อิหร่านเพิ่มการดำเนินการแทรกแซงด้านข้อมูลข่าวสารทางไซเบอร์เพื่อสนับสนุนกลุ่มฮามาส

การดำเนินการทางไซเบอร์และการแทรกแซงด้านข้อมูลข่าวสารของอิหร่านมีความคืบหน้าในระยะต่างๆ นับตั้งแต่การโจมตีของกลุ่มก่อการร้ายฮามาสเมื่อวันที่ 7 ตุลาคม องค์ประกอบหนึ่งของการดำเนินงานของอิหร่านที่ยังคงไม่เปลี่ยนแปลง ได้แก่ การผสมผสานของการมุ่งเป้าโจมตีทางไซเบอร์แบบฉวยโอกาสเข้ากับการดำเนินการแทรกแซงด้านข้อมูลข่าวสารซึ่งมักจะสร้างความเข้าใจผิดเกี่ยวกับความแม่นยำและขอบเขตของผลกระทบ

รายงานนี้มุ่งเน้นไปที่การดำเนินการแทรกแซงด้านข้อมูลข่าวสารและทางไซเบอร์ตั้งแต่วันที่ 7 ตุลาคมจนถึงช่วงสิ้นปี 2023 พร้อมทั้งกล่าวถึงแนวโน้มและการดำเนินการย้อนหลังกลับไปจนถึงช่วงฤดูใบไม้ผลิปี 2023

กลุ่มเคลื่อนไหวของอิหร่านมีการดำเนินการโต้ตอบในช่วงระยะเริ่มต้นของสงครามระหว่างอิสราเอล-กลุ่มฮามาส สื่อของรัฐบาลอิหร่านระบุรายละเอียดที่สร้างความเข้าใจผิดเกี่ยวกับการโจมตีทางไซเบอร์ที่กล่าวอ้าง และกลุ่มเคลื่อนไหวของอิหร่านนำเนื้อหาเก่าจากการดำเนินการในอดีตกลับมาใช้อีกครั้ง ปรับใช้การเข้าถึงที่เคยมีก่อนช่วงสงครามในรูปแบบใหม่ และกล่าวถึงขอบเขตและผลกระทบโดยรวมของการโจมตีทางไซเบอร์ที่กล่าวอ้างอย่างเกินจริง

เกือบสี่เดือนหลังสงครามปะทุขึ้น Microsoft ยังไม่พบหลักฐานที่ชัดเจนจากข้อมูลของเราที่ระบุว่ากลุ่มเคลื่อนไหวของอิหร่านได้ประสานการดำเนินการทางไซเบอร์หรือการแทรกแซงด้านข้อมูลข่าวสารร่วมกับแผนของกลุ่มฮามาสเพื่อโจมตีอิสราเอลในวันที่ 7 ตุลาคม แต่ข้อมูลและการค้นพบที่มีน้ำหนักมากกว่าของเราชี้ให้เห็นว่าผู้ดำเนินการทางไซเบอร์ของอิหร่านพร้อมดำเนินการโต้ตอบ โดยเพิ่มจำนวนการดำเนินการทางไซเบอร์และการแทรกแซงด้านข้อมูลข่าวสารอย่างรวดเร็วหลังการโจมตีของกลุ่มฮามาสเพื่อตอบโต้อิสราเอล

รายละเอียดที่สร้างความเข้าใจผิดเกี่ยวกับการโจมตีที่กล่าวอ้างผ่านสื่อของรัฐบาล: 
วันที่สงครามปะทุขึ้น Tasnim News Agency ซึ่งเป็นหน่วยงานสื่อของอิหร่านที่กำกับดูแลโดยกองกำลังพิทักษ์การปฏิวัติอิสลาม (IRGC) กล่าวอ้างข้อมูลที่เป็นเท็จว่ากลุ่มที่เรียกว่า “Cyber Avengers” ได้ก่อเหตุโจมตีทางไซเบอร์ต่อโรงไฟฟ้าแห่งหนึ่งของอิสราเอล “ในเวลาเดียวกัน” กับการโจมตีของกลุ่มฮามาส ² Cyber Avengers ซึ่งเป็นตัวแทนทางไซเบอร์ที่ดำเนินการโดย IRGC กล่าวอ้างว่าได้ก่อเหตุโจมตีทางไซเบอร์ต่อบริษัทไฟฟ้าของอิสราเอลในช่วงเย็นก่อนที่กลุ่มฮามาสจะบุกจู่โจม³ หลักฐานของพวกเขาคือรายงานข่าวเมื่อหลายสัปดาห์ก่อนเกี่ยวกับเหตุการณ์ไฟฟ้าดับ “ในช่วงไม่กี่ปีที่ผ่านมา” และสกรีนช็อตของการหยุดชะงักของบริการบนเว็บไซต์ของบริษัทที่ไม่ระบุวันที่ ⁴

การนำเนื้อหาเก่ากลับมาใช้อีกครั้ง: 
หลังจากการโจมตีอิสราเอลของกลุ่มฮามาส Cyber Avengers กล่าวอ้างว่าได้ก่อเหตุโจมตีทางไซเบอร์ต่ออิสราเอลหลายครั้ง ซึ่งการตรวจสอบของเราพบว่าไม่เป็นความจริงสำหรับการโจมตีในระยะแรก เมื่อวันที่ 8 ตุลาคม พวกเขากล่าวอ้างว่าได้ปล่อยเอกสารลับเกี่ยวกับโรงไฟฟ้าของอิสราเอล แม้ว่าจะมีการเผยแพร่เอกสารดังกล่าวก่อนหน้านี้ในเดือนมิถุนายน 2022 โดยตัวแทนทางไซเบอร์ที่ดำเนินการโดย IRGC อีกรายหนึ่งอย่าง “Moses Staff”⁵

การปรับใช้การเข้าถึงในรูปแบบใหม่: 
ตัวแทนทางไซเบอร์อีกรายอย่าง “Malek Team” ซึ่งเราประเมินว่าดำเนินการโดยกระทรวงข่าวกรองและความมั่นคง (MOIS) ของอิหร่าน ได้ปล่อยข้อมูลส่วนบุคคลจากมหาวิทยาลัยของอิสราเอลเมื่อวันที่ 8 ตุลาคม โดยไม่มีการเชื่อมโยงที่ชัดเจนในการมุ่งเป้าโจมตีไปยังความขัดแย้งที่เพิ่มขึ้นอย่างต่อเนื่องที่นั่น ซึ่งชี้ให้เห็นว่าเป้าหมายดังกล่าวมุ่งเน้นฉวยโอกาสและอาจเลือกจากการเข้าถึงที่มีอยู่เดิมก่อนเกิดสงคราม แทนที่จะแสดงความเชื่อมโยงระหว่างข้อมูลที่รั่วไหลและการสนับสนุนการดำเนินการของกลุ่มฮามาส Malek Team ใช้แฮชแท็กบน X (เดิมคือ Twitter) เพื่อสนับสนุนกลุ่มฮามาส และเพียงไม่กี่วันต่อมาได้เปลี่ยนข้อความเพื่อให้สอดคล้องกับประเภทของการส่งสารที่ใส่ร้าย Benjamin Netanyahu นายกรัฐมนตรีของอิสราเอลอย่างที่พบเห็นได้ในการดำเนินการแทรกแซงด้านข้อมูลข่าวสารอื่นๆ ของอิหร่าน

เมื่อวันที่ 18 ตุลาคม Shahid Kaveh Group ของ IRGC ซึ่ง Microsoft ติดตามในชื่อ Storm-0784 ได้ใช้แรนซัมแวร์ที่ปรับแต่งเองเพื่อก่อเหตุโจมตีทางไซเบอร์ต่อระบบกล้องรักษาความปลอดภัยในอิสราเอล จากนั้นกลุ่มดังกล่าวได้ใช้หนึ่งในตัวแทนทางไซเบอร์อย่าง “Soldiers of Solomon” เพื่อกล่าวอ้างข้อมูลที่เป็นเท็จว่าได้เรียกค่าไถ่สำหรับกล้องวงจรปิดและข้อมูลจากฐานทัพอากาศที่เนวาติม จากการตรวจสอบวิดีโอจากกล้องวงจรปิดที่ Soldiers of Solomon ปล่อยออกมา พบว่ามาจากเมืองทางตอนเหนือของเทลอาวีฟซึ่งมีถนนเนวาติม ไม่ใช่ฐานทัพอากาศในชื่อเดียวกัน อันที่จริงแล้ว จากการวิเคราะห์ตำแหน่งที่ตั้งของเหยื่อพบว่าไม่มีบุคคลใดอยู่ใกล้ฐานทัพเลย (ดูรูปภาพที่ 5) ในขณะที่กลุ่มเคลื่อนไหวของอิหร่านเริ่มโจมตีแบบทำลายล้าง แต่การดำเนินการของพวกเขายังคงเป็นการฉวยโอกาสเป็นส่วนใหญ่ และยังคงใช้ประโยชน์จากกิจกรรมการแทรกแซงด้านข้อมูลข่าวสารเพื่อกล่าวถึงความแม่นยำและผลกระทบของการโจมตีอย่างเกินจริง

เมื่อวันที่ 21 ตุลาคม ตัวแทนทางไซเบอร์อีกรายที่ดำเนินการโดยกลุ่ม IRGC ที่มีชื่อว่า Cotton Sandstorm (หรือที่รู้จักกันทั่วไปในชื่อ Emennet Pasargad) ได้แชร์วิดีโอของผู้โจมตีเจาะระบบเพื่อเปลี่ยนแปลงการแสดงผลดิจิทัลในโบสถ์ศาสนายิวด้วยข้อความที่กล่าวถึงการดำเนินการของอิสราเอลในฉนวนกาซาว่าเป็น “การฆ่าล้างเผ่าพันธุ์” ⁷ ซึ่งถือเป็นวิธีการฝังข้อความโดยตรงในการโจมตีทางไซเบอร์ต่อเป้าหมายที่เป็นพลเรือน

ในระยะนี้ กิจกรรมการแทรกแซงด้านข้อมูลข่าวสารของอิหร่านใช้รูปแบบการต่อยอดเรื่องราวที่ไม่น่าเชื่อถือซึ่งครอบคลุมและซับซ้อนมากขึ้น ในช่วงสองสัปดาห์แรกของสงคราม เราตรวจพบรูปแบบขั้นสูงของการต่อยอดเรื่องราวที่ไม่น่าเชื่อถือเพียงเล็กน้อย ซึ่งชี้ให้เห็นอีกครั้งว่าการดำเนินการดังกล่าวเป็นการดำเนินการโต้ตอบ ภายในสัปดาห์ที่สามของสงคราม Cotton Sandstorm ซึ่งเป็นผู้ดำเนินการแทรกแซงด้านข้อมูลข่าวสารที่มีผลงานมากที่สุดของอิหร่าน ได้เข้ามาร่วมวงด้วยการเริ่มการดำเนินการแทรกแซงด้านข้อมูลข่าวสารทางไซเบอร์ถึงสามครั้งในวันที่ 21 ตุลาคม ดังที่เรามักพบเห็นได้จากกลุ่มนี้ พวกเขาใช้เครือข่ายหุ่นเชิดบนโซเชียลมีเดียเพื่อต่อยอดเรื่องราวของการดำเนินการ แม้ว่าดูเหมือนจะมีการปรับใช้หุ่นเชิดหลายรายในรูปแบบใหม่อย่างเร่งรีบโดยไม่ได้อำพรางหุ่นเชิดเหล่านั้นเป็นชาวอิสราเอลอย่างน่าเชื่อถือเลยก็ตาม โดยมีหลายครั้งที่ Cotton Sandstorm ส่งข้อความหรืออีเมลจำนวนมากเพื่อต่อยอดเรื่องราวหรือโอ้อวดเกี่ยวกับการดำเนินการของตน โดยใช้ประโยชน์จากบัญชีที่มีช่องโหว่เพื่อยกระดับความถูกต้อง⁸

ตั้งแต่ปลายเดือนพฤศจิกายน กลุ่มเคลื่อนไหวของอิหร่านได้ขยายการแทรกแซงด้านข้อมูลข่าวสารทางไซเบอร์ออกไปยังนอกเหนือจากอิสราเอล เพื่อให้ครอบคลุมประเทศต่างๆ ที่อิหร่านรับทราบว่าให้ความช่วยเหลือแก่อิสราเอล ซึ่งมีแนวโน้มที่จะบ่อนทำลายการสนับสนุนทางการเมือง การทหาร หรือเศรษฐกิจระหว่างประเทศสำหรับการดำเนินการทางการทหารของอิสราเอล การขยายการมุ่งเป้าโจมตีนี้สอดคล้องกับการโจมตีการขนส่งระหว่างประเทศที่เชื่อมโยงกับอิสราเอลโดยกลุ่มกบฏฮูตี ซึ่งเป็นกลุ่มติดอาวุธชีอะห์ในเยเมนที่ได้รับการสนับสนุนจากอิหร่าน (ดูรูปภาพที่ 8)⁹

การดำเนินการแทรกแซงด้านข้อมูลข่าวสารทางไซเบอร์ของอิหร่านยังคงมีความซับซ้อนเพิ่มขึ้นอย่างต่อเนื่องในระยะล่าสุดนี้ พวกเขาอำพรางหุ่นเชิดได้อย่างแนบเนียน โดยเปลี่ยนชื่อหุ่นเชิดบางส่วนและเปลี่ยนแปลงรูปโปรไฟล์เพื่อให้ดูเหมือนชาวอิสราเอลตัวจริงมากขึ้น ในขณะเดียวกัน พวกเขาใช้เทคนิคใหม่ๆ ที่เราไม่ได้พบเห็นจากผู้ดำเนินการของอิหร่าน รวมถึงการใช้ AI เป็นองค์ประกอบสำคัญในการส่งสาร เราประเมินว่า Cotton Sandstorm ขัดขวางบริการแพร่ภาพผ่านโทรทัศน์แบบสตรีมมิงในสหรัฐอาหรับเอมิเรตส์และที่อื่นๆ ในเดือนธันวาคม ภายใต้หน้ากากของตัวแทนที่มีชื่อว่า “For Humanity” For Humanity เผยแพร่วิดีโอบน Telegram ซึ่งแสดงให้เห็นว่ากลุ่มเคลื่อนไหวแฮ็กเข้าสู่บริการสตรีมมิงออนไลน์สามแห่ง และขัดขวางช่องข่าวหลายช่องด้วยการออกอากาศข่าวปลอมที่มีผู้ประกาศข่าวที่สร้างขึ้นโดย AI ซึ่งกล่าวอ้างโดยการแสดงรูปภาพของชาวปาเลสไตน์ที่ได้รับบาดเจ็บและเสียชีวิตจากการดำเนินการทางการทหารของอิสราเอล (รูปภาพที่ 7)¹⁴ สำนักข่าวและผู้ชมในสหรัฐอาหรับเอมิเรตส์ แคนาดา และสหราชอาณาจักรรายงานว่ามีการหยุดชะงักของการแพร่ภาพรายการโทรทัศน์แบบสตรีมมิง รวมถึง BBC ซึ่งตรงกับคำกล่าวอ้างของ For Humanity¹⁵

เพื่อให้บรรลุเป้าหมายของตนในแวดวงข้อมูลข่าวสาร อิหร่านได้พึ่งพากลยุทธ์ เทคนิค และกระบวนการ (TTP) แทรกแซงด้านข้อมูลข่าวสารทั้งสี่ประการเป็นอย่างมากในช่วงเก้าเดือนที่ผ่านมา ซึ่งรวมถึงการใช้การแอบอ้างเป็นบุคคลอื่นและความสามารถที่เพิ่มขึ้นเพื่อกระตุ้นกลุ่มเป้าหมาย ควบคู่ไปกับการใช้แคมเปญข้อความที่เพิ่มขึ้น และการใช้สื่อที่เชื่อมโยงกับ IRGC เพื่อต่อยอดเรื่องราวการดำเนินการแทรกแซงด้านข้อมูลข่าวสาร

การแอบอ้างเป็นกลุ่มนักเคลื่อนไหวจากอิสราเอลและพันธมิตรของอิหร่าน 
กลุ่มเคลื่อนไหวของอิหร่านได้ต่อยอดเทคนิคการแอบอ้างเป็นบุคคลอื่นที่มีมาอย่างยาวนานโดยการพัฒนาตัวแทนที่มีลักษณะเฉพาะเจาะจงและน่าเชื่อถือยิ่งขึ้น ซึ่งพรางตัวเป็นทั้งฝ่ายมิตรและศัตรูของอิหร่าน การดำเนินการและตัวแทนในอดีตของอิหร่านหลายส่วนอ้างว่าเป็นนักเคลื่อนไหวเพื่อสนับสนุนจุดมุ่งหมายของชาวปาเลสไตน์²⁷ การดำเนินการครั้งล่าสุดจากบุคคลที่เราประเมินว่าดำเนินการโดย Cotton Sandstorm มีการต่อยอดขึ้นไปอีกระดับ โดยใช้ชื่อและโลโก้ของฝ่ายทหารของกลุ่มฮามาส นั่นคือ al-Qassam Brigades เพื่อเผยแพร่ข้อความอันเป็นเท็จเกี่ยวกับตัวประกันที่ถูกควบคุมตัวไว้ในฉนวนกาซา และส่งข้อความข่มขู่ชาวอิสราเอล ช่อง Telegram อีกหนึ่งช่องที่ข่มขู่บุคลากร IDF และปล่อยข้อมูลส่วนบุคคลรั่วไหล ซึ่งเราประเมินว่าดำเนินการโดยกลุ่ม MOIS ก็ใช้โลโก้ของ al-Qassam Brigades เช่นกัน ยังไม่มีความชัดเจนว่าอิหร่านดำเนินการโดยได้รับความยินยอมจากกลุ่มฮามาสหรือไม่

ในทำนองเดียวกัน อิหร่านได้สร้างการแอบอ้างเป็นองค์กรนักเคลื่อนไหวของอิสราเอลที่ไม่มีตัวตนทั้งในฝ่ายขวาและฝ่ายซ้ายของแวดวงการเมืองของอิสราเอลที่น่าเชื่อถือมากขึ้น อิหร่านพยายามแทรกซึมชุมชนอิสราเอลด้วยนักเคลื่อนไหวปลอมเหล่านี้เพื่อให้ได้รับความไว้วางใจและบ่มเพาะความไม่ลงรอยกัน

การกระตุ้นให้ชาวอิสราเอลดำเนินการ 
ในเดือนเมษายนและพฤศจิกายน อิหร่านแสดงให้เห็นถึงความสำเร็จอย่างต่อเนื่องในการสรรหาบุคคลชาวอิสราเอลที่ไม่รู้ตัวเพื่อเข้าร่วมกิจกรรมในพื้นที่ที่ส่งเสริมการดำเนินการอันเป็นเท็จ ในการดำเนินการครั้งหนึ่งเมื่อไม่นานนี้โดย “Tears of War” มีรายงานว่าเจ้าหน้าที่ปฏิบัติการของอิหร่านประสบความสำเร็จในการโน้มน้าวใจชาวอิสราเอลให้แขวนป้ายของ Tears of War ในละแวกบ้านของอิสราเอล ซึ่งมีรูปภาพของ Netanyahu ที่ดูเหมือนว่าสร้างขึ้นโดย AI และเรียกร้องให้ถอดถอนเขาออกจากตำแหน่ง (ดูรูปภาพที่ 11)²⁸

การต่อยอดเรื่องราวด้วยข้อความและอีเมลด้วยความถี่และความซับซ้อนที่เพิ่มขึ้น 
ในขณะที่การดำเนินการแทรกแซงด้านข้อมูลข่าวสารของอิหร่านยังคงพึ่งพาการต่อยอดเรื่องราวบนเครือข่ายโซเชียลมีเดียที่ไม่น่าเชื่อถือเป็นอย่างมากเพื่อเข้าถึงกลุ่มเป้าหมาย อิหร่านได้ใช้ประโยชน์จากการส่งข้อความและอีเมลจำนวนมากขึ้นเพื่อยกระดับผลกระทบทางจิตวิทยาจากการดำเนินการแทรกแซงด้านข้อมูลข่าวสารทางไซเบอร์ การต่อยอดเรื่องราวบนโซเชียลมีเดียโดยใช้หุ่นเชิดอาจไม่มีผลกระทบในระดับกับข้อความที่ปรากฏในกล่องจดหมาย หรือแม้แต่บนโทรศัพท์ของบุคคลต่างๆ Cotton Sandstorm ต่อยอดจากความสำเร็จในอดีตโดยใช้เทคนิคนี้ซึ่งเริ่มต้นในปี 2022²⁹ โดยส่งข้อความ อีเมล หรือทั้งคู่ในจำนวนมากในการดำเนินการอย่างน้อยหกครั้งตั้งแต่เดือนสิงหาคม การใช้เทคนิคนี้เพิ่มมากขึ้นชี้ให้เห็นว่ากลุ่มได้เพิ่มพูนความสามารถดังกล่าวจนเชี่ยวชาญและมองว่ามีประสิทธิภาพ การดำเนินการ “ฟลัดข้อความทางไซเบอร์” ของ Cotton Sandstorm เมื่อปลายเดือนตุลาคมรวมถึงการส่งข้อความและอีเมลจำนวนมากถึงสามชุดไปยังชาวอิสราเอลเพื่อต่อยอดเรื่องราวการโจมตีทางไซเบอร์ที่มีการกล่าวอ้าง หรือเผยแพร่คำเตือนที่เป็นเท็จเกี่ยวกับการโจมตีของกลุ่มฮามาสในโรงงานนิวเคลียร์ของอิสราเอลใกล้กับดิโมนา³⁰ ในอย่างน้อยหนึ่งกรณีที่เกิดขึ้น พวกเขาใช้ประโยชน์จากบัญชีที่มีช่องโหว่เพื่อยกระดับความถูกต้องของอีเมล

การใช้ประโยชน์จากสื่อของรัฐบาล 
อิหร่านใช้หน่วยงานสื่อที่เชื่อมโยงกับ IRGC ทั้งแบบเปิดเผยและซ่อนเร้น เพื่อต่อยอดเรื่องราวด้านการดำเนินการทางไซเบอร์ที่มีการกล่าวหา และกล่าวถึงผลกระทบที่เกิดขึ้นอย่างเกินจริงในบางครั้ง ในเดือนกันยายน หลังจากที่ Cyber Avengers กล่าวอ้างว่าได้ก่อเหตุโจมตีทางไซเบอร์ต่อระบบรถไฟของอิสราเอล สื่อที่เชื่อมโยงกับ IRGC ก็เริ่มต่อยอดเรื่องราวและกล่าวถึงการกล่าวอ้างอย่างเกินจริงแทบจะในทันที Tasnim News Agency ที่เชื่อมโยงกับ IRGC อ้างถึงการรายงานข่าวของอิสราเอลเกี่ยวกับเหตุการณ์อื่นอย่างไม่ถูกต้องเพื่อเป็นข้อพิสูจน์ว่ามีการโจมตีทางไซเบอร์เกิดขึ้น³¹ การรายงานนี้ได้รับการต่อยอดเรื่องราวโดยหน่วยงานสื่ออื่นๆ ของอิหร่านและที่สนับสนุนอิหร่านในลักษณะที่ปกปิดการขาดหลักฐานที่สนับสนุนคำกล่าวอ้างเกี่ยวกับการโจมตีทางไซเบอร์ดังกล่าว³²

การเริ่มนำ AI ที่เพิ่งเกิดขึ้นเมื่อไม่นานไปใช้เป็นครั้งแรกสำหรับการดำเนินการแทรกแซงด้านข้อมูลข่าวสาร 
MTAC สังเกตพบผู้ดำเนินการจากอิหร่านที่ใช้รูปภาพและวิดีโอที่สร้างขึ้นโดย AI นับตั้งแต่สงครามระหว่างอิสราเอล-กลุ่มฮามาสปะทุขึ้น Cotton Sandstorm และ Storm-1364 รวมถึงสำนักข่าวที่กำกับดูแลโดยพรรคฮิซบอลเลาะห์และกลุ่มฮามาส ได้ใช้ประโยชน์จาก AI เพื่อยกระดับการข่มขู่และพัฒนารูปภาพที่เป็นการใส่ร้าย Netanyahu และกลุ่มผู้นำของอิสราเอล

1. การทำงานร่วมกันที่เพิ่มขึ้นอย่างต่อเนื่อง 
เมื่อเวลาผ่านไปหลายสัปดาห์ในสงครามระหว่างอิสราเอล-กลุ่มฮามาส เราเริ่มพบเห็นตัวอย่างการทำงานร่วมกันระหว่างกลุ่เคลื่อนไหวต่างๆ ที่กำกับดูแลโดยอิหร่าน ซึ่งช่วยยกระดับการบรรลุผลสำเร็จของผู้ดำเนินการ การทำงานร่วมกันลดอุปสรรคในการเข้าร่วม โดยช่วยให้แต่ละกลุ่มมีส่วนร่วมด้วยความสามารถที่มีอยู่เดิม และขจัดความจำเป็นในการพึ่งพาเพียงกลุ่มเดียวเพื่อพัฒนาเครื่องมือหรือทักษะการหลบเลี่ยงอย่างเต็มรูปแบบ

เราประเมินว่าทั้งสองกลุ่มที่เชื่อมโยงกับ MOIS ได้แก่ Storm-0861 และ Storm-0842 ทำงานร่วมกันในการโจมตีทางไซเบอร์แบบทำลายล้างในอิสราเอลในช่วงปลายเดือนตุลาคม และอีกครั้งในแอลเบเนียในช่วงปลายเดือนธันวาคม ในทั้งสองกรณี Storm-0861 น่าจะเป็นฝ่ายเข้าถึงเครือข่ายก่อนที่ Storm-0842 จะเรียกใช้งานมัลแวร์กวาดล้าง ในทำนองเดียวกัน Storm-0842 เรียกใช้งานมัลแวร์กวาดล้างในหน่วยงานรัฐบาลของแอลเบเนียในเดือนกรกฎาคม 2022 หลังจากที่ Storm-0861 เข้าถึงเครือข่ายได้ก่อน

ในเดือนตุลาคม กลุ่มที่เชื่อมโยงกับ MOIS อีกกลุ่มหนึ่ง ได้แก่ Storm-1084 อาจสามารถเข้าถึงองค์กรในอิสราเอลได้ก่อนที่ Storm-0842 จะปรับใช้มัลแวร์กวาดล้าง “BiBi” ซึ่งตั้งชื่อตามการเปลี่ยนชื่อไฟล์ที่ถูกกวาดล้างของมัลแวร์ด้วยสตริง “BiBi” ยังไม่มีความชัดเจนว่า Storm-1084 มีบทบาทใดในการโจมตีแบบทำลายล้างดังกล่าว Storm-1084 ก่อเหตุโจมตีทางไซเบอร์แบบทำลายล้างต่อองค์กรอีกแห่งหนึ่งของอิสราเอลในช่วงต้นปี 2023 ซึ่งได้รับการสนับสนุนจากกลุ่มอื่นที่เชื่อมโยงกับ MOIS ที่มีชื่อว่า Mango Sandstorm (หรือที่รู้จักกันในชื่อ MuddyWater)³³

นับตั้งแต่สงครามปะทุขึ้น Microsoft Threat Intelligence ยังได้ตรวจพบการทำงานร่วมกันระหว่างกลุ่มที่เชื่อมโยงกับ MOIS, Pink Sandstorm และหน่วยงานทางไซเบอร์ของพรรคฮิซบอลเลาะห์อีกด้วย Microsoft ได้สังเกตพบโครงสร้างพื้นฐานที่ทับซ้อนกันและการใช้เครื่องมือร่วมกัน การทำงานร่วมกันของอิหร่านกับพรรคฮิซบอลเลาะห์ในการดำเนินการทางไซเบอร์ แม้ว่าจะไม่เคยเกิดขึ้นมาก่อน แต่ก็ก่อให้เกิดการพัฒนาที่น่ากังวล โดยที่สงครามอาจทำให้กลุ่มเคลื่อนไหวเหล่านี้ข้ามพรมแดนเข้ามาใกล้ชิดกันมากขึ้นในเชิงการดำเนินการ³⁴ เนื่องจากมีการรวมการโจมตีทางไซเบอร์ของอิหร่านในสงครามครั้งนี้เข้ากับการดำเนินการแทรกแซงด้านข้อมูลข่าวสาร จึงมีแนวโน้มมากขึ้นที่อิหร่านจะปรับปรุงการดำเนินการแทรกแซงด้านข้อมูลข่าวสารและการเข้าถึงโดยการใช้ประโยชน์จากผู้พูดภาษาอาหรับโดยกำเนิดเพื่อยกระดับความน่าเชื่อถือของตัวแทนที่ไม่น่าเชื่อถือ

2. การมุ่งเป้าโจมตีไปยังอิสราเอลเป็นหลัก 
การมุ่งเป้าโจมตีไปยังอิสราเอลของผู้ดำเนินการทางไซเบอร์จากอิหร่านทวีความรุนแรงยิ่งขึ้น อิหร่านมุ่งเป้าโจมตีไปยังอิสราเอลมาอย่างยาวนาน ซึ่งรัฐบาลอิหร่านมองว่าเป็นฝ่ายปรปักษ์รายสำคัญเคียงข้างสหรัฐอเมริกา จากข้อมูลของ Microsoft Threat Intelligence ในช่วงไม่กี่ปีที่ผ่านมา บริษัทของอิสราเอลและสหรัฐอเมริกามักจะตกเป็นเป้าหมายโจมตีที่พบได้บ่อยที่สุดของอิหร่าน ในช่วงเวลาก่อนที่จะเกิดสงคราม ผู้ดำเนินการของอิหร่านมุ่งเป้าโจมตีอิสราเอลเป็นส่วนใหญ่ รองลงมาคือสหรัฐอาหรับเอมิเรตส์และสหรัฐอเมริกา หลังจากที่สงครามปะทุขึ้น การมุ่งเป้าโจมตีไปยังอิสราเอลก็เพิ่มสูงขึ้นอย่างรวดเร็ว สี่สิบสามเปอร์เซ็นต์ของกิจกรรมทางไซเบอร์ของรัฐบาลอิหร่านที่ Microsoft ติดตามมุ่งเป้าโจมตีอิสราเอล ซึ่งเป็นตัวเลขที่มากกว่าอีก 14 ประเทศเป้าหมายในลำดับถัดไปรวมกัน

เราคาดว่าภัยคุกคามจากการดำเนินการทางไซเบอร์และการแทรกแซงด้านข้อมูลข่าวสารของอิหร่านจะเพิ่มขึ้นในขณะที่ความขัดแย้งระหว่างอิสราเอล-กลุ่มฮามาสยังคงมีอยู่ โดยเฉพาะอย่างยิ่งท่ามกลางความเป็นไปได้ที่เพิ่มขึ้นสำหรับการขยายแนวรบเพิ่มเติม ในขณะที่กลุ่มเคลื่อนไหวของอิหร่านเร่งก่อเหตุหรือเพียงแค่สร้างเรื่องเกี่ยวกับการดำเนินการในช่วงเริ่มต้นของสงคราม กลุ่มเคลื่อนไหวของอิหร่านก็ได้ชะลอการดำเนินการล่าสุดของตนลง ซึ่งทำให้พวกเขามีเวลามากขึ้นในการเข้าถึงเครือข่ายที่ต้องการหรือพัฒนาการดำเนินการแทรกแซงด้านข้อมูลข่าวสารที่ซับซ้อนมากขึ้น สิ่งที่ระยะต่างๆ ของสงครามที่ระบุไว้ในรายงานฉบับนี้แสดงให้เห็นอย่างชัดเจนก็คือ การดำเนินการทางไซเบอร์และการแทรกแซงด้านข้อมูลข่าวสารของอิหร่านมีความคืบหน้าทีละน้อย และกลายเป็นการดำเนินการที่มีการกำหนดเป้าหมาย การประสานงาน และการทำลายล้างมากขึ้น

ผู้ดำเนินการของอิหร่านยังมีความอาจหาญมากขึ้นในการมุ่งเป้าโจมตี โดยเฉพาะอย่างยิ่งในการโจมตีทางไซเบอร์ต่อโรงพยาบาลและการทดสอบจุดแตกหักของรัฐบาลสหรัฐอเมริกาโดยไม่มีความกังวลถึงผลของการดำเนินการดังกล่าว การโจมตีระบบควบคุมน้ำประปาของสหรัฐอเมริกาโดย IRGC ในขณะที่การฉวยโอกาสดูเหมือนจะเป็นวิธีการที่ชาญฉลาดในการทดสอบรัฐบาลสหรัฐอเมริกาโดยกล่าวอ้างว่ามีลักษณะที่ชอบด้วยกฎหมายในการโจมตีอุปกรณ์ที่ผลิตขึ้นในอิสราเอล

ก่อนการเลือกตั้งของสหรัฐอเมริกาในเดือนพฤศจิกายน 2024 การทำงานร่วมกันที่เพิ่มขึ้นระหว่างกลุ่มเคลื่อนไหวของอิหร่านและกลุ่มที่กำกับดูแลโดยอิหร่าน อาจบ่งบอกถึงความท้าทายที่มากขึ้นสำหรับผู้ที่มีส่วนร่วมในการปกป้องการเลือกตั้ง ผู้ปกป้องไม่สามารถมีความอุ่นใจจากการติดตามกลุ่มเคลื่อนไหวเพียงบางกลุ่มได้อีกต่อไป แต่การเพิ่มขึ้นของตัวแทนในการเข้าถึง กลุ่มแทรกแซงด้านข้อมูลข่าวสาร และผู้ดำเนินการทางไซเบอร์มีส่วนให้สภาพแวดล้อมของภัยคุกคามมีความซับซ้อนและเกี่ยวพันกันมากขึ้น