Humanoid-Angriff: Neue Form von Click-Fraud durch Machine Learning identifiziert

Eine Forschungsinitiative aus den USA, Australien und China hat eine neue Form von Click-Fraud identifiziert, die als “Humanoid-Angriff” bezeichnet wird und an herkömmliche Erkennungsmethoden vorbeischleicht, um durch echte Benutzerinteraktionen in mobilen Apps Umsatz durch gefälschte Klicks auf eingebettete Werbung zu erzeugen.

Die Studie, die von der Shanghai Jiao Tong University geleitet wird, behauptet, dass diese neue Form von Click-Fraud bereits weit verbreitet ist und 157 infizierte Apps unter den Top-20.000-Apps in den Google Play- und Huawei-App-Märkten identifiziert.

Eine der in der Studie untersuchten sozialen und kommunikativen Apps, die mit Humanoid-Angriff infiziert ist, hat 570 Millionen Downloads. Der Bericht weist darauf hin, dass vier weitere Apps “von demselben Unternehmen produziert wurden und ähnliche Click-Fraud-Codes aufweisen”.

Um Apps, die Humanoid-Angriff aufweisen, zu erkennen, entwickelten die Forscher ein Tool namens ClickScanner, das Datenabhängigkeitsgraphen auf der Grundlage statischer Analyse und Bytecode-Inspektion von Android-Apps generiert.

Die wichtigsten Merkmale von Humanoid-Angriff werden dann in einen Merkmalsvektor eingegeben, der eine schnelle App-Analyse auf einem Datensatz ermöglicht, der auf nicht infizierten Apps trainiert wurde. Die Forscher behaupten, dass ClickScanner weniger als 16% der Zeit benötigt, die die meisten ähnlichen Scanning-FrameWorks benötigen.

Humanoid-Angriff-Methode

Click-Fraud-Signaturen werden normalerweise durch identifizierbare Muster von Wiederholungen, unwahrscheinlichen Kontexten und anderen Faktoren offenbart, bei denen die Mechanisierung der erwarteten menschlichen Interaktion mit Werbung nicht mit den authentischen und zufälligeren NutzungsMustern übereinstimmt, die bei realen Benutzern auftreten.

Daher kopiert Humanoid-Angriff das Muster von echten Benutzerklicks aus einer infizierten mobilen Android-App, so dass gefälschte Werbeinteraktionen dem Benutzerprofil entsprechen, einschließlich der aktiven Nutzungszeiten und verschiedener anderer Signaturmerkmale, die nicht simulierten Nutzungen anzeigen.

Das Zeitmuster von Humanoid-Angriff-Click-Fraud wird durch Benutzerinteraktion bestimmt. Quelle: https://arxiv.org/pdf/2105.11103.pdf

Humanoid-Angriff scheint vier Ansätze zu nutzen, um Klicks zu simulieren: Randomisierung der Koordinaten von Ereignissen, die an dispatchTouchEvent in Android gesendet werden; Randomisierung der Auslösungszeit; Schatten der echten Klicks des Benutzers; und Profilierung der Klickmuster des Benutzers im Code, bevor sie mit einem Remote-Server kommuniziert, der möglicherweise anschließend verbesserte gefälschte Aktionen für Humanoid-Angriff sendet.

Vielfältige Ansätze

Humanoid-Angriff wird unterschiedlich in einzelnen Apps implementiert und auch unterschiedlich in App-Kategorien, was Muster, die leicht durch heuristische Methoden oder etablierte, branchenübliche Scanning-Produkte erkennbar wären, weiter verschleiert.

Der Bericht stellt fest, dass Humanoid-Angriff nicht gleichmäßig auf App-Typen verteilt ist und die allgemeine Verteilung über App-Genres in den Google- und Huawei-Stores darstellt (Bild unten).

Humanoid-Angriff hat seine bevorzugten Zielbranchen und kommt nur in acht Kategorien der 25 untersuchten Kategorien vor. Die Forscher vermuten, dass die Variationen in der Verteilung auf kulturelle Unterschiede in der App-Nutzung zurückzuführen sein könnten. Google Play hat den größten Anteil in den USA und Europa, während Huawei in China eine größere Marktpräsenz hat. Folglich zielt die Infektion von Huawei auf die Kategorien Bücher, Bildung und Einkauf, während in Google Play die Kategorien Nachrichten, Magazine und Tools stärker betroffen sind.

Die Forscher, die derzeit mit den Anbietern der betroffenen Apps in Kontakt stehen, um bei der Behebung des Problems zu helfen, und die von Google eine Bestätigung erhalten haben, behaupten, dass Humanoid-Angriff bereits “enorme Verluste” für Werbetreibende verursacht hat. Zum Zeitpunkt der Veröffentlichung der Studie und vor der Kontaktaufnahme mit den Anbietern wurde festgestellt, dass von 157 infizierten Apps in den Google Play- und Huawei-Stores nur 39 entfernt worden waren.

Der Bericht stellt auch fest, dass die Kategorie Tools in beiden Märkten gut vertreten ist und aufgrund der ungewöhnlichen Rechte, die Benutzer diesen App-Typen gewähren, ein attraktives Ziel darstellt.

Native vs. SDK-Implementierung

Unter den Apps, die als von Humanoid-Angriff betroffen identifiziert wurden, nutzen die meisten keine direkte Code-Injektion, sondern verlassen sich auf Drittanbieter-Werbe-SDKs, die aus programmiertechnischer Sicht “Drop-in”-Monetarisierungsframeworks sind.

67% der infizierten Huawei-Apps und 95,2% der infizierten Google Play-Apps nutzen einen SDK-Ansatz, der weniger wahrscheinlich durch statische Analyse oder andere Methoden entdeckt wird, die sich auf den lokalen Code der App konzentrieren, anstatt auf die umfassendere Verhaltenssignatur der Interaktionen der App mit Remote-Ressourcen.

Die Forscher verglichen die Effektivität von ClickScanner, das einen Klassifizierer auf der Grundlage von Variational Autoencodern (VAEs) verwendet, mit VirusTotal, einer Erkennungsplattform, die viele andere Plattformen integriert, einschließlich Kaspersky und McAfee. Die Daten wurden zweimal zu VirusTotal hochgeladen, mit einem Abstand von sechs Monaten, um mögliche anormale oder fehlerhafte Ergebnisse von VirusTotal auszuschließen.

58 und 57 Apps in Google Play und der Huawei AppGallery haben die Erkennungsfähigkeiten von VirusTotal umgangen, laut der Studie, die auch feststellte, dass nur fünf infizierte Apps von mehr als 7 Erkennungs-Engines erkannt werden konnten.

Schädliche Werbe-SDKs

Der Bericht stellt die Anwesenheit eines nicht offengelegten schädlichen Werbe-SDKs in 43 untersuchten Apps fest, das “eine größere Auswirkung” hat als andere, da es darauf ausgelegt ist, eine Anzeige ein zweites Mal zu klicken, wenn der Benutzer einmal darauf klickt, und den Benutzer so zur Teilnahme an betrügerischer Aktivität zwingt.

Der Bericht weist darauf hin, dass dieses schädliche SDK 270 Millionen Installationen seit seiner Verfügbarkeit über Google Play erreicht hat und dass der GitHub-Code dafür im November 2020 gelöscht wurde. Die Forscher vermuten, dass dies möglicherweise als Reaktion auf die Verschärfung der Anti-Betrugsmaßnahmen von Google erfolgte.

Ein weiteres SDK, das eine Installationsbasis von 476 Millionen erreicht hat, “hilft” Benutzern, Videos automatisch abzuspielen, und klickt automatisch auf Anzeigen, die angezeigt werden, wenn das Video pausiert wird.