A análise das contas em redes sociais associadas a representantes iranianos e a estruturas ligadas à respetiva embaixada em Portugal revela um conjunto consistente de padrões que devem merecer atenção séria de quem se preocupa com a segurança interna, a cibersegurança e a própria resiliência democrática do país.

Estamos a falar de um regime cujo parlamento, com todos os deputados vestidos de uniforme, aprovou de forma unânime uma declaração política que classifica como “hostil” a decisão da União Europeia de designar a Guarda Revolucionária do Irão como organização terrorista e que, em retaliação, declarou como “terroristas” todos os militares de todos os países europeus que integram a NATO, incluindo Portugal. Esta decisão não é simbólica nem retórica. A partir de fevereiro, à luz desta votação, todos os militares portugueses, em território nacional ou no estrangeiro, passam a ser formalmente considerados “alvos legítimos” pelas forças direta ou indiretamente controladas por Teerão na Síria, no Iraque, no Iémen, no Líbano ou na Palestina, bem como pelas próprias forças militares e paramilitares do regime iraniano. Trata-se de uma ameaça direta, credível e particularmente grave, sobretudo no cenário de uma eventual operação militar norte-americana contra alvos na República Islâmica.

Neste enquadramento, importa compreender a dimensão cibernética da ameaça. A Guarda Revolucionária iraniana é apontada, por consenso alargado entre especialistas, como estando por detrás do APT33, também conhecido como Holmium, Elfin ou Peach Sandstorm. Este grupo de guerra cibernética segue um modelo clássico de intrusão estatal, pouco sofisticado do ponto de vista técnico, mas altamente eficaz na persistência e no volume das suas operações externas. O ponto de partida é quase sempre o erro humano, através de campanhas de spearphishing com anexos comprimidos ou links para ficheiros HTML e HTA maliciosos, muitas vezes mascarados de comunicações legítimas. Em paralelo, recorre de forma sistemática a password spraying contra contas corporativas e serviços cloud, explorando más práticas crónicas de gestão de palavras-passe e reutilização de credenciais.

Após o acesso inicial, o grupo aposta fortemente em ferramentas públicas e amplamente conhecidas. PowerShell, VBScript e frameworks como Empire, PoshC2 ou PowerSploit são usados para descarregar payloads, executar código e manter controlo remoto. Não há inovação técnica nem desenvolvimento de ferramentas próprias de raiz. Há reutilização agressiva de ferramentas comuns a outros APT, o que dificulta a atribuição imediata e dilui sinais claros de ataque. A recolha de credenciais é central na sua doutrina operacional. O grupo extrai palavras-passe de browsers, ficheiros, políticas de grupo e da memória do sistema, recorrendo a ferramentas como LaZagne e Mimikatz e a técnicas de dump do LSASS, complementando este esforço com sniffing de rede sempre que........

© Observador