Nach Angaben des Finanzministeriums gehören Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh, Mohammad Reza Kadkhoda’i, Mojtaba Ghal’eh-Kuhi sowie zwei bereits zuvor sanktionierte Männer zu einem Team, das seit 2023 Cyberangriffe im Auftrag des MOIS durchführt und für „umfangreiche Kompromittierungen kritischer US-Infrastruktur und finanziell motivierten Cyberdiebstahl" verantwortlich sei.
„Das MOIS steuert mehrere Netzwerke von Cyberakteuren, die Cyberspionage zur Unterstützung der politischen Ziele Irans betreiben – dazu gehört auch, amerikanischen Zivilisten zu schaden", erklärte die Behörde. Blagh, Balujeh und Kadkhoda’i sollen den Großteil der ersten Einbrüche und Datendiebstähle der Gruppe verantwortet haben.
Zu den Zielen zählten laut Finanzministerium Energieunternehmen, Rüstungszulieferer, Gesundheitseinrichtungen, IT-Firmen und Finanzinstitute. Im Sommer 2024 sei es der Gruppe zudem gelungen, mehrere Behörden auf kommunaler, bundesstaatlicher und föderaler Ebene in den USA zu kompromittieren. Die Mitglieder seien „stark von persönlicher Bereicherung und Gier getrieben", was dazu geführt habe, dass einige eigene Profite über Operationen im Interesse des MOIS stellten. Mehrere Beteiligte sollen auch iranische Unternehmen angegriffen und Kryptowährung von Haltern im eigenen Land gestohlen haben.
Seit die USA im Februar mit Luftangriffen gegen den Iran begonnen haben, werden iranischen Akteuren mehrere Kampagnen zugeschrieben, darunter jüngste Angriffe auf Wassersysteme in mindestens zwölf US-Bundesstaaten. Teheran reklamierte außerdem Cyberangriffe auf einen bekannten Medizintechnikhersteller sowie auf das private E-Mail-Konto des FBI-Direktors für sich.
Auch Verbündete der USA gerieten ins Visier. Der britische Energieminister Michael Shanks erklärte in sozialen Medien, die Regierung habe die Chefs der Energieunternehmen unterrichtet und weitere Empfehlungen zu Schutzmaßnahmen an die Branche weitergegeben.
Parallel warnten FBI und National Security Agency in der vergangenen Woche, dass nicht näher benannte Angreifer gezielt speicherprogrammierbare Steuerungen (PLC) ins Visier nehmen – Komponenten der Betriebstechnik, die in der Energie-, Wasser- und Landwirtschaftsbranche verbreitet sind.
Markus Mueller, Sicherheitsexperte bei Nozomi Networks mit Berufserfahrung in Kraftwerken, bezeichnete den Angriff auf die britische Anlage als „erhebliche Eskalation" gegenüber den Attacken auf Wasserversorger. „Das ist die Art von Anlage, bei der ein fähiger Gegner, der die Systeme versteht, realen Schaden anrichten könnte", sagte er und verwies auf Berichte, wonach bei dem Vorfall eine ungesicherte PLC eine Rolle spielte. „Wenn ein Angreifer in das zentrale Steuersystem gelangt, das Turbine oder Kessel betreibt, entsteht ein größeres Sicherheitsrisiko."