# Операции по дезинформации «Doppelgänger» в Европе и США к середине года  
*Веб-семинар HarfangLab – «Безопасность на скорости 300 км/ч: как фрагментированные стратегии защиты конечных точек подрывают управление атакуемой поверхностью?»*  

Опубликовано 25 июля 2024 г. • Время чтения: 54 мин

---

## Введение

За последнее десятилетие цифровая дезинформация приобрела новые, все более изощрённые формы. Одним из наиболее тревожных явлений стали операции «Doppelgänger» — координированные, поддерживаемые государством кампании, использующие фейковые новостные сайты, бот-сети в социальных сетях и сложные цепочки перенаправлений для манипулирования общественным мнением. Этот материал основан на веб-семинаре HarfangLab в сотрудничестве с Forrester, где данные операции анализировались детально. Мы рассмотрим предысторию, технические подробности, реальные примеры, стратегии противодействия и даже приведём образцы кода, которые помогут специалистам по кибербезопасности лучше понять и нейтрализовать данную угрозу.

Независимо от того, являетесь ли вы новичком или опытным аналитиком TI, эта подробная техническая статья проведёт вас шаг за шагом от основ операций «Doppelgänger» до продвинутых практик кибербезопасности, связанных с защитой конечных точек, анализом цепочек перенаправлений и управлением атакуемой поверхностью (ASM).

---

## Оглавление

1. [Предпосылки и общий обзор](#предпосылки-и-общий-обзор)  
   - [Что такое операции «Doppelgänger»?](#что-такое-операции-doppelgänger)  
   - [Исторический контекст и современные тенденции](#исторический-контекст-и-современные-тенденции)  

2. [Разбор цепочки (дез)информации](#разбор-цепочки-дезинформации)  
   - [Перенаправители первого уровня](#перенаправители-первого-уровня)  
   - [Перенаправители второго уровня](#перенаправители-второго-уровня)  

3. [Социальные сети и бот-сети](#социальные-сети-и-бот-сети)  
   - [Роль X/Twitter в распространении](#роль-xtwitter-в-распространении)  
   - [Анатомия бот-поста](#анатомия-бот-поста)  

4. [Техническое погружение: инфраструктура и тактики](#техническое-погружение-инфраструктура-и-тактики)  
   - [Шаблоны доменов и тенденции регистрации](#шаблоны-доменов-и-тенденции-регистрации)  
   - [Анализ цепочек перенаправлений](#анализ-цепочек-перенаправлений)  

5. [Влияние на конечные точки и ASM](#влияние-на-конечные-точки-и-asm)  
   - [Фрагментированные стратегии защиты конечных точек](#фрагментированные-стратегии-защиты-конечных-точек)  
   - [Инструменты и методики ASM](#инструменты-и-методики-asm)  

6. [Примеры кода и практический анализ](#примеры-кода-и-практический-анализ)  
   - [Сканирование в Bash](#сканирование-в-bash)  
   - [Разбор вывода в Python](#разбор-вывода-в-python)  

7. [Стратегии смягчения рисков и рекомендации](#стратегии-смягчения-рисков-и-рекомендации)  
   - [Лучшие практики для Threat Intelligence](#лучшие-практики-для-threat-intelligence)  
   - [Роль ИИ и поведенческих движков](#роль-ии-и-поведенческих-движков)  

8. [Кейсы и реальные примеры](#кейсы-и-реальные-примеры)  

9. [Заключение](#заключение)  

10. [Ссылки](#ссылки)

---

## Предпосылки и общий обзор

### Что такое операции «Doppelgänger»?

Операции «Doppelgänger» — это скоординированные попытки, приписываемые российским акторам, манипулировать общественным мнением путём имитации легитимных новостных источников. Название отражает «двойниковую» подделку реальных сущностей. Ключевые приёмы:

- **Фейковые или подменённые сайты:** копируют популярные новостные домены.  
- **Социальные сети:** активное распространение через X/Twitter и др.  
- **Цепочки перенаправлений:** маскируют источник с несколькими уровнями редиректов.  
- **Бот-сети:** автоматизированные аккаунты усиливают охват контента.  

Многослойный подход помогает скрывать инфраструктуру, усложняя обнаружение и своевременную реакцию.

### Исторический контекст и современные тенденции

Раньше дезинформация ограничивалась примитивными «фейк-ньюс» во время выборов. С развитием цифровых систем и защитных технологий эволюционировали и методы дезинформаторов. Ключевые тренды:

- **Интеграция ИИ:** генерация контента (фейковые статьи, AI-музклипы) и автоматизация ботов.  
- **Сложные перенаправления:** многоуровневые цепочки, затрудняющие детектирование.  
- **Ротация инфраструктуры:** быстрая смена доменов, IP и TLD для обхода чёрных списков.  
- **Фрагментированные стратегии EPP/EDR:** разрозненные решения создают уязвимости в ASM.  

События, такие как внеочередные выборы во Франции в июне 2024 г., высветили масштаб проблемы. Операция «Mid-year Doppelgänger» показала необходимость комплексного TI и улучшенного управления конечными точками.

---

## Разбор цепочки дезинформации

Чтобы противодействовать операциям, важно понимать их техническую структуру. Кампании «Doppelgänger» используют сложную цепочку редиректов для маскировки активности.

### Перенаправители первого уровня

Первое звено цепочки:

- Выглядят безобидно для рядового пользователя.  
- Генерируют превью для соцсетей (OpenGraph/Twitter-карты).  
- Сразу перенаправляют посетителя.

**Пример анализа:**  

```html
<!DOCTYPE html>
<html>
  <head>
    <title>Citizenship Doesn't Matter If You Support Biden</title>
    ...
    <meta http-equiv='refresh' content='0; url=http://vickypitner.com/wash9261378'>
  </head>
  <body>
    ...
    <div>
      пример текста на кириллице – пустышка.
    </div>
  </body>
</html>

Особенности:

Манипуляция метаданными для соцсетей.
Мгновенный редирект на второй уровень.
Минимальный JS для запутывания.
Фраза на кириллице как «дымовая завеса».

Перенаправители второго уровня

Продолжают скрывать финальную страницу.

<html lang="en">
  <head>
    <meta name="robots" content="noindex, nofollow">
    <title>Redirecting...</title>
  </head>
  <body>
    <noscript>Пожалуйста, включите JavaScript.</noscript>
    <script>
      window.location.href = "http://finalcontent.example.com";
    </script>
  </body>
</html>

Ключевые моменты:

noindex, nofollow — запрет индексации.
Дизайн без контента подтверждает роль «промежуточного шлюза».

Социальные сети и бот-сети

Социальные платформы, особенно X/Twitter, критически важны для распространения дезинформации. Идентифицировано ≈ 800 бот-аккаунтов, публикующих ссылки на перенаправители первого уровня.

Роль X/Twitter в распространении

Усиление охвата: автоматические посты с редирект-ссылками.
Искусственное вовлечение: боты создают «лайки/ретвиты», вводя в заблуждение алгоритмы.

Анатомия бот-поста

Общие черты:

Уникальный, часто AI-сгенерированный текст.
Мультиязычность: EN, FR, DE, PL, UK.
Непропорциональная статистика: лайков больше, чем подписчиков.
Исторические связи: часть ботов ранее участвовала в криптоскамах, что указывает на пересечение криминальных и госопераций.

Реальный пример:
Бот опубликовал AI-клип в стиле Little Big, высмеивая Олимпиаду-2024 в Париже и завуалированно призывая не посещать мероприятия.

Техническое погружение: инфраструктура и тактики

Шаблоны доменов и тенденции регистрации

Замечены TLD .click, .top, .shop и др. Типичные паттерны:

http(s)://<5–6 символов>.<домен>/<6 символов>
http(s)://<короткий_домен>/<6 символов>

Часто встречающиеся IP:

168.100.9.238 — ASN 399629, BLNWX
77.105.135.48 — ASN 216309, EVILEMPIRE-AS / TNSECURITY LTD
185.172.128.161 — ASN 216309, EVILEMPIRE-AS / TNSECURITY LTD

Хост-сервисы:

OpenSSH 22, OpenResty + PHP 7 на 80/443.
Самоподписанные сертификаты.

Анализ цепочек перенаправлений

Клик: пользователь переходит по ссылке.
1-й редирект: метатеги + meta-refresh.
2-й редирект: другая инфраструктура, выводит на финальный контент.

Использование HTTP-метатегов, обфусцированного JS и быстрых редиректов затрудняет работу сканеров.

Влияние на конечные точки и ASM

Фрагментированные стратегии защиты конечных точек

Проблемы:

Неоднородное покрытие: часть устройств защищена хуже.
Замедленная реакция: отсутствие единой видимости.
Сложный ASM: трудно учесть все уязвимые активы и теневые ИТ.

Исследования HarfangLab показывают, что злоумышленники используют «дыры» между разрозненными EPP/EDR для размещения дезинформации и вредоносных нагрузок.

Инструменты и методики ASM

Оценка уязвимостей (сканеры).
Обнаружение Shadow IT.
EPP/EDR для мониторинга.
YARA, Sigma, IOC-движки.
ИИ и ML для поиска нетипичных паттернов.

Интегрированный подход — критически важен против «многоликих» угроз.

Примеры кода и практический анализ

Сканирование в Bash

#!/bin/bash
# Список перенаправителей 1-го уровня
redirectors=("http://a1b2c3.top/xyz123" "http://d4e5f6.click/abc789")

scan_url() {
    local url=$1
    echo "Сканируем: $url"
    curl -sIL "$url" | grep -i "Location:"
    echo "---------------------------------"
}

for url in "${redirectors[@]}"; do
    scan_url "$url"
done

Разбор вывода в Python

import re

def parse_redirection(file_path):
    redirections = {}
    with open(file_path, 'r') as file:
        content = file.read()
        pattern = re.compile(r'Location:\s*(\S+)', re.IGNORECASE)
        matches = pattern.findall(content)
        for url in matches:
            domain = re.findall(r'://([^/]+)/?', url)
            if domain:
                redirections.setdefault(domain[0], []).append(url)
    return redirections

if __name__ == '__main__':
    redirects = parse_redirection('http_headers.txt')
    for domain, urls in redirects.items():
        print(f"Домен: {domain}")
        for link in urls:
            print(f"  -> {link}")

Стратегии смягчения рисков и рекомендации

Лучшие практики для Threat Intelligence

Централизованная платформа ASM.
Регулярный threat-hunting.
Обмен TI-данными между частным и гос-секторами.
Расширенное логирование на всех узлах.

Роль ИИ и поведенческих движков

ИИ-анализ аномалий в редиректах или постах.
Интеграция Sigma, YARA.
Ransomguard, Sidewatch для многоуровневой защиты.

Защита конечных точек

Единая EPP+EDR-платформа.
ИИ-ассистенты и коннекторы для сквозной корреляции данных.
Регулярные патчи и аудиты.

Кейсы и реальные примеры

Кейс 1: Влияние на выборы во Франции

≈ 800 ботов разгоняли фейки.
Быстрая ротация доменов (.top, .click).
Влияние на дискурс: рост недоверия к легитимным СМИ.

Кейс 2: Многоплатформенный всплеск в США

Злоупотребление несколькими платформами, не только X/Twitter.
Пересечение с киберпреступностью (криптоскамы).
Эксплуатация уязвимых конечных точек из-за фрагментированной защиты.

Операции «Doppelgänger» сочетают сложные цепочки редиректов, AI-контент и пробелы в защите конечных точек для влияния на общественное мнение и расширения атакуемой поверхности. Исследования HarfangLab и Forrester подчёркивают необходимость интеграции TI, централизованного ASM и унифицированной EPP/EDR.

Ключевые выводы:

Понимание многоуровневых редиректов критично.
Единая стратегия защиты конечных точек снижает «дыры».
ИИ и поведенческий анализ помогают ловить изменчивые TTP.

Комплексный TI, интегрированные платформы и межотраслевая кооперация — лучший щит от подобных кампаний.

Ссылки

Оставляйте вопросы и мнения в комментариях. Чем информированнее мы будем, тем надёжнее наша защита.

Untitled Post