Iranian Cyber Response to Death of IRGC Head Would Likely Use Reported TTPs and Previous Access

Iranian Cyber Response to Death of IRGC Head Would Likely Use Reported TTPs and Previous Access

Recorded Future’s Insikt Group® reviewed available information to analyze the likelihood of Iranian response to the killing of Qassem Suleimani. This report serves to provide a compilation of likely tactics, tools, and groups involved in a cyber-based retaliation.

This report will be of greatest interest to organizations concerned with being targeted by an Iranian state-sponsored group, especially in the wake of heightened tensions in the Persian Gulf, as well as those following Middle Eastern geopolitical events.

Insikt Group fournira des mises à jour dès que de nouvelles informations concernant ces incidents ou les cybermenaces qui y sont liées seront disponibles. Veuillez consulter ces liens pour obtenir des informations supplémentaires sur la manière dont L'Iran gère des cyberopérations dirigées par l'État et sur l'histoire de certains hackers patriotiques soutenus par l'État. Les sources comprennent des renseignements provenant de la plateforme Recorded Future® et d'autres sources ouvertes.

Executive Summary

Aux premières heures du 3 janvier, Qassem Suleimani, chef du Corps des gardiens de la révolution islamique – Force Qods (CGRI-QF) iranien, Abu Mahdi al-Muhandis, chef adjoint des Forces de mobilisation populaire (PMF) irakiennes, et plusieurs autres personnes ont été tués dans une frappe américaine près de l'aéroport international de Bagdad, en Irak. Nous estimons que la mort de Suleimani et d'al-Muhandis, en particulier, est très susceptible de provoquer une réaction de l'Iran et de ses alliés, qui pourrait prendre la forme de mesures de représailles asymétriques menées par les forces militaires iraniennes et leurs milices alliées contre les intérêts des États-Unis, de leurs partenaires gouvernementaux et des entreprises dans la région, au Moyen-Orient.

Key Judgments

Background

Tard dans la soirée du 2 janvier 2020, heure de l'Est, la presse a révélé qu'une frappe de missiles américains avait eu lieu près de l'aéroport international de Bagdad, en Irak. L'attaque aérienne a causé la mort de plusieurs personnes, dont Qassem Suleimani, chef du Corps des gardiens de la révolution islamique iranienne – Force Qods (CGRI-QF), et Abu Mahdi al-Muhandis, chef adjoint d'une milice irakienne appelée Forces de mobilisation populaire (PMF). Parmi les personnes qui auraient été tuées figurent plusieurs autres représentants des PMF, dont Mohammed Ridha Jabri, responsable des relations publiques du groupe. Une déclaration dudépartement américain de la Défense, ainsi que des informations publiées par les médias officiels iraniens, ont confirmé la frappe et indiqué que Suleimani était la cible de l'attaque.

Threat Analysis

Insikt Group assesses that the death of Suleimani in particular will likely provoke a response from the Iranian government, including multiple scenarios involving retaliatory asymmetric measures executed by Iranian military assets, proxies, or their allied militias against U.S. government and business interests in the Middle East, as well as U.S. regional partners, such as Saudi Arabia, the United Arab Emirates (UAE), and Israel.

Au moment de la rédaction du présent rapport, Recorded Future a observé une réponse unanime des dirigeants militaires, diplomatiques et politiques iraniens, qui ont tous déclaré qu'une riposte aurait lieu, sans toutefois préciser quand, comment et où elle se produirait. Le 3 janvier 2020, le Guide suprême iranien Ali Khamenei a déclaré qu'une « vengeance sévère » attendait ceux qui avaient mené l'attaque contre Suleimani et a décrété trois jours de deuil national en mémoire du commandant du CGRI-QF. Le 5 janvier, le conseiller militaire du Guide suprême iranien, le général Hossein Dehghan, a déclaré que la réponse de l'Iran serait « sans aucun doute militaire » et dirigée contre des « sites militaires » américains.

Reading the Need to Retaliate

Au cours des dernières années, le général Soleimani aurait bénéficié d' un large soutien populaire, en partie grâce à l'idée qu'il était à l'origine des stratégies qui ont protégé le pays des attaques terroristes et des menaces posées par le groupe État islamique (EI). Plusieurs rapports suggèrent que la mort de Soleimani a suscité un appel distinct à la riposte, ce qui est inhabituel dans l'histoire militaire récente de l'Iran, sauf dans les cas où des actes de violence extrême ont touché le gouvernement ou le personnel militaire iranien. On peut citer comme exemples l'attaque perpétrée par l'EI contre le Parlement iranien en juin 2017 et la décapitation d'un officier du CGRI, Mohsen Hojaji, par l'EI en août 2017. Le premier a conduit à une attaque de missiles balistiques contre l'EI, tandis que l'officier du CGRI Hojaji est devenu un symbole de la lutte contre l'EI. À l'époque, Soleimani, parmi de nombreux hauts responsables du CGRI, avait dirigé la réponse à la mort de Hojaji.

Un exemple historique qui, selon nous, illustre bien l'approche plus calculée que l'Iran est susceptible d'adopter en réponse à la mort de Soleimani est l'assassinat de diplomates iraniens par les talibans afghans en 1998. En 1998, près d'une douzaine de diplomates iraniens ont été tués par les talibans afghans, un incident qui a provoqué un tollé général contre le groupe taliban et la mobilisation d'environ 200 000 militaires iraniens. Une étude menée par la RAND Corporation a mis en évidence un processus décisionnel pragmatique au sein du gouvernement iranien pour faire face à la crise afghane. Malgré les intérêts radicaux de l'IRGC et des fronts politiques radicaux en faveur d'une intervention militaire contre leur ennemi idéologique, le Guide suprême Khamenei a préféré opter pour une réponse « sans risque de guerre ». De même, le 5 janvier 2020, le général Hossein Dehgan, membre du Corps des gardiens de la révolution islamique et conseiller principal de Khamenei, a déclaré que l'Iran réagirait militairement à l'assassinat de Soleimani, mais ne chercherait pas la guerre.

Insikt Group assesses that Iran is likely to pursue a measured asymmetric response, as it balances the need to offset the pressure of Soleimani’s death without further fueling the potential for direct military engagement with the U.S.

Examples of Recent Asymmetric Retaliatory Attacks

Previous suspected retaliatory measures taken by Iran or Iranian-backed forces in the past include but are not limited to:

Iran has a number of highly capable computer network operations teams that may be involved in a response against the United States, regional partners, and Western interests. Recorded Future believes that previous accesses gained from espionage operations will very likely facilitate these retaliatory actions. Most notably, Iranian teams have used a destructive cyber capability in prior escalations, which we assess demonstrates both a willingness and ability to deploy such malware in similar situations. Iranian actors are also known to favor web shells, password spraying, and a combination of custom and commodity malware to gain access to target environments. Despite the use of destructive malware in previous cyber response scenarios, the death of General Soleimani in a U.S. airstrike is a unique situation and injects significant uncertainty into our assessments regarding which cyber capabilities Iran will likely leverage against which regional U.S. and partner interests.

En juin 2019, Recorded Future a observé une activité malveillante du groupe APT33 visant l'industrie, les infrastructures critiques et les entités gouvernementales américaines. Peu après, le 22 juin, le président américain Donald Trump a déclaré que son administration avait lancé des cyberattaques contre les systèmes de missiles iraniens dans un contexte de tensions accrues dans le golfe Persique. L'Iran a également été accusé d'avoir placé des mines magnétiques sur un pétrolier japonais dans le golfe, ce qui a exacerbé les tensions dans la région. À cette époque, en juin 2019, l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency) avait signalé une augmentation du nombre d'acteurs liés à l'Iran déployant des logiciels malveillants de type « wiper » sur leurs cibles. Cependant, le directeur technique du Centre des opérations de lutte contre les menaces (Threat Operations Center) de la NSA avait déclaré que les acteurs iraniens poursuivaient leurs opérations normales de collecte de renseignements axées sur l'espionnage, et non sur la destruction.

Previous Access and Tools May Tip Cyber Response

Recorded Future anticipates continued targeting of U.S. industry, critical infrastructure, and government entities by Iranian threat actors during this period of heightened tension. Although we assess that Iranian actors will continue to target domestic U.S. government, military, and commercial entities for cyberespionage purposes, organizations in the Persian Gulf region are at the greatest risk for destructive cyberattacks. Further, we judge that Iranian actors APT33, APT34 (also known as OilRig), or MUDDYWATER will also likely target United States allies and partners in the Middle East in cyberespionage operations. We anticipate the continued mixture of custom and commodity tooling, and recommend that organizations monitor for suspicious Powershell and WMIC-based behavior in particular.

We assess that previous credential-gathering activities conducted by APT33, APT34, and APT35 may be used to gain initial access to targeted environments. Notable recent events include:

Destructive Malware

APT33 and APT34 have been linked to destructive malware attacks against the oil and gas sector, using Shamoon, DEADWOOD, and ZeroCleare.

Nationalistic and Pro-Regime Hacktivism

Nous estimons que le régime iranien prendra probablement le temps de réfléchir à une réponse à l'assassinat du général Suleimani. À l'opposé, les cyberacteurs favorables au régime (mais non dirigés par le gouvernement) continueront probablement à mener des activités perturbatrices. Recorded Future a connaissance d'activités de défiguration menées par des hacktivistes dans les heures qui ont suivi l'annonce de la mort de Suleimani, notamment contre des institutions gouvernementales américaines. En outre, nous avons également observé la diffusion de désinformation parmi les partisans du CGRI. D'après nos observations des discussions entre les groupes hacktivistes, nous estimons que les attaques risquent de s'intensifier contre des cibles plus vulnérables, telles que les sites Web, les serveurs et les bases de données peu protégés.

Il n'est pas impossible que des acteurs déploient le ransomware SamSam ou des campagnes similaires sous le couvert d'activités criminelles. Bien qu'il n'existe aucune preuve permettant de conclure que les deux acteurs étaient affiliés au gouvernement iranien, Téhéran est sans aucun doute au courant de ces opérations et des moyens utilisés.

Outlook

We assess that Iran may exercise a response to the killing of General Qassem Suleimani that will more aggressively rely on cyberattacks rather than kinetic ones, which will likely take the form of espionage or sabotage.

Cette cyber-réponse, probablement l'une des nombreuses contre-mesures asymétriques potentielles, peut être menée directement par les services de renseignement ou des groupes militaires iraniens, par leurs sous-traitants ou par d'autres intermédiaires. Ces mesures seront très probablement alimentées par des accès antérieurs et des informations obtenues lors d'opérations d'espionnage. Il sera probablement difficile d'attribuer ces intrusions et de les distinguer d'autres intrusions opportunistes.

En outre, les cas récemment documentés de groupes soutenus par l'État russe qui ont détourné et utilisé des infrastructures iraniennes pour mener des cyberopérations ont ajouté à l'incertitude qui entoure le suivi et l'attribution des activités d'espionnage ou de destruction menées par l'Iran. Nous estimons que ce détournement d'infrastructure et l'incertitude accrue augmentent le risque qu'un incident soit attribué à tort et interprété à tort comme une escalade. Il existe d'autres parties prenantes au Moyen-Orient que les États-Unis et leurs alliés, d'une part, et l'Iran et ses mandataires, d'autre part. L'injection d'une incertitude supplémentaire par le biais d'opérations russes se faisant passer pour iraniennes pourrait contribuer à créer un climat de chaos ou de confusion à la suite d'une cyberintrusion. Cela augmente le risque d'attributions erronées et d'escalade injustifiée, car nous ne savons pas dans quelle mesure la Russie a compromis les infrastructures opérationnelles cybernétiques iraniennes.

Suggested Mitigations