Etwas Dunkles, das sich hinter der Werbung verbirgt
Der EAD hat eine koordinierte antiwestliche Kampagne auf Facebook aufgedeckt, die auf ausgefeilte Techniken setzt, um die Spuren ihrer Urheber zu verwischen.
Werbung ist ein wichtiger Motor der digitalen Wirtschaft. Aber nicht alles, was glänzt, ist Gold. Kürzlich entdeckten wir über 1.000 gesponserte Facebook-Beiträge, davon 188 einzigartig, die antiwestliche und anti-ukrainische Inhalte verbreiteten. Facebook-Seiten, die sich als Online-Shops tarnten und als „Musiker/Band“-Seiten kategorisiert waren, waren die Quelle dieser Anzeigen.
Die Manipulationskampagne, die wir entwirrt haben – oder vielmehr noch entwirren, da einige der Seiten weiterhin online sind –, war internationaler Natur. Von den 658 Anzeigen, auf die wir zum Zeitpunkt der Entdeckung zugreifen konnten, waren 318 auf Deutsch, 321 auf Französisch, 14 auf Ukrainisch und 5 auf Hebräisch.
Die Akteure hinter der Kampagne haben sich große Mühe gegeben, ihre Spuren zu verwischen. Von insgesamt 1.000 Anzeigen enthielt jede vierte eine Webadresse, die zu 105 unterschiedlichen Domains gehörte. Die Facebook-Seiten, die die Anzeigen bewarben, wurden alle zwischen Juni und Oktober dieses Jahres erstellt. Abgesehen von der Darstellung der Anzeigen zeigen diese Seiten keine weitere Aktivität und haben weder Follower noch ein Profilbild.Die Benutzernamen dieser Seiten folgen einem bestimmten Muster: Jeder besteht aus sechs Buchstaben, angeordnet als Vokal-Konsonant-Vokal-Konsonant-Vokal-Konsonant (z. B. Axamam, Umowow, Ipejej).
Screenshot, der einige der anderen „inaktiven Konten“ zeigt, deren Benutzernamen nach derselben Struktur aufgebaut wurden.
Screenshots, die zeigen, dass die Konten im selben Zeitraum und mit ähnlichen Informationen erstellt wurden.
Screenshots, die Konten aus demselben Netzwerk zeigen, die im selben Zeitraum dieselben gesponserten Anzeigen mit identischem Text und identischen Bildern schalteten
Lassen Sie uns den Fall aufschlüsseln.
Wer war’s?
Inhaltlich passen die betreffenden gesponserten Beiträge genau zu Material, das häufig von pro-kremlnahen Akteuren verbreitet wird. Einige Beispiele sind Cartoons mit Angriffen auf den Westen, bearbeitete Bilder, die gefälschte Graffiti zeigen, sowie Videos, die umgedeutet wurden, um den Ruf von EU-Beamt:innen zu beschädigen.Wir fanden außerdem Bildmaterial von gefälschten Magazincovern, gefälschten Videoanzeigen, die sich als westliche Unternehmen ausgaben, gefälschten Videos, die sich als ukrainische Medien ausgaben, und sogar gefälschten Postmarken.
Screenshot eines inzwischen entfernten gesponserten Beitrags, der sich an den HRVP Josep Borrell richtete
Das gesagt, haben keiner der 105 in den gesponserten Beiträgen erwähnten Domains eine eindeutige Verbindung zu bekannten Teilen der russischen FIMI-Sphäre. Stattdessen scheinen diese Domains mit verschiedenen Unternehmen, Online-Diensten oder Websites mit Erwachseneninhalten verbunden zu sein. Eine beträchtliche Anzahl wird auf einem Server in Malaysia gehostet, der einem Unternehmen namens Shinjiru Technology Sdn Bhd gehört. Beispiele sind solonggoodbye.com, tastroid.com und cytteek.com. Diese Unternehmen verbreiten möglicherweise nicht wissentlich pro-russische Desinformation. Stattdessen könnten sie gehackt worden sein. Außerdem wurden die digitalen Zertifikate, die die Identität dieser Domains authentifizieren, oder SSL-Zertifikate, wurden erneuert nur wenige Tage, bevor sie auf Facebook genutzt wurden. Diese Domains sind nicht mehr aktiv.
Allerdings hat das Digital Forensic Research Lab (DFRLab) des Atlantic Council kürzlich mindestens drei gesponserte Beiträge identifiziert, die die Domain thumbra.com bewarben.Diese Domain leitete die Nutzer wiederum zu einem gefälschten Artikel auf einer Website weiter, die die Ukrainische Unabhängige Informationsagentur imitierte. Seit dem 13. November reagiert diese Domain nicht mehr und leitet nicht länger auf die gefälschte Seite weiter.
Forscher des DFRLab legen nahe, dass „mehrere Aspekte der Fälschung darauf hindeuten, dass sie wahrscheinlich russischen Ursprungs ist“. Dieses Urteil steht im Einklang mit unseren Erkenntnissen, dass Russlands FIMI-Ökosystem in seinen Informationsmanipulationskampagnen häufig URL-Weiterleitungen nutzt. Die Praxis ist recht unkompliziert. Täter manipulieren den Quellcode einer Webseite oder einer Domain so, dass sie Besucher automatisch auf eine andere Domain weiterleitet. Diese Technik ist sehr effektiv, wenn böswillige Akteure weiterhin Links teilen wollen, die zu Domains führen, die von den Plattformen als unauthentisch gekennzeichnet wurden, oder zu vom Kreml kontrollierten und von der EU sanktionierten Medien. Anstatt eine blockierte URL zu verwenden, nutzen sie eine Alternative, die Nutzer weiterleitet, und umgehen so die Bemühungen der Plattformen, den Zugriff auf sanktionierte Websites zu begrenzen.
Eine Reihe von Accounts, die auf X wahrscheinlich koordiniertes unauthentisches Verhalten zeigen, nutzte diese Technik, um Nutzer zu Artikeln weiterzuleiten, die auf Websites veröffentlicht wurden, welche legitime Medien imitieren. Die verwendeten Domains waren pakgala.org und bigagenda.com. Beide Domains durchliefen dieselben Änderungen der digitalen Zertifikate wie die Domains, die in den oben beschriebenen gesponserten Beiträgen beworben wurden.Konkret änderten sich die SSL-Zertifikate beider Domains an demselben Tag, an dem sie begannen, auf eine Imitator-Domain umzuleiten.
Großes Publikum durch Anzeigen anvisiert
Soweit wir sehen können, verbreitete sich die manipulative Kampagne in ein großes Online-Publikum. Die Reichweite der gesponserten Beiträge in der Informationsmanipulationskampagne variierte stark und reichte von Beiträgen, die etwa 2.000-mal angesehen wurden, bis hin zu Beiträgen, die fast 40.000 Aufrufe in der gesamten EU erreichten. Darauf basierend könnte die Gesamtzahl der Aufrufe aller gesponserten Beiträge irgendwo zwischen 3 und 10 Millionen Aufrufen gelegen haben.
Zur Klarstellung: Meta definiert die Reichweite gesponserter Beiträge als die geschätzte Anzahl von Konten in der EU, die eine Anzeige mindestens einmal sehen. Dies kann mehrere Ansichten durch dieselben Konten einschließen.
Die Kosten der Kampagne sind nahezu unmöglich einzuschätzen, da Facebook einige der Anzeigen ausgesetzt hat. In jedem Fall bietet Facebook nur begrenzte Informationen zu seinen Anzeigenpreisen.
Wie geht es weiter?
Zusätzlich dazu, das Bewusstsein für das Problem zu schärfen, haben wir unsere Erkenntnisse bei Meta gemeldet, damit sie diese validieren. Nach einer unabhängigen Untersuchung bestätigte die Plattform, dass einige Anzeigen mit einem Netzwerk koordinierten inauthentischen Verhaltens verknüpft waren, das Meta in seinem letzten Adversarial Threat Report offengelegt hatte.
Während Meta einige Beiträge entfernte, bleiben etliche davon online.Tatsächlich zeigen Suchen, die wir auf Facebook mit den oben genannten Seitennamen durchgeführt haben, eine weitere Gruppe verdächtiger Seiten. Diese zusätzlichen Konten, die derzeit inaktiv sind, weisen dieselbe Namenskonvention, den gleichen Erstellungszeitraum, die gleiche Kategorisierung und eine ähnlich geringe Zahl an Followern wie die anderen Seiten auf.
Es besteht eine gute Chance, dass diese neuen Seiten miteinander vernetzt sind. Wir sehen bereits, wie eine von ihnen an einer neuen Manipulationskampagne teilnimmt, die sich auf den Israel-Hamas-Krieg konzentriert und die falsche, wenn auch vertraute Erzählung verbreitet, ukrainische Waffen würden an die Hamas verkauft.
Lassen Sie sich nicht täuschen – abonnieren Sie den wöchentlichen Disinfo Review und folgen Sie EUvsDisinfo auf X, Facebook, LinkedIn und jetzt auch auf Instagram!
