El gobierno iraní se organiza bajo un sistema de distribución de poder donde el Líder Supremo tiene autoridad final sobre las Fuerzas Armadas. Antes de cualquier operación militar, el Líder Supremo informa al Consejo Supremo de Seguridad Nacional (SCNS), que coordina políticas exteriores y domésticas.
estructura del poder
El SCNS se compone de secretarios asignados por el Líder Supremo y comandantes militares y de seguridad. El SCNS comunica con el Staff General de las Fuerzas Armadas y el Mando de Khatemolanbia (KCHP), quienes se encargan de la ejecución operativa.
rol del presidente
El presidente no tiene control sobre las fuerzas armadas. El IRGC es una institución con múltiples mandos: armada, inteligencia (IO), fuerzas especiales (Qods), ciber (CEC) y otros.
actividades militares
El IRGC ha destacado por entrenar, financiar y armar grupos chiitas como proxies en Oriente Medio. Algunas operaciones atribuidas públicamente incluyen suministro de explosivos a grupos chiitas que resultaron en la muerte de militares estadounidenses.
operaciones internacionales
El IRGC apoya, forma y proporciona inteligencia a los hutíes de Yemen en su conflicto contra Arabia Saudita. El IRGC ha realizado ataques contra EE.UU. y sus aliados en Irak y Siria como represalia por la muerte del comandante Qasem Soleimani.
influencia electoral
El IRGC ha participado en operaciones de influencia en las elecciones presidenciales de EE.UU. en 2024. Irán cuenta con dos instituciones principales de inteligencia: el Ministerio de Inteligencia y Seguridad (MOIS) y el IRGC, ambas con capacidades cibernéticas.
ataques ciber
A principios de 2023, Mint Sandstorm, un clúster asociado al IRGC, inició una campaña contra entidades gubernamentales de Israel. La campaña incluyó tácticas como spearphishing con temas relacionados con proyectos iraquíes y técnicas como keylogging y grabaciones de audio.
metodología del ataque
El ataque comenzaba con un archivo cebo en formato ISO que activaba un malware ofuscado. El malware descargaba PowerLess, un programa escrito en C++ y C# que implementa técnicas de evasión contra AMSI y ETW.
campaña BellaCiao
PowerLess finalmente ejecutaba un script en PowerShell con capacidades de stealer. A principios de 2023, Mint Sandstorm lanzó la campaña BellaCiao cuyo nombre se refiere a la percepción de Irán como un país en lucha contra el mundo.
objetivo de la campaña
La campaña tuvo como objetivo robar información en infraestructuras críticas de países como EE.UU., Italia, Israel, Austria e India. El acceso inicial se logró aprovechando vulnerabilidades en Microsoft Exchange Servers como ProxyShell y ProxyNotShell.
persistencia del malware
Una vez instalado el malware, se deshabilitaba el antivirus mediante comandos de PowerShell y se establecía persistencia con servicios que imitaban procesos legítimos. Se descargaron dos backdoors que verificaban la autenticidad de las conexiones utilizando parámetros en las cabeceras X-Beserver-Verify y X-Forward-Verify.
uso de herramientas
Ambos utilizaban herramientas públicas como IISRaid. BellaCiao actuaba como un dropper, permitiendo la creación de otros artefactos maliciosos. Su método de comunicación era sigiloso, ya que procesaba respuestas DNS del C2 para recibir instrucciones.
acciones contra disidentes
En agosto de 2023, el servicio de inteligencia interior alemán BFV publicó que ciudadanos disidentes iraníes eran objetivos de campañas de ciberespionaje por parte del IRGC y Mint Sandstorm. Anteriormente, el NCSC británico y MI5 habían informado sobre amenazas hacia ciudadanos ingleses considerados enemigos de Irán.
informe de CERTFA
Las acciones reportadas por el BFV estaban relacionadas con el IRGC y Mint Sandstorm según el CERTFA.