Iraanse invloedsoperaties - IRGC, MOIS, Basij gezamenlijke campagne

Een tiental jaar geleden verplaatste Treadstone 71 het doelwit van tegenstanders van strikt cyberjihadistische activiteiten naar Iran. We volgden bewegingen van de eerste hackgroepen die hun activiteiten volgden, van defacements op laag niveau tot het herbestemmen van Stuxnet om een ​​erkende wereldmacht te worden in cyber- en beïnvloedingsoperaties. Treadstone 71 is gespecialiseerd in het monitoren van Iraanse cyber- en beïnvloedingsoperaties, onderzoek naar hackgroepen en publiceert regelmatig informatie en inlichtingen over hun activiteiten. Veel berichten beschrijven de cyberactiviteiten, organisatiestructuren, interne rekruteringsmethoden, educatieve activiteiten, cyberconferenties, informatie over malware en bedreigingsactoren en hun capaciteiten, van de Islamitische Revolutionaire Garde (IRGC) en het Ministerie van Inlichtingen en Veiligheid (MOIS). Binnen die patronen zoeken we continu naar patronen en trends. We onderzoeken tendensen van tegenstanders op online forums, blogs en sociale mediasites. In de aanloop naar de Amerikaanse presidentsverkiezingen van 2020 concentreerden we ons op sociale media en zochten we naar mogelijke infiltratie die kiezers zou treffen. In de aanloop naar de Amerikaanse presidentsverkiezingen van 2020 hebben we ons gericht op sociale media en op zoek naar mogelijke beïnvloedingsoperaties die de kiezers kunnen beïnvloeden. In juli van dit jaar kwamen we zeer ongebruikelijke pieken in de sociale media-activiteit tegen die op het eerste gezicht willekeurig leken. Een nadere blik leidde ons in een richting die we niet hadden verwacht. Zoals bij veel inspanningen op het gebied van analyse van strategische intelligentie, zijn de verzamelde gegevens het bewijs dat de bevindingen aandrijft. De bevindingen hierin leidden ons op een pad dat we niet hadden verwacht.

Campagnekerngebruikers

Ten minste vier accounts speelden een essentiële rol bij het beheren van de campagne om ervoor te zorgen dat de hashtag in Iran populair is. Minstens negen andere accounts van IRGC Cyber ​​Units waren verantwoordelijk voor het beheren en uitbreiden van de campagne in verschillende sociale omgevingen. (Figuur 1 in het rapport)

De laatstgenoemden, de meesten met een hoog volgerschap, portretteerden zichzelf als 'monarchisten', 'hervormers' of 'voorstanders van regimeverandering' in verschillende sociale omgevingen, terwijl ze inhoud tweeten om aan de beschrijving te voldoen, terwijl ze een serieuze rol speelden onder de gegeven persona bij het mobiliseren en uitbreiden van de campagne tegen de MEK.

Een belangrijk kenmerk van deze accounts zijn de persona's van jonge vrouwen die zichzelf vermommen terwijl ze nietsvermoedende gebruikers aantrekken en lokken voor uitbreiding van berichten en mogelijke samenwerking. 

De RGCU lanceerde de primaire campagne op 17 juli om 16:59 CEST, onmiddellijk na de toespraak van Maryam Rajavi, waarmee het proces van publieksbetrokkenheid, accountmobilisatie en hashtag-herhaling werd gestart. De gecoördineerde lancering hielp om identificeerbare Twitter-trending te creëren. De RGCU breidde de campagne uit door tweets en inhoud van invloedrijke kernleden te verspreiden en opnieuw te publiceren. De herpublicatie veroorzaakte duizenden bots en nepaccounts met een laag volgersaantal van Basij Cyber ​​Units.

In het rapport

Met de komst van influencers (Figuur 3 in het rapport) ging de campagne de volgende operationele fase in. De inhoud en tweets werden verspreid en opnieuw gepubliceerd door die invloedrijke IRGC Cyber ​​Units. Het verhaal tussen deze gebruikers onthult hun rol bij het promoten van de campagne en het doel van de persona's.

Duizenden bots en nepaccounts met weinig volgers van Basij Cyber ​​Units hebben op grote schaal heruitgegeven en geretweette tweets gepubliceerd door influencers en geretweet en gepromoot door andere accounts die de opgegeven hashtag hadden gebruikt.

Deze campagne werd 60.6 uur voortgezet door de IRGC Intelligence Cyber ​​Units met behulp van duizenden laagbetaalde Basij-accounts die leken op een Dunbar's Number concentrische vertrouwenscirkels in het hele land (Figuur 4 in het rapport).

Campagneoverzicht en analyse op basis van beschikbare gegevens en onderzoek:

• De IRGC was van plan de verspreiding van MEK's berichten door heel Iran via sociale media te beïnvloeden en te overstemmen door een stroom van negatieve berichten te creëren met behulp van propaganda.
• Met behulp van tweets, vermeldingen en retweets roepen IRGC-proxygroepen op om de berichten verder te verspreiden dan proxy's naar nietsvermoedende Twitter-gebruikers
• De campagne gebruikte een reeks bots om buzz te creëren en het gebruik te vergroten.
• Anonieme communicatie vond plaats via @BChatBot en @BiChatBot niet-inclusief op Telegram voor communicatiedoeleinden tussen Cyber ​​Units, om te voorkomen dat Twitter een georganiseerde campagne organiseert en beperkingen op de accounts implementeert.
• De Nejat Society (het geesteskind van het ministerie van Inlichtingen) gebruikte tegelijkertijd al haar sociale media-accounts en publiceerde berichten met een negatieve connotatie over Iraanse dissidenten die een negatief verhaal creëerden. (De actieve deelname van Nejat Society aangesloten bij het MOIS aan deze campagne maakt de aard van de operatie duidelijk).
• De IRGC cyber chain-of-command coördineerde waarschijnlijk de communicatie tussen de verschillende Cyber ​​Units. Social media-inhoud creëerde identificeerbare patronen, traceerbare trends en duidelijke gebruikersneigingen.

Treadstone 71 is van mening dat de operatie in strijd is met veel Twitter-regels met betrekking tot het "Platformmanipulatie- en spambeleid", het "Nabootsingsbeleid" en het "Synthetische en gemanipuleerde mediabeleid".