6 Апреля 2016, 09:00

Bellingcat: Как кремлевские тролли воюют с референдумом об ассоциации Украины с ЕС

Расследование международной независимой группы Bellingcat раскрывает, как организация прокремлевских интернет-троллей попыталась с помощью фальшивого видео дискредитировать Украину перед референдумом о ее ассоциации с Евросоюзом, который проходит 6 апреля


18 января 2016 года в 13:30:09 по Гринвичу на новом канале в YouTube под названием ПАТРIОТ появился первый видеоролик, озаглавленный по-украински «Обращение бойцов Азова к Нидерландам по поводу референдума об ассоциации Евросоюза и Украины» («Звернення бійців АЗОВу до Нідерландів щодо референдуму про асоціацію Україна — ЄС»). Шестеро людей с автоматами, якобы входящие в пользующийся сомнительной известностью ультраправый националистический батальон «Азов», говорят по-украински, а затем сжигают флаг Нидерландов и угрожают устроить теракты в Нидерландах, если на референдуме 6 апреля голландцы проголосуют против ассоциации с Украиной.

Было немало случаев, когда настоящие солдаты «Азова» делали предосудительные вещи: допускали жесткие антисемитские высказывания, носили нацистские татуировки и тому подобное. Однако большинство подтвержденных случаев — это личные поступки отдельных бойцов, а видео с сожжением флага Нидерландов и угрозами террора представлено как официальное заявление батальона.

Доказано, что видео фальшивое.

Это одна из многих фальшивок, окружающих батальон «Азов». Здесь мы не приводим доказательств неподлинности видео, но рассматриваем его происхождение и пути распространения. Анализ открытых источников позволяет прийти к выводу, что видео первоначально было распространено и предположительно создано сетью новостных сайтов и интернет-аккаунтов, связанных с печально известной «петербургской фабрикой троллей» — «Агентством интернет-исследований» и родственным ему «Федеральным агентством новостей». Такая же тактика описана в репортаже корреспондента Русской службы BBC Андрея Сошникова, где он доказывает, что фальшивое видео с якобы американским солдатом, расстреливающим Коран, создано и распространено той же «фабрикой троллей».




Происхождение видео

В описании видео на YouTube сказано, что оригинал взят с официального канала батальона — AZOV media. Ссылка ведет на видео с идентификационным кодом MuSJMQKcX8A. Как и следовало ожидать, видео по этой ссылке оказалось удалено разместившим его пользователем. Таким образом создается впечатление, что батальон «Азов» разместил видео. а затем удалил его, но к этому моменту канал ПАТРIОТ уже успел его скопировать. Ни одна из поисковых систем интернета не зафиксировала следов какого-либо видео, размещенного по этому адресу; нет его и на архивных сайтах, таких, как Archive.today и Archive.org. Вероятнее всего, на YouTube было размещено некое случайное видео, затем быстро удалено, пока оно не попало в кэш поисковых систем и в интернет-архивы, а после этого ссылка на него появилась на канале ПАТРIОТ.

Обстоятельства происхождения видео важны сами по себе, но анализ способа его распространения вскоре после первоначальной публикации также приносит интересные результаты.



Первоначальное распространение

В 14:16 (здесь и далее время указано по Гринвичу) 18 января 2016 года — через 46 минут после появления видео на канале ПАТРIОТ — только что зарегистрированный пользователь с ником Artur 32409 разместил ссылку на видео и текст в поддержку предполагаемых действий «Азова» на сайте http://www.politforums.net.

С 14:20 (через четыре минуты после публикации на Politforums) два только что созданных аккаунта в российской соцсети «ВКонтакте» поделились этим видео 30 раз за 24 минуты.

В это же время (14:38) точная копия текста пользователя Artur 32409 опубликована в блоге на сайте http://korrespondent.net. Автор представляется как поддерживающая «Азов» украинка Соломия Яремчук и не ссылается на Artur 32409 как на источник. Дальше будет доказано, что «Соломия Яремчук» — фальшивый аккаунт, тесно связанный с «петербургской фабрикой троллей».



Появление и распространение сфабрикованного скриншота

«Видео батальона „Азов“» — не единственный материал, сфабрикованный в ходе этой пропагандистской кампании. Вскоре после начала распространения видео появился скриншот, созданный, по-видимому, для подтверждения существования видео на официальном YouTube-канале «Азова» (AZOV media). Как будет показано ниже, скриншот фальшивый и не доказывает, что видео в действительности было опубликовано на канале.



Отвечая на пост пользователя ВК Джельсомино Жукова, пользователь Глеб Кленов опубликовал скриншот, якобы показывающий видео в плейлисте официального YouTube-канала «Азова». На вопрос о том, откуда у него этот скриншот, Кленов ответил, что взял его из комментариев в группе «Позор Новороссии», куда он был прислан неким Горчаковым. В настоящее время группа удалена из ВК.

В процессе поиска источника скриншота, опубликованного Кленовым, обнаружены два более ранних результата в ВК-группах «Сетецентр» (19 января, 10:10) и «Мировая политика» (19 января, 10:17). Некий Юрий Горчаков, упомянутый в качестве источника скриншота, опубликовал его в обеих группах, настаивая на его подлинности. Два поста Горчакова идентичны; скриншот опубликован вместе с текстом, обвиняющим «Азов» в изготовлении фальшивки, чтобы обвинить российскую сторону. Таким образом, вся история представлена как провокация: «Азов» якобы, понимая, что видеофальшивка будет быстро разоблачена, устроил этот обман, чтобы тень пала на Россию.

В дискуссии в группе «Мировая политика» Горчаков поместил два ответа, в 10:34 и 10:41. В обоих он высказывался в пользу России, отвечая оппоненту, который назвал видео фальшивкой, распространяемой прокремлевскими пользователями. В 10:34 он сделал два других поста, где объясняет, что флаг, сожженный в видеоролике, — это флаг Нидерландов. Позже, в 11:10, он сам опубликовал полноразмерный скриншот.

Очень похоже, что Горчаков — автор скриншота, якобы доказывающего, что видео было опубликовано на официальном канале «Азова». Он особенно активно доказывал подлинность снимка в многочисленных группах ВК и досках объявлений, в его же постах скриншот и появился впервые. Горчаков — активный член петербургского ультранационалистического сообщества, участвует в проекте «Санкт-Петербургского музея Новороссии». Наконец, Горчаков, называющий себя кинорежиссером, значится публикатором фальшивого видео, якобы показывающего казнь мирного жителя членами «Правого сектора» весной 2014 года. Сейчас видео удалено, но ссылки на его описание сохраняются на YouTube-канале «НОД Симферополь»; там Горчаков утверждает, что из-за видно получал сообщения с угрозами от «Правого сектора».


Скриншот под пристальным взглядом

При тщательном изучении становится ясно, что проведена цифровая обработка скриншота, чтобы казалось, что последнее видео, опубликованное на канале AZOV media, — это видео с горящим флагом. Поверх оригинального изображения, по-видимому, наложено белое поле, а иконка якобы просмотренного видео (с надписью на русском языке «просмотрено») скопирована со скриншота канала ПАТРIОТ.

Изображение вставлено несколько небрежно: пространство между двумя последними просмотренными видео на один пиксель шире, чем остальные аналогичные пространства на скриншоте. Иконка видео с горящим флагом расположена на один пиксель ниже, чем аналогичная иконка справа от нее.

Более того, серая плашка с надписью «просмотрено» слегка размыта, а шрифт не вполне совпадает с другой надписью «просмотрено» на скриншоте, что позволяет предположить, что иконка взята с другого скриншота.



Разоблачение сети троллей

Исследование первых пользователей, опубликовавших фальшивое видео «Азова», включая Artur 32409, и сайтов, которыми они пользовались для распространения фальшивки, выявило организованную дезинформационную систему — иными словами, «сеть троллей», состоящую из специальных аккаунтов.

В одном из постов Artur 32409 на politforums.net изложена история о некоем киевляне, у которого отобрали продукты по пути домой из магазина. Через десять минут после появления на politforums.net текст был скопирован в блоге Виктории Поповой на korrepondent.net. Точно то же, с той разницей, что потребовалось 22 минуты, а не 10, произошло с постом Artur 32409 о фальшивом видео «Азова». «Виктория Попова» даже оставила комментарий к посту Artur 32409 об ограбленном киевлянине: «За продуктами надо ездить на машине. Или заказывать на дом, как делают депутаты». В другом посте «Виктория» добавила, что изо всех сил работала, чтобы позволить себе какую-либо еду, кроме хлеба, и заявила, что деньги пенсионеров ушли на финансирование украинской военной операции на востоке страны.

«Виктория» и «Артур» — далеко не единственные звенья сети троллей. Пользователь Диана Паламарчук поделилась историей «Артура» на kievforum.org. Вскоре после этого абсолютно идентичный пост появился на online.crimea.ua, но подписан был уже не Дианой Паламарчук, а Дианой Паламар.

Эти тройка — Артур, Виктория и Диана — явно взаимосвязана, они не случайная группа пользователей. 4 февраля 2016 года «Диана Паламар» начала тему на online.crimea.ua, а через четыре минуты Виктория Попова сделала аналогичную запись в блоге на korrespondent.net. В обоих постах содержится ссылка на pohnews.org, тот самый сайт, на котором появилась история, которой поделились «Артур» и «Диана».

Яркий пример такого же поведения обнаруживается в группе «Суворий Бандерiвець» («Суровый Бандеровец»), где мы находим посты «Дианы Паламарчук» и «Соломии Яремчук» — пользователя, перепостившего ссылку на фальшивое видео «Азова» сразу после ее публикации «Артуром». В постах, опубликованых в этой группе, позиционирующей себя как проукраинская, выражено разочарование в президенте Порошенко и восхищение ультраправой и ультранационалистической партией «Правый сектор».

Многие аккаунты, состоящие в группе, по всей вероятности, созданные пророссийскими группами или индивидуальными активистами, появляются рядом друг с другом и на других сайтах. К примеру, «Соломия Яремчук» прокомментировала статью на популярном прокремлевском сайте cassad.net, наряду с пользователями с по-украински звучащими именами Женя Бондаренко, Козак Правдоруб, Федько Халамидник.



Петербургский след

Можно почти определенно сказать, что создание и распространение фальшивого видео батальона «Азов» было работой не кучки пранкеров, а целой сети, связанной с печально известным «Агентством интернет-исследований» — петербургской организацией, которая платит молодым россиянам за пророссийские и антизападных тексты, которые те пишут в блогах и комментариях к постам.

Фальшивое видео «Азова» со всей очевидностью связано с группой пользователей, состоящей из Артура 32409, Соломии Яремчук, Дианы Паламар(чук) и Виктории Поповой. Первые два пользователя первоначально распространили видео в сети и копировали посты друг друга. Было бы практически невозможно найти видео, появившееся на новосозданном YouTube-канале и никогда не упоминавшееся раньше, без поиска по его заголовку. Следовательно, можно почти определенно утверждать, что Артур (а следовательно, и остальные звенья сети троллей) связан с созданием фальшивого видео.

Тексты, написанные этой сетью троллей, быстро появляются на сайте pohnews.org, прежде известном как today.pl.ua. Несколько авторов этого сайта затем размещают написанные ими заметки (обычно из 100-250 слов) на других сайтах, где пользователи могут заводить блоги. К примеру, у пользователя «Влады Зорич», разместившей на pohnews.org текст, первоначально опубликованный «Артуром 32409», есть аккаунты на многих других сайтах и в соцсетях. Все ее тексты антиукраинского содержания и написаны в том же стиле (грубо говоря, теми же словами), что и тексты на whoswhos.org, сайте, о котором известно, что он является частью сети, созданной «Агентством интернет-исследований» и получающим там гонорары веб-дизайнером и специалистом по оптимизации интернет-поиска Никитой Подгорным.

Финансируемый Агентством сайт whoswhos.org и pohnews.org, публикующий тексты группы пользователей, впервые распространивших фальшивое видео «Азова», связывает не только сходство содержания и стиля. У сайтов есть свои страницы в соцсетях; их администраторы — Олег Краснов (pohnews.org) и Влад Малышев (whoswhos.org). Эти два аккаунта пользуются фотографиями одного и того же человека (который с этой историей совершенно никак не связан); вероятнее всего, аккаунты создал один и тот же человек и поленился найти фотографии разных людей.



Поскольку эти аккаунты, по-видимому, не представляют реальных людей, у них мало друзей или подписчиков. У «Влада Малышева» и другого администратора страницы whoswhos.org есть только один подписчик — «sys05dag», фигурирующий в ВК под именем «Sys admin». У этого пользователя тесные связи с киберпреступностью; в ВК он администрирует страницу, посвященную методам взлома в интернете и темам, связанным с вредоносными программами. К примеру, однажды он написал пост, где объявил, что ищет двадцать серверов для устройства ботнета (сети, в которой действуют автономные программы, обычно используемые для рассылки спама, подбора паролей и DDoS-атак. — Открытая Россия). И здесь круг связанных с фальшивым видео «Азова» и фальшивым же скриншотом замыкается: у «Sys admin» много общих друзей с Юрием Горчаковым.

Откровенно фальшивые аккаунты

При взгляде на аккаунты, которые копируют тексты друг у друга и публикуют их на «новостных» сайтах, связанных с «фабрикой троллей», моментально становится ясно, что это не настоящие люди. На примере трех пользователей, которые часто встречались нам в этой истории, видна общая тактика, используемая сетью.

«Влада Зорич» публикует тексты на pohnews.org и нескольких украинских сайтах с пользовательскими блогами. Она не особенно старается скрыть, что не является реальным человеком. В своих профилях в Фейсбуке, ВК, блогах и комментариях она в качестве «своих» фото пользуется фотографиями актрис Меган Фокса и Нины Добрев. Ее список друзей такой, какой обычно бывает у спам-ботов — сотни контактов от Боливии до Гонконга.

«Диана Паламар(чук)» распространяет тексты «Артура 32409» и других пользователей-троллей; позже тексты появляются на сайтах типа pohnews.org. Она ставит «лайки» страницам связанных с «Агентством интернет-исследований» и «Федеральным агентством новостей» сайтов. В качестве «своих» фото пользуется фотографиями разных пользователей ВК. Это фото принадлежит «Диане», а это — пользовательнице по имени Юлия. Это «Диана», а это пользовательница Анастасия.

«Соломия Яремчук» первой сделала перепост сообщения «Артура 32409» о фальшивом видео «Азова» в блоге на korrespondent.net. В качестве места жительства указывает тот же город, что и Диана, — Луцк (Украина). Одна из ее фотографий взята из аккаунта пользовательницы по имени Таня.



Аналитический взгляд

Анализ контактов между некоторыми из юзеров, распространявших фальшивое видео «Азова», как и другую антиукраинскую дезинформацию, выявляет глубокие связи. В процессе анализа вскрылись также несомненные связи некоторых сайтов, к которым имеют отношение эти пользователи, с «Агентством интернет-исследований» и «Федеральным агентством новостей» (ФАН).

Один из самых простых, но тем не менее эффективных способов выследить фальшивый аккаунт тролля — найти тех, кто часто делится ссылками на новостные сайты, созданные под руководством «Агентства интернет-исследований». Поиск тех, кто публикует ссылки на whoswhos.org и pohnews.org, обнаруживает немало пользователей, связанных с обоими сайтами, в том числе легко идентифицируемых троллей. Некоторые из этих аккаунтов, такие, как @ikolodniy, @dyusmetovapsy и @politic151012, публикуют также ссылки на ФАН — новостной сайт, офис которого расположен в одном здании с Агентством интернет-исследований по адресу Санкт-Петербург, ул. Савушкина, 55.

Другой способ обнаружения сети, связывающей аккаунты троллей, — анализ их манеры постов и перепостов, как мы уже показали на примере Виктории Поповой, Артура 32409, Соломии Яремчук и Дианы Паламар(чук). Меньше чем через час после первого публичного упоминания фальшивого видео «Азова» (у Артура 32409) пользователь с ником Faost сделал перепост на fkiev.com. Он играет роль украинца, поддерживающего действия батальона «Азов». Вот что он написал:

«Все знают, что Нидерланды против вступления Украины в Евросоюз. И это в некотор роде сбило с толку украинских солдат, потому что они хотят присоединиться к Евросоюзу. Бойцы батальона „Азов“ решили записать обращение к правительству Нидерландов. В этом видеообращении они объясняют, чем они недовольны. И они просят не принимать такого решения. Они казали, что собирают команды, которые можно будет отправить в Нидерланды, чтобы как-то повлиять на их решение. Я очень рад, что наших солдат беспокоят такие события. Я поддерживаю их, потому что они приложили к этому усилия. Нашим солдатам приходится защищать Украину. Это самые смелые парни в стране, они докажут всем, что Украина заслуживает стать членом Евросоюза».

Через четыре минуты пользователь с ником kreelt написал то же самое на doneckforum.com. Эти два пользователя — либо один и тот же человек, либо члены одной группы троллей. Пользователи с такими же именами были забанены на форумах pravda.com.ua за регистрацию дублирующих друг друга аккаунтов. К тому же, эти два пользователя — Faost и kreelt — вместе с уже упоминавшейся Дианой Паламар создали многочисленные записи с тегом «новости» на форуме с небольшим трафиком.

Это косвенные доказательства, но есть и немало прямых подтверждений того, что все это один и тот же человек или разные люди, работающие в одном офисе. И Faost, и kreelt делали свои посты в одной и той же теме на «Правде Украины» с IP-адреса 185.86.77.х (последние цифры мы не публикуем). Этим же IP пользовались аналогичные аккаунты-тролли Pon4ik и Nosik34, которые распространяли материалы примерно такого же содержания, что и остальные пользователи из этой сети.

IP-адреса, использованные троллями для распространения дезинформации, в том числе фальшивого видео «Азова», связаны с украинским хостингом GMhost и его руководителем Александром Сергеевичем Мульгиным (в оригинальном английском тексте Bellingcat ошибочное написание Alexander Mulgin Serginovic. — Открытая Россия); сервером этого хостинга с тем же IP-адресом 186.86.77.x пользовались для атак с помощью вредоносных программ. Пользователи с тем же IP-адресом, в том числе упомянутый уже kreelt и тролль с ником Amojnenadoima? оставляли ссылки на материалы с pohnews.org на сайте dialogforum.net.



Связи с другими фальшивыми видео «Азова»?

Есть еще несколько видео, которые могут быть связаны с тем, где сжигают нидерландский флаг. Самое похожее опубликовано 1 февраля 2016 года, меньше чем через две недели после видео с сожжением флага. Сцена очень напоминает предыдущее видео, но здесь бойцы не жгут нидерландский флаг, а стоят на нем. Опубликовано оно на новосозданном YouTube-канале «Добровольчий Народний Батальйон АЗОВ»; никаких других материалов на этом канале нет.

Оба видео — в разрешении 720p, в то время как настоящие видео «Азова» сделаны в разрешении 1080p. К тому же, в начальной заставке обоих видео наблюдается «призрачный эффект». Для сравнения: внизу слева кадры из настоящих видеороликов «Азова», справа — из фальшивых.



Рисунок камуфляжной формы солдат в обоих фальшивых видео совпадает.

Это сходство еще не доказывает, что оба видео изготовлены теми же людьми, но, учитывая сходство смысла сюжетов и формата видео, можно говорить о большой вероятности.

Добавим, что в январе 2016 года группой «Кибер Беркут» в ВК были опубликованы видео и сопутствующие фотографии, якобы захваченные у бойцов батальона «Азов». На них показаны солдаты батальона, на одежде которых нашивки с флагом ИГИЛ. Как и в случаях с другими «утечками» от «Кибер Беркута», это, скорее всего, грубая фальшивка.

Так же, как и в случае с видео, где бойцы стоят на нидерландском флаге, нет бесспорных доказательств, что это «откровение» того же происхождения, что и видео с сожжением флага. Однако, учитывая, что все они направлены на одну и ту же аудиторию и появились в течение трех месяцев, имеет смысл провести дальнейшее расследование связей между этими видео.

Реакция в Нидерландах

Основную часть крупных нидерландских СМИ не удалось обмануть с помощью этого видео и угроз террора. Хуберт Сметс в газете NRC Handelsblad детально объяснил, почему видео, скорее всего, фальшивое; так же поступили информагентство NOS и газета De Volkskrant. Популярный блог Geenstijl, настроенный против договора об ассоциации между Евросоюзом и Украиной, занял более нейтральную позицию и не указал, настоящее видео или фальшивое. В то же время один из главных агитаторов за голосование против договора Ян Рос, связанный с Geenstijl, предположил, что видео говорит о реальной угрозе для Нидерландов. Сайт Deburgers.nu, также настроенный против договора, опубликовал фальшивый скриншот YouTube-канала «Азова» как доказательство подлинности видео.

Создается впечатление, что нейтральные и солидные издания корректно преподнесли видео как фальшивку, но некоторые частные лица и издания, изначально выступавшие против договора об ассоциации с Украиной, оказались готовы принять видео за реальную угрозу.

Заключение

Первое публичное упоминание о фальшивом видео батальона «Азов» было сделано «Артуром 32409» — пользователем, входящим в сеть аккаунтов-троллей, распространяющих исключительно антиукраинскую и пророссийскую дезинформацию. Способ, которым распространялось видео, — тот же, которым пользуются в своих дезинформационный кампаниях пользователи и новостные сайты, связанные с «Агентством интернет-исследований». Таким же образом распространялось и видео с «американским солдатом», расстреливающим Коран, что также было устроено троллями из Петербурга.

Более того, сфабрикованный скриншот, якобы доказывающий подлинность видео «Азова», был первоначально распространен и, скорее всего, создан человеком по имени Юрий Горчаков, который был причастен к изготовлению фальшивого видео, направленного против «Правого сектора».

Сеть троллей, в которую входит Артур 32409, часто пользуется для распространения дезинформации сайтом pohnews.org. У этого сайта тот же администратор, что и у whoswhos.org, который, как уже доказано, связан с «Агентством интернет-исследований» и родственным ему «Федеральным агентством новостей». Конфиденциальная переписка 2014 года, обнародованная группой хакеров Anonimous International (они же «Шалтай-Болтай»), подтверждает, что эти организации не действуют независимо и, по крайней мере, во время, к которому относится утечка, получали инструкции из Кремля.

Короче говоря, существует очевидная связь между первой публикацией фальшивого видео батальона «Азов» с сожжением нидерландского флага и так называемой «петербургской фабрикой троллей». Видео было создано и распространено в рамках организованной дезинформационный кампании, определенно в надежде повлиять на результаты референдума 6 апреля об ассоциации Украины с Евросоюзом. Большинство солидных нидерландских изданий расценили видео как грубую работу пропагандистов, однако некоторые онлайн-издания, такие как Geenstijl, допустили, что оно может и не быть фальшивкой. Таким образом, можно сказать, что дезинформационная кампания дала минимальный эффект, так как если кого-то в Нидерландах и удалось ввести в заблуждение, то лишь тех, кто уже принадлежал к лагерю «нет» на референдуме.

Оригинал: «Что стоит за голландским видео о террористической угрозе. Связь с петербургской „фабрикой троллей“», Bellingcat, 3 апреля

util