De ryska hotaktörerna jobbar ihärdigt vidare, och förbereder sig på att utnyttja krigströttheten

Ryska styrkor deltar inte bara i aktioner som kan strida mot internationell lag, utan de riktar också in sig på de brottmålsutredare och åklagare som bygger mål mot dem.

Microsofts telemetri avslöjade att aktörer kopplade till Rysslands militär och underrättelsetjänst under våren och sommaren i år riktat in sig på och gjort intrång i ukrainska rätts- och utredningsnätverk, liksom i nätverken hos de internationella organisationer som är involverade i undersökningarna om krigsförbrytelser.

De här cyberoperationerna inträffade samtidigt som spänningarna tilltog mellan Moskva och grupper som Internationella brottmålsdomstolen (ICC), som i mars utfärdade en arresteringsorder på Rysslands president Putin baserad på anklagelser om krigsförbrytelser.⁷

I april gjorde GRU-anknutna Seashell Blizzard intrång i nätverket för en advokatbyrå som arbetar med att lagföra krigsförbrytelser. Aqua Blizzard, som anses vara kopplat till FSB, gjorde i juli intrång i det interna nätverket hos en stor utredningsinstans i Ukraina, och använde sedan komprometterade konton där för att i september skicka e-postmeddelanden med nätfiske till flera ukrainska telekomföretag.

Under juni och juli gjorde SVR-aktörerna Midnight Blizzard (tidigare NOBELIUM) intrång hos en juridisk organisation med globalt ansvar och fick åtkomst till känsliga dokument innan Microsoft Incident Response ingrep för att åtgärda intrånget. Den här aktiviteten var en del av en mer aggressiv kampanj från denna aktör med syfte att göra intrång överallt i världen hos organisationer inom diplomati, försvar, offentlig politik och IT-sektorn.

Under 2023 har MTAC kontinuerligt observerat Storm-1099, en påverkansaktör med Rysslandskopplingar som är ansvarig för en sofistikerad prorysk påverkansoperation riktad mot dem som har stött Ukraina sedan våren 2022.

Kanske mest känd för den storskaliga webbplatsförfalskningsoperation som döptes till ”Doppelganger” av forskargruppen EU DisinfoLab,¹⁹ Storm-1099:s verksamhet omfattar även unika kanaler som RRN (Reliable Recent News), multimedieprojekt som den anti-ukrainska serien Ukraine Inc., och demonstrationer på plats som skapar en koppling mellan den digitala och den fysiska världen. Även om tillskrivningen är ofullständig, har välfinansierade ryska politiska tekniker, propagandister och PR-specialister med påvisbara band till den ryska staten, genomfört och stöttat flera Storm-1099-kampanjer.²⁰

Storm-1099:s Doppelganger-operation är fortfarande i full kraft då den här rapporten skrivs, trots ihärdiga försök från teknikföretag och forskningsenheter att rapportera om och mildra dess räckvidd.²¹ Även om denna aktör historiskt har riktat in sig på Västeuropa – i första hand på Tyskland – har den också haft fokus på Frankrike, Italien och Ukraina. Under de senaste månaderna har Storm-1099 flyttat sitt fokus mot USA och Israel. Denna övergång började så långt tillbaka som i januari 2023, mitt under de storskaliga protesterna i Israel mot föreslagna lagändringarna och intensifierades efter det att Israel-Hamas-kriget utbröt i början av oktober. Nyligen skapade kanaler återspeglar en ökande prioritering av USA:s politik och det kommande amerikanska presidentvalet 2024, medan befintliga Storm-1099-tillgångar kraftfullt har propagerat för det falska påståendet att Hamas skaffat ukrainska vapen på den svarta marknaden för sina attacker mot Israel den 7 oktober.

Nu senast, i slutet av oktober, observerade MTAC konton som Microsoft bedömer vara Storm-1099-tillgångar som främjar en ny typ av falsarier i tillägg till de falska artiklarna och webbplatserna på sociala medier. Det här är en serie korta falska nyhetsklipp, skenbart skapade av välrenommerade nyhetskanaler, som sprider prorysk propaganda i syfte att undergräva stödet för både Ukraina och Israel. Även om den här taktiken – att använda falska videor för att driva olika propagandistiska linjer – är en taktik som proryska aktörer har kunnat ses driva mer allmänt under de senaste månaderna, så belyser Storm-1099s användning av sådant videoinnehåll bara aktörens olika påverkanstekniker och meddelandemål.

Sedan Hamas attacker i Israel den 7 oktober har ryska statliga medier och påverkansaktörer med statliga kopplingar försökt utnyttja Israel-Hamas-kriget för att främja anti-ukrainska berättelser, anti-amerikanska stämningar och förvärra spänningen mellan alla parter. Denna aktivitet, även om den är en reaktion på kriget och generellt sett är begränsad i omfattning, omfattar såväl offentligt sponsrade statliga media och hemliga sociala medienätverk med Rysslandskoppling, vilka spänner över flera sociala medieplattformar.

Berättelser som främjas av ryska propagandister och proryska sociala medienätverk försöker ställa Israel mot Ukraina och minska västvärldens stöd för Kiev genom att felaktigt hävda att Ukraina försett Hamas med vapen i fejkade inslag från av välrenommerade medier och genom manipulerade videor. En oäkta video som hävdade att utländska rekryter, bl.a. amerikaner, överfördes från Ukraina för att delta i de israeliska försvarsstyrkornas operationer på Gazaremsan, som fick hundratusentals visningar på sociala medieplattformar, utgör bara ett exempel på sådant innehåll. Den här strategin för både ut antiukrainska narrativ till en bredare publik och skapar engagemang genom att skapa falska narrativ som knyter an till händelser i det allmänna nyhetsflödet.

Ryssland förstärker också den digitala påverkan genom att lyfta fram verkliga händelser. Ryska kanaler har på ett aggressivt sätt lyft fram uppviglande innehåll som förstärker protesterna kring Israel-Hamas-kriget i Mellanöstern och Europa – även via de ryska statliga nyhetsbyråernas korrespondenter på plats. I slutet av oktober 2023 påstod franska myndigheter att fyra moldaviska medborgare sannolikt var kopplade till stencilerad graffiti med Davidsstjärnan i offentliga miljöer i Paris. Två av moldaverna ska ha hävdat att de hade fått direktiv från en rysktalande person, vilket antyder att Ryssland låg bakom graffitin. Bilder av graffitin fick sedan ytterligare spridning genom Storm-1099-tillgångar.²²

Rysslands bedömning är sannolikt att den pågående Israel-Hamas-konflikten är till deras geopolitiska fördel, eftersom de antar att konflikten distraherar västvärlden från kriget i Ukraina. Efter att ha studerat de taktiker som Ryssland ofta använder i sin påverkansverksamhet, så bedömer MTAC att dessa aktörer kommer att fortsätta driva sådan onlinepropaganda och utnyttja andra stora internationella händelser för att provocera fram spänningar och försöka störa västvärldens förmåga att motverka Rysslands invasion av Ukraina.

Antiukrainsk propaganda har i stort sett genomsyrat rysk påverkan alltsedan tiden före den fullskaliga invasionen 2022. Under de senaste månaderna har dock proryska och Rysslandsanknutna påverkansnätverk fokuserat på att använda video som ett mer dynamiskt medium för att sprida dessa budskap i samverkan med falska auktoritativa medier för att på så vis utnyttja deras trovärdighet. MTAC har observerat två pågående kampanjer utförda av okända proryska aktörer som inbegriper falsarier av vanliga nyhets- och underhållningsmedier i syfte att få genomslag för manipulerat videoinnehåll. I likhet med tidigare ryska propagandakampanjer fokuserar denna aktivitet på att utmåla den ukrainske presidenten Volodymyr Zelenskyj som en korrupt drogmissbrukare och det västerländska stödet till Kiev som skadligt för dessa länders inhemska befolkningar. Innehållet i båda kampanjerna strävar konsekvent efter att minska stödet för Ukraina, men kopplar berättelserna till händelser i det pågående nyhetsflödet – som ubåten Titans implosion i juni 2023 eller Israel-Hamas-kriget – så att man kan nå ut till en bredare publik.