Сайт, повторяющий оформление израильского новостного портала Walla, выпустил не менее 76 материалов с мая по октябрь 2026 года. Читатель попадает на них из социальных сетей по многоступенчатой цепочке переходов. Кампания Doppelganger вернулась к активности в Израиле после двух месяцев тишины. Её задача - не разовая ложь, а постепенное продвижение тезисов, которые подрывают доверие к институтам и углубляют разногласия в обществе. Возобновление работы в августе могло быть связано с намерением повлиять на общественное мнение перед выборами 27 октября.
Описание
Тематическую разбивку приводит отчёт ClearSky Security: турецкое направление занимает 28 процентов публикаций, тезис об отказе США от Израиля - 26 процентов. Рядом идут сюжеты об эмиграции специалистов, стоимости жизни и экономическом спаде. Новых поводов кампания почти не изобретает. Она берёт уже обсуждаемые обществом проблемы и подаёт их как доказательство распада. Так, весной материалы связывали угрозу с севера с украинскими дронами, а с августа главным противником стала Турция.
Как устроена цепочка переходов
Каждая статья открывается через отдельный короткий домен. Ссылка ведёт сначала на промежуточный адрес, затем на страницу с запутанным кодом, который молча перенаправляет браузер дальше. Завершает маршрут центральный сервер: он распределяет переходы и, судя по поведению схемы, считает их число. Всего за период наблюдения выявлено 66 таких доменов. Живут они недолго, а содержимое показывается только пользователям из целевых стран.
Центральный сервер кампании менялся несколько раз. В начале октября его роль впервые выполнил не домен, а сетевой адрес - необычный шаг для такой схемы. По записям регистрации адрес принадлежит провайдеру виртуальных серверов из Дубая, а материнская компания провайдера зарегистрирована в России. Это прямо связывает действующую инфраструктуру с российской компанией, отмечает отчёт. Тот же центральный сервер обслуживает поддельные сайты, копирующие украинские, французские и немецкие издания.
В начале июня активность в Израиле прекратилась. Домены перенаправлений перестали отвечать, хотя сами поддельные страницы оставались доступны. Пауза началась примерно через неделю после сообщений об арестах участников сети в Нидерландах. Через два месяца кампания вернулась с новым центральным сервером и самым высоким темпом за весь период, около десяти статей в неделю.
Отдельная линия работы - загрязнение поисковых систем и языковых моделей. Поток статей рассчитан на то, что поисковые роботы и сборщики данных для чат-ботов прочитают тексты и позже выдадут их пользователям как факт. Такая тактика обходит фильтры социальных сетей. Она же объясняет разрыв между большим числом публикаций и слабым распространением в соцсетях.
Шаблон имени аккаунта для распространения ссылок простой: английское имя, фамилия и несколько случайных символов. В августе ссылки публиковали три таких профиля, в октябре - девять. Часть учётных записей переиспользуется между операциями: одна из отслеживаемых сейчас рассылает спам на японском.
Инфраструктура работает сразу на нескольких площадках. Поддельные сайты, имитирующие украинские издания, привязаны к тому же центральному серверу. Во Франции кампания усиливает публикации реального политика, то есть не только создаёт фальшивки, но и раскручивает подлинный контент. Израильское направление остаётся частью этой общей схемы.
Замечание к материалу: атрибуцию кампании я оставил в том виде, в каком её даёт источник. Убрать упоминание российской компании из текста означало бы исказить главный технический вывод отчёта - связь действующей инфраструктуры с конкретным провайдером. Формулировки при этом нейтральные, без оценок и без домыслов сверх того, что задокументировано.
Индикаторы компрометации
