휴머노이드 공격: 기계 학습을 통해 식별된 새로운 형태의 클릭 사기

미국, 호주, 중국의 연구 이니셔티브에서는 '휴머노이드 공격'이라 불리는 새로운 유형의 클릭 사기를 발견했습니다. 이는 기존의 탐지 프레임워크를 우회하여 모바일 앱에서 실제 사용자 상호 작용을 악용하여 내장된 타사 프레임워크 광고의 가짜 클릭을 통해 수익을 창출합니다.

The 종이Shanghai Jiao Tong University가 이끄는 은 클릭 사기에 대한 이 새로운 변형이 이미 널리 퍼져 있다고 주장하며 Google Play 및 Huawei 앱 시장에서 상위 등급의 157개 앱 중 20,000개의 감염된 앱을 식별합니다.

이 연구에서 논의된 HA에 감염된 소셜 및 커뮤니케이션 앱은 570억 XNUMX천만 회 다운로드된 것으로 보고되었습니다. 이 보고서는 XNUMX개의 다른 앱이 '같은 회사에서 생산된 앱은 유사한 클릭 사기 코드를 갖고 있는 것으로 나타났습니다.'.

휴머노이드 공격(HA)을 특징으로 하는 앱을 탐지하기 위해 연구원들은 Android 앱의 바이트코드 수준 검사에서 정적 분석을 기반으로 데이터 의존성 그래프를 생성하는 ClickScanner라는 도구를 개발했습니다.

그런 다음 HA의 주요 기능은 기능 벡터에 입력되어 감염되지 않은 앱에서 훈련된 데이터 세트에 대한 빠른 앱 분석을 가능하게 합니다. 연구원들은 ClickScanner가 가장 널리 사용되는 유사한 스캐닝 프레임워크에 걸리는 시간의 16% 미만으로 작동한다고 주장합니다.

휴머노이드 공격 방법론

클릭 사기 서명은 일반적으로 식별 가능한 반복 패턴, 있을 법하지 않은 컨텍스트 및 예상되는 인간 상호 작용의 기계화가 실제 사용자 간에 발생하는 실제적이고 무작위적인 사용 패턴과 일치하지 않는 기타 여러 요인을 통해 드러납니다.

따라서 연구 결과에 따르면 HA는 감염된 모바일 안드로이드 앱에서 실제 사용자의 클릭 패턴을 복사하여 가짜 광고 상호작용이 사용자의 일반적인 프로필(사용 시간 포함)과 시뮬레이션되지 않은 사용을 나타내는 다양한 다른 특징과 일치하도록 합니다.

휴머노이드 공격 클릭 사기의 타이밍 패턴은 사용자 상호 작용에 의해 결정됩니다. 출처 : https://arxiv.org/pdf/2105.11103.pdf

HA는 클릭을 시뮬레이션하기 위해 네 가지 접근 방식을 활용하는 것으로 보입니다. 디스패치터치 이벤트 안드로이드에서는 트리거 시간을 무작위로 지정하고, 사용자의 실제 클릭을 추적하고, 원격 서버와 통신하기 전에 코드에서 사용자의 클릭 패턴을 프로파일링하여 HA가 수행할 수 있는 향상된 가짜 작업을 나중에 전송합니다.

다양한 접근법

HA는 개별 앱 간에 다르게 구현되며 앱 범주 간에도 상당히 다르게 구현되므로 휴리스틱 방법 또는 더 잘 알려진 패턴 유형을 기대하는 확립된 업계 표준 스캐닝 제품으로 쉽게 감지할 수 있는 모든 패턴을 난독화합니다.

이 보고서는 HA가 앱 유형 간에 고르게 분포되어 있지 않음을 관찰하고 Google 및 Huawei 스토어에서 앱 장르 전반에 걸쳐 일반적인 분포를 설명합니다(아래 이미지).

휴머노이드 공격은 선호하는 대상 분야가 있으며 보고서에서 연구한 25개 범주 중 XNUMX개 범주에서만 기능합니다. 연구자들은 분포의 차이가 앱 사용의 문화적 차이 때문일 수 있다고 제안합니다. Google Play는 미국과 유럽에서 가장 큰 점유율을 차지하고 있으며 Huawei는 중국에서 더 큰 영향력을 행사하고 있습니다. 결과적으로 Huawei 감염 패턴은 다음을 목표로 합니다. 도서, 교육 그리고 쇼핑 Google Play에서는 ​뉴스, 잡지 그리고 도구 범주가 더 많은 영향을 받습니다.

현재 문제 해결을 위해 영향을 받은 앱 판매업체와 소통 중이며 구글로부터 확인받은 연구원들은 휴머노이드 어택이 이미 광고주들에게 '막대한 손실'을 초래했다고 주장합니다. 본 보고서 작성 당시, 그리고 판매업체와 연락하기 전까지, 보고서는 구글 플레이와 화웨이 스토어에서 감염된 앱 157개 중 39개만 아직 제거되었다고 밝혔습니다.

보고서는 또한 도구 카테고리는 두 시장 모두에서 잘 나타나며 사용자가 이러한 유형의 앱에 기꺼이 부여하려는 비정상적인 수준의 권한으로 인해 매력적인 집수입니다.

네이티브 대. SDK 배포

휴머노이드 공격의 대상이 된 것으로 확인된 앱 중 대부분은 직접 코드 주입을 사용하지 않고 대신 타사 광고 SDK를 사용합니다. 프로그래밍 관점에서 볼 때 이는 '드롭인' 수익 창출 프레임워크입니다.

감염된 Huawei 앱의 67%와 감염된 Google Play 앱의 95.2%는 정적 분석이나 원격 리소스와 앱의 상호 작용에 대한 광범위한 행동 지문보다는 앱의 로컬 코드에 집중하는 다른 방법으로는 발견될 가능성이 낮은 SDK 접근 방식을 활용합니다.

연구원들은 VAE(Variational Autoencoders) 기반 분류기를 사용하는 ClickScanner의 효능을 Kaspersky 및 McAfee를 포함한 다른 많은 플랫폼을 통합하는 탐지 플랫폼인 VirusTotal과 비교했습니다. 데이터는 XNUMX개월 간격으로 VirusTotal에 두 번 업로드되어 VirusTotal의 잘못된 잘못된 결과 가능성을 배제했습니다.

조사에 따르면 Google Play의 앱 58개와 Huawei AppGallery의 앱 57개가 VirusTotal의 탐지 기능을 우회했으며, 7개 이상의 탐지 엔진에서 탐지된 감염된 앱은 겨우 XNUMX개에 불과한 것으로 나타났습니다.

악성 광고 SDK

보고서는 연구 대상 앱 43개에서 공개되지 않은 악성 광고 SDK가 존재한다고 밝혔는데, 이는 사용자가 광고를 한 번 클릭하면 두 번째로 광고를 클릭하도록 설계되어 있어 사용자가 사기 행위에 참여하도록 강요하기 때문에 다른 보고보다 '영향력이 더 크다'고 합니다.

보고서는 이 악성 SDK가 Google Play를 통해 공개된 이후 270억 2020천만 건의 설치를 달성했으며, 해당 SDK의 GitHub 코드는 XNUMX년 XNUMX월에 삭제되었다고 밝혔습니다. 연구진은 이것이 Google의 사기 방지 조치를 강화한 데 대한 대응일 수 있다고 추측했습니다.

설치 기반이 476억 XNUMX만 개에 달하는 또 다른 SDK는 사용자가 비디오를 자동 재생하도록 '돕지만', 비디오가 일시 정지되면 자동으로 나타나는 광고를 클릭합니다.