O Irão intensifica as operações de influência com recurso a meios cibernéticos em suporte ao Hamas

As operações cibernéticas e de influência do Irão passaram por várias fases desde o ataque terrorista do Hamas, a 7 de outubro. Um elemento das suas operações tem-se mantido constante: a combinação de alvos cibernéticos oportunistas com operações de influência, que muitas vezes induzem em erro a precisão ou o âmbito do impacto.

O presente relatório foca-se na influência iraniana e nas operações de ciberinfluência, desde 7 de outubro até ao final de 2023, abrangendo, simultaneamente, as tendências e operações que remontam à primavera de 2023.

Os grupos iranianos reagiram aos acontecimentos durante a fase inicial da guerra entre Israel e o Hamas. Os meios de comunicação social estatais iranianos divulgaram informações enganadoras sobre os alegados ciberataques e os grupos iranianos reutilizaram material datado de operações históricas, reutilizaram o acesso que tinham antes da guerra e exageraram o âmbito e o impacto globais dos alegados ciberataques.

Quase quatro meses após o início da guerra, a Microsoft ainda não viu provas claras nos nossos dados que indiquem que os grupos iranianos coordenaram as suas operações cibernéticas ou de influência com os planos do Hamas para atacar Israel, a 7 de outubro. Pelo contrário, a maior parte dos nossos dados e conclusões sugere que os intervenientes cibernéticos iranianos reagiram aos acontecimentos e intensificaram rapidamente as suas operações cibernéticas e de influência após os ataques do Hamas, para contrariar Israel.

A 18 de outubro, o grupo Shahid Kaveh, do IRGC, que a Microsoft monitoriza como Storm-0784, utilizou ransomware personalizado para executar ciberataques contra câmaras de segurança em Israel. Depois, utilizou uma das suas personas cibernéticas, "Soldiers of Solomon", para afirmar falsamente que tinha pedido um resgate por câmaras de segurança e dados na Base Aérea de Nevatim. A análise das imagens de segurança divulgadas por Soldiers of Solomon revela que se trata de uma cidade a norte de Telavive, com uma rua Nevatim, e não da base aérea com o mesmo nome. De facto, a análise da localização das vítimas revela que nenhuma se encontrava perto da base militar (ver Figura 5). Apesar de os grupos iranianos terem iniciado ataques destrutivos, as suas operações continuaram a ser, em grande parte, oportunistas e continuaram a utilizar atividades de influência para exagerar a precisão ou o efeito dos ataques.

A 21 de outubro, outra persona cibernética gerida pelo grupo Cotton Sandstorm (vulgarmente conhecido por Emennet Pasargad), do IRGC, partilhou um vídeo dos atacantes a adulterar ecrãs digitais em sinagogas com mensagens que referiam as operações de Israel em Gaza como “genocídio”. ⁷ Isto marcou um método de incorporação de mensagens diretamente nos ciberataques contra um alvo relativamente fraco.

Durante esta fase, a atividade de influência do Irão utilizou formas mais extensas e sofisticadas de amplificação não autêntica. Nas primeiras duas semanas da guerra, detetámos formas avançadas mínimas de amplificação não autêntica, o que sugere, mais uma vez, que as operações eram reativas. Na terceira semana da guerra, o mais prolífico ator de influência do Irão, Cotton Sandstorm, entrou em cena, lançando três operações de ciberinfluência, a 21 de outubro. Tal como acontece frequentemente com o grupo, utilizaram uma rede de contas falsas nas redes sociais para amplificar as operações, embora muitas delas parecessem ter sido reutilizadas à pressa, sem disfarces autênticos que as fizessem passar por israelitas. Em várias ocasiões, o Cotton Sandstorm enviou mensagens SMS ou e-mails em massa para amplificar ou gabar-se das suas operações, tirando partido de contas comprometidas para aumentar a autenticidade.⁸

A partir do final de novembro, os grupos iranianos expandiram a sua ciberinfluência além de Israel, para incluir países que o Irão considera estarem a ajudar Israel, muito provavelmente para minar o apoio político, militar ou económico internacional às operações militares de Israel. Esta expansão de alvos coincidiu com o início de ataques a navios internacionais ligados a Israel pelos Houthis, um grupo militante xiita no Iémen, apoiado pelo Irão (ver Figura 8).⁹

As operações de ciberinfluência do Irão também continuaram a crescer em sofisticação nesta última fase. Disfarçaram melhor as suas contas falsas, ao mudar o nome de alguns e alterar as suas fotografias de perfil para parecerem mais israelitas. Entretanto, utilizaram novas técnicas, que ainda não tínhamos visto por parte de atores iranianos, incluindo a utilização da IA como componente principal das suas mensagens. Consideramos que o Cotton Sandstorm perturbou os serviços de televisão por transmissão em fluxo nos Emirados Árabes Unidos e noutros locais, em dezembro, sob o disfarce de uma persona chamada “For Humanity”. O For Humanity publicou vídeos no Telegram que mostram o grupo a hackear três serviços de transmissão em fluxo online e a perturbar vários canais de notícias com uma emissão de notícias falsa, com um pivô aparentemente gerado por IA, que alegava mostrar imagens de palestinianos feridos e mortos em operações militares israelitas (Figura 7).¹⁴ As agências de notícias e os telespectadores dos Emirados Árabes Unidos, do Canadá e do Reino Unido relataram interrupções na programação televisiva por transmissão em fluxo, incluindo a BBC, que correspondiam às alegações do For Humanity.¹⁵

Para alcançar os seus objetivos no espaço de informação, o Irão tem-se apoiado fortemente em quatro táticas, técnicas e procedimentos de influência (TTP) nos últimos nove meses. Estas incluem a utilização da usurpação de identidade e capacidades melhoradas para mobilizar as audiências-alvo, juntamente com a utilização crescente de campanhas por mensagens de texto e de meios de comunicação ligados ao IRGC para amplificar as operações de influência.

Da mesma forma, o Irão tem criado imitações cada vez mais convincentes de organizações ativistas israelitas fictícias, à direita e à esquerda do espetro político israelita. Através destes falsos ativistas, o Irão procura infiltrar-se nas comunidades israelitas para conquistar a sua confiança e semear a discórdia.

Julgamos que dois grupos ligados ao MOIS, o Storm-0861 e o Storm-0842, colaboraram num ciberataque destrutivo em Israel, no final de outubro e, novamente, na Albânia, no final de dezembro. Em ambos os casos, o Storm-0861 provavelmente forneceu o acesso à rede, antes de o Storm-0842 executar o malware de eliminação. Da mesma forma, o Storm-0842 executou malware de eliminação em entidades governamentais albanesas, em julho de 2022, após o Storm-0861 ter obtido acesso.

Em outubro, outro grupo ligado ao MOIS, o Storm-1084, pode também ter tido acesso a uma organização em Israel, onde o Storm-0842 implementou o software de eliminação “BiBi”, cujo nome deriva do facto de o malware dar novos nomes a ficheiros eliminados com a sequência “BiBi”. O papel desempenhado pelo Storm-1084 não é claro, se é que teve algum, no ataque destrutivo. O Storm-1084 conduziu ciberataques destrutivos contra outra organização israelita, no início de 2023, viabilizado por outro grupo ligado ao MOIS, o Mango Sandstorm (também conhecido por MuddyWater).³³

Desde o início da guerra, as Informações sobre Ameaças da Microsoft também detetaram a colaboração entre um grupo ligado ao MOIS, o Pink Sandstorm, e as unidades cibernéticas do Hezbollah. A Microsoft observou sobreposições de infraestruturas e partilha de ferramentas. A colaboração iraniana com o Hezbollah em operações cibernéticas, embora não seja inédita, representa um desenvolvimento preocupante, na medida em que a guerra pode aproximar ainda mais estes grupos de países diferentes a nível operacional.³⁴ Uma vez que os ciberataques do Irão nesta guerra foram todos combinados com operações de influência, existe a probabilidade adicional de o Irão melhorar as suas operações de influência e o seu alcance, tirando partido de falantes nativos de árabe para reforçar a autenticidade das suas personas não autênticas.

Espera-se que a ameaça das operações cibernéticas e de influência do Irão aumente à medida que o conflito Israel-Hamas persiste, em particular no contexto de um potencial crescente de escalamento noutras frontes. Enquanto os grupos iranianos se apressaram a conduzir, ou simplesmente a fabricar, operações nos primeiros dias da guerra, os grupos iranianos abrandaram as suas recentes operações, dando-lhes mais tempo para obter o acesso desejado ou desenvolver operações de influência mais elaboradas. O que as fases da guerra descritas neste relatório deixam claro é que as operações cibernéticas e de influência iranianas progrediram lentamente, tornando-se mais direcionadas, colaborativas e destrutivas.

Os atores iranianos também se tornaram cada vez mais ousados nos seus alvos, nomeadamente num ataque cibernético contra um hospital e o teste às linhas vermelhas de Washington, aparentemente despreocupados com as repercussões. Os ataques do IRGC aos sistemas de controlo de água dos EUA, embora oportunistas, foram aparentemente um estratagema inteligente para testar Washington, alegando legitimidade para atacar equipamento fabricado em Israel.

Antes das eleições norte-americanas de novembro de 2024, a crescente colaboração entre grupos iranianos e afiliados ao Irão pressagia um maior desafio para aqueles que se dedicam à defesa das eleições. Os defensores já não se podem consolar com a monitorização de alguns grupos. Pelo contrário, o número crescente de agentes de acesso, grupos de influência e intervenientes cibernéticos cria um ambiente de ameaças mais complexo e interligado.