Hamas cyberangrep opphørte etter terrorangrepet 7. oktober. Men hvorfor?

Aktører på nettrussel knyttet til Hamas har tilsynelatende sluttet med aktiviteten helt siden terrorangrepet i Israel 7. oktober, noe som forvirret eksperter.

Kombinasjonskrigføring er gammel lue i 2024. Som Mandiant sa i en nylig publisert rapport, har cyberoperasjoner blitt et "verktøy for første utvei" for enhver nasjon eller nasjonsjustert gruppe rundt om i verden som er engasjert i langvarig konflikt, det være seg politisk, økonomisk eller krigerisk. Russlands invasjon av Ukraina – forut for og støttet av historiske bølger av cyberødeleggelse, spionasje og feilinformasjon – er selvfølgelig kvintessensen.

Slik er det ikke i Gaza. Hvis dagens lekebok skal støtte ressurskrevende kinetisk krig med lavrisiko, lavinvesteringscyberkrig, har Hamas kastet ut boken.

"Det vi så gjennom hele september 2023 var veldig typiske Hamas-tilknyttede cyberspionasjeaktiviteter - deres aktivitet var veldig konsistent med det vi har sett i årevis," sa Kristen Dennesen, trusseletterretningsanalytiker for Googles Threat Analysis Group (TAG), i en pressekonferanse denne uken. «Denne aktiviteten fortsatte til like før 7. oktober – det var ingen form for endring eller oppgang før det tidspunktet. Og siden den gang har vi ikke sett noen betydelig aktivitet fra disse aktørene.»

Å unnlate å øke cyberangrep før 7. oktober kan tolkes som strategisk. Men angående hvorfor Hamas (uavhengig av tilhengerne) har sluttet sine cyberoperasjoner i stedet for å bruke dem til å støtte sin krigsinnsats, innrømmet Dennesen, "Vi gir ingen forklaring på hvorfor fordi vi ikke vet."

Hamas før okt. 7: 'BLACKATOM'

Typiske nettangrep fra Hamas-nexus inkluderer «massefiskekampanjer for å levere skadelig programvare eller for å stjele e-postdata», sa Dennesen, samt mobil spionvare via ulike Android-bakdører som slippes via phishing. "Og til slutt, når det gjelder deres målretting: svært vedvarende målretting mot Israel, Palestina, deres regionale naboer i Midtøsten, samt målretting mot USA og Europa," forklarte hun.

For en casestudie av hvordan det ser ut, ta BLACKATOM – en av de tre primære Hamas-tilknyttede trusselaktørene, sammen med BLACKSTEM (aka MOLERATS, Extreme Jackal) og DESERTVARNISH (aka UNC718, Renegade Jackal, Desert Falcons, Arid Viper).

I september startet BLACKATOM en sosial ingeniørkampanje rettet mot programvareingeniører i de israelske forsvarsstyrkene (IDF), samt Israels forsvars- og romfartsindustri.

Rusen innebar å utgi seg som ansatte i selskaper på LinkedIn og sende meldingsmål med falske frilansjobbmuligheter. Etter første kontakt ville de falske rekruttererne sende et lokkedokument med instruksjoner for å delta i en kodevurdering.

Den falske kodingsvurderingen krevde at mottakerne lastet ned et Visual Studio-prosjekt, utgitt som en personaladministrasjonsapp, fra en angriperkontrollert GitHub- eller Google Drive-side. Mottakerne ble deretter bedt om å legge til funksjoner i prosjektet, for å demonstrere sine kodeferdigheter. Inneholdt i prosjektet var imidlertid en funksjon som i hemmelighet lastet ned, pakkede ut og utførte en ondsinnet ZIP-fil på den berørte datamaskinen. Inne i ZIP-en: SysJoker multiplattform bakdør.

"Ingenting som Russland"

Det kan virke motintuitivt at Hamas' invasjon ikke ville ha blitt paret med et skifte i cyberaktiviteten i likhet med Russlands modell. Dette kan skyldes dens prioritering av operasjonell sikkerhet - hemmeligholdet som gjorde terrorangrepet 7. oktober så sjokkerende effektivt.

Mindre forklarlig er hvorfor den siste bekreftede Hamas-relaterte cyberaktiviteten, ifølge Mandiant, skjedde tilbake 4. oktober. (Gaza har i mellomtiden lidd av betydelige internettavbrudd de siste månedene.)

"Jeg tror det viktigste å trekke frem er at dette er veldig forskjellige konflikter, med veldig forskjellige enheter involvert," sa Shane Huntley, seniordirektør i Google TAG. «Hamas er ingenting som Russland. Og derfor er det ikke overraskende at bruken av cyber er veldig forskjellig [avhengig av] konfliktens natur, mellom stående hærer versus et slags angrep som vi så 7. oktober.»

Men Hamas har sannsynligvis ikke helt trukket tilbake sine cyberoperasjoner. "Selv om utsiktene for fremtidige cyberoperasjoner av Hamas-tilknyttede aktører er usikre på kort sikt, forventer vi at Hamas cyberaktivitet etter hvert vil gjenopptas. Det bør fokuseres på spionasje for etterretningsinnhenting om disse intra-palestinske anliggender, Israel, USA og andre regionale aktører i Midtøsten,» bemerket Dennesen.

• SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
• PlatoData.Network Vertical Generative Ai. Styrk deg selv. Tilgang her.
• PlatoAiStream. Web3 Intelligence. Kunnskap forsterket. Tilgang her.
• PlatoESG. Karbon, CleanTech, Energi, Miljø, Solenergi, Avfallshåndtering. Tilgang her.
• PlatoHelse. Bioteknologisk og klinisk etterretning. Tilgang her.
• kilde: https://www.darkreading.com/threat-intelligence/hamas-cyberattacks-ceased-after-october-7-attack-but-why