Attacco Umanoide: Nuova Forma Di Frode Di Click Identificata Attraverso L’apprendimento Automatico

Un’iniziativa di ricerca degli Stati Uniti, dell’Australia e della Cina ha identificato una nuova forma di frode di click, chiamata “Attacco Umanoide”, che evade i framework di rilevamento convenzionali e sfrutta le interazioni degli utenti in app mobili per generare entrate da clic falsi su annunci di framework di terze parti.

Il documento, guidato dall’Università Jiao Tong di Shanghai, sostiene che questa nuova variante di frode di click è già ampiamente diffusa e identifica 157 app infette tra le 20.000 app più votate nei mercati Google Play e Huawei.

Un’app di social e comunicazione infetta da HA discussa nello studio è segnalata come avente 570 milioni di download. La relazione nota che quattro altre app “prodotte dalla stessa società presentano codici di frode di click simili”.

Per rilevare le app che presentano l’Attacco Umanoide (HA), i ricercatori hanno sviluppato uno strumento chiamato ClickScanner, che genera grafici di dipendenza dei dati, basati sull’analisi statica, dall’ispezione del codice bytecode di app Android.

Le caratteristiche chiave di HA vengono quindi inserite in un vettore di caratteristiche, consentendo un’analisi rapida delle app su un set di dati addestrato su app non infette. I ricercatori affermano che ClickScanner funziona in meno del 16% del tempo impiegato dai framework di scansione più popolari.

Metodologia dell’Attacco Umanoide

Le firme di frode di click sono generalmente rivelate attraverso modelli di ripetizione identificabili, contesti improbabili e una serie di altri fattori in cui la meccanizzazione dell’interazione umana con la pubblicità non corrisponde ai modelli di utilizzo autentici e più casuali che si verificano tra gli utenti reali.

Pertanto, la ricerca afferma che HA copia il modello di clic degli utenti nel mondo reale da un’app Android mobile infetta, in modo che le interazioni false con gli annunci corrispondano al profilo generale dell’utente, compresi gli orari di utilizzo attivi e varie altre caratteristiche di firma che indicano un utilizzo non simulato.

Il modello di timing dell’Attacco Umanoide di frode di click è dettato dall’interazione dell’utente. Fonte: https://arxiv.org/pdf/2105.11103.pdf

L’Attacco Umanoide sembra utilizzare quattro approcci per simulare i clic: randomizzando le coordinate degli eventi inviati a dispatchTouchEvent in Android; randomizzando il momento di attivazione; oscurando i clic reali dell’utente; e profilando i modelli di clic dell’utente nel codice, prima di comunicare con un server remoto, che potrebbe successivamente inviare azioni false migliorate per l’Attacco Umanoide.

Approcci Vari

L’Attacco Umanoide è implementato in modo diverso tra le app individuali e anche molto diverso tra le categorie di app, ulteriormente oscurando eventuali modelli che potrebbero essere facilmente rilevabili con metodi euristici o prodotti di scansione standard dell’industria che si aspettano tipi di modelli più noti.

La relazione osserva che l’Attacco Umanoide non è distribuito uniformemente tra i tipi di app e descrive la distribuzione generale tra i generi di app nei negozi Google e Huawei (immagine in basso).

L’Attacco Umanoide ha settori di destinazione preferiti e si trova solo in otto categorie su 25 studiate nella relazione. I ricercatori suggeriscono che le variazioni nella distribuzione potrebbero essere dovute a differenze culturali nell’utilizzo delle app. Google Play ha la quota maggiore negli Stati Uniti e in Europa, mentre Huawei ha una maggiore presenza in Cina. Di conseguenza, il modello di infezione di Huawei colpisce le categorie Libri, Istruzione e Shopping, mentre su Google Play le categorie Notizie, Riviste e Strumenti sono più colpite.

I ricercatori, che stanno attualmente comunicando con i fornitori delle app colpite per aiutare a risolvere il problema e che hanno ricevuto un riconoscimento da Google, affermano che l’Attacco Umanoide ha già causato “enormi perdite” agli inserzionisti. Al momento della stesura del documento e prima di comunicare con i fornitori, la relazione afferma che solo 39 app su 157 infette nei negozi Google Play e Huawei erano state rimosse.

La relazione osserva anche che la categoria Strumenti è ben rappresentata in entrambi i mercati e costituisce un’area di cattura attraente a causa dei livelli insoliti di autorizzazioni che gli utenti sono disposti a concedere a questo tipo di app.

Deploy Nativo vs SDK

Tra le app identificate come soggette all’Attacco Umanoide, la maggior parte non utilizza l’iniezione di codice diretta, ma si affida invece a SDK pubblicitari di terze parti, che, da un punto di vista di programmazione, sono framework di monetizzazione “drop-in”.

Il 67% delle app Huawei infette e il 95,2% delle app Google Play infette utilizzano un approccio SDK che è meno probabile essere scoperto dall’analisi statica o da altri metodi che si concentrano sul codice locale dell’app piuttosto che sull’impronta comportamentale più ampia delle interazioni dell’app con risorse remote.

I ricercatori hanno confrontato l’efficacia di ClickScanner, che utilizza un classificatore basato su Autoencoder Variazionali (VAE), con VirusTotal, una piattaforma di rilevamento che integra molte altre piattaforme, tra cui Kaspersky e McAfee. I dati sono stati caricati su VirusTotal due volte, con un intervallo di sei mesi per escludere possibili risultati anomali o errati da VirusTotal.

58 e 57 app su Google Play e Huawei AppGallery, rispettivamente, hanno bypassato le capacità di rilevamento di VirusTotal, secondo la ricerca, che ha anche scoperto che solo cinque app infette potevano essere rilevate da più di 7 motori di rilevamento.

SDK Pubblicitari Malintenzionati

La relazione osserva la presenza di un SDK pubblicitario malintenzionato non divulgato in 43 app studiate, che ha “un impatto maggiore” rispetto ad altri segnalati, poiché è progettato per fare clic su un annuncio una seconda volta se l’utente fa clic su di esso una volta, costringendo l’utente a partecipare a un’attività fraudolenta.

La relazione nota che questo SDK malintenzionato ha raggiunto 270 milioni di installazioni dal momento in cui è stato reso disponibile su Google Play e che il codice GitHub per esso è stato cancellato nel novembre 2020. I ricercatori ipotizzano che ciò potrebbe essere stato in risposta a un aumento delle misure antifrode di Google.

Un altro SDK, che ha raggiunto una base di installazioni di 476 milioni, “aiuta” gli utenti a riprodurre video in autoplay, ma poi fa clic automaticamente su eventuali annunci che appaiono quando il video è in pausa.