Russische bedreigingsactoren graven zich in, bereiden zich voor op afgedwongen oorlogsmoeheid

Russische strijdkrachten zijn niet alleen betrokken in acties die in conflict zijn met het internationaal recht, maar ze vallen ook de onderzoekers van de criminaliteit en de aanklagers die cases tegen hen beginnen aan.

Microsoft-telemetrie heeft onthuld dat actoren die gekoppeld zijn aan militaire en buitenlandse inlichtingendiensten van Rusland juridische en onderzoeksnetwerken hebben aangevallen en geschonden. Deze netwerken zijn Oekraïens, maar ook van internationale organisaties die zijn betrokken in onderzoeken naar oorlogsmisdaden in de lente en zomer van dit jaar.

Deze cyberoperaties deden zich voor tijdens spanningen tussen Moskou en groepen zoals het Internationaal Strafhof (International Criminal Court, of ICC), dat een arrestatiebevel uitgaf voor de Russische president Poetin voor oorlogsmisdaden in maart.⁷

In april compromitteerde het aan de GROe gekoppelde Seashell Blizzard het netwerk van een advocatenkantoor dat zich focust op cases van oorlogsmisdaden. Aqua Blizzard, toegeschreven aan de FSB, schond het internationale netwerk van een grote onderzoeksinstantie in Oekraïne in juli. Vervolgens gebruikte het in september gecompromitteerde accounts om phishing-e-mails te verzenden naar verschillende Oekraïense telecombedrijven.

SVR-actor Midnight Blizzard (voorheen NOBELIUM) kreeg toegang tot en compromitteerde de documenten van een juridische organisatie met wereldwijde verantwoordelijkheden. Dit gebeurde in juni en juli, voordat Microsoft Incidentreactie kon ingrijpen om de inbraak te herstellen. Deze activiteit was onderdeel van een agressievere poging van deze actor om verschillende organisaties wereldwijd te schenden: in de diplomatie, defensie, in openbaar beleid en in de IT-sector.

Gedurende 2023 bleef MTAC Storm-1099 observeren, een aan Rusland gerelateerde beïnvloedingsactor die verantwoordelijk is voor een geavanceerde pro-Russische beïnvloedingsoperatie met als doelwit de internationale entiteiten die sinds de lente van 2022 Oekraïne ondersteunen.

Storm-1099 is misschien het meest bekend vanwege het grootschalig vervalsen van websites, een operatie die van onderzoeksgroep EU DisinfoLab de naam 'Doppelganger' heeft gekregen.¹⁹ De activiteiten van Storm-1099 omvatten ook unieke merkkanalen zoals Reliable Recent News (RRN), multimediaprojecten zoals de anti-Oekraïense animatieserie 'Ukraine Inc.' en plaatselijke demonstraties die de digitale en fysieke werelden overbruggen. Hoewel de toekenning niet volledig is, hebben Russische politieke technologen met goede financiële middelen, propagandisten en PR-specialisten met aantoonbare banden met de Russische staat verschillende Storm-1099-campagnes uitgevoerd en ondersteund.²⁰

De operatie Doppelganger van Storm-1099 is ten tijde van dit rapport nog volledig in werking, ondanks voortdurende pogingen van technologiebedrijven en onderzoeksentiteiten om het bereik ervan te melden en te beperken.²¹ Terwijl deze actor historisch gezien West-Europa heeft aangevallen (Frankrijk en vooral Duitsland), zijn ook Italië en Oekraïne het doelwit geweest. In de afgelopen maanden heeft Storm-1099 de plaatselijke focus verlegd naar de Verenigde Staten en Israël. Deze overgang begon al in januari 2023 tijdens grootschalige protesten in Israël tegen de voorgestelde juridische hervorming. De overgang werd begin oktober geïntensiveerd na de aanvang van de oorlog tussen Israël en Hamas. Nieuw gemaakte merkkanalen laten een toenemende prioritering zien van politici in de Verenigde Staten en de aanstaande Amerikaanse presidentsverkiezingen van 2024, terwijl bestaande Storm-1099-assets nadrukkelijk (en onterecht) claimen dat Hamas Oekraïense wapens heeft aangekocht op de zwarte markt voor de aanvallen van 7 oktober in Israël.

Onlangs (eind oktober) observeerde MTAC accounts waarvan Microsoft beoordeelt dat het Storm-1099-assets zijn die een nieuwe soort vervalsing promoten, naast nepartikelen en nepwebsites op sociale media. Dit is een serie korte clips met nepnieuws, zogenaamd gemaakt door gerenommeerde kanalen die pro-Russische propaganda verspreiden om de ondersteuning van Oekraïne en Israël te ondermijnen. Hoewel deze tactiek (het inzetten van vervalste video's om propaganda te verspreiden) in de afgelopen maanden wijdverspreider is geobserveerd bij pro-Russische actoren, markeert de promotie van dit soort video-inhoud door Storm-1099 alleen maar de wisselende beïnvloedingstactieken en berichtendoelen van de actor.

Sinds de aanvallen van Hamas in Israël op 7 oktober, proberen Russische staatsmedia en aan de staat gerelateerde beïnvloedingsactoren de oorlog tussen Israël en Hamas te gebruiken om anti-Oekraïense verhaallijnen te promoten, een gevoel tegen de Verenigde Staten te wekken en de spanning te verscherpen tussen alle partijen. Deze activiteit, hoewel reagerend op de oorlog en in het algemeen met een beperkt bereik, betrekt zowel openlijk door de staat gesponsorde media als openlijk aan de staat gerelateerde socialemedianetwerken op meerdere socialemediaplatformen.

Verhaallijnen die door Russische propagandisten en pro-Russische socialemedianetwerken worden gepromoot, zijn bedoeld om Israël op te zetten tegen Oekraïne en de westerse steun voor Kyiv af te zwakken. In vervalsingen van gerenommeerde mediakanalen en in gemanipuleerde video's wordt onterecht geclaimd dat Oekraïne Hamasstrijders heeft voorzien van wapens. Een van de slechts vele voorbeelden van dergelijke inhoud is een inauthentieke video waarin wordt geclaimd dat buitenlandse rekruten (waaronder Amerikanen) worden overgeplaatst van Oekraïne naar de Gazastrook voor operaties van het Israëlisch defensieleger (Israel Defense Forces, of IDF). Deze video werd duizenden keren bekeken op verschillende socialemediaplatformen. Deze strategie introduceert anti-Oekraïense verhaallijnen bij een brede doelgroep en stuurt aan op betrokkenheid door valse verhaallijnen te vormen die passen bij nieuwsberichten van belangrijke ontwikkelingen.

Rusland vergroot ook de digitale beïnvloedingsactiviteit met de promotie van gebeurtenissen in de echte wereld. Russische kanalen hebben op een agressieve manier opruiende inhoud gepromoot waarin protesten tegen de oorlog tussen Israël en Hamas, plaatsvindend in het Midden-Oosten en Europa, worden vergroot. Onder andere via plaatselijke correspondenten van persbureaus van de Russische staat. Eind oktober 2023 veronderstelden Franse autoriteiten dat vier Moldaviërs waarschijnlijk verantwoordelijk waren voor het plaatsen van graffiti met davidssterren in openbare ruimten van Parijs. Twee van de Moldaviërs hebben naar verluidt geclaimd dat ze werden geïnstrueerd door een Russisch sprekende individu, de suggestie wekkend van mogelijke Russische verantwoordelijkheid voor de graffiti. Afbeeldingen van de graffiti werden later versterkt door assets van Storm-1099.²²

Rusland beoordeelt waarschijnlijk dat het voortdurende conflict tussen Israël en Hamas in hun geopolitieke voordeel is, omdat het conflict het Westen zou kunnen afleiden van de oorlog in Oekraïne. MTAC volgt veelgebruikte tactieken uit het playbook van Rusland voor beïnvloeding en beoordeelt dat dergelijke actoren onlinepropaganda blijven verspreiden en gebruik blijven maken van andere belangrijke nationale gebeurtenissen om spanning te veroorzaken en te proberen het Westen te belemmeren om de Russische invasie van Oekraïne tegen te werken.

Anti-Oekraïne propaganda maakt al sinds voor de volledige invasie in 2022 een groot deel uit van de Russische beïnvloedingsactiviteit. In de afgelopen maanden hebben pro-Russische en aan Rusland gerelateerde beïnvloedingsnetwerken zich echter gefocust op het gebruik van video als een dynamischer medium om deze berichten te verspreiden, gekoppeld aan vervalsende maar gezaghebbende mediakanalen om gebruik te maken van hun geloofwaardigheid. MTAC heeft twee voortdurende campagnes waargenomen, uitgevoerd door onbekende, pro-Russische actoren. Deze campagnes bevatten de vervalsing (spoofing) van mainstream nieuws en mediamerken in de entertainmentindustrie om gemanipuleerde video-inhoud te verspreiden. Zoals eerdere Russische propagandacampagnes is deze activiteit gefocust op het beweren dat de Oekraïense president Volodymyr Zelensky een corrupte drugsverslaafde is en dat de westerse steun voor Kyiv nadelig is voor de bevolkingen van die landen. De inhoud van beide campagnes probeert voortdurend de steun voor Oekraïne te verkleinen, maar neemt verhaallijnen over die overeenkomen met opduikende gebeurtenissen in het nieuws. Bijvoorbeeld de implosie van de duikboot Titan in juni 2023 of de oorlog tussen Israël en Hamas zijn gebruikt om een bredere doelgroep te bereiken.