Het Amerikaanse ministerie van Financiën heeft nieuwe sancties aangekondigd tegen Iraanse cyberactoren als onderdeel van wat het een ‘ongekende economische campagne voor de hele regering’ tegen de natie en haar facilitators noemde.
“We lanceren een economische aanval op de financiële connecties van Iran over de hele wereld. Ons doel is om elke economische levensader die dit tirannieke regime in stand houdt te verbreken totdat Teheran alleen staat”, zei minister van Financiën Scott Bessent.
De actie, met de codenaam Operatie Economische Outcast, heeft tot doel het Iraanse regime en de Islamitische Revolutionaire Garde (IRGC) af te snijden van de financiële ‘reddingslijnen’ die de ‘leidende staatssponsor van terreur’ ondersteunen.
Daartoe wijzen de sancties bijna 60 met Iran verbonden entiteiten, individuen en schepen aan in nucleaire, raket-, olie- en cybernetwerken, inclusief de digitale activasector. De sancties zijn in het bijzonder gericht tegen een kwaadaardige cybergroep die banden heeft met het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS) en die achter uitgebreide compromitteringen van Amerikaanse kritieke infrastructuurentiteiten en financieel gemotiveerde cyberdiefstal zit.
“Het MOIS leidt verschillende netwerken van cyberdreigingsactoren die betrokken zijn bij cyberspionage ter ondersteuning van de politieke doelstellingen van Iran, waaronder het schaden van Amerikaanse burgers”, aldus het ministerie van Financiën.
Onder de sancties bevinden zich vijf personen die vorige week door het Amerikaanse ministerie van Justitie zijn aangeklaagd in verband met het uitvoeren van wijdverbreide compromissen tegen Amerikaanse entiteiten. Ze zouden lid zijn van het in Teheran gevestigde Mabna Instituut. De namen van de personen staan hieronder vermeld –
Keyvan Fayyaz Ghareh Blagh, Sabre Shahbazi Balujeh en Mohammad Reza Kadkhoda’i worden ervan beschuldigd het grootste deel van de netwerkcompromisactiviteiten uit te voeren, waarbij ze sinds minstens eind 2023 met succes gegevens van meerdere Amerikaanse bedrijven in de kritieke infrastructuursector hebben geschonden en geëxfiltreerd, waaronder energiebedrijven, defensieaannemers, gezondheidszorginstellingen, informatietechnologiebedrijven en financiële instellingen.
“Deze groep voert regelmatig computernetwerkexploitaties uit namens of ten behoeve van het Iraanse MOIS”, aldus het ministerie van Financiën. “De leden van deze groep zijn ook sterk gemotiveerd door persoonlijke verrijking en hebzucht, wat ertoe leidt dat sommige leden hun eigen winsten voorrang geven boven operaties die de MOIS ten goede komen. Dit heeft een deel van de groep ertoe aangezet zich op Iraanse bedrijven te richten.”
Er wordt aangenomen dat de dreigingsactoren in de zomer van 2024 hebben ingebroken in verschillende lokale, provinciale en federale overheidskantoren in de VS. Een jaar later hebben Mojtaba Ghal’eh-Kuhi en Sabre Shahbazi Balujeh gegevens van een Iraans telecommunicatiebedrijf aangevallen en geëxfiltreerd.
Arman Kahzadian heeft zich volgens het ministerie van Financiën vooral gericht op overvallen op cryptovaluta, nadat hij in de zomer van 2023 op illegale wijze de controle had verkregen over een portemonnee die voor meer dan $30.000 aan Bitcoin bevatte.
Uit de analyse van TRM Labs van de 30 portemonnees die gelinkt zijn aan de vijf leden van het Mabna Instituut is gebleken dat er in totaal ongeveer $16,8 miljoen aan ontvangen gelden is ontvangen. Keyvan Fayyaz Ghareh Blagh, het blockchain-analysebedrijf, heeft 10 adressen in bezit die tussen 6 januari 2018 en 20 augustus 2026 gezamenlijk 15,5 miljoen hebben ontvangen, goed voor 92% van het on-chain volume van het netwerk.
Op dezelfde manier hebben 15 portemonnee-adressen geassocieerd met Behzad Mesri tussen 12 juli 2019 en 22 augustus 2026 $1,2 miljoen ontvangen. Het gecombineerde restsaldo van alle 30 adressen is $202.662.
Dat is niet alles. Eerder deze maand maakte TRM Labs bekend hoe twee Britse frontbedrijven Zedcex en Zedxion de operationele financiering voor de IRGC hebben gefaciliteerd, waarbij de beurzen ongeveer $1 miljard aan fondsen verwerkten die verband hielden met de Iraanse strijdkrachten. In een vervolgrapport vorige maand zei DomainTools dat de Zedxion-Zedcex-constellatie alle kenmerken vertoont van een financieel façade-ecosysteem.
“Iran is hier niet het enige doelwit. Sterker nog, de focus ligt op secundaire sancties. Dat is de maximale druk van het ministerie van Financiën. Het ministerie van Financiën brengt elk land en platform dat nog zaken doet met Iran op de hoogte en de ruimte voor digitale activa is een focus van Operatie Economic Outcast”, aldus Ari Redbord, Global Head of Policy bij TRM Labs. “Operatie Economic Outcast gaat helemaal over het werkelijk isoleren van het Iraanse regime, zowel binnen als buiten de keten.”
Tegelijkertijd heeft het Rewards for Justice-programma van het Amerikaanse ministerie van Buitenlandse Zaken een beloning van maximaal $ 10 miljoen aangekondigd voor informatie over personen die zich bezighouden met kwaadaardige cyberactiviteiten tegen Amerikaanse kritieke infrastructuur onder leiding of controle van een buitenlandse regering.
Iraanse dreigingsactoren worden toegeschreven aan een reeks hackcampagnes sinds de VS en Israël in februari 2026 luchtaanvallen tegen het land begonnen uit te voeren, waaronder de inbreuk op het persoonlijke e-mailaccount van Kash Patel, de directeur van het Federal Bureau of Investigation (FBI), evenals recente aanvallen gericht op meer dan dertig water- en afvalwaterbedrijven in ten minste twaalf Amerikaanse staten.
De cyberactiviteiten hebben zich ook uitgebreid naar Amerikaanse bondgenoten zoals Groot-Brittannië, waarbij vermoedelijke Iraanse hackers de schuld kregen van het veroorzaken van een vierdaagse sluiting van een kleine energiecentrale na een cyberaanval vorige maand, aldus The Telegraph. De Britse regering benadrukte echter dat er geen risico was voor het bredere energiesysteem als gevolg van het incident, waarbij een kleinschalige energieproducent werd getroffen. De naam van de faciliteit werd niet bekendgemaakt.
De ‘Economische D-Day’ komt op het moment dat SentinelOne de met Iran verbonden activiteiten karakteriseerde als een veelzijdige dreiging die bestaat uit verschillende clusters, elk met hun eigen specifieke missie, doelgerichtheid en handelswijze. Dit kan variëren van gegevensverzameling en -vernietiging tot social engineering, cloudcompromis, surveillance van dissidenten en opportunistische targeting van blootgestelde operationele technologiemiddelen.
“Het belangrijkste strategische risico is de optionele toegang”, zei beveiligingsonderzoeker Tom Hegel in een eind vorige maand gepubliceerde beoordeling. “Dezelfde gecompromitteerde account, serviceprovider of beheer op afstand kan het verzamelen van inlichtingen, downstream targeting of selectieve verstoring ondersteunen als de taak verandert.”
Het aanhoudende conflict heeft ook geleid tot de opkomst van een pro-Iran hacktivistisch (en faketivistisch) ecosysteem, een gedecentraliseerde mix van ‘jihadistische cybercollectieven, nationalistische actoren en aan de staat grenzende invloedsnetwerken’ die opereren via Telegram-kanalen en websites, gedeelde doelwitlijsten, DDoS-for-hire-tools en gerecyclede datalekken en lekversterkingscampagnes, volgens DomainTools Investigations (DTI).
De activiteiten van de groepen zijn niet gemotiveerd door cyberspionage, staatsgerichte cyberoperaties of doorzettingsvermogen op de lange termijn. Het einddoel is veeleer om samen te werken als een losjes mobilisatienetwerk, psychologische, politieke en economische druk uit te oefenen op tegenstanders, en deel te nemen aan gesynchroniseerde oorlogs- of antiwesterse/Israëlische boodschappen.
“Aanvalsclaims en propaganda verschijnen vaak binnen enkele uren na kinetische gebeurtenissen”, aldus DTI. “De meeste activiteiten blijven technisch gezien ongekunsteld. Het strategische effect komt minder voort uit technische capaciteiten dan uit snelheid, zichtbaarheid en ideologische kaders die de nieuwscycli bereiken. In de praktijk gebruiken deze actoren cyberactiviteit als schaalbare asymmetrische informatieoorlog.”
