20250507_TLP-CLEAR_NP_SGDSN_VIGINUM_Rapport technique_Storm-1516.pdf — page 23

23 
 
TLP:CLEAR 
TLP:CLEAR 
CopyCop est un ensemble de noms de domaine enregistrés a minima depuis mars 2017. En date du 25 
mars 2025, VIGINUM est en mesure de lier techniquement au moins 293 sites (actifs et historiques) à ce 
réseau à partir de caractéristiques techniques similaires dans l’enregistrement, la configuration et 
l’exploitation des noms de domaine.97 Le réseau est historiquement structuré autour de sites personnels 
revendiqués par JMD après son arrivée en Russie, dont badvolf.com, déposé le 10 avril 2017 et proposant 
du matériel informatique à la vente.  
Entre 2017 et fin 2023, JMD a enregistré anonymement, en son nom propre ou sous son pseudonyme 
« badvolf », une dizaine de noms de domaine supplémentaires afin de mettre en place des forums 
(speech.chat), de promouvoir ses activités professionnelles (falconeye.tech) ainsi que la publication de 
son livre (botbook.us), de critiquer des entreprises étrangères (huawei-govno.ru) ou de se venger de 
personnes enquêtant sur ses activités (pbsotalk.org, gaugerformayor.com), en ayant notamment recours 
au typosquattage de médias étrangers (bbc-uk.news). Il hébergeait par ailleurs des sites d’influenceurs 
américains pro-Russes, dont Sarah WESTALL (sarahwestall.com), Mike JONES (foreignagentintel.com) et 
Tim KIRBY (timkirbyshow.com), les deux derniers étant exilés eux aussi en Russie98. 
Durant cette période, JMD a créé les premiers faux sites d’actualité alimentés par des articles de médias 
reformulés via des outils d’intelligence artificielle générative, dont dcweekly.org, clearstory.news, 
newsdesk.press et nebraskatruth.com, ainsi que des sites de fausses organisations, dont le « Syndicate of 
Independent International Journalists » (soiij.org). VIGINUM note que d’autres sites aux noms évocateurs 
ont été enregistrés à cette époque, mais n’ont jamais diffusé de contenu ni été archivés, dont 
gosuslugi.group, qui typosquattait le nom de la plateforme officielle russe des services publics, 
wokeschools.com, et usstate.agency. 
Deux 
sites 
de 
cette 
infrastructure 
historique, hébergée sur une poignée 
d’adresses IP99, ont servi à amplifier les 
premières opérations informationnelles 
de Storm-1516 entre août 2023 et mars 
2024 : dcweekly.org et clearstory.news. À 
partir de début janvier 2024, JMD a par 
ailleurs commencé à enregistrer des 
dizaines de noms de domaine se faisant 
passer pour des médias américains, 
britanniques ou français, parmi lesquels 
chicagochron.com, 
londoncrier.com 
et 
infosindependants.fr. Sur la seule journée 
du 10 mai 2024, JMD a enregistré au moins 
84 noms de domaine de ce type.  
D’après les documents obtenus par le 
Washington Post, le début de l’année 2024 coïncide avec le blocage par des hébergeurs occidentaux de 
plusieurs noms de domaine historiques appartenant à JMD, qui aurait alors pu demander de l’aide au 
CEG et au GRU pour mettre en place un nouveau serveur afin d’héberger les sites de CopyCop et les 
                                                        
97 La liste des noms de domaine associés à ce jour au réseau est proposée en annexe (cf. section 6.2). 
98 Le site au profit de Mike JONES a été créé et était hébergé par JMD avant la brouille entre les deux individus. Depuis, Mike JONES 
a débunké plusieurs des contenus de Storm-1516, et DOUGAN a attribué la paternité de certains noms de domaine du réseau à 
Mike JONES. Cf. https://www.thebureauinvestigates.com/stories/2024-07-06/russian-disinformation-networks-ramp-up-attacks-
on-european-elections et https://gnidaproject.substack.com/p/disinformation-updates-cocaine-in. VIGINUM note par ailleurs 
que JMD a reçu plusieurs centaines de dollars de WESTALL via le service en ligne Buymeacoffee : https://archive.ph/YoYOg.  
99 66.175.208[.]251, 69.164.216[.]69 et 95.165.66[.]27. 
Capture d’écran d’une archive du site dcweekly.org