Serangan Humanoid: Bentuk Baru Penipuan Klik yang Ditemukan Melalui Pembelajaran Mesin

Inisiatif penelitian dari AS, Australia, dan Cina telah mengidentifikasi strain baru penipuan klik, yang disebut ‘Serangan Humanoid’ yang dapat melewati kerangka deteksi konvensional, dan mengeksploitasi interaksi pengguna nyata di aplikasi mobile untuk menghasilkan pendapatan dari klik palsu pada iklan kerangka ketiga yang tertanam.

Makalah yang dipimpin oleh Universitas Shanghai Jiao Tong, menyatakan bahwa varian baru penipuan klik ini sudah tersebar luas, dan mengidentifikasi 157 aplikasi yang terinfeksi dari 20.000 aplikasi teratas di pasar aplikasi Google Play dan Huawei.

Salah satu aplikasi yang terinfeksi HA, yaitu aplikasi sosial dan komunikasi, dilaporkan memiliki 570 juta unduhan. Laporan tersebut mencatat bahwa empat aplikasi lain yang ‘diproduksi oleh perusahaan yang sama menunjukkan kode penipuan klik yang serupa’.

Untuk mendeteksi aplikasi yang memiliki Serangan Humanoid (HA), peneliti mengembangkan alat yang disebut ClickScanner, yang menghasilkan grafik ketergantungan data, berdasarkan analisis statis, dari inspeksi kode bytecode aplikasi Android.

Fitur utama HA kemudian dimasukkan ke dalam vektor fitur, memungkinkan analisis aplikasi yang cepat pada dataset yang dilatih pada aplikasi yang tidak terinfeksi. Peneliti mengklaim bahwa ClickScanner beroperasi kurang dari 16% waktu yang dibutuhkan oleh kerangka pemindaian yang paling populer.

Metodologi Serangan Humanoid

Tanda tangan penipuan klik biasanya terungkap melalui pola pengulangan yang dapat diidentifikasi, konteks yang tidak mungkin, dan sejumlah faktor lain di mana mekanisasi interaksi manusia yang diharapkan dengan iklan gagal memenuhi pola penggunaan yang lebih acak yang terjadi pada pengguna nyata.

Oleh karena itu, penelitian menyatakan bahwa HA menyalin pola klik pengguna dunia nyata dari aplikasi Android yang terinfeksi, sehingga interaksi iklan palsu sesuai dengan profil pengguna umum, termasuk waktu penggunaan aktif, dan berbagai fitur tanda tangan lain yang menunjukkan penggunaan yang tidak disimulasikan.

Polanya waktu Serangan Humanoid penipuan klik ditentukan oleh interaksi pengguna. Sumber: https://arxiv.org/pdf/2105.11103.pdf

HA tampaknya menggunakan empat pendekatan untuk mensimulasikan klik: mengacak koordinat acara yang dikirim ke dispatchTouchEvent di Android; mengacak waktu pemicu; menyalin klik nyata pengguna; dan memprofil klik pola pengguna dalam kode, sebelum berkomunikasi dengan server jarak jauh, yang kemudian dapat mengirim tindakan palsu yang ditingkatkan untuk HA untuk dilakukan.

Pendekatan yang Beragam

HA diimplementasikan secara berbeda di seluruh aplikasi, dan juga sangat berbeda di seluruh kategori aplikasi, yang lebih lanjut mengaburkan pola yang mungkin dapat dideteksi oleh metode heuristik, atau produk pemindaian standar industri yang mengharapkan jenis pola yang lebih dikenal.

Laporan tersebut mencatat bahwa HA tidak tersebar merata di antara jenis aplikasi, dan menguraikan distribusi umum di seluruh genre aplikasi di toko aplikasi Google dan Huawei (gambar di bawah).

Serangan Humanoid memiliki sektor target yang dipilih, dan hanya muncul di delapan kategori dari 25 yang dipelajari dalam laporan. Peneliti menyatakan bahwa variasi dalam distribusi mungkin disebabkan oleh perbedaan budaya dalam penggunaan aplikasi. Google Play memiliki pangsa pasar terbesar di AS dan Eropa, sedangkan Huawei memiliki cengkeraman yang lebih besar di Cina. Akibatnya, pola infeksi Huawei menargetkan kategori Buku, Pendidikan, dan Belanja, sedangkan di Google Play, kategori Berita, Majalah, dan Alat lebih terpengaruh.

Peneliti, yang saat ini berkomunikasi dengan vendor aplikasi yang terkena untuk membantu memperbaiki masalah, dan yang telah menerima pengakuan dari Google, menyatakan bahwa Serangan Humanoid telah menyebabkan ‘kerugian besar’ bagi pengiklan. Pada saat penulisan makalah, dan sebelum berkomunikasi dengan vendor, laporan tersebut menyatakan bahwa dari 157 aplikasi yang terinfeksi di Google Play dan toko aplikasi Huawei, hanya 39 yang telah dihapus.

Laporan tersebut juga mencatat bahwa kategori Alat sangat terwakili di kedua pasar, dan merupakan target yang menarik karena tingkat izin yang tidak biasa yang pengguna bersedia berikan kepada jenis aplikasi ini.

Asli Vs. Penggunaan SDK

Di antara aplikasi yang diidentifikasi sebagai subjek Serangan Humanoid, sebagian besar tidak menggunakan injeksi kode langsung, tetapi sebaliknya mengandalkan SDK iklan pihak ketiga, yang, dari sudut pandang pemrograman, adalah ‘kerangka monitisasi drop-in’.

67% aplikasi Huawei yang terinfeksi dan 95,2% aplikasi Google Play yang terinfeksi menggunakan pendekatan SDK yang kurang mungkin ditemukan oleh analisis statis, atau metode lain yang fokus pada kode lokal aplikasi daripada sidik jari perilaku aplikasi yang lebih luas dalam interaksi dengan sumber daya jarak jauh.

Peneliti membandingkan efikasi ClickScanner, yang menggunakan klasifikasi berbasis Variational Autoencoders (VAEs), melawan VirusTotal, platform deteksi yang mengintegrasikan banyak platform lain, termasuk Kaspersky dan McAfee. Data diunggah ke VirusTotal dua kali, dengan interval enam bulan untuk menghilangkan hasil yang mungkin tidak akurat atau salah dari VirusTotal.

58 dan 57 aplikasi di Google Play dan AppGallery Huawei, masing-masing, melewati kemampuan deteksi VirusTotal, menurut penelitian, yang juga menemukan bahwa hanya lima aplikasi yang terinfeksi dapat dideteksi oleh lebih dari 7 mesin deteksi.

SDK Iklan Jahat

Laporan tersebut mencatat kehadiran SDK iklan jahat yang tidak diungkapkan di 43 aplikasi yang dipelajari, yang memiliki ‘dampak yang lebih besar’ daripada yang lain, karena dirancang untuk mengklik iklan untuk kedua kalinya jika pengguna mengkliknya sekali, memaksa pengguna untuk berpartisipasi dalam kegiatan penipuan.

Laporan tersebut mencatat bahwa SDK jahat ini telah mencapai 270 juta instalasi sejak tersedia melalui Google Play, dan bahwa kode GitHub untuk itu dihapus pada November 2020. Peneliti menyatakan bahwa ini mungkin sebagai respons terhadap peningkatan langkah anti-penipuan Google.

SDK lain, yang telah mencapai basis instalasi 476 juta, ‘membantu’ pengguna untuk memutar video secara otomatis, tetapi kemudian mengklik iklan secara otomatis jika video dipause.