O Ministério de Inteligência e Segurança do Irã (MOIS) tem conduzido uma campanha cibernética de longa data e cuidadosamente organizada, utilizando três identidades distintas de hackers. Essas identidades, conhecidas como Justiça Patriótica, Karma/KarmaBelow80 e Handala, eram amplamente consideradas grupos hacktivistas independentes. No entanto, uma investigação detalhada confirmou que todas as três fazem parte de uma única operação dirigida pelo estado, controlada pelo governo iraniano.
Descoberta e escopo da operação
A campanha combina intrusões cibernéticas, roubo de dados sensíveis, ataques destrutivos e operações de influência psicológica em uma estratégia totalmente coordenada, visando governos e organizações em múltiplos países. A história começou em 2022, quando um grupo chamado "Justiça Patriótica" lançou uma série de ataques contra o governo da Albânia. O que tornou essa operação notável foi o nível de planejamento envolvido.
Atorres estatais iranianos já haviam obtido acesso aos sistemas do governo albanês aproximadamente catorze meses antes de assumir publicamente os ataques. Eles usaram esse acesso para roubar documentos sensíveis, implantar ferramentas destrutivas e fazer anúncios públicos de alto perfil reivindicando a responsabilidade pelos danos. Essa combinação de hacking e mensagens públicas deliberadas transformou um ataque técnico em um evento de influência cuidadosamente encenado com efeitos geopolíticos significativos.
Evolução das personas e alvos
Analistas da DomainTools identificaram que o mesmo ator de ameaça posteriormente mudou para uma nova persona chamada "Karma" e, em seguida, "KarmaBelow80", mudando o foco para organizações israelenses no final de 2023. Os pesquisadores notaram que as ferramentas subjacentes, a infraestrutura e os métodos de ataque permaneceram totalmente consistentes através dessas campanhas renomeadas.
Padrões de domínio compartilhados, o uso consistente do Telegram para comunicações de comando e controle e comportamentos técnicos repetidos em grupos que pareciam separados deram à DomainTools alta confiança para avaliar todos eles como um sistema conectado operando diretamente sob autoridade do MOIS. Em 2024 e continuando em 2026, a operação evoluiu sob o banner "Handala". Nomeada após o personagem de quadrinhos palestino bem conhecido, a persona Handala focou pesadamente em operações de informação, incluindo vazamentos de dados curados e assédio direcionado a jornalistas, dissidentes e indivíduos conectados a Israel.
Infraestrutura técnica e táticas de engano
Um dos aspectos mais notáveis desta campanha é como ela usa múltiplas identidades marcadas para servir objetivos operacionais distintos enquanto compartilha uma única infraestrutura de back-end. A Justiça Patriótica lida com operações destrutivas contra a Albânia. Karma e KarmaBelow80 visaram entidades israelenses durante um período definido, enquanto Handala agora serve como o principal veículo para influência e guerra de informação.
A infraestrutura técnica conectando essas personas inclui padrões de hospedagem compartilhados, comportamentos sobrepostos de registro de domínio e reutilização de componentes idênticos de malware em operações. O grupo implantou ferramentas wiper para destruir dados permanentemente, juntamente com criptografia estilo ransomware usada não para ganho financeiro, mas puramente para maximizar a interrupção operacional.
Ferramentas como Rhadamanthys, um infostealer comercial disponível em fóruns da darknet, apareceram em operações ligadas à Handala, emparelhadas com wipers personalizados em campanhas de phishing que se faziam passar por atualizações de software de fornecedores como a F5.
Resposta governamental e mitigação
O Departamento de Justiça dos EUA respondeu em março de 2026, anunciando a apreensão de quatro domínios vinculados: Handala-Hack.to, Karmabelow80.org, Justicehomeland.org e Handala-Redwanted.to. Esses domínios haviam sido usados ativamente para publicar dados roubados, reivindicar responsabilidade por ataques e incitar violência contra indivíduos nomeados específicos.
O ator de ameaça geral é rastreado como "Void Manticore" por pesquisadores de segurança e também referenciado como MOIST GRASSHOPPER em relatórios da DomainTools. O grupo está diretamente ligado ao MOIS do Irã e representa um dos ecossistemas de influência cibernética ligados ao estado mais ativos atualmente em operação.
Recomendações para CISOs
Organizações devem monitorar a exploração suspeita de serviços voltados para a internet, como o Microsoft SharePoint, o método de acesso inicial usado na campanha da Albânia. As organizações devem implementar segmentação de rede rigorosa, auditar regularmente a atividade de contas privilegiadas e implantar ferramentas de detecção de endpoint capazes de identificar comportamento de intrusão manual.
Equipes de inteligência de ameaças devem monitorar a infraestrutura de domínio associada ao MOIST GRASSHOPPER e bloquear domínios sinalizados na apreensão do Departamento de Justiça de março de 2026 para reduzir a exposição contínua.