Британський студент Лоуренс Александер, який цікавиться методами політичної пропаганди в соціальних мережах, опублікував на міжнародному інтернет-майданчику для обміну думок блогерів і цивільних журналістів Global Voices результати свого розслідування: як у всесвітній павутині створюється глобальна мережа прокремлівських сайтів. Радіо Свобода публікує статтю Александера з незначними скороченнями.
У квітні цього року Радіо Вільна Європа/Радіо Свобода і британська газета The Guardian звернули увагу на інтернет-ресурс вштабе.рф, що є розлогою фотогалерею проросійських мемів і демотиваторів. Більшість опублікованих цим сайтом досить пласких карикатур висміюють США, Захід і українських лідерів, зображуючи Володимира Путіна особистістю сильною, героїчною.
Сайт не надає користувачам жодної інформації про авторів і художників, не називаються й імена власників цього ресурсу. Заінтригований цією анонімністю, я скористався програмою Maltego, що перебуває у відкритому доступі і дозволяє збирати відкриту інформацію, яка могла б допомогти в пошуках людей, що стоять за сайтом, який мене цікавить.
Таємниці Google Analytics
Звернувшись до Maltego, я виявив, що всі ці ресурси пов’язані через Google Analytics – широко відомий інструмент статистичного інтернет-аналізу, який дозволяє адміністратору будь-якого сайту збирати дані про кількість та структуру відвідувань, географічне розташування відвідувачів, браузери, якими вони користуються, а також операційну систему і комп’ютер, з якого заходить на сайт відвідувач. Наявність одного аккаунта в Google Analytics дає можливість отримувати і обробляти статистику не одного, а кількох (або багатьох) сайтів, що цікавлять вас. У цього аккаунта є унікальний ідентифікаційний індекс «UA» number, що міститься в скрипті Google Analytics, включеному до коду сайту. Google пропонує детальний путівник структурою системи.
Журналісти та експерти в галузі безпеки неодноразово відзначали здатність цього коду слугувати сполучною ланкою між анонімними веб-сайтами та окремими користувачами. Цей метод описаний Wired.com в 2011 році, він згадувався також у книзі експерта ФБР із кіберзлочинів Майкла Баззела «Технологія розвідки, заснована на відкритих джерелах». Останнім часом в інтернеті з’явилося кілька безкоштовних сервісів, що дозволяють з легкістю впливати на пошук ID-номерів. Один з таких сервісів – sameID.net.
Мені захотілося перевірити, чи дійсно людина або організація, які стоять за ресурсом вштабе.рф, керує ще якимось іншим сайтом з одного і того ж аккаунта в Google Analytics account. Маючи доступ до коду веб-сайту, я отримав і доступ до всіх важливих ID-номерів в Google Analytics. Почавши більш широкий пошук, я прийшов до результату, що здивував мене: цей сайт був пов’язаний ще з сімома іншими сайтами. Серед них – whoswho.com.ua, який очевидно, має на меті генерувати компрометуючу інформацію про українських офіційних осіб, водночас представляючи себе як нібито український проект. Інший подібний сайт Zanogu.com – ще одне сховище мемів, багато з яких мають виражений антизахідний характер. Схожий ресурс – yapatriot.ru, який, схоже, є спробою дискредитувати російських опозиційних діячів, – просуває антиамериканські та «проасадівські» погляди на події в Сирії.
Найбільш вражаючою виявилася присутність у цьому списку Material Evidence – інтернет-сайту, присвяченому пересувній фотовиставці, організованою за безсумнівної участі прокремлівських сил. У 2014 році автори блогу Gawker писали про широку і ґрунтовну рекламну кампанію цієї виставки. Вони зазначали, що сайт виставки був зареєстрований в Петербурзі, що підтверджується ресурсом historic WHOIS records.
Назустріч невідомості
Займаючись дослідженням сайтів, пов’язаних з аккаунтом UA-53176102, я виявив, що один із них, news-region.ru, був також пов’язаний з іншим аккаунтом в Google Analytics: UA-53159797. Цей акаунт був, у свою чергу, асоційований з іншою групою, яка налічує 19 прокремлівських сайтів. Подальше дослідження цих інтернет-сторінок виявило ще три аккаунта в Analytics і додаткові сайти, пов’язані з ними. Нижче наводжу діаграму взаємозв’язків, які були встановлені мною до теперішнього часу (дата публікації статті Александера – 13 липня, – ред.).
Один із сайтів в цій великій «павутині», emaidan.com.ua виглядає, на перший погляд, як звичайний інформресурс українського протестного руху, але за ближчого розгляду у ньому можна виявити цілий набір антиукраїнських висловлювань, які немов вийшли з-під пера зневіреного прихильника Майдану. Ще один сайт, putininfo.com – лютий приклад поклоніння президенту Росії, переповнений коментарями користувачів соціальних мереж з аватарами типу «Мій Путін». У момент, коли я пишу ці рядки, коди на сервісів Analytics залишаються незмінними, їх можна бачити на більшості цих сайтів. Мої висновки можна легко перевірити, звернувшись до кодів джерел – або в браузері, або зберігши сторінку і переглянувши її в текстовому редакторі.
Окрім зв’язку з Google Analytics, сайти, про які я говорю, мали й деякі інші спільні риси: загальне використання інструментів Yandex Metrika?, Yandex Verification і Nginx server – все це інструменти російського виробництва. Стало зрозуміло, що я маю справу з широкою, добре організованою он-лайн інформаційною кампанією. Однак, оскільки код Google Analytics вказував на спільне використання та управління сайтів, я не зміг розпізнати, хто конкретно стоїть за ними.
Особистий зв’язок?
Будучи зацікавленим, я продовжив «копатися» у відкритій інформації. Реєстраційні записи домену в декількох місцях виявили наявність ще одного спільного фактора: e-mail адреси terder.n@gmail.com. Я виявив, що ця адреса не тільки асоційована з більшістю сайтів, раніше ідентифікованих мною, а й з новою групою сайтів, що перебувають, цілком ймовірно, на стадії створення. Їхні назви припускали схожість тематики з існуючою мережею сайтів – вони зайняті або відвертою проросійською полемікою, або більш завуальовані дезінформацією під виглядом «легітимної» української журналістки. Серед таких сайтів: antiliberalism.com, maidanreload.com.
Менше хвилини пішло у мене на те, щоб зв’язати лінк адреси електронної пошти з реальними людьми. Ними виявилася група в російській соціальній мережі «ВКонтакте» (VKontakte), що належить якомусь Микиті Подгорному. Аккаунт Підгорного в Facebook показує, що він член групи Worldsochi – саме так називається один з веб-сайтів, пов’язаних з тими кодами Google Analytics, які я досліджував. У Підгорного є аккаунт Pinterest, що містить інфографіку досягнень Росії в космосі, взятих з сайту infosurfing.ru. У той час як infosurfing.ru має код на Google Analytics, він володіє і деякими схожими рисами в подачі ілюстрацій з прокремлівською мережею сайтів.
Онлайновий інструмент FotoForensics показує, що ілюстрації із сайтів infosurfing.ru, putininfo.com і вштабе.рф містять метадані, отримані безпосередньо з тієї ж версії софтвера: Adobe XMP Core: 5.5-c014 79.151481, 2013/03/13-12: 09:15. Саме по собі це не є єдиним ідентифікатором, але дає підставу припускати наявність зв’язку – особливо в контексті додаткової інформації про онлайн-діяльність Підгорного.
Особливо примітно те, що ім’я Підгорного називається у списку співробітників петербурзького агентства «Інтернет дослідження», «ферми тролів», що згадується в численних новинах та журналістських розслідуваннях, включаючи і звіти самих репортерів RuNet Echo.
Дата народження Підгорного, що наводиться в його публічному аккаунті в соціальній мережі «ВКонтакте», повністю співпадає з даними, зазначеними в документі, який зазнав «витоку». Підгорний також числиться серед «френдів» Ігоря Осадчого, який також згадується як «співробітник» в тому ж самому списку. Осадчий проте відкинув свій зв’язок з роботою в агентстві «Інтернет дослідження», назвавши витік «безуспішною провокацією».
Після того, як Global Voices зв’язався з Підгорним, він не підтвердив і не спростував свій зв’язок з веб-сайтами і відмовився давати будь-які коментарі. У наступному тексті про прокремлівську мережу в інтернеті ми більш детально розглянемо контент, цілі та ідеологію, якою керуються творці цих сайтів.
Передрук із сайту Російської редакції Радіо Свобода
