İnsan Biçimli Saldırı: Makine Öğrenimi ile Yeni Bir Tıklama Dolandırıcılığı Tespiti

Amerika Birleşik Devletleri, Avustralya ve Çin’den bir araştırma girişimi, geleneksel tespit çerçevelerinden kaçan ve mobil uygulamalardaki gerçek kullanıcı etkileşimlerini kullanarak üçüncü taraf çerçeve reklamlarına yapılan sahte tıklamalardan kazanç elde eden ‘İnsan Biçimli Saldırı’ adlı yeni bir tıklama dolandırıcılığı suşunu tespit etti.

Makale, Şangay Jiao Tong Üniversitesi tarafından yönetiliyor ve bu yeni tıklama dolandırıcılığı varyantının zaten yaygın olarak dağıtıldığını ve Google Play ve Huawei uygulama marketlerindeki en yüksek puanlı 20.000 uygulamanın 157’sinin enfekte olduğunu iddia ediyor.

Çalışmada bahsedilen bir HA enfekte sosyal ve iletişim uygulaması, 570 milyon indirme sayısına sahip olduğu rapor ediliyor. Rapor, aynı şirket tarafından üretilen dört diğer uygulamanın da benzer tıklama dolandırıcılığı kodlarına sahip olduğunu belirtiyor.

HA’ya sahip uygulamaları tespit etmek için araştırmacılar, ClickScanner adlı bir araç geliştirdiler. Bu araç, Android uygulamalarının bytecode düzeyindeki statik analizinden veri bağımlılık grafikleri oluşturuyor.

İnsan Biçimli Saldırı Metodolojisi

Tıklama dolandırıcılığı imzaları genellikle tekrarlanan desenlerin, muhtemel olmayan bağlamların ve diğer faktörlerin mekanize edilmiş insan reklam etkileşimlerinin gerçek kullanıcı kullanım desenlerinden farklı olduğu durumlarda ortaya çıkıyor.

Bu nedenle, araştırma, HA’nın bir enfekte mobil Android uygulamasından gerçek dünya kullanıcı tıklamalarının desenini kopyaladığını, böylece sahte reklam etkileşimlerinin kullanıcıların genel profilini, kullanım zamanlarını ve diğer işaretleri taklit ettiğini iddia ediyor.

İnsan Biçimli Saldırı tıklama dolandırıcılığı deseni kullanıcı etkileşimi tarafından belirlenir. Kaynak: https://arxiv.org/pdf/2105.11103.pdf

HA, tıklamaları simüle etmek için dört yaklaşım kullanıyor: Android’de dispatchTouchEvent‘e gönderilen olayların koordinatlarını rastgeleleştirme; tetikleme zamanını rastgeleleştirme; kullanıcıların gerçek tıklamalarını gölgelendirme ve kullanıcıların tıklama desenlerini kodda profilendirme, daha sonra bir uzak sunucuya iletişim kurma ve HA’nın gerçekleştireceği sahte eylemler için geliştirilmiş eylemler alması.

Çeşitli Yaklaşımlar

HA, bireysel uygulamalar arasında ve ayrıca uygulama kategorileri arasında farklı şekilde uygulanıyor, bu da herhangi bir kolayca tespit edilebilir deseni daha da gizliyor ve geleneksel tespit yöntemlerini veya endüstri standardı tarama ürünlerini zorlaştırıyor.

Rapor, HA’nın uygulama türleri arasında eşit olarak dağılmadığını gözlemliyor ve Google ve Huawei mağazalarındaki uygulama türleri dağılımını gösteriyor (aşağıdaki resim).

İnsan Biçimli Saldırı, tercih edilen hedef sektörlerine sahip ve çalışmada incelenen 25 kategoriden sadece sekizinde yer alıyor. Araştırmacılar, dağılımdaki varyasyonların uygulama kullanımındaki kültürel farklılıklardan kaynaklanabileceğini öne sürüyor. Google Play, ABD ve Avrupa’da en büyük paya sahipken, Huawei Çin’de daha büyük bir paya sahip. Sonuç olarak, Huawei enfeksiyonu Kitaplar, Eğitim ve Alışveriş kategorilerini hedef alırken, Google Play’de Haberler, Dergiler ve Araçlar kategorileri daha fazla etkileniyor.

Araştırmacılar, etkilenen uygulamaların satıcılarıyla iletişim kurarak sorunu çözmeye çalışıyorlar ve Google’dan onay aldıklarını belirtiyorlar. Rapor, İnsan Biçimli Saldırının alreadya reklamverenlere ‘büyük kayıplar’ CAUSED olduğunu iddia ediyor. Makalenin yazıldığı sırada ve satıcılarla iletişim kurulmadan önce, rapor 157 enfekte uygulamanın sadece 39’unun kaldırıldığını belirtiyor.

Rapor ayrıca Araçlar kategorisinin her iki pazarda da iyi temsil edildiğini ve bu tür uygulamalara kullanıcıların verdikleri izinlerin seviyesi nedeniyle çekici bir av sahnesi olduğunu gözlemliyor.

Yerel Karşı SDK Dağıtımı

İnsan Biçimli Saldırıya maruz kalan uygulamaların çoğunluğu doğrudan kod enjeksiyonu kullanmıyor, bunun yerine üçüncü taraf reklam SDK’larına güveniyorlar. Bu SDK’lar, programlama açısından ‘monetization frameworks’ olarak düşünülebilir.

Enfekte Huawei uygulamalarının %67’si ve enfekte Google Play uygulamalarının %95.2’si, yerel uygulama koduna odaklanan statik analiz veya diğer yöntemlerle keşfedilme olasılığı daha düşük olan bir SDK yaklaşımını kullanıyor.

Araştırmacılar, ClickScanner’ın, Variational Autoencoders (VAE) tabanlı bir sınıflandırıcı kullanan etkinliğini, birçok diğer platformu entegre eden bir tespit platformu olan VirusTotal ile karşılaştırdılar. Veri, olası anormal veya hatalı sonuçları dışlamak için altı aylık aralıklarla VirusTotal’e iki kez yüklendi.

Araştırmaya göre, Google Play’de 58 ve Huawei AppGallery’de 57 uygulama, VirusTotal’in tespit yeteneklerini atladı. Araştırma ayrıca, sadece beş enfekte uygulamanın 7’den fazla tespit motoru tarafından tespit edilebileceğini buldu.

Kötü Amaçlı Reklam SDK’leri

Rapor, çalışmada incelenen 43 uygulamada bilinmeyen bir kötü amaçlı reklam SDK’sinin varlığını gözlemliyor. Bu SDK, bir kullanıcı bir reklamı bir kez tıklattığında, kullanıcıyı sahte faaliyetlere katılmaya zorlayarak ikinci kez tıklama yapıyor.

Rapor, bu kötü amaçlı SDK’nin Google Play aracılığıyla 270 milyon kez kurulduğunu ve GitHub kodunun Kasım 2020’de silindiğini belirtiyor. Araştırmacılar, bu durumun Google’ın kendi dolandırıcılık önleme önlemlerini artırmasıyla ilgili olabileceğini düşünüyor.

Diğer bir SDK, 476 milyon kez kuruldu ve kullanıcıların videoları otomatik olarak oynatmasına yardımcı oluyor, ancak video duraklatıldığında çıkan reklamları otomatik olarak tıklıyor.