Wie die Islamische Republik Iran Auftragnehmer und Universitäten für Cyberoperationen einsetzt

Hinweis: Die Insikt Group führte Interviews mit einem ehemaligen iranischen Hacker durch, der aus erster Hand über die geteilten Informationen wusste und im Iran lebte, als er eines der ersten Sicherheitsforen Irans ins Leben rief. Der Kommentar von Quellen bildet die Grundlage für den Hintergrund zur Entstehung von Irans offensiven Cyberbemühungen. Zusätzliche Forschung wurde mit Recorded Future und durch die Nutzung von Metadaten von Drittanbietern und offener Quellen-Intelligenz (OSINT) TTPs Verwendung verschiedener Werkzeuge ermöglicht. Während wir in diesem Beitrag auf historischen Hintergrund und Präzedenzfälle eingehen, basiert die technische Analyse zu Organisationen und Instituten im iranischen offensiven Cyberprogramm auf Daten, die vom 1. März 2018 bis zum 30. April 2018 erhoben wurden.

Executive Summary

Seit mindestens 2009 reagiert die Islamische Republik Iran regelmäßig auf Sanktionen oder vermeintliche Provokationen mit offensiven Cyber- Kampagne Die Islamische Republik hat es historisch vorgezogen, sowohl in physischen Konflikten – Hisbollah gegen Israel und Jemenitische Rebellen gegen Saudi-Arabien – als auch Cyberangriffe einzusetzen, um ihre politischen Ziele zu erreichen.

Derzeit sieht sich Iran der Aussicht auf negative wirtschaftliche Auswirkungen durch erneute Sanktionen gegenüber. Am 8. Mai 2018 kündigte Präsident Trump an, dass die Vereinigten Staaten die Ausnahmen der Sanktionen gegen Iran nicht verlängern würden. Stattdessen werden die USA zusätzliche Wirtschaftssanktionen verhängen, deren Kombination einem faktischen US-Rückzug aus dem Gemeinsamen umfassenden Aktionsplan (JCPOA) von 2015 (allgemein als "Iran-Atomabkommen" bezeichnet) entspricht.

Wir schätzen, basierend auf Irans bisherigen Reaktionen auf wirtschaftlichen Druck, dass mit Präsident Trumps Austritt aus dem JCPOA der Iran wahrscheinlich innerhalb von Monaten, wenn nicht sogar schneller, mit Cyberangriffen auf westliche Unternehmen reagieren wird. Dem historischen Muster nach zu urteilen, befinden sich die Unternehmen, die am stärksten gefährdet sind, in vielen der gleichen Sektoren, die zwischen 2012 und 2014 von iranischen Cyberangriffen betroffen waren, darunter Banken und Finanzdienstleistungen, Regierungsbehörden, Anbieter kritischer Infrastruktur sowie Öl und Energie.

Wichtige Urteile

• Die Islamische Republik hat ihren typisch überlegten und methodischen Ansatz bei Cyberoperationen nur zweimal aufgegeben, nämlich 2012 und 2014, als ein schnelles reaktives Antwort erforderlich war. Wir bewerten, dass, wenn iranische Cyber-Betreiber auf den US-Rückzug aus dem JCPOA reagieren, die Operationen von fähigen, aber weniger vertrauenswürdigen Auftragnehmern besetzt und ausgeführt werden.
• Darüber hinaus bewerten wir, dass die Besetzung dieser Operationen mit weniger vertrauenswürdigen Auftragnehmern dazu führen könnte, dass die Islamische Republik Schwierigkeiten hat, das Ausmaß und Ausmaß der zerstörerischen Cyberangriffe zu kontrollieren, sobald sie begonnen haben.
• Die iranischen Cyberoperationen werden nach einem gestuften Ansatz verwaltet, bei dem eine ideologisch und politisch vertrauenswürdige Gruppe mittlerer Manager die Geheimdienstprioritäten in segmentierte Cyberaufgaben übersetzt, die dann an mehrere Auftragnehmer vergeben werden. Dies schafft ein quasi-kapitalistisches System, das Auftragnehmer gegeneinander um Einfluss auf die iranische Regierung ausspielt.
• Die Islamische Republik operiert mit verwurzelter Paranoia, bei der letztlich niemand trauen kann. Die Situation schafft einzigartige Kompromisse in Irans von der Regierung sanktionierter offensiver Cyber- Kampagne; Personen mit nachgewiesener Übereinstimmung mit der Ideologie der Regierung und Personen mit den größten offensiven Cyberfähigkeiten schließen sich fast immer gegenseitig aus.
• Nach Gesprächen unserer Quellen mit anderen Hackern im Iran gibt es schätzungsweise über 50 Auftragnehmer, die um von der iranischen Regierung geförderte offensive Cyberprojekte konkurrieren. Nur die besten Einzelpersonen oder Teams haben Erfolg, werden bezahlt und bleiben im Geschäft.
• Insikt Group analysierte vom 1. März 2018 bis zum 30. April 2018 den Internetverkehr verschiedener Institute, die mit dem iranischen Cyber-Ökosystem verbunden sind. Da dies die erste Profilierung iranischer Internetaktivitäten für diese Institute ist, können wir nicht feststellen, ob die verdächtige Aktivität, die wir analysiert haben, im Rahmen der Vorbereitung der US-Ankündigung war.
• Laut Insikt Group's Quellen sind iranische Regierungsauftragnehmer gezwungen, geschlossene Vertrauensgemeinschaften zu gewinnen und zu halten, um die besten offensiven Cyber-Talente zu finden und zu halten. Die Verbindungen zwischen den Foren und den Auftragnehmern könnten zeigen, dass die Vertrauensgemeinschaften mit den iranischen Sicherheitsforen beginnen.

Die Geschichte der iranischen geopolitischen Antwort und der Entscheidung zum Atomabkommen

Anmerkung der Redaktion

Soweit zutreffend, wurden die Informationen in diesem Abschnitt von einem ehemaligen iranischen Hacker bereitgestellt, der direkten Zugriff auf die bereitgestellten Informationen hatte. Aufgrund weiterer Bestätigungen schätzen wir die Zuverlässigkeit dieser Informationen als hoch ein. In anderen Abschnitten, in denen Informationen von dieser Person zitiert werden, bezeichnen wir sie als „Quellen der Insikt Group “.

Seit 1979 sind Irans Reaktionen auf die Außenpolitik vermeintlicher Gegner im Nahen Osten ein Paradebeispiel für den Einsatz von Stellvertretern. Insbesondere Israel, Saudi-Arabien, die Vereinigten Staaten und der Irak waren häufige Ziele iranisch finanzierter Militäraktionen, zuletzt durch die Houthi-Rebellen im Jemen und die Hisbollah überall sonst.

Seit 2009 hat Iran Stellvertreter im Cyberbereich entwickelt, um Regierungsfingerabdrücke von ausländischen Angriffen teilweise zu verschleiern. Nach dem Start eines Cyber-Operationsprogramms im Jahr 2009 hatte die iranische Regierung im Herbst 2012 einen unmittelbaren Bedarf, das Programm einzusetzen, nachdem US-Präsident Obama strenge Finanzsanktionen gegen Iran verhängt hatte, einschließlich der Entfernung Irans aus dem SWIFT-Geldtransfersystem.

Laut Insikt Group's Quellen autorisierte die iranische Regierung Denial-of-Service-Angriffe auf Amerikas größte Finanzdienstleistungsunternehmen als unmittelbaren Antwort zu den Sanktionen in einem Kampagne namens Operation Ababil. Ein schnelles Antwort hatte oberste Priorität, sodass Zeit und Planung für die iranische Regierung auf Luxus verzichteten. Stattdessen entschied sich die iranische Regierung für Geschwindigkeit und die fähigsten Akteure, unabhängig von der nachgewiesenen Ideologie.

Ähnlich äußerte sich Sheldon Adelson (der CEO der Sands Corporation) ein Jahr später, im Herbst 2013, öffentlich dazu, dass die Vereinigten Staaten den Iran mit einer Atomwaffe angreifen sollten. Im Februar 2014 startete der Iran einen verheerenden Angriff auf die Sands Las Vegas Corporation, der erhebliche Netzwerkschäden verursachte. Dies war die zweite öffentlichkeitswirksame iranische Kampagne auf ein amerikanisches Unternehmen, bei der die Antwort Schnelligkeit über Zeit und Vorbereitung stellte.

Die iranischen Angriffe in den Jahren 2012 und 2014 standen im Gegensatz zur vergleichsweise langsamen und methodischen Arbeit von APT 33, APT 34 und APT 35, die maßgeschneiderte Malware entwickelten und auf die Datenexfiltration von strategischen Geheimdienstzielen wie US-amerikanischen Militärauftragnehmern, Energieunternehmen im Nahen Osten und universitären Forschungsnetzwerken abzielten.

Vergleichen iranischer Kampagne – methodisch versus reaktionär.

Aufbau einer nationalen Fähigkeit – Geschichte und Beziehungen zwischen Stellvertretern

Die iranische Revolution ersetzte die persische Monarchie und übergab die Macht des Schahs an die Islamische Republik unter der Führung von Ayatollah Ruhollah Khomeini. Die Loyalität zur daraus resultierenden Theokratie wurde durch die Ausrichtung auf die moralischen Grundsätze des Obersten Führers definiert.

Die neuen Führer Irans gründeten außerdem eine Nachrichtendienst- und Sicherheitsorganisation, das Islamische Revolutionsgardekorps (IRGC), "beauftragt mit der Verteidigung der Islamischen Republik gegen innere und äußere Bedrohungen." Derzeit ist die IRGC Irans führende Sicherheitsorganisation, verfügt über eine Armee, Marine und Luftwaffe und verwaltet "Irans ballistisches Raketenarsenal und irreguläre Kriegsführungsoperationen durch seine Elite-Quds-Einheit und Stellvertreter wie die Hisbollah."

Die IRGC verfügt über ein umfangreiches Mandat für inländische Informationssicherheit und -überwachung sowie eine umfassende Auslandsmission und steht seit mindestens 2011 in Verbindung mit Cyberangriffen auf westliche Institutionen.

Laut Quellen der Insikt Groupentstand Gerdab.ir während der Grünen Revolution 2009 als inländische Hackergruppe der Revolutionsgarden, die mit der Bekämpfung oppositioneller Nachrichtenwebseiten und Personen beauftragt war, die vom Regime als unmoralisch angesehen wurden. Iranische Hacker zielen auf iranische Regierungsressourcen ab (ein Beispiel war die Verunstaltung von Khamanei.ir). wurden von Gerdab identifiziert und inhaftiert. Gerdab fungiert weiterhin als interner Zensor der iranischen Regierung.

Nach der Grünen Revolution erwog die iranische Regierung, eine formelle offensive Cyberkomponente in ihren bestehenden Nachrichtendienst aufzunehmen, und war gezwungen, ein Personalproblem anzugehen. Iran brauchte eine talentierte, aber politisch und religiös zuverlässige Arbeitskraft. Die Ermorde von Stuxnet und Wissenschaftlern erinnerten den Iran an die Wirksamkeit von Mossad- und CIA-Programmen, und laut Insikt Group's Quellen war eine leidenschaftliche religiöse Ideologie der einzige Weg, Loyalität zu zeigen und Vertrauen aufzubauen.

Das Aufkommen der Iranischen Cyberarmee (ICA) als Erweiterung der IRGC war ein erster Versuch der Islamischen Republik, international ausgerichtete Operationen durchzuführen. Diese Operationen unterschieden sich von Gerdabs Fokus auf die Wahrung innerer moralischer Werte und die Verteidigung der Regierungsrhetorik. Im Jahr 2011 bildete die ICA der IRGC die Grundlage für das Khaybar Center for Information Technology. Laut einem ehemaligen IRGC-Cyberkommandanten wurde das Khaybar Center 2011 gegründet und steht in Verbindung mit mehreren Angriffen gegen die Vereinigten Staaten, Saudi-Arabien und die Türkei.

Auch heute noch ist das Gleichgewicht zwischen Ideologie und digitalen Kompetenzen problematisch. Ein Beispiel für den Konflikt zwischen Ideologie und Können war Mohammad Hussein Tajik, ein ehemaliger Cyberkommandant innerhalb der Revolutionsgarde. Laut Quellen der Insikt Grouphatte Tajiks Vater einen stark religiösen Hintergrund und war ein Veteran des iranischen Geheimdienstministeriums. Tajik wurde jedoch verhaftet und getötet, weil die iranische Regierung befürchtete, dass Tajik nicht ideologisch auf ihrer Linie sei und ein Verrats- und Fluchtrisiko darstelle.

Nach der Grünen Revolution musste die iranische Regierung ihre Cyber-Fähigkeiten schnell verbessern, doch laut Insikt Group's Quellen waren die Talente hauptsächlich jung und auf finanzielle Vorteile ausgerichtet. Diese Motivation führte zu Misstrauen durch die Regierung, da die Islamische Republik befürchtete, dass die finanziell motivierten Motive von ausländischen Geheimdiensten gekauft werden könnten. Außerdem hassten viele der ursprünglichen iranischen Hacker, die für Massenverunstellungen verantwortlich waren, Autoritäten und fehlten die Disziplin, die für die Regierungsarbeit notwendig war.

Laut den Quellen von Insikt Groupwar die Antwort der Regierung ein gestufter Ansatz, mit einem Netzwerk von Personen, die inoffiziell mit der IRGC und der iranischen Regierung verbunden sind – einer ideologisch ausgerichteten mittleren Führungskraft –, die dem Regime loyal waren und ausreichend religiöses Engagement zeigten. Diese mittlere Instanz übersetzte Geheimdienstprioritäten in segmentierte Cyber-Aufgaben, die dann an mehrere Auftragnehmer vergeben wurden. Manchmal konkurrierten die Auftragnehmer miteinander, manchmal arbeiteten sie zusammen, aber die Zahlung erfolgte erst, wenn das Ziel erreicht war. Das Ergebnis war (und ist bis heute) ein quasi-kapitalistisches System, das Auftragnehmer gegeneinander um Einfluss auf die iranische Regierung ausspielte.

In der Islamischen Republik kann Einfluss zu Sicherheit und Reichtum führen, aber er kann auch zu einem falschen Sicherheitsgefühl führen (niemand ist zu jeder Zeit vor Gefängnis und Befragung). Daher müssen Auftragnehmer lernen, das Spiel zu spielen – genug oberflächliche Befolgung der Ideologie des Regimes –, um vorübergehend von Verdacht zu entkommen, lange genug, um Vertragsaufträge zu erhalten. Für die iranische Regierung ist Ideologie wichtiger als Fähigkeiten. Der tiefe Glaube an die Grundsätze des Ayatollahs und die Ziele der Regierung hilft, Überläufer und Verräter zu vermeiden.

Verschleierung der Beteiligung der iranischen Regierung an Angriffskampagnen.

Aufgrund des laufenden Kontakts zwischen Quellen der Insikt Groupund iranischen Hackern wird heute geschätzt, dass über 50 Organisationen um staatlich geförderte offensive Cyberprojekte konkurrieren. Nur die besten Teams sind erfolgreich, werden bezahlt und bleiben im Geschäft. Die Regierung tut ihr Bestes, um die Aufgaben zu trennen – eine Aufgabe könnte darin bestehen, einen Remote-Code-Exploit (RCE) für eine beliebte Softwareanwendung zu erstellen, während eine andere Aufgabe darin bestehen könnte, den RCE zu nutzen und einen dauerhaften unbefugten Zugriff zu erlangen. Zur Erreichung des von der Regierung festgelegten Ziels werden in der Regel zwei oder mehr verschiedene Auftragnehmer benötigt.

Öffentliches Wissen hat auch gezeigt, dass iranische akademische Institutionen eine unternehmerähnliche Rolle spielen. Konkrete Beispiele sind die Shahid Beheshti Universität (SBU) und die Imam Hossein Universität (IHU), die umfassende Fachbereiche für Wissenschaft und Technologie haben und einige der besten akademischen Talente Irans anziehen. Tatsächlich hat die SBU ein spezielles Cyberspace-Forschungsinstitut , das sich solchen Themen widmet, und die IHU wurde vom IRGC gegründet.

Wie die Anklagen des Mabna-Instituts verdeutlichen, hat der Iran trotz der Aufhebung der Sanktionen und des Bestrebens, sich wieder mit der internationalen Gemeinschaft zu vernetzen, seine subversive und aggressive globale Cyber- Kampagne fortgesetzt. Diese andauernde Kampagne, die Universitäten wegen Diebstahls wissenschaftlichen und technologischen geistigen Eigentums ins Visier nimmt, zeugt von einem fundamentalen Mangel an Vertrauen in die internationalen Abkommen, einschließlich des Gemeinsamen Umfassenden Aktionsplans (JCPOA).

Beziehung zwischen der iranischen Regierung, den Auftragnehmern und den Sicherheitsforen

Clearsky, FireEye, Symantec und PhishLabs haben alle bedeutende Forschungen zu von iranischen Nationalstaaten geförderten Kampagne durchgeführt, die historische Einblicke in technische Fähigkeiten und Beziehungen zwischen der iranischen Regierung und den Auftragnehmern liefern.

Die Arbeit der zuvor genannten Sicherheitsfirmen und die jüngsten Anklagen des US-Justizministeriums liefern übereinstimmende Beweise dafür, dass die von der iranischen Regierung unterstützten Kampagne von Auftragnehmern durchgeführt werden.

FireEye gab bekannt, dass das Nasr Institute als Auftragnehmer von APT 33 an einer Operation beteiligt war, bei der öffentlich verfügbare Hintertüren und Remote-Access-Trojaner zum Einsatz kamen. Der Benutzername „xman_1365_x“ (der sich in Sicherheitsforen als Mahdi Honarvar ausgab) wurde von FireEye in Malware-Artefakten gefunden, die Quellen öffneten, die mit dem Nasr-Institut in Verbindung standen. Zuvor war das Nasr Institute mit den DDoS-Angriffen der Operation Ababil gegen amerikanische Banken in Verbindung gebracht worden. Eine Anklageschrift des US-Justizministeriums bestätigt, dass die Organisation von der iranischen Regierung mit dem Aufbau der Angriffsinfrastruktur beauftragt worden war.

Der Schauspieler xman_1365_x wurde anschließend von der iranischen Cyber-Nachrichtenagentur über OSINT mit einem Sicherheitsunternehmen namens Kavosh Security in Verbindung gebracht. Der Akteur wurde mit einer zerstörerischen Operation in Verbindung gebracht, bei der Malware-Familien wie NewsBeef und StoneDrill zum Einsatz kamen. Laut Kaspersky zielte die letztgenannte Datenlöschungsaktion auf verschiedene Sektoren in Saudi-Arabien und Europa ab.

Die von StoneDrill und NewsBeef in Kasperskys Erkenntnissen verwendeten Kommando- und Kontrolldomänen (C2) teilten ein SSL-Zertifikat, was in der Forschung der Iran Cyber News Agency drei weitere Domänen hervorbrachte. WHOIS-Informationen wurden dann über offene Quellen mit der Imam Hossein University (IHU) verbunden. Die IHU wurde in Sanktionen des US-Finanzministeriums genannt, "weil sie der IRGC technologische oder andere Unterstützung und Dienstleistungen bereitstellen oder versucht hat, sie bereitzustellen."

Weitere öffentlich bekannte iranische Auftragnehmer sind ITSecTeam (ITSEC) und die Mersad Company, die ebenfalls mit Operation Ababil verbunden sind.

Die Verbindungen zwischen der iranischen Regierung und den Auftragnehmern sind gut dokumentiert; die Identität spezifischer Gruppen und Einzelpersonen innerhalb der iranischen Regierung und der IRGC, die für offensive Cyber- Kampagne verantwortlich sind, ist jedoch unklar, ebenso wie das Verhältnis zwischen Auftragnehmern und Sicherheitsforen.

Unsere Forschung und Analyse deuten jedoch darauf hin, dass iranische Sicherheitsforen eine Rolle bei der Personalbeschaffung und dem Wissensaustausch für iranische Auftragnehmer spielen könnten. Erstens bezog sich FireEye auf die öffentlich verfügbare ALFA TEaM Shell in der APT33 Spear-Phishing-E-Mail Kampagne. Die ALFA Shell wird in mehreren Webportalen diskutiert, darunter Ashiyane und das iranische Dark Coders Team Forum.

Geschichte der ALFA TEaM-Granate.

Zweitens erstellte xman_1365_x am 8. August 2010 ein Ashiyane-Profil, angeblich nicht lange nachdem Ashiyane vorübergehend zum wichtigsten Sicherheitsforum im Iran geworden war, nach dem Besuch von Behrooz Kamalian bei dem prominenten Geistlichen Ayatollah Naser Makarem Shirazi.

xman_1365_x erstellte 2010 ein Ashiyane-Profil.

Schließlich hat laut Insikt Group's Quellen der iranische Auftragnehmer ITSEC gezielt Hacker aus den jeweiligen Online-Foren Simorgh und Delta Security eingesetzt. Außerdem leitete Hossein Asgari, ein selbsternannter iranischer Hacker, das Simorgh-Forum und arbeitete mit seinem Vater zusammen, der bei der IRGC angestellt war.

Quellen: http://hackingscripts.com/simattacker-shell/

Zone-h hat Website-Zerstörungen aufgenommen, die von Hossein Asgari begangen wurden.
Quellen: http://www.zone-h.org/mirror/id/4479919

Laut Insikt Group's Quellen sind iranische Regierungsauftragnehmer gezwungen, geschlossene Vertrauensgemeinschaften zu gewinnen und zu halten, um die besten offensiven Cyber-Talente zu finden und zu halten. Die Verbindungen zwischen den Foren und den Auftragnehmern könnten zeigen, dass die Vertrauensgemeinschaften mit den iranischen Sicherheitsforen beginnen.

Analyse des Internetverkehrs des Iranian Cyber Institute

Insikt Group analysierte vom 1. März 2018 bis zum 30. April 2018 den Internetverkehr verschiedener Institute, die mit dem iranischen Cyber-Ökosystem verbunden sind. Unser Ziel war es, festzustellen, ob eines dieser Institute die iranischen Absichten im Cyberspace im Vorfeld der US-Entscheidung zum Ausstieg aus dem JCPOA von 2015 vorhergesehen hatte.

Dies ist die erste Profilierung von Internetaktivitäten für iranische Cyberinstitute durch die Insikt Group. Obwohl wir nicht beurteilen können, ob dieses Aktivitätsniveau typisch ist oder nicht, könnte die Überwachung über die Zeit zur Feststellung von Veränderungen der Antwort unter internationalem Druck aufschlussreich sein.

Cyberspace Forschungsinstitut Irans

Das iranische Cyberspace Research Institute (CSRI) ist ein Forschungszentrum, das der renommierten Shahid Beheshti Universität im Iran angegliedert ist. Das Institut beherrscht einen erheblichen Anteil des der Universität zugewiesenen IP-Bereichs, wobei laut regionalen RIPE-NCC-Aufzeichnungen nicht weniger als acht von 24 IP-Bereichen beim CSRI im Iran registriert sind. Die Gebirge sind unten aufgeführt:

Quellen: RIPE NCC-Datenbank, ripe.net.

Die Insikt Group identifizierte mehrere besorgniserregende Aktivitäten, die aus diesen Gebirgen ausgehen.

Wir entdeckten über 400 bisher nicht gemeldete SSH-Sitzungen zwischen CSRI-Bereichen und spanischen Regierungs- und Universitätsnetzwerken vom 4. April 2018 bis zum 9. April 2018. Diese Austausche beinhalteten die Übertragung eines großen Datenvolumens zwischen den beiden Netzwerken. Die spanischen Netzwerke beschlossen sich in Abteilungen, die die digitale Transformation der spanischen öffentlichen Dienste und multidisziplinärer Universitäten unterstützen. Die direkte Netzwerkverbindung zwischen den iranischen und spanischen Institutionen zeigt, dass sie entweder eine enge akademische Beziehung haben und Daten miteinander teilen, oder dass der umfangreiche Datentransfer von den spanischen Instituten unbegründet ist. Es ist unwahrscheinlich, dass CSRI ein legitimes geschäftliches Interesse an spanischen Regierungsbehörden hätte, daher ist das große Datenvolumen, das in so kurzer Zeit zwischen den beiden Netzwerken übertragen wird, ein auffälliger Hinweis auf möglicherweise bösartige Aktivitäten.

Im gesamten April zeigte das iranische CSRI gleichzeitig ein gestiegenes Interesse am philippinischen Department of Science & Technology (DOST). Ähnlich wie bei den spanischen Netzwerkinteraktionen wurden sehr große Datenmengen zwischen den beiden Netzwerken ausgetauscht, was auf großes Interesse hindeutet.

Dieses Maß an Engagement und Interaktion, insbesondere angesichts der Sanktionsreduzierung und der Entspannung der Beziehungen zwischen Iran und dem Westen nach dem JCPOA 2015, wurde zwischen den Wissenschaften erwartet. Tatsächlich einigten sich philippinische und spanische Universitäten in den Jahren 2015 und 2017 darauf, die wissenschaftliche Zusammenarbeit mit iranischen Institutionen auszuweiten. Angesichts des Hintergrunds des CSRI, Irans gezeigtem Interesse, Cyberoperationen zu nutzen, um akademisches und geistiges Eigentum zu stehlen, sowie unserer Belege für anhaltende Kampagne , Universitäten weltweit zu bekämpfen, schätzen wir, dass diese Aktivitäten zwischen CSRI und diesen spanischen und philippinischen Universitäten böswillig sein könnten.

Es wurde auch beobachtet, dass CSRI in einer großen Anzahl von Fällen den Parsijoo-Bot einsetzte, um Webseiten von Interesse zu durchsuchen. Laut Wikipedia ist Parsijoo.ir nach Google die zweitbeliebteste Suchmaschine im Iran und verwendet den Parsijoobot, um Webseiten zu Indexierungszwecken zu durchsuchen. Im Zuge unserer Recherchen stellten wir wiederholte Zugriffe auf die spezialisierte kanadisch-iranische Einwanderungswebsite www.itc-canada[.]com fest. Verwendung des Parsijoo-Bots aus CSRI-IP-Bereichen. Die Crawls wurden während unseres gesamten Datenzeitraums von Anfang März bis Ende April beobachtet, was auf ein starkes und anhaltendes Interesse an dieser speziellen Website hindeutet.

Schließlich stellten wir fest, dass CSRI mit IPs interagiert, die auf Ravand Cybertech Inc. registriert sind. Ravand Cybertech bietet über seine Website ravand[.]com Folgendes an: Cloud-Hosting-Lösungen und weitere Dienstleistungen. Ravand Cybertech unterhält enge Verbindungen zum iranischen Regime. Historisch gesehen beherbergte es die Website der konservativen Nachrichtenagentur Fars, die mit dem iranischen Militär verbunden ist. Die registrierten IP-Adressbereiche des Unternehmens liegen unter AS12212 mit den folgenden Präfixen: 198.55.48.0 – 198.55.61.255, 198.55.63.0 – 198.55.63.255 und 207.176.216.0 – 207.176.219.255.

Ravand Cybertech beherbergte eine Reihe von Domains, die von einem Agenten des iranischen Geheimdienstes (MOIS), Massoud Khodabandeh, in einer Desinformations - Kampagne in westlichen Medien genutzt wurden. Die Kampagne versuchte, die wichtigste iranische Oppositionspartei, die Volks-Mojahedin-Organisation des Iran/Mojahedin-e Khalq (PMOI/MEK), zu diskreditieren und zu dämonisieren. Laut einem Meinungsbeitrag für The Hill wurden die Websites vom Pentagon als auf Befehl aus Teheran erstellte Websites festgestellt. Ravand Cybertech wurde als "iranisch staatliches" Unternehmen identifiziert , das Fake-News-Seiten hostete, die darauf abzielten, iranische Propaganda zu verbreiten, um die Bemühungen iranisch-amerikanischer Lobbyisten zu untergraben.

Basierend auf dem während unserer Forschung beobachteten Aktivitätsvolumen bewerten wir, dass das CSRI möglicherweise die böswilligen Desinformationsaktivitäten von Ravand Cybertech unterstützt.

Imam Hossein Universität (Imam Hussein Universität)

Die Imam Hossein Umfassende Universität (IHU) ist eine iranische Universität mit Sitz in Teheran, die mit dem iranischen Revolutionsgardenkorps (IRGC), dem iranischen Ministerium für Wissenschaft, Forschung und Technologie sowie dem iranischen Ministerium für Verteidigung und Logistik der Streitkräfte verbunden ist.

Unsere Recherche konzentrierte sich auf die öffentlich bekannten IP-Adressbereiche der Universität, die unten aufgeführt sind:

Quellen: RIPE NCC-Datenbank, ripe.net.

Während unserer Recherche stellten wir fest, dass die IHU auch großes Interesse an spanischen Hochschulen und bestimmten Regierungsabteilungen hatte. Tatsächlich tauschten zwei der gleichen spanischen Einrichtungen hohe Datenmengen mit den IPs des IHU Quellen-Bereichs aus.

Weiterhin wurde festgestellt, dass IHU-Schießstände die Website des in den USA ansässigen multinationalen Ingenieursoftwareunternehmens Gamma Technologies aufsuchten. Die Browseraktivitäten konzentrierten sich auf die GT-SUITE-Software. Gamma Technologies ist spezialisiert auf die Entwicklung von Simulationssoftware für eine Vielzahl von Branchen weltweit, darunter auch die Energieerzeugung.

Mabna-Institut

Wie bereits dargelegt, wurde das Mabna-Institut in einer FBI-Anklageschrift öffentlich als Tarnfirma identifiziert, die im Auftrag des iranischen Staates feindliche, staatlich geförderte Cyberspionage betreibt. Unsere OSINT-Forschung identifizierte eine einzige Domäne, mabna-ins[.]ir, was der Gruppe entsprechen könnte. Die Domain wurde zuvor auf einer iranischen IP 5.144.130[.] gehostet.23 und seit dem 22. April 2017 auf den deutschen VPS IP 144.76.87[.]86. Dieses VPS beherbergt außerdem über 2.000 weitere Domains, von denen die meisten .ir sind Domänen.

Source: mabna-ins[.]ir

Absicht, Szenarien für Vergeltung und Empfehlungen

Laut den Bedingungen des JCPOA stimmte Teheran Beschränkungen seines Atomwaffenprogramms im Austausch für Sanktionserleichterungen zu. Verschiedene Bestimmungen des Abkommens laufen jedoch zu unterschiedlichen Zeiten in den nächsten 25 Jahren aus, einige davon bereits 2025.

Am 8. Mai 2018 entschied Präsident Trump, die Ausnahmeregelungen , die einige US-Sanktionen gegen den Iran aussetzten, nicht zu verlängern und leitete einen faktischen US-Rückzug aus dem Abkommen ein. Als Ergebnis dieser Maßnahme schätzen wir, dass Iran wahrscheinlich schnell reagieren wird, indem er zerstörerische Angriffe auf amerikanische, europäische und rivalisierende Unternehmen (Länder wie Saudi-Arabien und Israel) starten wird.

Umgekehrt könnte Iran auch (ausschließlich oder in Verbindung mit zerstörerischen Angriffen) durch Cyber-Proxys in methodischeren und nachhaltigeren Kampagnereagieren. Angesichts der Auswirkungen der erneut verhängten und ausgeweiteten Wirtschaftssanktionen ist es wahrscheinlich, dass amerikanische, europäische und rivalisierende Unternehmen ebenfalls Ziel von anhaltenderen zerstörerischen Angriffen erlitten werden.

Wie oben dokumentiert, wird das iranische Regime bei schnellen Cyberoperationen religiöse und politische Zuverlässigkeit gegen offensive Fähigkeiten abwägen. Die besten Betreiber sind nicht immer die treuesten oder loyalsten zum Regime, und wir schätzen, dass die IRGC in diesem Fall auf sorgfältige Auftragnehmerauswahl und -planung verzichten könnte, um innerhalb kurzer Zeit einen zerstörerischen Angriff durchzuführen.

Darüber hinaus zeigen unsere Forschungen, dass die Islamische Republik aufgrund des Bedarfs an einem schnellen Antwort möglicherweise Auftragnehmer einsetzt, die politisch und ideologisch weniger zuverlässig (und vertrauenswürdig) sind und daher schwieriger zu kontrollieren sind. Es ist möglich, dass diese Dynamik die Fähigkeit der Regierung einschränkt, das Ausmaß und die Kontrolle dieser zerstörerischen Angriffe, sobald sie entfesselt sind.

Westliche Unternehmen sollten geopolitische Ereignisse, die von den Vereinigten Staaten oder Europa initiiert werden, die Iran betreffen, genau beobachten. Wie oben gezeigt, sind westliche Unternehmen die logischen Opfer iranischer Vergeltungsmaßnahmen für vermeintliche amerikanische politische Verstöße; insbesondere Unternehmen im Finanzdienstleistungssektor, Regierungsbehörden, Anbieter kritischer Infrastruktur sowie in den Öl- und Energiesektoren.

Neben der sorgfältigen Überwachung der geopolitischen Entwicklungen Irans ist es für jedes westliche kommerzielle Bedrohungsinformationsprogramm sinnvoll, die Wirksamkeit bestehender Sicherheitskontrollen zu beurteilen, insbesondere die aufkommenden Taktiken, TTPs TTPs (TTPs) auf Ashiyane zu verfolgen.