هجوم بشري: شكل جديد من احتيال النقر تم تحديده من خلال التعلم الآلي

حددت مبادرة بحثية من الولايات المتحدة وأستراليا والصين سلالة جديدة من النقرات الاحتيالية ، أطلق عليها اسم "هجوم الإنسان" والتي تتخطى أطر الكشف التقليدية ، وتستغل تفاعلات المستخدم الواقعية في تطبيقات الأجهزة المحمولة من أجل تحقيق إيرادات من النقرات الوهمية على إعلانات أطر خارجية مضمنة.

• ورقة، بقيادة جامعة Shanghai Jiao Tong ، يؤكد أن هذا الاختلاف الجديد في النقرات الاحتيالية منتشر على نطاق واسع بالفعل ، ويحدد 157 تطبيقًا مصابًا من بين 20,000 تطبيق الأعلى تصنيفًا عبر أسواق تطبيقات Google Play و Huawei.

تم الإبلاغ عن 570 مليون تنزيل لتطبيق اجتماعي وتواصل مصاب ب HA تمت مناقشته في الدراسة. يشير التقرير إلى أن أربعة تطبيقات أخرى "التي تنتجها نفس الشركة تتجلى في أن لها رموز احتيال نقر مماثلة".

لاكتشاف التطبيقات التي تحتوي على ميزة Humanoid Attack (HA) ، طور الباحثون أداة بعنوان ClickScanner ، والتي تنشئ رسومًا بيانية لاعتماد البيانات ، بناءً على التحليل الثابت ، من فحص مستوى الرمز الثانوي لتطبيقات Android.

يتم بعد ذلك إدخال الميزات الرئيسية لـ HA في متجه الميزات ، مما يتيح تحليل سريع للتطبيق على مجموعة بيانات مدربة على التطبيقات غير المصابة. يدعي الباحثون أن برنامج ClickScanner يعمل في أقل من 16٪ من الوقت الذي تستغرقه أكثر أطر الفحص المماثلة شيوعًا.

منهجية هجوم البشر

عادةً ما يتم الكشف عن تواقيع النقر الاحتيالي من خلال أنماط التكرار التي يمكن تحديدها ، والسياقات غير المحتملة ، وعدد من العوامل الأخرى حيث تفشل ميكنة التفاعل البشري المتوقع مع الإعلان في مطابقة أنماط الاستخدام الموثوقة والعشوائية التي تحدث عبر المستخدمين الحقيقيين.

لذلك ، يدعي البحث ، أن HA ينسخ نمط نقرات المستخدم في العالم الحقيقي من تطبيق Android للهاتف المحمول المصاب ، بحيث تتطابق تفاعلات الإعلانات المزيفة مع الملف الشخصي العام للمستخدم ، بما في ذلك أوقات الاستخدام النشطة ، والعديد من ميزات التوقيع الأخرى التي تشير إلى عدم المحاكاة الاستخدام.

يتم تحديد نمط التوقيت للاحتيال عند النقر فوق Humanoid Attack من خلال تفاعل المستخدم. المصدر: https://arxiv.org/pdf/2105.11103.pdf

يبدو أن HA تستخدم أربع طرق لمحاكاة النقرات: عشوائية إحداثيات الأحداث المرسلة إلى إيفينت في Android ؛ التوزيع العشوائي لوقت الإطلاق ؛ حجب النقرات الحقيقية للمستخدم ؛ وتنميط أنماط نقر المستخدم في الكود ، قبل الاتصال بخادم بعيد ، والذي قد يرسل لاحقًا إجراءات زائفة محسّنة ليقوم HA بأدائها.

مناهج متنوعة

يتم تطبيق HA بشكل مختلف عبر التطبيقات الفردية ، وأيضًا بشكل مختلف تمامًا عبر فئات التطبيقات ، مما يؤدي إلى مزيد من التعتيم على أي أنماط يمكن اكتشافها بسهولة من خلال الأساليب الاستدلالية ، أو منتجات المسح المعمول بها والمتوافقة مع معايير الصناعة التي تتوقع أنواع أنماط معروفة بشكل أفضل.

يلاحظ التقرير أن HA لا يتم توزيعه بالتساوي بين أنواع التطبيقات ، ويحدد التوزيع العام عبر أنواع التطبيقات في متاجر Google و Huawei (الصورة أدناه).

هجوم Humanoid Attack له القطاعات المستهدفة المفضلة ، وميزاته في ثماني فئات فقط من الـ 25 التي تمت دراستها في التقرير. يقترح الباحثون أن الاختلافات في التوزيع قد تكون بسبب الاختلافات الثقافية في استخدام التطبيق. يتمتع Google Play بأكبر حصة في الولايات المتحدة وأوروبا ، بينما تمتلك Huawei حصة أكبر في الصين. وبالتالي ، فإن نمط إصابة Huawei يستهدف كُتُب, التعليم و التسوق والترفيه الفئات ، بينما في Google Play الأخبار, المجلات و الأدوات الفئات هي الأكثر تأثراً.

يؤكد الباحثون ، الذين يتواصلون حاليًا مع بائعي التطبيقات المتأثرة من أجل المساعدة في معالجة المشكلة ، والذين تلقوا اعترافًا من Google ، أن Humanoid Attack قد تسبب بالفعل في `` خسائر فادحة '' للمعلنين. في وقت كتابة الصحيفة ، وقبل الاتصال بالموردين ، يذكر التقرير أنه من بين 157 تطبيقًا مصابًا عبر متجر Google Play و Huawei ، تمت إزالة 39 تطبيقًا فقط.

ويشير التقرير أيضًا إلى أن الأدوات الفئة ممثلة جيدًا في كلا السوقين ، وهي منطقة جذب جذابة نظرًا للمستويات غير العادية من الأذونات التي يرغب المستخدمون في منحها لهذه الأنواع من التطبيقات.

الأصلي مقابل. نشر SDK

من بين التطبيقات التي تم تحديدها على أنها خاضعة لهجوم Humanoid Attack ، فإن الغالبية لا تستخدم الحقن المباشر للشفرات ، ولكنها تعتمد بدلاً من ذلك على حزم SDK الإعلانية لجهات خارجية ، والتي تعتبر ، من وجهة نظر البرمجة ، أطر عمل لتحقيق الدخل.

67٪ من تطبيقات Huawei المصابة و 95.2٪ من تطبيقات Google Play المصابة تستفيد من نهج SDK الذي يقل احتمال اكتشافه عن طريق التحليل الثابت ، أو من خلال طرق أخرى تركز على الكود المحلي للتطبيق بدلاً من البصمة السلوكية الأوسع لـ تفاعلات التطبيق مع الموارد البعيدة.

قارن الباحثون فعالية ClickScanner ، التي تستخدم مصنفًا يعتمد على Variational Autoencoders (VAEs) ، مقابل VirusTotal ، وهي منصة كشف تدمج العديد من المنصات الأخرى ، بما في ذلك Kaspersky و McAfee. تم تحميل البيانات إلى VirusTotal مرتين ، مع فاصل زمني مدته ستة أشهر للتخلص من النتائج الشاذة المحتملة من VirusTotal.

تجاوز 58 تطبيقًا و 57 تطبيقًا في Google Play و Huawei AppGallery ، على التوالي ، قدرات اكتشاف VirusTotal ، وفقًا للبحث ، الذي وجد أيضًا أنه يمكن اكتشاف خمسة تطبيقات فقط مصابة بواسطة أكثر من 7 محركات اكتشاف.

SDK للإعلانات الضارة

يلاحظ التقرير وجود حزمة SDK إعلانية ضارة لم يتم الكشف عنها في 43 تطبيقًا تمت دراستها ، والتي لها "تأثير أكبر" من التطبيقات الأخرى التي تم الإبلاغ عنها ، نظرًا لأنها مصممة للنقر فوق إعلان مرة ثانية إذا نقر المستخدم عليه مرة واحدة ، مما يجبر المستخدم على ذلك المشاركة في نشاط احتيالي.

ويشير التقرير إلى أن SDK الضار هذا حقق 270 مليون عملية تثبيت منذ إتاحته عبر Google Play ، وأن كود GitHub الخاص به قد تم حذفه في نوفمبر من عام 2020. ويعتقد الباحثون أن هذا ربما كان ردًا على تكثيف خدمات Google تدابير مكافحة الاحتيال الخاصة.

SDK آخر ، والذي وصل إلى قاعدة تثبيت تبلغ 476 مليونًا ، "يساعد" المستخدمين على تشغيل مقاطع الفيديو تلقائيًا ، ولكن بعد ذلك ينقر تلقائيًا على أي إعلانات تظهر عند إيقاف الفيديو مؤقتًا.