1. Hintergrund und Ursprung der Recherche
Die Recherche beginnt im September 2024, als auf mehreren Accounts, die sich mit Cybersicherheit und neuen Technologien beschäftigen, ein Video auftaucht. Es zeigt Dutzende Smartphones, die als „Batterie“ an einer Wand aufgehängt sind. Das Video verbreitet sich schnell in den sozialen Netzwerken, oft zusammen mit falschen und unvollständigen Informationen, wie etwa der unkorrekten Behauptung, es stamme aus China.
Unsere erste Aufgabe war es daher, das Video auf Echtheit zu prüfen und das dahinterstehende Unternehmen zu identifizieren. Dazu analysierten wir die im Video vorhandenen Elemente. Auf dem T-Shirt des Operators im Video sind das Logo und der Name des Unternehmens Min Software deutlich zu erkennen. In verschiedenen Social-Media-Auftritten des Unternehmens sieht man, dass die im Video gezeigten Räumlichkeiten tatsächlich die des Unternehmens sind. Schließlich fanden wir die Social-Media-Profile der Mitarbeiter des vietnamesischen Unternehmens, insbesondere das Facebook-Profil des Marketingleiters. Er gibt das Video in einem Beitrag vom 30. Juni als sein eigenes aus und ist stolz darauf, dass es in verschiedenen Teilen der westlichen Welt geteilt wurde. Als Kommentar zu diesem Beitrag postet er sogar einen Screenshot seines Telefons, um zu beweisen, dass das Originalvideo von ihm stammt.
Diese Information wurde auch von Reuters bestätigt. In einem Artikel vom 15. Juli 2024 wird darauf hingewiesen, dass das Video tatsächlich in Vietnam bei der Firma Min Software (https://www.reuters.com/fact-check/video-does-not-show-bot-farm-china-2024-07-15) angesiedelt ist. Die Nachrichtenagentur stützt sich auf eine Erklärung von Min Software vom 30. Juni 2024, in der es heißt, dass das Unternehmen tatsächlich hinter dem Video steht und bedauert, dass es geteilt und mit falschen Beschreibungen versehen wurde.
2. Aufbau und Funktion von Phone Farms
Obwohl sich das Unternehmen selbst als einfache „Marketingfirma“ bezeichnet, fanden wir schnell heraus, dass es hauptsächlich Dienstleistungen für den Umgang mit sozialen Netzwerken anbietet und nicht nur „Automatisierungslösungen“, wie es behauptet. Tatsächlich ist das, was wir im Sinne eines besseren Verständnisses als „Min Software“ bezeichnen, eine organisierte Gruppe mit mehreren Tochtergesellschaften und Aktivitäten:
- Min Software steht hauptsächlich für den Verkauf von Automatisierungssoftware für die verschiedenen sozialen Netzwerke wie Instagram, Facebook oder TikTok. Einige dieser Softwareprogramme heißen auch Max Care. Die Software ermöglicht es, Tausende von Accounts gleichzeitig zu verwalten, um Beiträge zu liken, zu kommentieren und sogar massenhaft private Nachrichten zu versenden und Captchas automatisch zu lösen. Die Software dient auch als Emulator, um die Bildschirme verschiedener Telefone auf einem Computer anzuzeigen. Das alles sind Praktiken, die die Plattformen verbieten.
- Max Phonefarm steht für den Verkauf von Hardware, mit der eine Phone Farm zu Hause eingerichtet werden kann. Das Unternehmen verkauft Racks mit Telefonen ohne Bildschirm an Kunden auf der ganzen Welt. Von verschiedenen Experten wissen wir, dass die Telefone ohne Bildschirm und Akku verkauft werden, um ein Überhitzungsrisiko zu vermeiden und den Stromverbrauch so gering wie möglich zu halten.
- Min Proxy steht für den Verkauf von Proxys, mit denen man die Beschränkungen der Plattformen umgehen kann, indem man jedem Telefon eine andere IP-Adresse zuweist.
- Min Social oder Min Media steht für den Verkauf von Likes, Kommentaren, Views oder Followern. Es sind Telefone von Min oder deren Partnern, die automatisch auf Kundenaufträge reagieren, was wir mit dem Video der Katze Chouquette gezeigt haben. Die Plattformen gehen aktiv gegen diese Praktiken vor, was regelmäßig zur Einstellung der Dienste von Min führt.
3. Linguistische Herausforderungen und mehrsprachige Recherche
Eine der Herausforderungen unserer Recherche bestand darin, die Fülle an vietnamesischsprachigen Informationen zu verarbeiten, die in den sozialen Netzwerken des Unternehmens zur Verfügung standen. Wir identifizierten fast vierzig mit Min Software verbundene Accounts auf verschiedenen Plattformen, von offiziellen Seiten bis hin zu Profilen von Mitarbeitern des Unternehmens. Jeder dieser Accounts teilt durchschnittlich zwei bis drei Beiträge pro Tag und das seit fast drei Jahren.
Mithilfe online verfügbarer Übersetzungstools konnten wir einige Elemente verstehen:
- Die Screenshots der Software halfen uns, die Funktionsweise dieser Tools zu verstehen, insbesondere die Befehle, die den Telefonen gegeben wurden.
- Anhand der Fotos der Räumlichkeiten konnten wir Kunden aus der ganzen Welt identifizieren, vor allem aus Kambodscha, Griechenland und Weißrussland. Dem Fotografen Jack Latham zufolge, der vor Ort war, gab es sogar Kunden aus Deutschland und Frankreich.
- Die „Tutorial“-Videos halfen uns zu verstehen, wie eine Phone Farm funktioniert. Vor allem die Tatsache, dass das Unternehmen echte Telefone verwendet, um der Kontrolle durch die Plattformen zu entgehen und dass die an den Wänden angeordneten Telefone in erster Linie Ausstellungsmodelle für die Kunden sind.
Um zu verifizieren, was wir mithilfe der manchmal lückenhaften Übersetzungstools verstanden hatten, zogen wir eine Übersetzerin hinzu. Zum Verständnis der Computerbegriffe und der dem Phone Farm-Business eigenen sehr technischen Terminologien standen uns unter anderem diese Experten zur Seite:
- Dang Nguyen, eine australische Forscherin am Royal Institute of Technology in Melbourne mit vietnamesischen Wurzeln, die derzeit zu Phone Farms in Vietnam und deren sozialen und gesellschaftlichen Auswirkungen arbeitet.
- Ngô Minh Hiếu, ein ehemaliger Hacker, bekannt dafür, die persönlichen Daten von Millionen Amerikanern gestohlen zu haben, bevor er 2013 verhaftet wurde. Nach Absitzen seiner siebenjährigen Haftstrafe ist er heute Experte für Cybersicherheit und berät die vietnamesische Regierung in Fragen der Cyberkriminalität. Er hat uns unter anderem gezeigt, wie tief die Phone Farm-Ökonomie mit der Hacker-Ökonomie verbunden ist.
- Jack Latham, ein walisischer Fotograf und Künstler, der zahlreiche Phone Farms in Vietnam, darunter auch Min Software, fotografiert und in seinem 2023 erschienenen Buch Beggar's Honey veröffentlicht hat.
Diese Experten haben uns auch bestätigt, dass das Geschäft der Phone Farms nicht nur in Vietnam, sondern auch in anderen asiatischen Ländern wie Indonesien, Thailand, Indien oder Bangladesch floriert. In China wären die Strukturen dafür noch besser, aber der Rückzug des Landes seit der Covid-19-Krise und die Isolation des lokalen Internets haben einen Teil der Industrie in Nachbarländer verlagert, die von der chinesischen Technologie profitieren.
4. Analyse der verwendeten Accounts
Die von Min Software verwendeten Accounts brachten uns auf die Spur gehackter und selbst erstellter Accounts. Wir versuchten, die Profile zu kontaktieren, die in den Screenshots der Software auftauchten. Die Profile wirkten aus verschiedenen Gründen unecht. Es gab dort:
- Sich wiederholende Postings wie Videos, die über Wochen hinweg jeden Tag auf einem TikTok-Profil veröffentlicht wurden.
- Keine oder nur wenig Interaktion auf den Profilen nach einem bestimmten Datum.
- Profile mit angezeigten vietnamesischen oder westlichen Namen, aber mit philippinischen oder indonesischen Benutzernamen (die nicht veränderbaren „@“).
Anhand der Screenshots der Software konnten wir sogar erkennen, dass eine von Min verwaltete Facebook-Seite ursprünglich einer polnischen Clownin gehörte und dass Min die Seite mithilfe eines Accounts verwaltete, der einer Dame auf den Philippinen gestohlen worden war.
4. Kauf/Verkauf von Accounts
Im Austausch mit verschiedenen Gesprächspartnern und beim Eindringen in Facebook-Gruppen und Telegram-Kanäle, die mit dem Phone Farm-Geschäft zu tun haben, stießen wir auf einen in Vietnam weit verbreiteten Begriff: MMO für Make Money Online. Er umfasst eine Vielzahl von internetbasierten Aktivitäten, die oft an der Grenze zur Illegalität liegen. Erleichtert werden sie durch billiges Internet und billigen Strom.
Unter diesen Aktivitäten haben wir vor allem den Handel mit gefälschten Profilen ausgemacht, diese sind für Phone Farms, Hacker und viele andere in dieser Schattenwirtschaft essenziell. Das MMO beruht auf Akteuren, die sich auf ganz bestimmte Bereiche spezialisiert haben.
Dank dieses Begriffs und unserer Gespräche mit Experten konnten wir die Terminologie der gefälschten Accounts in Vietnam ermitteln:
- Klon, für komplett neu erstellte Accounts, die existierende Nutzer nachahmen, mit und ohne dabei deren Inhalte zu stehlen. Was einer der Gründe ist, persönliche Accounts auf "privat" zu stellen.
- Gehackte Accounts, sie werden oft als VIA bezeichnet, hier wird niemals von Hacking gesprochen, wenn diese Accounts erwähnt werden, sondern einfach von "sehr authentischen" Accounts, Accounts mit "Nutzungshistorie" oder "2FA", also Accounts mit Zwei-Faktor-Authentifizierung. Sie werden oft von echten Nutzern gestohlen. Vietnamesische Hacker haben sich auf den Account-Diebstahl spezialisiert, sie greifen Nutzer-Cookies ab oder beanspruchen auf Facebook inaktive Seiten oder Gruppen.
4. Gestohlene Accounts
Während der Recherche zu dieser Schattenwirtschaft stießen wir auf einen Account, der einer amerikanischen Nutzerin gestohlen worden war. Dieser Mann in Vietnam verkauft nicht nur Werbeanzeigen, sondern auch Business-Manager-Accounts, die es ermöglichen, Werbeanzeigen auf der Plattform Meta zu schalten. Diese Business-Manager-Accounts werden sehr oft von echten Nutzern aus der ganzen Welt gestohlen.
Das ist ein weiteres MMO-Geschäftsfeld, das mit Phone Farms in Verbindung steht, da diese Personen manchmal Hunderte von Business Manager-Accounts verwenden, die auf Telefonen gehostet und mit derselben Software wie die Phone Farms verwaltet werden.
Als wir die Freundesliste des Accounts durchsuchten, der offensichtlich von einer amerikanischen Nutzerin gestohlen wurde, fanden wir das Profil ihres Mannes. Über die Freundesliste des Mannes fanden wir das neue Profil der Nutzerin und auf diesem neuen Profil fanden wir den berühmten Beitrag, in dem sie erklärt, dass ihr alter Account von einem Mann in Vietnam gestohlen worden sei.
5. Telegram
Auf Telegram können sich Hacker und Verkäufer von gefälschten Accounts am freiesten austauschen. Wir haben auf dem digitalen Messenger etwa zehn Kanäle gefunden, die mit diesem Markt in Verbindung stehen. Die erste Frage war, ob es sich bei diesen Verkaufskanälen nicht um Täuschungen handelte. In der Tat sind die Akteure dieses Marktes sehr misstrauisch. Es ist nicht ungewöhnlich, dass Hacker andere Hacker hacken, wie uns der Betreiber eines dieser Kanäle bestätigte.
Um zu überprüfen, ob die Profile echt waren, genügte es oft, auf die URLs der zum Verkauf angebotenen Profile zu klicken. Einige Profile wurden gelöscht, andere wurden von einem amerikanischen zu einem vietnamesischen Nutzer umgewandelt und wieder andere wurden schließlich von den rechtmäßigen Besitzern zurückerobert, die in Postings darauf hinwiesen, dass sie gehackt worden waren.
Von Klick zu Klick entdeckten wir den Auktionskanal und konnten miterleben, wie mehrere gehackte Accounts mit vielen Abonnenten verkauft wurden. Wir meldeten dies den Plattformen, wann immer wir konnten. Die Schwierigkeit bei diesem Telegram-Kanal bestand darin, dass die Nachrichten so programmiert waren, dass sie nach 24 Stunden verschwanden. Glücklicherweise konnten wir den „Chatverlauf“ exportieren, eine von Telegram angebotene Funktion, die es ermöglicht, HTML der Konversation, Dateien, Fotos und Videos, die in Echtzeit gesendet wurden, zu speichern.
Bei unseren Recherchen stießen wir live auf den Verkauf des Accounts von Marie s'Infiltre, einer französischen Komikerin, die vor allem für ihre Happenings bei verschiedenen Veranstaltungen und ihre versteckte Kamera bekannt ist. Der Account war für die Käufer besonders interessant, da er mit einem Business Manager-Account mit aktivem Zahlungsmittel verknüpft war. Mit anderen Worten: Der Käufer konnte den Account nutzen, um mit dem Geld von Marie s'Infiltre Werbung zu schalten.
Ein weiteres interessantes Detail für mögliche Hacker sind die fast eine Million Follower von Marie s'Infiltre. Das sind ebenso viele potenzielle Opfer, die man hacken kann, wenn man sich als die Komikerin ausgibt. Laut unserer vietnamesischen Übersetzerin kamen in dieser Unterhaltung sowohl chinesische als auch vietnamesische Käufer zusammen. Das lässt sich unter anderem daran erkennen, dass einige Käufer chinesische Namen haben und mit „m“ für Million bieten und nicht mit „tr“, der Abkürzung für das Wort „triệu“, Million auf Vietnamesisch.
6. Marie s'Infiltre
Der Verkäufer veröffentlichte die Details der Seite von Marie s'Infiltre, sodass wir den Inhaber der Seite sehr schnell kontaktieren konnten. Als wir mit ihm telefonierten, teilte er uns mit, dass er seit fast 24 Stunden seltsame Verbindungsversuche zu seinen Meta-Accounts erhielt.
Um den Account wiederherzustellen, muss man der Plattform die verdächtigen Anmeldeanfragen sehr schnell melden, die Cookies und den Browserverlauf löschen und das Passwort ändern. All diese Ratschläge gaben wir an das Opfer weiter. Leider konnten wir feststellen, dass auf der Seite von Marie s'Infiltre seltsame Videos auftauchten, die manchmal veröffentlicht, dann wieder entfernt und erst 24 Stunden nach Ende der Auktion wieder veröffentlicht wurden.
Unser Versuch, das Geheimnis der mit künstlicher Intelligenz erzeugten Filmtrailer zu lüften, blieb leider erfolglos. Die bislang plausibelste Erklärung ist, dass der Käufer versuchte, das sogenannte Engagement Farming zu betreiben, d. h. viele Reaktionen von Marie s'Infiltre-Abonnenten zu erzeugen, um Geld zu verdienen, wie in einem Artikel von 404 media erklärt wird (siehe Kapitel Quellen). Das ist ein häufiger Verwendungszweck gefälschter und gestohlener Profile: Einnahmen zu generieren, vor allem durch Werbung.
7. Desinformation
Seit Beginn der Recherche interessierte uns, ob die Phone Farms und der Handel mit gestohlenen Accounts, beide sind in Vietnam sehr ausgeprägt, auch mit Desinformationskampagnen verbunden sind. Hinweise auf Vietnam fanden wir in den Meta Quarterly Adversarial Threat Reports, das sind Berichte über große koordinierte Operationen, die das Unternehmen auf seinen Plattformen feststellen konnte. Anhand dieser Berichte konnten wir Desinformations- und Verleumdungskampagnen finden, die mit Vietnam und den von uns identifizierten Tools in Verbindung standen, wie z. B. der Qatar Plot.
Anschließend schauten wir uns den sehr umfassenden Bericht von Sohan Dsouza und Marc Owen Jones an, der im Juli 2024 veröffentlicht wurde. Es geht um eine auf Facebook, Instagram und X inszenierte Kampagne, die auf Katar abzielte und ihre Rhetorik je nach Zielland anpasste (Anti-PSG-Kampagnen in Frankreich und Anti-Harrods-Kampagnen in Großbritannien, beide gehören Katar).
Die beiden Wissenschaftler und Meta fanden Beweise dafür, dass die Operation mit dem vietnamesischen Unternehmen LT Media in Verbindung gebracht werden kann. Dafür analysierten sie die Werbezahlungen über die Transparenz-Tools von Meta, wie die Meta Ad Library. Es ist unmöglich herauszufinden, wer die Kampagne in Auftrag gegeben hat, aber es tauchen auf vielen Seiten immer wieder Spuren eines vietnamesischen Unternehmens auf, über die die Veröffentlichungen weitergeleitet wurden: LT Media, gegründet von einem gewissen Le Tinh Lee.
Die Analyse der Meta Ad Library zeigt beispielsweise, dass der Account„Loket Stars 123 - Tiket Emas“ Empfänger und Rechnungszahler der Werbung „Finanzieren Sie nicht Katar“ ist, die auf der gleichnamigen Seite gehostet wird. Ein Durcheinander von Seiten, Geldgebern und Empfängern, das darauf schließen lässt, dass gestohlene Seiten und Automatisierungssoftware für diese Kampagne verwendet wurden.
Ein letztes interessantes Detail: Marc Owen Jones hat uns die Videos des mittlerweile gelöschten YouTube-Kanals von LT Media zur Verfügung gestellt. Auf diesem mit Tutorials vollgestopften Kanal können wir in einigen Videos sehen, dass eine der verwendeten Softwares von Min Software ist!
Anschließend recherchierten wir in der Presse und entdeckten den Artikel des Bureau of Investigative Journalism, der die Desinformationskampagne gegen die Ukraine im Vereinigten Königreich mit gefälschten Followern aus Vietnam erwähnt. Laut Angaben von Meta in diesem Artikel "entspricht dies der Nutzung unauthentischer Engagement-Taktiken, um Seiten beliebter erscheinen zu lassen, als sie es tatsächlich sind". Ebenfalls in der Presse fanden wir ein Beispiel aus Moldawien, wo pro-russische Seiten ursprünglich in Vietnam angesiedelt waren: https://www.wired.com/story/facebook-is-still-letting-russia-interfere-in-politics/ und wir telefonierten mit dem Verantwortlichen für diese Entdeckung, Andrei Rusu, der für eine moldawische NGO arbeitet, die gegen Desinformation kämpft: Watchdog.md.
Der letzte Kommentar zum Thema hat seinen Ursprung im Jahresbericht 2024 des Cybersicherheitsunternehmens Imperva. Er enthüllt, dass fast 50 % des Internetverkehrs aus nicht-menschlichen Quellen stammen. Insbesondere bösartige Bots machen heute fast ein Drittel des gesamten Datenverkehrs aus. Diese "bösartigen" Bots umfassen sehr unterschiedliche Phänomene (gefälschte Accounts, Automatisierungssoftware usw.), zeigen aber die Künstlichkeit von Online-Interaktionen auf: https://www.imperva.com/resources/resource-library/reports/2024-bad-bot-report/
Quellen:
- Das Australian Strategic Policy Institute hat 2021 ebenfalls einen Bericht veröffentlicht, der sich mit mehreren Fallstudien von Phone Farms in ganz Asien befasst. Sie definieren die Ökonomie der falschen Likes und Kommentare als influence-for-hire: https://www.aspi.org.au/report/influence-hire
Bezüglich der Preise für Internet und Strom in Vietnam :
- Der Bericht aus dem ersten Quartal 2024 bezieht sich auf Israel und gefälschte Likes und Kommentare aus Vietnam.
- Der Bericht aus dem dritten Quartal 2024 berichtet über Phone Farms in Vietnam und Bangladesch.
- Der Bericht aus dem zweiten Quartal 2023 berichtet über eine chinesische Kampagne zur Einflussnahme mit gefälschten Followern, die angeblich von Phone Farms in Vietnam stammen.
- Der Bericht vom August 2024 befasst sich mit dem Qatar Plot.
- Im letzten Bericht von 2024, der Anfang 2025 veröffentlicht wurde: Hier sieht man, dass eine russische Operation zur Einflussnahme Seiten mit Sitz auf den Philippinen und in Vietnam benutzt hat.
