Что-то тёмное, скрывающееся за рекламой
ЕВС обнаружила скоординированную антизападную кампанию в Facebook, которая опирается на сложные методы, чтобы скрыть следы своих создателей.
Реклама — один из ключевых драйверов цифровой экономики. Но не всё то золото, что блестит. Недавно мы выявили более 1 000 спонсируемых публикаций в Facebook, 188 из них — уникальные, продвигающих антизападный и антиукраинский контент. Источником этих объявлений были страницы Facebook, маскирующиеся под онлайн-магазины и отнесённые к категории страниц «Музыкант/Группа».
Кампания по манипулированию, которую мы распутали, была — или, скорее, остаётся, поскольку некоторые из страниц всё ещё доступны онлайн, — международной по своему характеру. Из 658 объявлений, к которым мы могли получить доступ на момент обнаружения, 318 были на немецком, 321 — на французском, 14 — на украинском и 5 — на иврите.
Участники, стоящие за кампанией, приложили немало усилий, чтобы скрыть свои следы. Из 1 000 объявлений в общей сложности каждое четвёртое содержало веб-адрес, принадлежащий 105 различным доменам. Все страницы Facebook, продвигавшие эти объявления, были созданы в период с июня по октябрь этого года. Помимо демонстрации объявлений, эти страницы не показывают никакой другой активности и не имеют ни подписчиков, ни фотографии профиля.Имена пользователей этих страниц следуют определённому шаблону: каждое состоит из шести букв, расположенных как гласная-согласная-гласная-согласная-гласная-согласная (например, Axamam, Umowow, Ipejej).
Скриншот, показывающий некоторые другие «спящие аккаунты», чьи имена пользователей были построены по той же структуре.
Скриншоты, показывающие, что аккаунты были созданы в один и тот же период и с похожей информацией.
Скриншоты, показывающие аккаунты из той же сети, которые в тот же период запускали одни и те же спонсируемые объявления с идентичным текстом и изображениями
Давайте разберём этот случай.
Кто это сделал?
Если говорить о содержании, рассматриваемые спонсируемые публикации хорошо совпадают с материалами, которые часто продвигаются прокремлёвскими акторами. Некоторые примеры включают карикатуры направленные против Запада, отредактированные изображения, показывающие фальшивые граффити, а также видео, переосмысленные с целью нанести удар по репутации чиновников ЕС.Мы также обнаружили визуальные материалы из поддельных обложек журналов, поддельной видеорекламы, выдающей себя за западные компании, поддельных видеороликов, выдающих себя за украинские издания, и даже поддельных почтовых марок.
Скриншот ныне удалённого спонсируемого поста, нацеленного на верховного представителя ЕС по иностранным делам и политике безопасности Жозепа Борреля
Тем не менее ни один из 105 доменов, упомянутых в спонсируемых постах, не имеет очевидной связи с известными частями российской сферы FIMI. Вместо этого эти домены, судя по всему, связаны с различными бизнесами, онлайн‑сервисами или сайтами для взрослых. Значительное число из них размещено на сервере в Малайзии, принадлежащем компании Shinjiru Technology Sdn Bhd. Примеры: solonggoodbye.com, tastroid.com и cytteek.com. Эти компании могли не распространять пророссийскую дезинформацию сознательно. Вместо этого их могли взломать. Кроме того, цифровые сертификаты, удостоверяющие принадлежность этих доменов, или SSL‑сертификаты, были обновлены всего за несколько дней до того, как их начали использовать в Facebook. Эти домены больше не активны.
Однако Лаборатория цифровых криминалистических исследований Атлантического совета (DFRLab) недавно выявила по меньшей мере три спонсируемых поста, которые продвигали домен thumbra.com.Этот домен, в свою очередь, перенаправлял пользователей на фальшивую статью на сайте, выдающем себя за Украинское независимое информационное агентство. По состоянию на 13 ноября этот домен перестал отвечать и больше не перенаправляет на поддельный сайт.
Исследователи DFRLab предполагают, что «множественные аспекты подделки указывают на то, что она, вероятно, имеет российское происхождение». Это суждение согласуется с нашими выводами о том, что экосистема FIMI России часто использует перенаправление URL-адресов в своих кампаниях по информационным манипуляциям. Эта практика довольно проста. Злоумышленники изменяют исходный код веб-страницы или домена так, чтобы он автоматически перенаправлял посетителей на другой домен. Эта техника очень эффективна, когда вредоносные акторы хотят продолжать распространять ссылки, ведущие на домены, помеченные платформами как неаутентичные, или на подконтрольные Кремлю ресурсы, находящиеся под санкциями ЕС. Вместо заблокированного URL-адреса они используют альтернативный, который перенаправляет пользователей, тем самым обходя усилия платформ по ограничению доступа к подсанкционным веб-сайтам.
Ряд аккаунтов, вероятно, участвовавших в скоординированном неаутентичном поведении на X, использовал эту технику для перенаправления пользователей на статьи, опубликованные на сайтах, имитирующих легитимные издания. Использованные домены: pakgala.org и bigagenda.com. Оба домена прошли через те же изменения цифровых сертификатов, что и домены, продвигавшиеся в описанных выше спонсируемых публикациях.В частности, SSL-сертификаты обоих доменов изменились в тот же день, когда они начали перенаправлять на домен, выдающий себя за другой.
Широкая аудитория, на которую нацеливали рекламу
Судя по тому, что мы видим, манипулятивная кампания распространилась на большую онлайн-аудиторию. Охват спонсируемых публикаций в кампании информационного манипулирования сильно различался — от постов, просмотренных около 2 000 раз, до постов, достигавших почти 40 000 просмотров по всему ЕС. Исходя из этого, общее количество просмотров всех спонсируемых публикаций могло составлять от 3 до 10 миллионов просмотров.
Чтобы было понятно: Meta определяет охват спонсируемых публикаций как оценочное число аккаунтов в ЕС, которые видят рекламу хотя бы один раз. Это может включать многократные просмотры одними и теми же аккаунтами.
Стоимость кампании практически невозможно оценить, поскольку Facebook приостановил показ некоторых объявлений. В любом случае Facebook предоставляет ограниченную информацию о ценах на рекламу.
Что дальше?
Помимо повышения осведомлённости об этой проблеме, мы передали наши выводы в Meta, чтобы они могли их проверить. После независимого расследования платформа подтвердила, что некоторые объявления были связаны с сетью скоординированного неаутентичного поведения, которую Meta раскрыла в своём последнем Отчёте об угрозах со стороны противника.
Хотя Meta удалила некоторые публикации, довольно многие из них остаются онлайн.Фактически, поиски, которые мы провели в Facebook, используя названия страниц, упомянутых выше, выявили ещё один набор подозрительных страниц. Эти дополнительные аккаунты, которые в настоящее время неактивны, имеют ту же схему именования, временные рамки создания, категоризацию и столь же похожее отсутствие подписчиков, как и другие страницы.
Есть высокая вероятность, что эти новые страницы взаимосвязаны. Мы уже видим, как одна из них участвует в новой кампании по манипулированию, сосредоточенной на войне Израиля и ХАМАС, распространяя ложный, хотя и знакомый, нарратив о том, что украинское оружие продают ХАМАС.
Не дайте себя обмануть — подпишитесь на еженедельный Disinfo Review и следите за EUvsDisinfo в X, Facebook, LinkedIn, а теперь также в Instagram!
