão, o que reforçou o que os atores podiam alcançar. A colaboração reduz a barreira à entrada, permitindo que cada grupo contribua com as capacidades existentes e elimina a necessidade de um único grupo desenvolver um espetro completo de ferramentas ou de técnicas de trabalho.

Julgamos que dois grupos ligados ao MOIS, o Storm-0861 e o Storm-0842, colaboraram num ciberataque destrutivo em Israel, no final de outubro e, novamente, na Albânia, no final de dezembro. Em ambos os casos, o Storm-0861 provavelmente forneceu o acesso à rede, antes de o Storm-0842 executar o malware de eliminação. Da mesma forma, o Storm-0842 executou malware de eliminação em entidades governamentais albanesas, em julho de 2022, depois de o Storm-0861 ter obtido acesso.

Em outubro, outro grupo ligado ao MOIS, o Storm-1084, pode também ter tido acesso a uma organização em Israel, onde o Storm-0842 implementou o software de eliminação "BiBi", cujo nome deriva do facto de o malware dar novos nomes a ficheiros eliminados com a sequência "BiBi". O papel desempenhado pelo Storm-1084 não é claro, se é que teve algum, no ataque destrutivo. O Storm-1084 conduziu ciberataques destrutivos contra outra organização israelita, no início de 2023, viabilizado por outro grupo ligado ao MOIS, o Mango Sandstorm (também conhecido por MuddyWater).³³

Desde o início da guerra, as Informações sobre Ameaças da Microsoft também detetaram a colaboração entre um grupo ligado ao MOIS, o Pink Sandstorm, e as unidades cibernéticas do Hezbollah. A Microsoft observou sobreposições de infraestruturas e partilha de ferramentas. A colaboração iraniana com o Hezbollah em operações cibernéticas, embora não seja inédita, representa um desenvolvimento preocupante, na medida em que a guerra pode aproximar ainda mais estes grupos de países diferentes a nível operacional.³⁴ Uma vez que os ciberataques do Irão nesta guerra foram todos combinados com operações de influência, existe a probabilidade adicional de o Irão melhorar as suas operações de influência e o seu alcance, tirando partido de falantes nativos de árabe para reforçar a autenticidade das suas personas não autênticas.

2. Grande foco em Israel 
O foco dos atores cibernéticos iranianos sobre Israel intensificou-se. Há muito que o Irão se foca em Israel, que o Teerão considera o seu principal adversário, juntamente com os Estados Unidos. Assim, com base nos dados das Informações sobre Ameaças da Microsoft, nos últimos anos, as empresas israelitas e norte-americanas foram quase sempre os alvos mais comuns do Irão. No período que antecedeu a guerra, os atores iranianos focaram-se sobretudo em Israel, seguidos dos Emirados Árabes Unidos e dos Estados Unidos. Após o início da guerra, o foco em Israel aumentou. Quarenta e três por cento da atividade cibernética do estado-nação iraniano monitorizada pela Microsoft visou Israel, mais do que os seguintes 14 países visados em conjunto.

Espera-se que a ameaça das operações cibernéticas e de influência do Irão aumente à medida que o conflito Israel-Hamas persiste, em particular no contexto de um potencial crescente de escalamento noutras frontes. Enquanto os grupos iranianos se apressaram a conduzir, ou simplesmente a fabricar, operações nos primeiros dias da guerra, os grupos iranianos abrandaram as suas recentes operações, dando-lhes mais tempo para obter o acesso desejado ou desenvolver operações de influência mais elaboradas. O que as fases da guerra descritas neste relatório deixam claro é que as operações cibernéticas e de influência iranianas progrediram lentamente, tornando-se mais direcionadas, colaborativas e destrutivas.

Os atores iranianos também se tornaram cada vez mais ousados nos seus alvos, nomeadamente num ataque cibernético contra um hospital e o teste às linhas vermelhas de Washington, aparentemente despreocupados com as repercussões. Os ataques do IRGC aos sistemas de controlo de água dos EUA, embora oportunistas, foram aparentemente um estratagema inteligente para testar Washington, alegando legitimidade para atacar equipamento fabricado em Israel.

Antes das eleições norte-americanas de novembro de 2024, a crescente colaboração entre grupos iranianos e afiliados ao Irão pressagia um maior desafio para aqueles que se dedicam à defesa das eleições. Os defensores já não se podem consolar com a monitorização de alguns grupos. Em vez disso, um número crescente de agentes de acesso, grupos de influência e atores cibernéticos contribui para um ambiente de ameaça mais complexo e interligado.