Ataque Humanóide: Nova Forma De Fraude De Clique Identificada Através De Aprendizado De Máquina

Uma iniciativa de pesquisa dos EUA, Austrália e China identificou uma nova cepa de fraude de clique, apelidada de “Ataque Humanóide”, que escapa aos quadros de detecção convencionais e explora as interações do usuário em aplicativos móveis para gerar receita com cliques falsos em anúncios de terceiros embutidos.

O artigo, liderado pela Universidade de Shanghai Jiao Tong, afirma que essa nova variação de fraude de clique já está amplamente difundida e identifica 157 aplicativos infectados entre os 20.000 aplicativos mais bem avaliados nos mercados Google Play e Huawei.

Um aplicativo de comunicação e social infectado com HA discutido no estudo é relatado como tendo 570 milhões de downloads. O relatório observa que quatro outros aplicativos ‘produzidos pela mesma empresa apresentam códigos de fraude de clique semelhantes’.

Para detectar aplicativos que apresentam Ataque Humanóide (HA), os pesquisadores desenvolveram uma ferramenta chamada ClickScanner, que gera gráficos de dependência de dados com base em análise estática, a partir da inspeção de nível de bytecode de aplicativos Android.

As principais características do HA são então alimentadas em um vetor de recursos, permitindo uma análise de aplicativos rápida em um conjunto de dados treinado em aplicativos não infectados. Os pesquisadores afirmam que o ClickScanner opera em menos de 16% do tempo necessário pelas estruturas de varredura mais populares semelhantes.

Métodologia De Ataque Humanóide

As assinaturas de fraude de clique são normalmente reveladas por meio de padrões identificáveis de repetição, contextos improváveis e vários outros fatores onde a mecanização da interação humana antecipada com anúncios falha em corresponder aos padrões de uso autênticos e mais aleatórios que ocorrem em usuários reais.

Portanto, a pesquisa afirma que o HA copia o padrão de cliques de usuários do mundo real de um aplicativo móvel Android infectado, de modo que as interações falsas de anúncios correspondam ao perfil geral do usuário, incluindo horários de uso ativo e várias outras características de assinatura que indicam uso não simulado.

O padrão de tempo do ataque de fraude de clique humanóide é ditado pela interação do usuário. Fonte: https://arxiv.org/pdf/2105.11103.pdf

O HA parece utilizar quatro abordagens para simular cliques: randomizando as coordenadas de eventos enviados para dispatchTouchEvent no Android; randomizando o tempo de disparo; obscurecendo os cliques reais do usuário; e perfilando os padrões de clique do usuário em código, antes de se comunicar com um servidor remoto, que pode subsequentemente enviar ações falsas aprimoradas para o HA realizar.

Abordagens Variadas

O HA é implementado de forma diferente em aplicativos individuais e também de forma bastante diferente em categorias de aplicativos, obscurecendo ainda mais quaisquer padrões que possam ser facilmente detectáveis por métodos heurísticos ou produtos de varredura padrão da indústria que esperam tipos de padrão mais conhecidos.

O relatório observa que o HA não está uniformemente distribuído entre os tipos de aplicativos e descreve a distribuição geral por gêneros de aplicativos nos mercados Google e Huawei (imagem abaixo).

O Ataque Humanóide tem setores-alvo preferenciais e está presente em apenas oito categorias das 25 estudadas no relatório. Os pesquisadores sugerem que as variações na distribuição podem ser devidas a diferenças culturais no uso de aplicativos. O Google Play tem a maior participação nos EUA e na Europa, enquanto a Huawei tem uma maior participação na China. Consequentemente, o padrão de infecção da Huawei visa as categorias Livros, Educação e Compras, enquanto no Google Play as categorias Notícias, Revistas e Ferramentas são mais afetadas.

Os pesquisadores, que atualmente estão se comunicando com os fornecedores dos aplicativos afetados para ajudar a remediar a questão e que receberam reconhecimento do Google, afirmam que o Ataque Humanóide já causou “perdas enormes” para anunciantes. No momento da escrita do artigo e antes de se comunicar com os fornecedores, o relatório afirma que, entre 157 aplicativos infectados nos mercados Google Play e Huawei, apenas 39 haviam sido removidos.

O relatório também observa que a categoria Ferramentas está bem representada em ambos os mercados e é um ponto de captura atraente devido aos níveis incomuns de permissões que os usuários estão dispostos a conceder a esses tipos de aplicativos.

Implantação Nativa Vs. SDK

Entre os aplicativos identificados como sujeitos ao Ataque Humanóide, a maioria não usa injeção de código direta, mas depende de SDKs de anúncios de terceiros, que, do ponto de vista de programação, são frameworks de monetização “prontos para uso”.

67% dos aplicativos infectados da Huawei e 95,2% dos aplicativos infectados do Google Play utilizam uma abordagem de SDK que é menos provável de ser descoberta por análise estática ou por outros métodos que se concentram no código local do aplicativo em vez da impressão digital comportamental mais ampla das interações do aplicativo com recursos remotos.

Os pesquisadores compararam a eficácia do ClickScanner, que usa um classificador baseado em Autoencoders Variacionais (VAEs), contra o VirusTotal, uma plataforma de detecção que integra muitas outras plataformas, incluindo Kaspersky e McAfee. Os dados foram enviados ao VirusTotal duas vezes, com um intervalo de seis meses para descontar possíveis resultados anômalos ou errôneos do VirusTotal.

58 e 57 aplicativos no Google Play e na AppGallery da Huawei, respectivamente, ultrapassaram as capacidades de detecção do VirusTotal, de acordo com a pesquisa, que também encontrou que apenas cinco aplicativos infectados puderam ser detectados por mais de 7 motores de detecção.

SDKs De Anúncios Maliciosos

O relatório observa a presença de um SDK de anúncios malicioso não divulgado em 43 aplicativos estudados, que tem “um impacto maior” do que outros relatados, pois é projetado para clicar em um anúncio uma segunda vez se o usuário clicar nele uma vez, forçando o usuário a participar de atividade fraudulenta.

O relatório observa que esse SDK malicioso alcançou 270 milhões de instalações desde que foi disponibilizado via Google Play e que o código GitHub para ele foi excluído em novembro de 2020. Os pesquisadores supõem que isso pode ter sido em resposta ao aumento das próprias medidas anti-fraude do Google.

Outro SDK, que alcançou uma base de instalação de 476 milhões, ‘ajuda’ os usuários a reproduzir vídeos automaticamente, mas então clica automaticamente em qualquer anúncio que apareça quando o vídeo é pausado.