Quando a guerra entre Israel e Hamas começou em 7 de outubro de 2023, grupos cibernéticos iranianos imediatamente se mobilizaram para fornecer apoio ao Hamas. Esses atores ligados ao Irã combinaram campanhas de influência com hackeamentos disruptivos, um método que a Microsoft chama de “operações de influência cibernética” – que se tornou a estratégia prevalecente do Irã.

Embora a atividade inicial parecesse ser reativa e oportunística, esses esforços se tornaram mais sofisticados e complexos à medida que o conflito continuou. As ações tomadas por grupos individuais se tornaram mais coordenadas, e o escopo dessas atividades se ampliou internacionalmente, aumentando a confusão e a falta de confiança nas informações provenientes da região.

Para alcançar seus objetivos, os grupos iranianos empregam quatro táticas-chave de influência, técnicas e procedimentos (TTPs). Como e quando eles usam cada abordagem oferece insights sobre as estratégias em uso. Compreender essa mentalidade pode ajudar os defensores a se preparar e se adaptar ao contínuo dilúvio de informações enganosas.

A abordagem do Irã às operações de influência é projetada para alcançar múltiplos objetivos de intimidação, desestabilização e retaliação, além de minar o apoio internacional a Israel. Seus TTPs incluem a personificação, a ativação de públicos-alvo, o uso de mensagens de texto e e-mails e o uso de mídia estatal para aumentar sua influência. Analisando essas atividades individualmente, revela-se como elas também funcionam em conjunto para reforçar a campanha.

O Irã desenvolveu várias personas cada vez mais convincentes usadas nessas operações online. Usando essas identidades falsas, grupos apoiados pelo Irã e grupos adjacentes espalham histórias enganosas e ameaças nas redes sociais, e-mails e mensagens de texto. Essas personificações estão se tornando mais convincentes com o tempo, o que permite aos grupos criar falsas personas ativistas em ambos os lados do espectro político. Entretanto, não está totalmente claro se estão trabalhando diretamente com o Hamas ou estritamente para seus próprios propósitos.

Um motivo repetido para os grupos iranianos é recrutar indivíduos específicos para ajudar a espalhar as mensagens falsas. Isso confere um verniz de verdade à campanha, pois amigos e vizinhos veem pessoas que conhecem promovendo as falsificações como legítimas.

Embora as redes sociais sejam cruciais para espalhar a propaganda e as informações falsas dos grupos, mensagens de texto em massa e e-mails estão se tornando mais centrais em seus esforços. Um grupo iraniano, Sandstorm de Algodão, tem usado essa técnica desde 2022, aprimorando suas capacidades com o tempo. As mensagens frequentemente se atribuem a cyberataques que na verdade não ocorreram ou alertam falsamente os destinatários sobre incursões físicas de combatentes do Hamas. Além das identidades falsas, em pelo menos um caso, eles usaram uma conta comprometida para aumentar a autenticidade das mensagens.

Quando grupos afiliados ao Irã fazem declarações falsas sobre ciberataques e atualizações de guerra, a mídia afiliada ao Corpo de Guardas Revolucionários Islâmicos (IRGC) muitas vezes espalha e exagera essas histórias ainda mais. Eles costumam citar fontes de notícias inexistentes para apoiar a reivindicação. Outros meios de comunicação iranianos e afiliados ao Irã amplificam ainda mais a história, tornando-a mais plausível apesar da falta de evidências.

A Microsoft Threat Intelligence identificou uma preocupação emergente desde o início das hostilidades em outubro: o uso da inteligência artificial (IA). Imagens e vídeos gerados por IA espalham notícias falsas ou criam imagens negativas direcionadas a figuras públicas importantes. Espera-se que essa tática continue a ganhar importância à medida que as operações de influência cibernética do Irã se expandem.

Começamos a ver a colaboração entre grupos afiliados ao Irã no início da guerra. Isso permite que cada grupo contribua com capacidades existentes e elimina a necessidade de um único grupo desenvolver um espectro completo de ferramentas ou técnicas.

Até meados de novembro, as operações de influência cibernética do Irã relacionadas à guerra se estenderam além de Israel para países e organizações que o Irã considera apoiadores de Israel, incluindo Bahrein, Emirados Árabes Unidos e EUA. Um ataque contra controladores lógicos programáveis construídos por Israel na Pensilvânia tirou uma autoridade de água do ar em novembro. Em dezembro, uma persona que a Microsoft Threat Intelligence acredita ser um grupo afiliado ao Irã disse que dados vazaram de duas empresas americanas. O grupo assumiu a autoria de ataques de exclusão de dados contra essas empresas um mês antes.

Os grupos iranianos usam diversos métodos de influência cibernética para alcançar seus objetivos. A Microsoft Threat Intelligence observou que o grupo IRGC chamado Sandstorm de Algodão usou até 10 personas online para executar múltiplos métodos ao longo do segundo semestre de 2023, muitas vezes seguindo mais de uma dessas rotas simultaneamente:

Métodos cibernéticos:
– Negar serviço distribuído

Métodos de influência:
– Sockpuppets (personas online falsas)

Enquanto o conflito continuar, é provável que as operações de influência cibernética do Irã não apenas cresçam, mas também se tornem mais cooperativas e destrutivas. Embora esses grupos continuem a explorar oportunidades, suas táticas estão cada vez mais calculadas e coordenadas. Uma compreensão aprofundada dessas técnicas, fortalecida por uma inteligência de ameaças abrangente, pode dar aos defensores uma vantagem na identificação e mitigação desses ataques, onde quer que eles apareçam.