Настоящият конфликт между САЩ и Иран се превърна в пример за това как асиметричната война и изграждането на коалиции преформатират кибернетичните и геополитическите измерения на съвременните конфликти.

След съвместните военни удари на САЩ и Израел срещу Иран през февруари 2026 г., иранските държавни и свързани с държавата субекти бързо увеличиха кибератаките срещу американски и съюзнически компании, инфраструктура и правителства. Най-забележителният пример е атаката срещу американската компания за медицински изделия Stryker Corporation през март.

Handala, злонамерен субект, свързан с Министерството на разузнаването и сигурността на Иран (MOIS), получи достъп до Stryker с помощта на обикновен зловреден софтуер за кражба на данни (infostealer) и се насочи към акаунти на администраторско ниво, за да изпрати команди за отдалечено изтриване в глобалната мрежа на Stryker чрез функцията за управление InTune на Microsoft.

Пробивът засегна лаптопи, смартфони и сървъри в 79 държави; Handala твърди, че е изтрил общо над 200 000 устройства. През същия месец Handala пое отговорност и за хакването и изтичането на личния имейл на директора на ФБР Каш Пател.

През май 2026 г. „Ислямската киберсъпротива“ (известна още като 313 Team) – иракски субект с проиранска принадлежност – стартира кампания срещу инфраструктурата на Canonical и Ubuntu. Групата твърди, че използва наета услуга за DDoS атаки (DDoS-for-hire), известна като „Beamed“, която предлага капацитет на атака, надхвърлящ 3,5 терабита в секунда.

Атаката засегна няколко официални уебсайта и API за сигурност на Ubuntu, като ги направи недостъпни и попречи на потребителите да получат достъп до критични обновления и инсталации. Групата придружи прекъсването на услугите с искане за изнудване, заплашвайки да продължи атаките, освен ако Canonical не плати откуп.

Използването на комерсиализирани DDoS платформи като Beamed позволява на групи с иначе ограничена техническа подготовка да провеждат разрушителни кибератаки. Насочвайки се към услуги, използвани в корпоративни и облачни среди, кампанията постигна огромна видимост и оперативни затруднения.

Въпреки че Handala и 313 Team станаха два от най-обсъжданите субекти по време на този конфликт, те са само двама участници в много по-голяма коалиция от проирански хактивисти, националистически групи, кибермилиции и държавно свързани прокси мрежи за влияние.

Тези групи работят като хлабаво свързана мрежа за кибермобилизация, която създава представа за широк, транснационален киберфронт. Кампанията срещу Canonical е широко приписвана на 313 Team, но този субект често се съюзява с други групи от „съпротивата“ – като RipperSec, Cyb3rDrag0nzz, Cyber Fattah, Fatimiyoun/FAD Team и Conquerors Electronic Army – като част от по-широка коалиция, която включва Dark Storm, Cyber Isnaad Front, CJM, APT Iran, Hider Nex, Keymous+, DieNet, MONARCH и Killnet.

Тези групи взаимно разгласяват и засилват твърденията си за прекъсване на услуги и се ангажират със символично насочване чрез споделени списъци с цели. Вместо да работят под обща командна структура, те се координират в Telegram – споделяйки списъци с цели и инструменти за наемане на DDoS атаки, и популяризирайки кампаниите си. Заедно те превръщат сравнително евтиното прекъсване на услуги в психологически натиск по време на война.

Защитата срещу този тип коалиция изисква разбиране на ролите, които различните субекти играят. Субекти като Handala и 313 Team са способни да генерират постоянно и мащабно прекъсване на услуги, въпреки че в някои случаи използват сравнително елементарни методи.

Други участници, като Fatimiyoun/FAD Team и Cyber Isnaad Front, допринасят главно чрез създаване на психологически натиск чрез публикувани списъци с цели, кампании за заплашване и закани срещу критична инфраструктура.

Междувременно Движението „Кибер Джихад“ (CJM) действа в различен стратегически капацитет. Групата главно разширява обхвата на екосистемата – привличайки новобранци и засилвайки пропагандата в различни платформи – чрез публични изявления, призоваващи за „глобален кибер джихад“ срещу САЩ, Израел и съюзническите правителства. Evil Markhors запълва друга ниша, фокусирайки се върху събиране на идентификационни данни, разузнаване и откриване на уязвими публични системи.

Фигура 1: Проиранска киберекосистема / Екосистема на Оста на съпротивата

Останалите участници в тази екосистема попадат в две големи категории: субекти за DDoS и разпространение, и опортюнистични антизападни групи. Групи като Nation of Saviors, Dark Storm Team, Cyb3rDrag0nzz, Keymous+, Conquerors Electronic Army и DieNet допринасят главно с DDoS активност и разпространение на пропаганда, като Keymous+ и DieNet са отговорни за някои от DDoS кампаниите с най-голям обем по време на конфликта през 2026 г. Другата категория включва проруски субекти като Killnet, Руския легион (известен още като MONARCH) и NoName057(16), които действат като опортюнистични антизападни участници, осигуряващи символична подкрепа, засилване на медийното влияние и избор на цели.

Въпреки че субектите изпълняват различни роли и функции в рамките на по-широката коалиция, в цялата екосистема се наблюдават сходни модели на поведение.

Тези автори на заплахи като цяло разчитат на нискотехнологични или комерсиално достъпни методи за прекъсване на услуги, включително...