Ihmismäinen hyökkäys: Uusi klikkauspetosten muoto tunnistettu koneoppimisen avulla

Tutkimushanke Yhdysvalloista, Australiasta ja Kiinasta on tunnistanut uuden klikkauspetosten muodon, jota kutsutaan “Ihmismäiseksi hyökkäykseksi”, joka pääsee ohi perinteiset havaitsemisjärjestelmät ja hyödyntää älypuhelimen sovellusten todellisia käyttäjävuorovaikutuksia kolmannen osapuolen mainosten näyttämiseksi ja väärennettyjen klikkausten luomiseksi.

Tutkimus, jonka johti Shanghai Jiao Tong -yliopisto, väittää, että tämä uusi klikkauspetosten muoto on jo laajasti levinnyt, ja se on tunnistanut 157 tartunnan 20 000 parhaan sovelluksen joukosta Google Play -kaupassa ja Huawei -sovelluskaupassa.

Yksi tutkimuksessa käsitelty sosiaalisen viestinnän sovellus, joka on tartunnan saanut, on ladattu 570 miljoonaa kertaa. Raportissa mainitaan, että neljä muuta samaa yhtiötä tuottamaa sovellusta “näyttää sisältävän samanlaisia klikkauspetosten koodauksia”.

Tunnistamaan sovelluksia, joissa on Ihmismäinen hyökkäys (HA), tutkijat kehittivät työkalun nimeltä ClickScanner, joka luo riippuvuuskaavioita staattisen analyysin perusteella Android-sovellusten konekielestä.

Ihmismäisen hyökkäyksen menetelmä

Klikkauspetosten tunnusmerkit paljastuvat yleensä toistuvien kuvioitten, epätodennäköisten asiayhteyksien ja muiden tekijöiden kautta, joissa mekanisoitu odotettu vuorovaikutus mainonnassa ei vastaa aitoa, satunnaista käyttäytymistä, joka esiintyy todellisilla käyttäjillä.

Tutkimuksen mukaan HA kopioiden todellisten käyttäjien klikkauskuvioita tartunnan saaneesta älypuhelimen sovelluksesta, jotta väärennettyjen mainosvuorovaikutukset vastaavat käyttäjän yleistä profiilia, mukaan lukien aktiiviset käyttöajat ja muut ominaispiirteet, jotka osoittavat, ettei kyseessä ole simuloitu käyttäytyminen.

Ihmismäisen hyökkäyksen klikkauspetosten aikamuoto määräytyy käyttäjän vuorovaikutuksen mukaan. Lähde: https://arxiv.org/pdf/2105.11103.pdf

HA näyttää käyttävän neljää lähestymistapaa simuloimaan klikkauksia: satunnaisuutta tapahtumien koordinaateissa, jotka lähetetään dispatchTouchEvent -funktiolle Androidissa; satunnaisuutta laukaisuajassa; varjostamalla todellisia käyttäjän klikkauksia; ja profiloimalla käyttäjän klikkauskuviota koodissa ennen kuin se viestittää etäpalvelimelle, joka voi lähettää parannettuja väärennettyjä toimintoja HA:lle suoritettavaksi.

Monimuotoiset lähestymistavat

HA toteutetaan eri sovelluksissa eri tavoin, ja myös eri sovellusluokissa, mikä vaikeuttaa havaitsemista heuristiikka- tai teollisuusstandardien mukaisilla skannausohjelmilla, jotka odottavat paremmin tunnettuja kuvioita.

Raportissa todetaan, että HA ei ole tasaisesti jakautunut sovellustyypeissä, ja se esittää yleisen jakautumisen sovellusluokissa Google- ja Huawei-kaupassa (kuva alla).

Ihmismäinen hyökkäys on suosittu tiettyjä sektoreita kohtaan, ja se esiintyy vain kahdeksassa 25 tutkitusta sovellusluokasta. Tutkijat arvelevat, että jakautumisen vaihtelut voivat johtua kulttuurisista eroista sovellusten käytössä. Google Play on vahvemmin edustettuna Yhdysvalloissa ja Euroopassa, kun taas Huawei on vahvemmin edustettuna Kiinassa. Tämän seurauksena Huawei-infektio kohdistuu kirjoihin, koulutukseen ja ostoksiin -luokkiin, kun taas Google Playssa uutiset, lehdet ja työkalut -luokat ovat enemmän vaikuttuneita.

Tutkijat, jotka ovat parhaillaan yhteydessä tartunnan saaneiden sovellusten toimittajien kanssa avustaakseen ongelman korjaamisessa, ja jotka ovat saaneet vahvistuksen Googlelta, väittävät, että Ihmismäinen hyökkäys on jo aiheuttanut “valtavat tappiot” mainostajille. Tutkimuksen kirjoittamishetkellä ja ennen kuin toimittajat otettiin yhteyttä, raportissa todetaan, että 157 tartunnan saaneesta sovelluksesta Google Play -kaupassa ja Huawei-kaupassa vain 39 oli poistettu.

Raportissa todetaan myös, että työkalut -luokka on hyvin edustettuna molemmissa markkinoissa, ja se on houkutteleva kohde, koska käyttäjät antavat tällaisille sovelluksille poikkeuksellisen paljon lupia.

Alkuperäinen vs. SDK-asennus

Tartunnan saaneista sovelluksista suurin osa ei käytä suoraa koodin injektointia, vaan sen sijaan ne luottavat kolmannen osapuolen mainos-SDK:ihin, jotka ohjelmointinäkökulmasta ovat “lisättäviä rahastuskehyksiä”.

67 % tartunnan saaneista Huawei-sovelluksista ja 95,2 % tartunnan saaneista Google Play -sovelluksista käyttävät SDK-lähestymistapaa, joka on vähemmän todennäköinen havaittavaksi staattisella analyysillä tai muilla menetelmillä, jotka keskittyvät sovelluksen paikalliseen koodiin sen sijaan kuin sovelluksen laajempaan käyttäytymiseen etäresursseja kohtaan.

Tutkijat vertailivat ClickScannerin tehokkuutta, joka käyttää Variational Autoencoders (VAE) -luokittelijaa, VirusTotaliin, joka on havaitsemisalusta, joka integroi useita muita alustoja, mukaan lukien Kaspersky ja McAfee. Dataa ladattiin VirusTotaliin kahdesti, kuuden kuukauden välein, jotta poistettaisiin mahdolliset virheelliset tai epätarkat tulokset VirusTotalista.

58 ja 57 sovellusta Google Playssa ja Huawei AppGalleryssa vastaavasti ohittivat VirusTotalin havaitsemiskyvyn, tutkimuksen mukaan, joka myös totesi, että vain viisi tartunnan saanutta sovellusta voitiin havaita yli 7 havaitsemismoottorilla.

Malicious Ad SDKs

Raportissa todetaan, että 43 tutkitusta sovelluksesta sisältää julkimatta julkaistun haitallisen mainos-SDK:n, jolla on “suurempi vaikutus” kuin muissa raportoiduissa, koska se on suunniteltu klikkaamaan mainosta toisen kerran, jos käyttäjä klikkaa sitä kerran, pakottaen käyttäjän osallistumaan petolliseen toimintaan.

Raportissa todetaan, että tämä haitallinen SDK on saavuttanut 270 miljoonan asennuksen Google Playssa, ja että sen GitHub-koodi poistettiin marraskuussa 2020. Tutkijat arvelevat, että tämä saattaa johtua Google omien petosvastaisien toimien lisäämisestä.

Toinen SDK, joka on saavuttanut 476 miljoonan asennuksen, “auttaa” käyttäjiä käynnistämään videot automaattisesti, mutta klikkaa automaattisesti mainoksia, kun video on paussissa.