美國財政部宣布對伊朗網路行為者實施新一輪制裁，稱這是對伊朗及其支持者的「前所未有的、全政府性的經濟行動」。

財政部長史考特·貝森特表示：「我們正在對伊朗的全球金融聯繫發動經濟攻勢。我們的目標是切斷維持這個暴政政權的每一條經濟生命線，直到德黑蘭孤立無援。」

這項代號為「經濟逐客行動」（Operation Economic Outcast）的措施，旨在切斷伊朗政權和伊斯蘭革命衛隊（IRGC）的資金「生命線」，以支持「領先的國家級恐怖主義贊助者」。

為此，制裁措施鎖定了近 60 個與伊朗有關的實體、個人和船隻，涵蓋核能、飛彈、石油和網路領域，包括數位資產領域。具體而言，制裁措施針對一個與伊朗情報和安全部（MOIS）有關聯的惡意網路組織，該組織是美國關鍵基礎設施遭受廣泛破壞和金融詐騙的幕後黑手。

財政部表示：「MOIS 指揮著幾個網路威脅行為者網絡，這些網絡參與網路間諜活動，以支持伊朗的政治目標，包括傷害美國平民。」

被制裁者包括五名個人，他們在上週被美國司法部起訴，指控他們對美國實體進行了廣泛的破壞活動。據稱，他們是總部位於德黑蘭的 Mabna 研究所的成員。以下是這些個人的姓名——

Keyvan Fayyaz Ghareh Blagh、Saber Shahbazi Balujeh 和 Mohammad Reza Kadkhoda'i 被指控自至少 2023 年底以來，代表或為了伊朗 MOIS 的利益，進行了大部分的網路破壞活動，成功入侵了美國多家關鍵基礎設施領域的公司並竊取了數據，包括能源公司、國防承包商、醫療機構、資訊科技公司和金融機構。

財政部指出：「該組織經常代表伊朗 MOIS 或為了其利益進行電腦網路滲透。」「該組織的成員也受到個人致富和貪婪的強烈驅動，導致一些成員將個人利潤置於對 MOIS 有益的行動之上。這也促使該組織的一些成員將目標對準伊朗公司。」

據信，在 2024 年夏季，這些威脅行為者入侵了美國各地幾個地方、州和聯邦政府辦公室。一年後，Mojtaba Ghal'eh-Kuhi 和 Saber Shahbazi Balujeh 針對一家伊朗電信公司進行了數據竊取。

根據財政部的說法，Arman Kahzadian 主要專注於加密貨幣盜竊，在 2023 年夏季非法控制了一個持有超過 3 萬美元比特幣的錢包。

TRM Labs 對與五名 Mabna 研究所成員相關的 30 個錢包進行的分析發現，總共收到了約 1680 萬美元的資金。該區塊鏈分析公司補充說，Keyvan Fayyaz Ghareh Blagh 擁有 10 個地址，在 2018 年 1 月 6 日至 2026 年 8 月 20 日期間共收到 1550 萬美元，佔該網絡鏈上交易量的 92%。

同樣，與 Behzad Mesri 相關的 15 個錢包地址在 2019 年 7 月 12 日至 2026 年 8 月 22 日期間收到了 120 萬美元。所有 30 個地址的總剩餘餘額為 202,662 美元。

這還不是全部。今年一月，TRM Labs 披露了兩家總部位於英國的空殼公司 Zedcex 和 Zedxion 如何為 IRGC 提供營運資金，這兩家交易所處理了約 10 億美元與伊朗武裝部隊分支相關的資金。在上個月的一份後續報告中，DomainTools 表示 Zedxion-Zedcex 組合展現了金融門面生態系統的所有特徵。

TRM Labs 全球政策主管 Ari Redbord 表示：「伊朗不是這裡唯一的目標。事實上，重點是二級制裁。這是財政部的最大壓力手段。財政部正在警告所有仍與伊朗做生意的國家和平台，而數位資產領域是『經濟逐客行動』的重點。」「『經濟逐客行動』的目標是真正地在鏈上和鏈下孤立伊朗政權。」

與此同時，美國國務院的「獎勵情報計畫」（Rewards for Justice）宣布，將懸賞高達 1000 萬美元，徵求有關受外國政府指示或控制，針對美國關鍵基礎設施進行惡意網路活動的個人資訊。

自美國和以色列開始對伊朗進行空襲以來，伊朗威脅行為者一直被歸咎於一系列駭客攻擊，包括入侵聯邦調查局（FBI）局長 Kash Patel 的個人電子郵件帳戶，以及近期針對美國至少 12 個州的 30 多個供水和污水處理設施的攻擊。

網路活動也已擴展到英國等美國盟友，據《電訊報》報導，據懷疑是伊朗駭客在上個月的網路攻擊後，導致一家小型發電廠關閉了四天。然而，英國政府強調，此次事件沒有對更廣泛的能源系統構成風險，該事件影響的是一家小型能源發電機。該設施的名稱並未披露。

「經濟 D-Day」之際，SentinelOne 將與伊朗有關的活動描述為一種多管齊下的威脅，由各種集群組成，每個集群都有其獨特的任務、目標和技術。這可能包括數據收集和銷毀、社交工程、雲端滲透、對異議人士的監控，以及對暴露的營運技術資產的機會性攻擊。

安全研究員 Tom Hegel 在上個月底發布的一份評估中表示：「主要的戰略風險是可選的存取權。」「相同的受損帳戶、服務提供者或遠端管理立足點，可以根據任務的變化，支持情報收集、下游目標定位或選擇性干擾。」

持續的衝突也催生了一個親伊朗的駭客（和假駭客）生態系統，這是一個由「聖戰組織支持的網路集體、民族主義行為者和國家附屬影響力網絡」組成的分散式混合體，它們通過 Telegram 頻道和網站、共享目標列表、DDoS 租賃工具以及回收的洩漏數據和放大宣傳活動進行運作，據 DomainTools Investigations (DTI) 報導。

這些組織的活動並非由網路間諜、國家級網路行動或長期持久性所驅動。相反，最終目標是作為一個鬆散的動員網絡共同努力，對敵對者施加心理、政治和經濟壓力，並參與同步的戰時或反西方/以色列的訊息傳播。

DTI 表示：「攻擊聲明和宣傳通常在實際軍事事件發生後數小時內出現。」「大多數活動在技術上並不複雜。戰略影響更多地來自於速度、可見性和意識形態框架，而不是技術能力，這些因素使其進入新聞週期。實際上，這些行為者利用網路活動作為可擴展的不對稱資訊戰。