Comment la République islamique d’Iran utilise des contractuels et des universités pour mener des opérations cybernétiques

Note de portée: Insikt Group a mené des entretiens avec un ancien pirate informatique iranien ayant une connaissance directe des informations partagées et qui vivait en Iran lorsqu'il a lancé l'un des premiers forums de sécurité iraniens. Les commentaires de cette source constituent la base de l’analyse du contexte des caractéristiques des efforts offensifs cybernétiques de l’Iran. Des recherches supplémentaires ont été facilitées grâce à Recorded Future et en tirant parti des métadonnées tierces et TTPs de renseignement de sources ouvertes (OSINT) à l'aide de divers outils. Bien que nous abordions le contexte historique et les précédents dans cet article, l’analyse technique concernant les organisations et les instituts impliqués dans le programme cyberoffensif iranien est basée sur des données collectées entre le 1er mars 2018 et le 30 avril 2018.

Executive Summary

Depuis au moins 2009, la République islamique d’Iran répond régulièrement aux sanctions ou aux provocations perçues en menant des Campagnecyber offensives. La République islamique a historiquement préféré utiliser des proxies ou des organisations de façade, tant dans des conflits physiques — le Hezbollah contre Israël et les rebelles yéménites contre l’Arabie saoudite — que par des cyberattaques pour atteindre ses objectifs politiques.

Actuellement, l’Iran fait face à la perspective d’un impact économique négatif via le renouvellement des sanctions. Le 8 mai 2018, le président Trump a annoncé que les États-Unis ne renouvelleraient pas les dérogations aux sanctions contre l’Iran. Les États-Unis imposeront plutôt des sanctions économiques supplémentaires, dont la combinaison équivaut à un retrait de facto des États-Unis du Plan d’action conjoint complet (PAGC) de 2015 (communément appelé « l’accord nucléaire iranien »).

Nous évaluons, sur la base des réactions précédentes de l’Iran à la pression économique, qu’avec le départ du président Trump du JCPOA, l’Iran devrait réagir en lançant des cyberattaques contre les entreprises occidentales dans quelques mois, voire plus rapidement. À en juger par les tendances historiques, les entreprises les plus à risque se trouvent dans de nombreux secteurs qui ont été victimes de cyberattaques iraniennes entre 2012 et 2014 , incluant les banques et services financiers, les ministères, les fournisseurs d’infrastructures critiques, ainsi que le pétrole et l’énergie.

Key Judgements

• La République islamique n'a abandonné son approche habituellement délibérée et méthodique des cyberopérations qu'à deux reprises connues, en 2012 et en 2014, lorsqu'une réponse réactive rapide était nécessaire. Nous estimons que lorsque les cyberopérateurs iraniens réagiront au retrait des États-Unis de l'accord JCPOA, les opérations seront menées et exécutées par des contractuels compétents, mais moins dignes de confiance.
• De plus, nous estimons que la dotation de sous-traitants moins fiables dans ces opérations pourrait aboutir à un scénario où la République islamique a du mal à contrôler l’ampleur et l’ampleur des cyberattaques destructrices une fois qu’elles ont commencé.
• Les opérations cyber iraniennes sont administrées selon une approche à plusieurs niveaux, où un groupe de gestionnaires intermédiaires idéologiquement et politiquement fiables, les responsables, traduit les priorités du renseignement en tâches cyber segmentées qui sont ensuite mises en appel d’offres à plusieurs prestataires. Cela crée un système quasi-capitaliste qui oppose les entrepreneurs les uns aux autres pour l’influence auprès du gouvernement iranien.
• La République islamique fonctionne avec une paranoïa profondément enracinée, où, en fin de compte, personne n'est digne de confiance. Cette situation engendre des compromis inédits dans Campagne offensive cybernétique menée avec l'aval du gouvernement iranien ; les individus ayant démontré leur adhésion à l'idéologie gouvernementale et ceux possédant les plus grandes compétences offensives en matière de cyberdéfense sont presque toujours incompatibles.
• D’après nos conversations avec d’autres hackers en Iran, plus de 50 sous-traitants estiment se disputer des projets cybernétiques offensifs parrainés par le gouvernement iranien. Seuls les meilleurs individus ou équipes réussissent, sont payés et restent en activité.
• Insikt Group a analysé le trafic internet relatif à divers instituts affiliés à l'écosystème cybernétique iranien du 1er mars 2018 au 30 avril 2018. Comme il s'agit du premier profilage de l'activité internet iranienne pour ces instituts, nous ne pouvons pas déterminer si l'activité suspecte que nous avons analysée était préparatoire à l'annonce américaine.
• Selon les sources du Insikt Group , pour trouver et fidéliser les meilleurs talents en cyberattaque, les entreprises sous contrat avec le gouvernement iranien sont obligées de recruter dans des communautés fermées. Les liens entre les forums et les contractants peuvent illustrer que les communautés de confiance prennent naissance dans les forums de sécurité iraniens.

Histoire de la réponse géopolitique iranienne et décision relative à l'accord nucléaire

Editor’s Note

Lorsque cela est pertinent, les informations de cette section ont été fournies par un ancien hacker iranien ayant un accès direct aux informations fournies. Sur la base d’une confirmation supplémentaire, nous évaluons une grande confiance dans ces informations. Nous désignons cette personne comme « sources deInsikt Group» dans d’autres sections où ses informations sont citées.

Depuis 1979, les réactions de l'Iran à la politique étrangère de ce qu'il perçoit comme Adversaireau Moyen-Orient constituent un exemple d'utilisation d'intermédiaires. Plus précisément, Israël, l'Arabie saoudite, les États-Unis et l'Irak ont été fréquemment la cible d'actions militaires financées par l'Iran, plus récemment par le biais des rebelles houthis au Yémen et du Hezbollah partout ailleurs.

Depuis 2009, l’Iran a développé des proxies dans le domaine cybernétique pour masquer partiellement les empreintes digitales gouvernementales lors des attaques étrangères. Après avoir lancé un programme d’opérations cyber en 2009, le gouvernement iranien a eu un besoin immédiat d’utiliser ce programme à l’automne 2012, après que le président américain Obama a imposé de sévères sanctions financières à l’Iran, notamment en retirant l’Iran du système de transfert d’argent SWIFT.

Selon des sources de Insikt Group, le gouvernement iranien a autorisé des attaques par déni de service contre les plus grandes entreprises américaines de services financiers en réponse immédiate aux sanctions dans une Campagne baptisée Opération Ababil. Une réponse rapide était une priorité absolue, si bien que le temps et la planification étaient des luxes perdus pour le gouvernement iranien. Au lieu de cela, le gouvernement iranien a opté pour la rapidité et les acteurs les plus compétents, indépendamment de l’idéologie démontrée.

De même, un an plus tard, à l’automne 2013, Sheldon Adelson (PDG de Sands Corporation) a publiquement suggéré que les États-Unis devraient attaquer l’Iran avec une arme atomique. En février 2014, l’Iran a lancé une attaque destructrice contre la Sands Las Vegas Corporation qui a causé d’importants dégâts au réseau. Il s’agissait de la deuxième attaque publique iranienne Campagne contre une entreprise américaine, où la réponse appelait à la rapidité et à la préparation.

Les attaques iraniennes de 2012 et 2014 contrastaient avec le travail relativement lent et méthodique des APT 33, APT 34 et APT 35, qui développaient des malwares personnalisés, ciblant l’exfiltration de données provenant de cibles de renseignement stratégique telles que des sous-traitants militaires américains, des entreprises énergétiques du Moyen-Orient et des réseaux de recherche universitaires.

Comparaison Campagne iraniennes : méthodique contre réactionnaire.

Construire une capacité nationale — histoire et relations entre mandataires

La révolution iranienne a remplacé la monarchie perse et a transféré le pouvoir du Shah à la République islamique, dirigée par l'ayatollah Rouhollah Khomeini. La loyauté envers la théocratie résultante était définie par l'adhésion aux préceptes moraux du Dirigeant suprême.

Les nouveaux dirigeants iraniens ont également mis en place une organisation de renseignement et de sécurité, le Corps des gardiens de la révolution islamique (CGRI), « chargée de défendre la République islamique contre les menaces internes et externes ». Actuellement, le Corps des gardiens de la révolution islamique (CGRI) est la principale organisation de sécurité iranienne. Il possède une armée de terre, une marine et une armée de l'air, et gère « l'arsenal de missiles balistiques iraniens et les opérations de guerre irrégulière par le biais de sa Force Qods d'élite et de groupes affiliés tels que le Hezbollah ».

Le Corps des gardiens de la révolution islamique (CGRI) dispose d'un vaste mandat de surveillance et de sécurité de l'information au niveau national , ainsi que d'une large mission à l'étranger, et est lié à des cyberattaques contre des institutions occidentales depuis au moins 2011.

Selon les sources de Insikt Group, lors de la Révolution verte de 2009, Gerdab.ir est apparu comme le groupe de hackers intérieur de l’IRGC, chargé de cibler les sites d’information d’opposition et les individus jugés immoraux par le régime. Des hackers iraniens ciblant les ressources gouvernementales iraniennes (un exemple était la vandification de Khamanei.ir) ont été identifiés par Gerdab et emprisonnés. Gerdab continue d’agir comme censeur interne du gouvernement iranien.

Après la Révolution verte, le gouvernement iranien envisagea d’ajouter une composante cybernétique offensive formelle à son appareil de renseignement existant, et fut contraint de s’attaquer à un problème de personnel. L’Iran avait besoin d’une main-d’œuvre talentueuse, mais politiquement et religieusement fiable. Les assassinats de Stuxnet et de scientifiques rappelaient à l’Iran l’efficacité des programmes du Mossad et de la CIA, et selon les sources de Insikt Group, une idéologie religieuse fervente était le seul moyen de démontrer loyauté et de bâtir la confiance.

L’émergence de l’Armée cyber iranienne (ICA) en tant qu’extension du CGRI fut une première tentative de la République islamique de mener des opérations à orientation internationale. Ces opérations s’éloignaient de l’accent mis par Gerdab sur le maintien des valeurs morales nationales et la défense de la rhétorique gouvernementale. En 2011, l’ICA du CGRI a formé la base du Centre Khaybar pour les technologies de l’information. Selon un ancien commandant cyber du CGRI, le Centre Khaybar a été créé en 2011 et a été lié à plusieurs attaques contre les États-Unis, l’Arabie saoudite et la Turquie.

Même aujourd’hui, l’équilibre entre idéologie et compétences en cybersécurité reste problématique. Un exemple du conflit entre idéologie et compétence est Mohammad Hussein Tajik, un ancien commandant cyber au sein du CGRI. Selon les sources de Insikt Group, le père de Tadjik avait un fort milieu religieux et était un vétéran du ministère iranien du renseignement. Pourtant, le Tadjik a été arrêté et tué parce que le gouvernement iranien craignait que le Tadjik ne soit pas idéologiquement aligné et représentait un risque de trahison et de fuite.

Après la Révolution verte, le gouvernement iranien a dû rapidement améliorer ses capacités cybernétiques, mais selon les sources de Insikt Group, les talents étaient principalement jeunes et axés sur les bénéfices financiers. Cette motivation a engendré la méfiance du gouvernement, car la République islamique craignait que les personnes motivées financièrement ne soient achetées par les services de renseignement étrangers. De plus, beaucoup des premiers hackers iraniens responsables de dégradations massives détestaient l’autorité et manquaient de la discipline nécessaire au travail gouvernemental.

Selon les sources de Insikt Group, la réponse gouvernementale était une approche à plusieurs niveaux, avec un réseau de personnes associées officieusement au CGRI et au gouvernement iranien — un type de management intermédiaire idéologiquement aligné — loyales au régime et démontrant un engagement religieux suffisant. Ce niveau intermédiaire a traduit les priorités du renseignement en tâches cybernétiques segmentées qui étaient ensuite mises en appel d’offres à plusieurs sous-traitants. Parfois, les entrepreneurs se concurrençaient entre eux, parfois ils travaillaient ensemble, mais le paiement n’était effectué qu’une fois l’objectif atteint. Le résultat fut (et reste actuellement) un système quasi-capitaliste opposant les entrepreneurs les uns aux autres pour obtenir de l’influence auprès du gouvernement iranien.

Dans la République islamique, l’influence peut mener à la sécurité et à la richesse, mais elle peut aussi conduire à un faux sentiment de sécurité (personne n’est au-dessus d’être emprisonné et interrogé à tout moment). Ainsi, les entrepreneurs doivent apprendre à jouer le jeu — une adhésion superficielle suffisante à l’idéologie du régime — pour obtenir des répits temporaires face aux soupçons assez longtemps pour se voir confier un travail sous contrat. Pour le gouvernement iranien, l’idéologie est plus importante que les compétences. Une profonde croyance dans les préceptes de l’ayatollah et les objectifs du gouvernement aide à éviter les défections et les traîtres.

Obfuscating Iranian government involvement in offensive campaigns.

Aujourd’hui, sur la base des contacts continus entre les sources de Insikt Groupet les hackers iraniens, on estime qu’il y a plus de 50 organisations en lice pour des projets cybernétiques offensifs parrainés par le gouvernement. Seules les meilleures équipes réussissent, sont payées et restent en activité. Le gouvernement fait de son mieux pour compartimenter — un travail peut être de créer un exploit de code à distance (RCE) pour une application logicielle populaire, tandis qu’un autre peut utiliser le RCE et établir un accès non autorisé persistant. Deux entrepreneurs différents (ou plusieurs) sont généralement nécessaires pour atteindre l’objectif défini par le gouvernement.

Il est également de notoriété publique que les institutions académiques iraniennes jouent un rôle similaire à celui d'un contractant. On peut citer comme exemples spécifiques l'Université Shahid Beheshti (SBU) et l' Université Imam Hossein (IHU), qui possèdent des départements complets de sciences et de technologie attirant certains des meilleurs talents universitaires d'Iran. En réalité, le SBU dispose d'un institut de recherche spécifique sur le cyberespace dédié à ces questions, et l' IHU a été fondée par le CGRI.

Comme le soulignent les actes d’accusation de l’Institut Mabna, malgré la levée des sanctions et l’appétit de renouer avec la communauté internationale, l’Iran a poursuivi des opérations cybernétiques mondiales subversives et agressives Campagne. Cette Campagneen cours, qui vise les universités pour le vol de propriété intellectuelle scientifique et technologique, témoigne d’un manque fondamental de confiance dans les accords internationaux, y compris le Plan d’action complet conjoint (PAGC).

Relations entre le gouvernement iranien, les entreprises de construction et les instances de sécurité

Clearsky, FireEye, Symantec et PhishLabs ont tous mené des recherches importantes sur des Campagne parrainées par des États-nations iraniens, offrant un aperçu historique des capacités techniques et des relations entre le gouvernement iranien et les sous-traitants.

Les travaux des sociétés de sécurité susmentionnées et les récentes mises en accusation du département américain de la Justice apportent des preuves cohérentes que Campagne offensives commanditées par le gouvernement iranien sont exécutées par des contractuels.

FireEye a révélé que l'Institut Nasr était un sous-traitant d'APT 33 dans une opération qui utilisait des portes dérobées et des chevaux de Troie d'accès à distance disponibles publiquement. Le pseudonyme « xman_1365_x » (qui s'identifie lui-même sur les forums de sécurité comme Mahdi Honarvar) a été trouvé par FireEye dans des artefacts de logiciels malveillants, dont les sources ouvertes étaient liées à l'Institut Nasr. Auparavant, l'Institut Nasr avait été associé aux attaques par déni de service distribué de l'opération Ababil contre des banques américaines, une organisation dont un acte d'accusation du département américain de la Justice confirme qu'elle avait été engagée par le gouvernement iranien pour construire une infrastructure d'attaque.

L'acteur xman_1365_x a ensuite été lié à une société de sécurité appelée Kavosh Security via OSINT par l'agence de presse cybernétique iranienne. L'acteur a été lié à une opération destructrice utilisant les familles de logiciels malveillants NewsBeef et StoneDrill. Selon Kaspersky, cette dernière opération d'effacement de données ciblait des secteurs en Arabie saoudite et en Europe.

Les domaines de commandement et de contrôle (C2) utilisés par StoneDrill et NewsBeef dans les conclusions de Kaspersky ont été identifiés comme partageant un certificat SSL, qui a révélé trois domaines supplémentaires dans des recherches de l’Agence iranienne de presse cybernétique. Les informations WHOIS ont ensuite été reliées via des sources ouvertes à l’Université Imam Hossein (IHU). L’IHU a été désignée dans le cadre de sanctions du Trésor américain « pour avoir fourni, ou tenté de fournir un soutien technologique ou autre soutien et services en soutien aux CGRI. »

D’autres contractants iraniens connus publiquement incluent ITSecTeam (ITSEC) et Mersad Company, également liés à l’opération Ababil.

Les liens entre le gouvernement iranien et les entreprises sous contrat sont bien documentés ; cependant, l'identité des groupes et individus spécifiques au sein du gouvernement iranien et du Corps des gardiens de la révolution islamique responsables de Campagne cyberoffensive reste floue, tout comme la relation entre les entreprises sous contrat et les forums de sécurité.

Pourtant, nos recherches et analyses suggèrent que les forums de sécurité iraniens pourraient jouer un rôle dans le recrutement et le partage des connaissances pour les contractuels iraniens. Tout d’abord, FireEye a fait référence à la coque ALFA TEaM, disponible publiquement, dans un e-mail de phishing à la lance APT33 Campagne. L’ALFA Shell est discuté sur plusieurs sites web, notamment Ashiyane et l’Iranian Dark Coders Team Forum.

Historique de la coque de l'équipe ALFA.

Deuxièmement, xman_1365_x a créé un profil Ashiyane le 8 août 2010, apparemment peu de temps après qu'Ashiyane soit temporairement devenu le principal forum de sécurité en Iran, suite à la visite de Behrooz Kamalian au religieux éminent, l'ayatollah Naser Makarem Shirazi.

xman_1365_x créé un profil Ashiyane en 2010.

Enfin, selon les sources du Insikt Group , l'entreprise iranienne ITSEC a spécifiquement employé des pirates informatiques issus des forums en ligne respectifs Simorgh et Delta Security. Par ailleurs, Hossein Asgari, un pirate informatique iranien autoproclamé, gérait le forum Simorgh et travaillait avec son père, qui était employé par le Corps des gardiens de la révolution islamique.

Sources : http://hackingscripts.com/simattacker-shell/

Zone-h a capturé des dégradations de sites web commises par Hossein Asgari.
Sources : http://www.zone-h.org/mirror/id/4479919

Selon les sources du Insikt Group , pour trouver et fidéliser les meilleurs talents en cyberattaque, les entreprises sous contrat avec le gouvernement iranien sont obligées de recruter dans des communautés fermées. Les liens entre les forums et les contractants peuvent illustrer que les communautés de confiance prennent naissance dans les forums de sécurité iraniens.

Analyse du trafic Internet de l’Institut iranien de cybersécurité

Insikt Group a analysé le trafic internet relatif à divers instituts affiliés à l'écosystème cybernétique iranien du 1er mars 2018 au 30 avril 2018. Notre objectif était de déterminer si l’un de ces instituts avait anticipé les intentions de l’Iran dans le cyberespace avant la décision américaine de se retirer de l’accord de Vienne de 2015.

Il s'agit du premier profilage de l'activité internet réalisé par Insikt Group pour les instituts de cybersécurité iraniens. Bien qu'il soit impossible de déterminer si ce niveau d'activité est typique ou non, son suivi au fil du temps afin d'identifier les changements en réponse aux pressions internationales pourrait s'avérer révélateur.

Institut de recherche sur le cyberespace d’Iran

L’Institut iranien de recherche sur le cyberespace (CSRI) est un centre de recherche affilié à la prestigieuse université Shahid Beheshti en Iran. L’institut détient une part significative de l’espace IP alloué à l’université, avec pas moins de huit plages IP enregistrées au CSRI en Iran, selon les archives régionales du RIPE NCC. Les plages sont listées ci-dessous :

Sources : Base de données RIPE NCC, ripe.net.

Insikt Group a identifié plusieurs activités préoccupantes émanant de ces zones.

Nous avons découvert plus de 400 sessions SSH auparavant non déclarées entre les champs de tir du CSRI et les réseaux gouvernementaux et universitaires espagnols du 4 avril 2018 au 9 avril 2018. Ces échanges impliquaient le transfert d’un grand volume de données entre les deux réseaux. Les réseaux espagnols se sont engagés en faveur des départements soutenant la transformation numérique des services publics espagnols et des universités multidisciplinaires. La connectivité directe du réseau entre les institutions iraniennes et espagnoles démontre soit qu’elles entretiennent une relation académique profonde et partagent des données entre elles, soit que le transfert important de données des instituts espagnols est injustifié. Il est peu probable que le CSRI ait un intérêt commercial légitime auprès des ministères espagnols, donc le volume important de données transférées entre les deux réseaux en si peu de temps est un indicateur évident d’une activité potentiellement malveillante.

Tout au long du mois d’avril, le CSRI iranien a simultanément manifesté un intérêt croissant pour le Département philippin des sciences et technologies (DOST). À l’instar des interactions en réseau espagnol, de très grands volumes de données ont été échangés entre les deux réseaux, témoignant d’un fort intérêt.

Ce niveau d’engagement et d’interaction, notamment à la lumière de la réduction des sanctions et du dégel des relations entre l’Iran et l’Occident après le JCPOA de 2015, était attendu entre le milieu universitaire. En fait, en 2015 et 2017, des universités philippines et espagnoles ont convenu d’élargir la coopération scientifique avec les institutions iraniennes. Cependant, compte tenu du parcours du CSRI, de l’intérêt démontré par l’Iran pour l’utilisation des opérations cybernétiques afin de voler des propriétés académiques et intellectuelles, et de nos preuves de Campagne continues ciblant des universités pour des vols dans le monde entier, nous estimons que cette activité entre le CSRI et ces universités espagnoles et philippines pourrait être malveillante.

Le CSRI a également été observé dans un grand nombre d'événements envoyant le bot Parsijoo explorer des sites web d'intérêt. Selon Wikipédia, Parsijoo.ir est le deuxième moteur de recherche le plus populaire en Iran après Google et il utilise le Parsijoobot pour explorer les sites web à des fins d'indexation. Au cours de nos recherches, nous avons constaté des indexations répétées d'un site Web spécialisé dans l'immigration canado-iranienne, www.itc-canada[.]com, Utilisation du bot Parsijoo à partir des plages d'adresses IP CSRI. Ces visites ont été observées tout au long de notre période d'observation, depuis début mars jusqu'à fin avril, ce qui suggère un intérêt marqué et persistant pour ce site en particulier.

Enfin, nous avons identifié CSRI interagissant avec des adresses IP enregistrées au nom de Ravand Cybertech Inc. Ravand Cybertech propose, via son site web ravand[.]com, des solutions d'hébergement cloud, parmi d'autres services. Ravand Cybertech entretient des liens étroits avec le régime iranien. Historiquement, il hébergeait le site web de l'agence de presse conservatrice Fars, affiliée à l'armée iranienne. Les plages d'adresses IP enregistrées de la société se trouvent sous AS12212 avec les préfixes suivants : 198.55.48.0 – 198.55.61.255, 198.55.63.0 – 198.55.63.255 et 207.176.216.0 – 207.176.219.255.

Ravand Cybertech hébergeait un certain nombre de domaines utilisés par un agent du ministère iranien des Services de renseignement (MOIS), Massoud Khodabandeh, dans une Campagne de désinformation menée dans les médias occidentaux. La Campagne a tenté de discréditer et de diaboliser le principal parti d'opposition iranien, l'Organisation des Moudjahidines du peuple d'Iran/Mojahedin-e Khalq (OMPI/MEK). D'après une tribune publiée dans The Hill, le Pentagone a découvert que ces sites web avaient été créés sur ordre de Téhéran. Ravand Cybertech a été identifiée comme une entreprise « gérée par l'État iranien » qui hébergeait des sites de fausses informations visant à diffuser de la propagande iranienne pour saper les efforts des lobbyistes irano-américains.

Au vu du volume d'activité observé lors de nos recherches, nous estimons que le CSRI pourrait être impliqué dans le soutien aux activités de désinformation malveillantes de Ravand Cybertech.

Université Imam Hossein (Université Imam Hussein)

L’Université Imam Hossein complet (IHU) est une université iranienne basée à Téhéran, affiliée au Corps des Gardiens de la Révolution iranienne (CGRI), au ministère iranien de la Science, de la Recherche et de la Technologie, ainsi qu’au ministère iranien de la Défense et de la logistique des forces armées.

Nos recherches se sont concentrées sur les plages de PI publiquement indiquées pour l’université, listées ci-dessous :

Sources : Base de données RIPE NCC, ripe.net.

Au cours de nos recherches, nous avons constaté que l’IHU s’intéressait également beaucoup aux établissements d’enseignement supérieur espagnols et aux départements gouvernementaux spécifiques. En fait, deux des mêmes établissements espagnols ont échangé de grands volumes de données avec les IP de la gamme des sources de l’IHU.

D'autres activités de navigation Web provenant des stations IHU ont été observées vers le site Web de Gamma Technologies, une multinationale américaine spécialisée dans les logiciels d'ingénierie. L'activité de navigation était principalement axée sur son logiciel GT-SUITE. Gamma Technologies est spécialisée dans le développement de logiciels de simulation pour une grande variété d'industries à travers le monde, y compris la production d'énergie.

Institut Mabna

Comme indiqué précédemment, l'Institut Mabna a été publiquement identifié dans un acte d'accusation du FBI comme une société écran se livrant à du cyberespionnage hostile commandité par l'État iranien. Nos recherches OSINT ont identifié un seul domaine, mabna-ins[.]ir, ce qui pourrait correspondre au groupe. Le domaine était auparavant hébergé sur une adresse IP iranienne 5.144.130[.]23 et depuis le 22 avril 2017, pointe vers l'adresse IP VPS allemande 144.76.87[.]86. Ce VPS héberge également plus de 2 000 autres domaines, la plupart en .ir. domaines.

Source: mabna-ins[.]ir

Intentions, scénarios de représailles et recommandations

Aux termes du JCPOA, Téhéran a accepté des restrictions sur son programme d'armement nucléaire en échange d'un allègement des sanctions. Cependant, diverses dispositions de l'accord expirent à des dates différentes au cours des 25 prochaines années, certaines expirant dès 2025.

Le 8 mai 2018, le président Trump a décidé de ne pas renouveler les dérogations suspendant certaines sanctions américaines contre l'Iran et a initié un retrait de facto des États-Unis de l'accord. Suite à cette action, nous estimons que l'Iran réagira probablement rapidement en lançant des attaques destructrices contre des entreprises américaines, européennes et de pays rivaux (comme l'Arabie saoudite et Israël).

Inversement, l’Iran peut également riposter (exclusivement ou en conjonction d’attaques destructrices) via des cyberproxies de manière plus méthodique et soutenue Campagne. Compte tenu de l’impact de la réapplication et de l’élargissement des sanctions économiques, il est probable que les entreprises américaines, européennes et de pays rivaux seront également ciblées par des attaques destructrices plus soutenues.

Comme indiqué ci-dessus, lorsqu'il s'agit de mener des cyberopérations rapides, le régime iranien met en balance la fiabilité religieuse et politique et ses capacités offensives. Les meilleurs opérateurs ne sont pas toujours les plus dévoués ou les plus loyaux au régime et nous estimons que, dans ce cas précis, le Corps des gardiens de la révolution islamique pourrait négliger la sélection et la planification rigoureuses des contractants dans le but de mener une attaque destructrice dans un délai très court.

De plus, nos recherches indiquent qu'en raison de la nécessité d'une réponse rapide, la République islamique pourrait recourir à des contractants moins fiables (et dignes de confiance) sur les plans politique et idéologique et, par conséquent, plus difficiles à contrôler. Il est possible que cette dynamique limite la capacité du gouvernement à contrôler l’ampleur et l’ampleur de ces attaques destructrices une fois déclenchées.

Les entreprises occidentales devraient surveiller de près les événements géopolitiques initiés par les États-Unis ou l’Europe qui affectent l’Iran. Comme démontré ci-dessus, les entreprises occidentales sont les victimes logiques des représailles iraniennes face à des transgressions perçues de la politique américaine ; en particulier les entreprises des services financiers, des ministères, des fournisseurs d’infrastructures critiques, ainsi que des secteurs pétrolier et énergétique.

En plus de surveiller attentivement les développements géopolitiques iraniens, de suivre les tactiques émergentes, TTPs, TTPs (TTPs) sur Ashiyane, il est plus judicieux pour tout programme commercial occidental de renseignement sur les menaces afin de déterminer l’efficacité des contrôles de sécurité existants.