Attaque Humanoid : Une Nouvelle Forme de Fraude de Clics Identifiée Grâce à l’Apprentissage Automatique

Une initiative de recherche menée aux États-Unis, en Australie et en Chine a identifié une nouvelle souche de fraude de clics, surnommée « Attaque Humanoid » qui parvient à contourner les cadres de détection conventionnels et exploite les interactions réelles des utilisateurs dans les applications mobiles afin de générer des revenus à partir de faux clics sur des publicités intégrées à des frameworks tiers.

Le document, dirigé par l’Université de Shanghai Jiao Tong, affirme que cette nouvelle variante de fraude de clics est déjà largement répandue et identifie 157 applications infectées parmi les 20 000 meilleures applications des magasins Google Play et Huawei.

L’une des applications de communication et de réseautage sociale infectées par HA, étudiée dans l’étude, est rapportée avoir 570 millions de téléchargements. Le rapport note que quatre autres applications « produites par la même société présentent des codes de fraude de clics similaires ».

Pour détecter les applications qui présentent une Attaque Humanoid (HA), les chercheurs ont développé un outil appelé ClickScanner, qui génère des graphiques de dépendance de données, basés sur une analyse statique, à partir d’une inspection au niveau du code bytecode des applications Android.

Les principales caractéristiques de HA sont ensuite intégrées dans un vecteur de fonctionnalités, permettant une analyse rapide des applications sur un jeu de données formé à partir d’applications non infectées. Les chercheurs affirment que ClickScanner fonctionne en moins de 16 % du temps nécessaire aux cadres de détection les plus populaires similaires.

Méthodologie d’Attaque Humanoid

Les signatures de fraude de clics sont généralement révélées par des modèles de répétition identifiables, des contextes peu probables et un certain nombre d’autres facteurs où la mécanisation de l’interaction humaine anticipée avec la publicité ne correspond pas aux modèles d’utilisation réels et plus aléatoires qui se produisent chez les utilisateurs réels.

Par conséquent, la recherche affirme que HA copie le modèle de clics réels du monde dans une application mobile Android infectée, de sorte que les interactions fausses avec les publicités correspondent au profil général de l’utilisateur, y compris les heures d’utilisation active, et diverses autres caractéristiques de signature qui indiquent une utilisation non simulée.

Le modèle de temporisation de l’attaque de fraude de clics Humanoid est dicté par l’interaction de l’utilisateur. Source: https://arxiv.org/pdf/2105.11103.pdf

HA semble utiliser quatre approches pour simuler les clics: la randomisation des coordonnées des événements envoyés à dispatchTouchEvent sous Android; la randomisation du moment déclenchant; l’ombre des clics réels de l’utilisateur; et le profil des modèles de clics de l’utilisateur dans le code, avant de communiquer avec un serveur distant, qui peut ensuite envoyer des actions fausses améliorées pour que HA les exécute.

Approches Variées

HA est mis en œuvre différemment selon les applications individuelles, et également de manière très différente selon les catégories d’applications, ce qui obscurcit encore les modèles qui pourraient être facilement détectables par des méthodes heuristiques ou des produits de détection standard de l’industrie qui s’attendent à des types de modèles mieux connus.

Le rapport observe que HA n’est pas réparti de manière uniforme parmi les types d’applications et décrit la répartition générale dans les genres d’applications des magasins Google et Huawei (image ci-dessous).

L’Attaque Humanoid a des secteurs ciblés préférés et n’apparaît que dans huit catégories des 25 étudiées dans le rapport. Les chercheurs suggèrent que les variations de répartition peuvent être dues à des différences culturelles dans l’utilisation des applications. Google Play a la plus grande part de marché aux États-Unis et en Europe, tandis que Huawei a une plus grande part de marché en Chine. Par conséquent, le modèle d’infection de Huawei cible les catégories Livres, Éducation et Shopping, tandis que sur Google Play, les catégories Actualités, Magazines et Outils sont plus touchées.

Les chercheurs, qui sont actuellement en communication avec les fournisseurs des applications touchées afin de les aider à remédier au problème et qui ont reçu un accusé de réception de Google, affirment que l’Attaque Humanoid a déjà causé « de lourdes pertes » aux annonceurs. Au moment de la rédaction du document, et avant de communiquer avec les fournisseurs, le rapport indique que sur 157 applications infectées dans les magasins Google Play et Huawei, seules 39 avaient été supprimées.

Le rapport observe également que la catégorie Outils est bien représentée dans les deux marchés et constitue un bassin d’attraction en raison des niveaux de permissions inhabituels que les utilisateurs sont prêts à accorder à ces types d’applications.

Native Vs. Déploiement SDK

Parmi les applications identifiées comme étant sujettes à l’Attaque Humanoid, la majorité n’utilisent pas l’injection de code direct, mais s’appuient plutôt sur des SDK publicitaires tiers, qui, du point de vue de la programmation, sont des cadres de monétisation « prêts à l’emploi ».

67 % des applications Huawei infectées et 95,2 % des applications Google Play infectées utilisent une approche basée sur les SDK, qui est moins susceptible d’être détectée par l’analyse statique ou par d’autres méthodes qui se concentrent sur le code local de l’application plutôt que sur l’empreinte comportementale plus large des interactions de l’application avec des ressources distantes.

Les chercheurs ont comparé l’efficacité de ClickScanner, qui utilise un classificateur basé sur des auto-encodeurs variationnels (VAE), par rapport à VirusTotal, une plate-forme de détection qui intègre de nombreuses autres plate-formes, notamment Kaspersky et McAfee. Les données ont été téléchargées sur VirusTotal deux fois, avec un intervalle de six mois pour écarter les résultats éventuellement anormaux ou erronés de VirusTotal.

58 et 57 applications dans Google Play et l’AppGallery de Huawei, respectivement, ont contourné les capacités de détection de VirusTotal, selon la recherche, qui a également constaté que seules cinq applications infectées pouvaient être détectées par plus de 7 moteurs de détection.

SDK Publicitaires Malveillants

Le rapport observe la présence d’un SDK publicitaire malveillant non divulgué dans 43 applications étudiées, qui a « un impact plus important » que les autres rapportés, car il est conçu pour cliquer une fois de plus sur une publicité si l’utilisateur clique dessus une fois, forçant l’utilisateur à participer à une activité frauduleuse.

Le rapport note que ce SDK malveillant a atteint 270 millions d’installations depuis sa mise à disposition sur Google Play et que le code GitHub pour celui-ci a été supprimé en novembre 2020. Les chercheurs supposent que cela peut avoir été en réponse à une intensification des mesures anti-fraude de Google.

Un autre SDK, qui a atteint une base d’installation de 476 millions, « aide » les utilisateurs à lire des vidéos en automatique, mais clique ensuite automatiquement sur les publicités qui apparaissent lorsque la vidéo est en pause.