IP-spor avslører endring i propagandanettverk

Faktisk.no har undersøkt og kartlagt IP-adressene til 123 domener som tidligere har vært knyttet til pro-Beijing propaganda. 

Alle nettsidene deler og har tidligere delt en eller flere IP-adresser med minst et av de andre domenene. Nettverket av domener, som også inkluderer en nettside rettet mot Norge, er alle del av samme påvirkningsoperasjon. 

Faktisk.no har undersøkt endringene nærmere ved å kartlegge nåværende og tidligere IP-adresser til alle domenene i nettverket.

Få Faktisk.no rett i innboksen. Klikk her for å melde deg på vårt nyhetsbrev.

Deler IP-adresser

Nettsidene som tilsynelatende publiserer nyheter, opererer på et titalls forskjellige språk og retter seg mot 30 forskjellige land i Europa, Asia, Sør-Amerika og USA. 

De 123 domenene er delt inn etter hvilke land de retter seg mot. Faktisk.no har videre undersøkt hvilke IP-adresser hvert domene har vært og er knyttet til. 

Nettverksanalysen under viser alle domenene med fargekoder etter hvilket land de er rettet mot. Hver kobling mellom to domener, betyr at disse har delt eller deler IP-adresse. Desto tykkere linje mellom to domener, desto flere IP-adresser har disse delt. 

Nettverket viser at nettsider rettet mot samme land ofte har brukt de samme IP-adressene. Alle domenene er koblet til hverandre og har delt IP-adresse med minst én annen side i nettverket.

Også 16 av nettsidene har på et tidspunkt hatt en IP-adresse lokalisert i Russland. Dette var for det meste en kort periode i 2024, altså etter at nettverket først ble avdekket.

Bort fra kinesiskeide IP-adresser

Det var Citizen Lab som først publiserte en rapport om nettverket 7. februar 2024. Forskningslaboratoriet som er en del av Munk School of Global Affairs tilhørende University of Toronto i Canada, kartla 123 «nettaviser» som likner på norske Viking United News. De stammer alle fra samme nettverk som har fått navnet «Paperwall».

Citizen Lab koblet de 123 nettsidene sammen ved å undersøke tre IP-adresser brukt av lignende italienske nettsider, som først ble omtalt av avisen Il Foglio i 2023. 

Et år etter at rapporten kom, har Faktisk.no kartlagt IP-adressene til alle de 123 nettsidene.

I februar 2024 skal alle nettsidene ha hatt en IP-adresse som knyttes til det kinesiske selskapet Tencent Companys skytjeneste, ifølge rapporten. Når vi sjekker opp IP-historikken til nettsidene, finner vi leverandøren av en tidligere IP-adresse oppført som «Tencent Building» i historikken til 67 av de 123 domenene. 

Faktisk.no har funnet elleve forskjellige IP-adresser som i dag er knyttet til nettverket av domener. Disse kobles nå til skytjenester hos Amazon, trolig via servertjenester for å skjule hvor de virkelig holder til. Dette gjelder alle, bortsett fra ett domene som fortsatt er knyttet til Tencent Building. 

Ifølge IP-historikken Faktisk.no har undersøkt, viser den at de 67 domenene som hadde Tencent Building som IP-vert, for alvor begynte å bytte IP-adresser i desember 2023. 

Men kun 17 hadde byttet da rapporten kom ut 7. februar, og de resterende 50 domenene flyttet fra en Tencent Building IP-adresse i februar og mars 2024. Noen av domenene hadde da hatt denne IP-verten over lengre tid, men andre kun en kort periode. 

Seniorforsker og forfatter av rapporten til Citizen Lab, Alberto Fittarelli, mener endringen hos domenene og nettsidene ikke nødvendigvis betyr at det er noen andre som nå drifter dem. Han tror fortsatt et kinesisk selskap står bak og at det er flere aktører som kan ha diverse nytte av å spre russisk propaganda og desinformasjon. Det kinesiske selskapet vil vi komme tilbake til.

Knyttes til kinesisk selskap

Det «norske» nettstedet Viking United News, har flere ganger blitt omtalt av Dagbladet. Først i mars 2024 og senest i mars 2025 skrev avisen at nettstedet var en del av en kinesisk påvirkningsoperasjon. 

I 2024 var innholdet på nettsidene i stor grad pro-Kina, men nå har noe endret seg ved innholdet. Dagbladet skriver at artiklene i stor grad har fått et prorussisk budskap. 

Citizen Lab knytter nettverket av sider til PR-byrået Shenzen Haimaiyunxiang Media Co., Ltd., også kjent som Haimai, som er basert i Kina. De mener innholdet hos «nettavisene» i all hovedsak var pro-Beijing da de først avdekket nettverket. 

De knytter det kinesiske byrået til nettsidene blant annet gjennom et ID-nummer koblet til en Google AdSense-konto som brukes til å generere reklame som vises på nettsidene. Dette ID-nummeret fant Citizen Lab både hos to av Paperwall-nettsidene, og på det kinesiske PR-byråets offisielle nettside. 

Faktisk.no har forsøkt å gjøre samme øvelse som Citizen Lab på de to aktuelle nettsidene, men finner i dag ingen Google AdSense ID-nummer i utviklerverktøyet til nettleseren. Dette kan tyde på at operatøren av nettsidene ikke lenger bruker tjenesten for å generere reklame. 

I PSTs årlige trusselvurdering for 2025, ble også den tilsynelatende norske «nettavisen» nevnt. PST skriver at den «var del av en større internasjonal kampanje der et kommersielt kinesisk selskap lagde over hundre falske nettsider, hvor kinesisk propaganda ble flettet inn i en strøm av nyhetsartikler som var stjålet fra legitime nyhetssider».

Men nå er flere av artiklene på nettsiden hentet direkte fra statskontrollerte russiske medier og oversatt til norsk, antakelig ved hjelp av kunstig intelligens. Både overskriftene og brødtekstene har ofte et merkelig språk og flere navn er skrevet helt feil. 

Utvikling i Pravda-nettverket

Et større russisk desinformasjonsnettverk har over lengre tid spredt prorussiske og falske «nyhetsartikler» gjennom et nettverk av nettsider som alle bærer navnet Pravda. 

Nettverket som består av minst 150 domener rettet mot 49 forskjellige land, har nå beviselig innflytelse på KI-assistenter og chatboter. 

Falske, prorussiske narrativer fra Pravda-nettverket ble fremmet over 33 prosent av tiden i en ny undersøkelse gjort av amerikanske NewsGuard.

Faktisk.no har tidligere omtalt det prorussiske desinformasjonsnettverket av Pravda-nettsider her og her:

Artikkel

Russisk nettverk av nettaviser sprer desin­for­masjon

Påvirker KI-assistenter

Nettverket av Pravda-nettsider ble først oppdaget av franske Viginum Agency i februar 2024. Nettsidene begynte å dukke opp i det små i april 2022, og eskalerte for alvor våren 2024. Ifølge American Sunlight Project publiserte nettsidene til sammen minst 3,6 millioner artikler i fjor. 

Ved å mate ti av de største KI-selskapenes chatboter med 15 falske narrativ spredt av Pravda-nettsider, har NewsGuard funnet at KI-botene gjenga narrativet 33,55 prosent av tiden. Botene ga imidlertid ingen respons 18,22 prosent av tiden og avkreftet det falske narrativet 48,22 prosent av tiden.

Chatbotene ga en respons som inneholdt direkte lenker til Pravda-artikler i 56 av totalt 450 svar som ble gitt. 

– Hvitvasking av informasjon

Da Faktisk.no skrev om Pravda-nettverket for et snaut år siden, uttalte Eskil Grendahl Sivertsen, spesialrådgiver ved Forsvarets forskningsinstitutt (FFI), at nettverket trolig er til for å gi et narrativ en kilde. 

Pravda-sidene i seg selv ser ut til å få lite trafikk, både på web og på sine egne kanaler i sosiale medier. Men dette er trolig heller ikke målet, ifølge NewsGuard og Sivertsen. 

– Dette er en del av hvitvaskingen av informasjon som Russland driver med. Informasjonen går gjennom mange lag før den til slutt når fram til sitt publikum, sa Sivertsen til Faktisk.no i april 2024. 

Får betalt for å spre informasjon

Tidligere i år ble det påstått at Russland driver med rekruttering av polske innbyggere på det mørke nettet.

Det var i januar at den polske visestatsministeren kom med uttalelsen og påstod at Russland tilbyr 3000–4000 euro til polakker som er villige til å bidra i påvirkningskampanjen fra innsiden av landet og spre informasjon som inneholder desinformasjon. 

Den polske regjeringen sa at de har funnet en russisk gruppe som har fått i oppgave å påvirke det polske presidentvalget som  finner sted i slutten av mai 2025.

Også norske sikkerhetsmyndigheter forbereder seg på mulig valgpåvirkning før stortingsvalget i høst. Dette kommer blant annet etter høstens presidentvalg i Romania som endte med at resultatet ble annullert. Det skjedde etter at Călin Georgescu, en prorussisk kandidat fra ytre høyre, overraskende vant første valgomgang. Etter mistanke om russisk innblanding via TikTok ble valgresultatet satt til side av myndighetene. Georgescu har nå blitt utestengt fra å stille til valget som skal holdes på ny i mai.