Coś mrocznego ukrywa się za reklamami
EEAS ujawniła skoordynowaną antyzachodnią kampanię na Facebooku, która opiera się na zaawansowanych technikach ukrywania śladów pozostawianych przez jej twórców.
Reklama jest jednym z głównych motorów gospodarki cyfrowej. Ale nie wszystko złoto, co się świeci. Niedawno wykryliśmy ponad 1 000 sponsorowanych postów na Facebooku, z czego 188 było unikalnych, promujących antyzachodnie i antyukraińskie treści. Źródłem tych reklam były strony na Facebooku podszywające się pod sklepy internetowe i skategoryzowane jako strony „Muzyk/Zespół”.
Kampania manipulacyjna, którą zdemaskowaliśmy — a raczej wciąż demaskujemy, ponieważ część stron nadal jest online — miała charakter międzynarodowy. Spośród 658 reklam, do których mieliśmy dostęp w momencie odkrycia, 318 było w języku niemieckim, 321 w języku francuskim, 14 po ukraińsku, a 5 po hebrajsku.
Aktorzy stojący za kampanią dołożyli sporych starań, by zatrzeć ślady. Spośród łącznie 1 000 reklam co czwarta zawierała adres internetowy należący do 105 odrębnych domen. Strony na Facebooku promujące te reklamy zostały utworzone między czerwcem a październikiem tego roku. Poza publikowaniem reklam strony te nie wykazują żadnej innej aktywności i nie mają ani obserwujących, ani zdjęcia profilowego.Nazwy użytkowników tych stron mają określony wzorzec: każda składa się z sześciu liter ułożonych jako samogłoska–spółgłoska–samogłoska–spółgłoska–samogłoska–spółgłoska (np. Axamam, Umowow, Ipejej).
Zrzut ekranu pokazujący niektóre z innych „uśpionych kont”, których nazwy użytkowników zostały zbudowane według tej samej struktury.
Zrzuty ekranu pokazujące, że konta zostały utworzone w tym samym przedziale czasowym i z podobnymi informacjami.
Zrzuty ekranu pokazujące konta z tej samej sieci, uruchamiające te same sponsorowane reklamy w tym samym przedziale czasowym, z identycznym tekstem i obrazami
Przeanalizujmy tę sprawę.
Kto to zrobił?
Pod względem treści sponsorowane posty, o których mowa, dobrze wpisują się w materiały często promowane przez aktorów prorosyjskich (prokremlowskich). Przykłady obejmują kreskówki wymierzone w Zachód, edytowane zdjęcia pokazujące fałszywe graffiti, oraz filmy przeredagowane tak, by uderzać w reputację urzędników UE.Znaleźliśmy też materiały wizualne w postaci fałszywych okładek magazynów, fałszywych reklam wideo podszywających się pod zachodnie firmy, fałszywych filmów podszywających się pod ukraińskie media, a nawet fałszywych znaczków pocztowych.
Zrzut ekranu usuniętego już sponsorowanego posta wymierzonego w wysokiego przedstawiciela UE Josepa Borrella
To powiedziawszy, żadna ze 105 domen wymienionych w sponsorowanych postach nie ma wyraźnego związku ze znanymi elementami rosyjskiej sfery FIMI. Zamiast tego domeny te wydają się być powiązane z różnymi firmami, usługami internetowymi lub witrynami z treściami dla dorosłych. Znaczna część jest hostowana na serwerze w Malezji należącym do firmy o nazwie Shinjiru Technology Sdn Bhd. Przykładami są solonggoodbye.com, tastroid.com oraz cytteek.com. Firmy te mogły nieświadomie nie rozpowszechniać prorosyjskiej dezinformacji. Zamiast tego mogły zostać zhakowane. Ponadto cyfrowe certyfikaty uwierzytelniające tożsamość tych domen, czyli certyfikaty SSL, zostały odnowione zaledwie kilka dni przed tym, jak zaczęto je wykorzystywać na Facebooku. Te domeny nie są już aktywne.
Jednak Atlantic Council’s Digital Forensic Research Lab (DFRLab) niedawno zidentyfikowało co najmniej trzy sponsorowane posty, które promowały domenę thumbra.com.Ta domena z kolei przekierowywała użytkowników do fałszywego artykułu na stronie internetowej podszywającej się pod Ukraińską Niezależną Agencję Informacyjną. Według stanu na 13 listopada domena ta przestała odpowiadać i nie przekierowuje już do fałszywej strony.
Badacze DFRLab sugerują, że „wiele aspektów fałszerstwa wskazuje na to, że prawdopodobnie ma ono rosyjskie pochodzenie”. Ocena ta jest zgodna z naszymi ustaleniami, że rosyjski ekosystem FIMI często wykorzystuje przekierowania URL w kampaniach manipulacji informacjami. Ta praktyka jest dość prosta. Sprawcy manipulują kodem źródłowym strony internetowej lub domeny, tak aby automatycznie przekierowywała odwiedzających na inną domenę. Technika ta jest bardzo skuteczna, gdy złośliwi aktorzy chcą nadal udostępniać linki prowadzące do domen oznaczonych przez platformy jako nieautentyczne lub do kontrolowanych przez Kreml mediów objętych sankcjami UE. Zamiast używać zablokowanego URL, stosują alternatywę, która przekierowuje użytkowników, omijając w ten sposób działania platform mające na celu ograniczenie dostępu do stron objętych sankcjami.
Seria kont prawdopodobnie angażujących się w skoordynowane nieautentyczne zachowania na X wykorzystywała tę technikę do przekierowywania użytkowników do artykułów publikowanych na stronach internetowych podszywających się pod legalne media. Wykorzystywane domeny to pakgala.org oraz bigagenda.com. Obie domeny przeszły te same zmiany certyfikatu cyfrowego co domeny promowane w sponsorowanych postach opisanych powyżej.W szczególności certyfikaty SSL obu domen zmieniły się tego samego dnia, w którym zaczęły przekierowywać na domenę podszywającą się pod kogoś innego.
Duża publiczność objęta reklamami
Z tego, co widzimy, manipulacyjna kampania dotarła do dużej publiczności online. Zasięg sponsorowanych postów w kampanii manipulacji informacyjnej znacznie się różnił — od postów wyświetlanych około 2 000 razy po posty osiągające prawie 40 000 wyświetleń w całej UE. Na tej podstawie łączna liczba wyświetleń wszystkich sponsorowanych postów mogła wynieść od 3 do 10 milionów wyświetleń.
Dla jasności: Meta definiuje zasięg sponsorowanych postów jako szacowaną liczbę kont w UE, które zobaczą reklamę co najmniej raz. Może to obejmować wielokrotne wyświetlenia przez te same konta.
Koszt kampanii jest niemal niemożliwy do oszacowania, ponieważ Facebook zawiesił część reklam. W każdym razie Facebook udostępnia ograniczone informacje na temat cen swoich reklam.
Co dalej?
Oprócz zwiększania świadomości problemu, przekazaliśmy nasze ustalenia do Meta w celu ich weryfikacji. Po niezależnym dochodzeniu platforma potwierdziła, że niektóre reklamy były powiązane z siecią skoordynowanych nieautentycznych działań ujawnioną przez Meta w ich ostatnim Raporcie o zagrożeniach ze strony przeciwników.
Chociaż Meta usunęła część postów, całkiem sporo z nich nadal pozostaje online.W rzeczywistości wyszukiwania, które przeprowadziliśmy na Facebooku, używając nazw wyżej wymienionych stron, ujawniają kolejny zestaw podejrzanych stron. Te dodatkowe konta, obecnie nieaktywne, mają tę samą konwencję nazewnictwa, podobne ramy czasowe utworzenia, tę samą kategoryzację oraz podobny brak obserwujących jak pozostałe strony.
Istnieje duża szansa, że te nowe strony są ze sobą powiązane. Już widzimy, że jedna z nich uczestniczy w nowej kampanii manipulacyjnej koncentrującej się na wojnie Izrael–Hamas, rozpowszechniając fałszywą, choć znaną narrację o tym, że ukraińska broń jest sprzedawana Hamasowi.
Nie daj się zwieść – zapisz się na cotygodniowy Disinfo Review i obserwuj EUvsDisinfo na X, Facebook, LinkedIn oraz teraz także na Instagram!
