Handala ist unter zahlreichen weiteren Bezeichnungen bekannt, darunter Handala Hack, Banished Kitten, Dune, Hanzalah Hacking Group, Homeland Justice, Red Sandstorm, Storm-0842 und Void Manticore. Die Gruppe ist mindestens seit 2008 aktiv und deckt ein breites Spektrum von Aktivitäten ab – von Hacktivismus bis hin zu destruktiven Angriffen.

Im März brachten die USA Handala offiziell mit dem iranischen Geheimdienstministerium (Ministry of Intelligence and Security, MOIS) in Verbindung. Anlass war ein störender Angriff auf den US-amerikanischen Medizintechnikkonzern Stryker. Laut SOCRadar deutet die Zuordnung zum MOIS – und nicht zur Iranischen Revolutionsgarde (IRGC) – darauf hin, dass es sich „eher um eine Geheimdienst- und Beeinflussungsoperation als um eine rein militärische" handele. Ziel seien psychologischer Schaden und Datensammlung, nicht allein technische Störung.

Die aktuelle Kampagne gegen US-Soldaten in Bahrain begann nach Angaben des Berichts zu Jahresbeginn mit Angriffen auf israelische Infrastruktur und steigerte sich zu direkten Konfrontationen mit US-Einrichtungen und Militärangehörigen.

Im Zuge des Stryker-Angriffs behauptete Handala, mithilfe kompromittierter Administrator-Zugangsdaten in Microsoft Intune mehr als 200.000 Systeme gelöscht zu haben. Die Gruppe gab zudem an, das private Gmail-Konto von FBI-Direktor Kash Patel gehackt zu haben. Die USA bestätigten den Vorfall und setzten eine Belohnung von 10 Millionen US-Dollar für Hinweise aus, die zur Identifizierung und Festnahme von Handala-Mitgliedern führen.

Mit eigener Schadsoftware, kommerziellen Werkzeugen und Methoden des Social Engineering hatte die Gruppe zuvor zahlreiche israelische Organisationen angegriffen – von Kindergärten bis zu nuklearen Forschungszentren. Handala setzt dabei auf Wiper-Schadprogramme (BiBi Wiper, CoolWipe, ChillWipe, Hamsa und Hatef) und nutzt die Telegram-Bot-API für die Kommunikation mit der Command-and-Control-Infrastruktur.

SOCRadar ordnet die Gruppe in eine größere iranische Geheimdienststruktur ein: Sie erhalte den ersten Netzwerkzugang von technisch versierteren Akteuren und habe gezeigt, dass sie erheblichen operativen Schaden anrichten könne, sobald sie ihr Ziel erreiche. Die Verlagerung hin zu direkten Drohungen gegen Militärangehörige über persönliche Kommunikationskanäle zeige, dass sie bereit sei, über Unternehmens- und Infrastrukturziele hinauszugehen.