Detekce emulátorů a virtuálních strojů ve webovém provozu

Většina podvodů, které běží ve velkém, běží na virtualizované infrastruktuře, protože alternativa — místnost plná fyzických telefonů a notebooků — se nedá škálovat a nedá se skrýt. Emulátor nebo virtuální stroj umožňuje jednomu operátorovi na požádání roztočit tisíce zdánlivě odlišných zařízení, z nichž každé vypadá jako čerstvý spotřebitelský endpoint. Detekce této virtualizace patří k tomu nejúčinnějšímu, co vrstva device intelligence dělá, protože identifikuje infrastrukturu podvodů ve velkém, místo aby honila jednotlivé podvodné akce jednu po druhé.

Tento text popisuje, jak se emulátory a VM prozrazují ve webovém a aplikačním provozu: signály hardwaru, časování a koherence, které virtualizované prostředí těžko reprodukuje, proč žádný signál sám o sobě nestačí a jak na detekci reagovat, aniž byste rozbili legitimní virtualizaci. Cílovým publikem jsou inženýři a fraud týmy, které budují nebo hodnotí bot detection.

Proč na emulátorech a VM u podvodů záleží

Emulátory a virtuální stroje jsou důležité, protože jsou nákladově efektivním základem pro objemové podvody — mění jediný stroj na flotilu čistě vypadajících zařízení, což je přesně to, co ekonomika většiny podvodů vyžaduje.

Opakujícím se problémem podvodů je škála. Jediný falešný účet nebo jediná podvodná transakce se málokdy vyplatí; peníze jsou v tom udělat to tisíckrát. Udělat to tisíckrát vyžaduje tisíce identit zařízení, protože platformy stále častěji propojují zneužití podle zařízení (viz jak funguje device fingerprinting). Fyzický hardware je poctivý způsob, jak získat mnoho identit zařízení, a je prohibitivně drahý a pomalý. Virtualizace je ten levný způsob.

Konkrétně virtualizace tvoří základ pro:

Device farmy. Racky emulovaných mobilních zařízení nebo instancí headless prohlížečů, orchestrované k zakládání účtů, uplatňování promo akcí, psaní falešných recenzí nebo provozování credential stuffingu a zneužití při zakládání účtů ve velkém. Každá emulovaná instance vystupuje jako samostatný telefon nebo notebook.

Emulace mobilních aplikací. Provozování aplikací pro Android nebo iOS v emulátorech na desktopovém nebo serverovém hardwaru za účelem automatizace aplikačních toků, které měly vyžadovat reálný telefon — mobilní registrace, promo akce vázané na aplikaci, podvody uvnitř aplikace.

Cloudové prohlížeče a browser-as-a-service. Plnohodnotné prohlížeče běžící v cloudových VM, automatizované pro scraping, ad fraud a zneužívání účtů. Jsou sofistikovanější než primitivní boti, protože stránky plně vykreslují a spouštějí JavaScript.

Společná nit: jeden fyzický stroj, mnoho virtuálních identit. Pokud dokážete virtualizaci detekovat, sesypete flotilu zpět na její skutečnou velikost — a „tisíc uživatelů“, kteří jsou ve skutečnosti jeden emulovaný hostitel, je zcela jiné rozhodnutí o riziku než tisíc reálných zařízení. Právě proto je detekce virtualizace násobičem síly: útočí na nákladovou strukturu, která činí objemové podvody životaschopnými.

Co virtuální stroj prozradí

Virtuální stroj se prozrazuje fyzickými signály, které musí syntetizovat, místo aby je vlastnil — GPU, chování časování, senzory a nízkoúrovňové artefakty hypervizoru, na němž běží. Reálný spotřebitelský hardware tyto signály produkuje jako vedlejší efekt toho, že je reálný; VM je musí falšovat, a zfalšovat je všechny koherentně je těžké.

Signatury virtualizovaného GPU. To je jeden z nejsilnějších projevů. Vykreslování grafiky závisí na skutečném GPU, jeho ovladači a jeho chování v pohyblivé řádové čárce. VM obvykle používají virtualizovanou nebo softwarově vykreslovanou grafiku — SwiftShader, llvmpipe, virtuální GPU VMware/VirtualBox/QEMU nebo prostrčené GPU, které stále hlásí prozrazující řetězce. WebGL renderer a vendor řetězce často pojmenovávají virtualizaci přímo („SwiftShader“, „llvmpipe“, „VMware SVGA“, „Google SwiftShader“), a i když jsou tyto řetězce zfalšované, samotný výstup vykreslování canvasu a WebGL se od fyzických GPU liší jemnými, těžko falšovatelnými způsoby. Reálné GPU vykresluje složitou scénu s charakteristickými artefakty specifickými pro ovladač; softwarové vykreslování produkuje jinou signaturu.

Časování, které je příliš čisté. Reálný hardware je zašuměný. JIT kompilace, garbage collection, tepelné throttlování, přerušení OS a efekty paměťové hierarchie vnášejí do měření časování nepřetržitý jitter. Virtualizovaná prostředí — zvláště cloudově hostovaná na kvalitní infrastruktuře — často běží příliš hladce, s nižším rozptylem časování, než jaký vykazují fyzická spotřebitelská zařízení. Vysokorozlišené časování konkrétních výpočetních vzorů může odhalit prostředí, jehož výkonnostní profil je nepřirozeně uniformní. Paradoxně je právě „čistota“ datacentrové VM tím signálem.

Artefakty hypervizoru. Virtualizace zanechává nízkoúrovňové stopy: příznaky vlastností CPU a zvláštnosti časování instrukcí, které se pod hypervizorem liší, specifické chování TSC (timestamp counter) a — kde je to pozorovatelné — hodnoty hardwarové souběžnosti a paměti, které se shlukují kolem konfigurací typických pro VM, nikoli pro spotřebitele. Zařízení, které hlásí velmi serverový počet jader a paměťový profil, přičemž tvrdí, že je spotřebitelský notebook, je nekoherentní.

Audio a další hardwarové fingerprinty. Fingerprint AudioContext závisí na audio subsystému; virtualizovaný nebo chybějící audio hardware produkuje výstup v pohyblivé řádové čárce, který se liší od reálného zvukového hardwaru. Sám o sobě je malý, užitečný v kombinaci.

Síťový kontext. Flotily emulátorů a VM často běží v datacentrech, takže síťová vrstva — datacentrové ASN, IP hostingového poskytovatele — potvrzuje signály endpointu. Signatura VM a zároveň datacentrová IP je mnohem silnější vzor než kterákoli z nich sama. (Sofistikovaní operátoři své VM zakrývají rezidenčními proxy, aby skryli síťovou stránku, což je přesně důvod, proč detekce VM na úrovni endpointu záleží nezávisle — přežije proxy.)

Jak se prozrazují mobilní emulátory

Mobilní emulátory se prozrazují stejným principem aplikovaným na telefony: musí syntetizovat konkrétní charakteristiky hardwaru, senzorů a vykreslování fyzického zařízení, a tato syntéza je neúplná. Aplikace pro Android nebo iOS běžící v emulátoru na desktopovém hardwaru není telefon, a tucet signálů to potvrzuje.

Řetězce hardwarové identity. Emulátory nesou charakteristické hodnoty modelu zařízení, build fingerprintu a názvu hardwaru. Android emulátory historicky hlásí „generic“, „goldfish“, „ranchu“, „sdkgphone“ a podobné identifikátory buildu spolu s názvy modelů typickými pro emulátory. I když jsou tyto hodnoty upravené tak, aby napodobovaly reálné zařízení, _kombinace modelu, desky, CPU ABI a build fingerprintu často neodpovídá žádnému reálnému zařízení, které se kdy prodávalo — proklamovaný vlajkový telefon s x86 ABI (reálné telefony jsou ARM) je prozrazením.

Chybějící nebo falešné senzory. Reálné telefony mají akcelerometry, gyroskopy, magnetometry, senzory okolního světla a barometry, a — což je klíčové — tyto senzory produkují nepřetržitá, korelovaná, zašuměná data podle toho, jak je zařízení drženo a pohybováno s ním. Emulátory buď tyto senzory postrádají, hlásí statické hodnoty, nebo přehrávají syntetické vzory, které nemají přirozený rozptyl a mezisenzorovou korelaci zařízení drženého lidskou rukou. „Telefon“, jehož akcelerometr ukazuje dokonalou konstantu, nebo jehož gyroskop a akcelerometr se nepohybují společně tak, jak vyžaduje fyzika, je emulovaný.

Rozdíly ve vykreslování a GPU. Stejně jako na desktopu se signatura vykreslování mobilního GPU liší mezi mobilním GPU fyzického telefonu (Adreno, Mali, Apple GPU) a emulovaným nebo softwarově vykreslovaným. Hustota obrazovky, rozlišení a artefakty vykreslování, které by měly odpovídat konkrétnímu proklamovanému modelu telefonu, často neodpovídají.

Profil časování a výkonu. Aplikace telefonu běžící na hardwaru serverové třídy v emulátoru se chová jinak než stejná aplikace na skutečném SoC telefonu — často rychleji a hladčeji, než by reálné zařízení bylo, což je další případ projevu „příliš čistého“.

Mobilní případ je tam, kde se data ze senzorů stávají rozhodujícími, protože je opravdu těžké je dobře zfalšovat. Reprodukovat nepřetržitý, fyzikálně koherentní výstup pohybových senzorů reálného telefonu — akcelerometr a gyroskop shodující se na tomtéž pohybu, s realistickým mikrojitterem lidské ruky — je mnohem více práce než upravit řetězec s názvem modelu, a většina emulačních nastavení to přesvědčivě neudělá.

Proč žádný signál sám o sobě nestačí

Žádný signál sám o sobě spolehlivě nedetekuje virtualizaci, protože kterýkoli jeden signál může zfalšovat operátor, který o něm ví — a proto robustní detekce závisí na koherenci napříč signály, nikoli na jakékoli jednotlivé kontrole. Je to tentýž princip, kterým se řídí detekce anti-detect prohlížečů: jednotlivé projevy jsou záplatovatelné; koherence napříč všemi nikoli.

Odhodlaný operátor:

• Zfalšuje WebGL vendor/renderer řetězce tak, aby pojmenovaly reálné GPU.
• Záplatuje Android build fingerprint a model tak, aby odpovídaly reálnému telefonu.
• Vloží syntetické hodnoty senzorů, aby zfalšoval data o pohybu.
• Zakryje VM rezidenčním proxy, aby vyčistil síťový signál.

Kterýkoli z těchto kroků porazí detektor, který spoléhá na ten jeden signál. Systém, který kontroluje pouze WebGL renderer řetězec, porazí úprava řetězce. Systém, který kontroluje pouze build fingerprinty, porazí záplata.

Co je těžké, je udělat to všechno koherentně najednou. Operátor, který zfalšuje WebGL řetězec, aby tvrdil, že jde o GPU Adreno, stále produkuje výstup vykreslování canvasu, který neodpovídá reálnému Adrenu. Ten, kdo zfalšuje název modelu, stále hlásí x86 ABI, nebo počet jader, který žádný takový telefon nemá, nebo data ze senzorů bez realistické mezisenzorové korelace, nebo časování příliš čisté na SoC, který proklamuje. Každé falšování, které přidá, je další plochou, jež musí zůstat konzistentní se všemi ostatními, a omezení se násobí.

To je princip environmentální koherence: detekce není „vypadá tato jedna hodnota virtualizovaně“, ale „popisují všechny tyto hodnoty jediné, reálné, fyzikálně možné zařízení“. Proklamovaný iPhone, jehož GPU vykresluje jako software, jehož senzory ukazují konstantu, jehož ABI je x86 a jehož časování je datacentrově hladké, není nekoherentní jedním způsobem — je nekoherentní čtyřmi, a smířit všechny čtyři současně je ta drahá část. Náklady na udržení plné koherence napříč každým signálem jsou tím, co drží detekci založenou na koherenci tam, kde jednosignálové kontroly selhávají. Širší závody ve zbrojení a jejich stav pokrývá stav bot provozu.

Jak na detekci virtualizace reagovat

Neblokujte virtualizaci reflexivně — vážte ji jako signál rizika v kontextu, protože legitimní virtualizace existuje a plošné blokování způsobuje false positives. Správná reakce závisí na tom, co jiného o provozu platí.

Existují reálné, legitimní důvody, proč by uživatel mohl být ve VM nebo emulátoru: vývojáři testující na emulátorech, bezpečnostní výzkumníci, uživatelé dbalí soukromí provozující prohlížeče ve VM, firemní infrastruktura virtuálních desktopů, nastavení pro přístupnost. Plošné blokování veškeré virtualizace tyto uživatele penalizuje. Virtualizace je signál rizika, nikoli verdikt.

Produktivní přístup s ní zachází jako s jedním vstupem do odstupňovaného rozhodnutí:

• Samotná virtualizace, jinak normální kontext: nízké až střední riziko. Jeden vývojář na emulátoru není podvod. Poznamenejte si to, neblokujte.
• Virtualizace + datacentrová síť + čerstvý účet + vysoká velocita: vysoké riziko. To je signatura device farmy — emulovaný endpoint na hostingové infrastruktuře, rychle zakládající účty. Signály se navzájem potvrzují v sebejistý verdikt.
• Virtualizace + porušení koherence (zfalšované řetězce, které neodpovídají vykreslování, nemožné hardwarové kombinace): vysoké riziko. Virtualizace plus aktivní pokusy ji skrýt jsou samy o sobě nejsilnějším signálem — legitimní uživatelé VM nezáplatují své build fingerprinty, aby se vydávali za vlajkové telefony.
• Korelace flotily: když mnoho „odlišných“ zařízení sdílí prozrazující signaturu virtualizace a chová se koordinovaně, detekce flotily je sesype na jejich skutečný původ, což je rozhodující bez ohledu na vzhled kteréhokoli jednotlivého účtu.

Vzor je konzistentní s detekcí headless prohlížečů a bot detection obecně: jednotlivý signál informuje skóre, kombinace signálů produkuje verdikt a reakce je odstupňovaná — povolit, vyzvat výzvou, nebo blokovat — spíše než tupé blokování virtualizace jako takové. Detekce emulátorů a VM je nejcennější nikoli jako samostatná brána, ale jako silně vážený signál, který v kombinaci se síťovým a behaviorálním kontextem odhaluje infrastrukturu za objemovými podvody.

Tracio detekuje virtualizaci jako součást svého device intelligence napříč 130+ signály — signatury GPU a vykreslování, kontroly časování a hardwarové koherence, analýza mobilních senzorů a identity buildu — v kombinaci se síťovým kontextem IP intelligence a kontrolami koherence napříč signály, které zachytí pokusy o falšování, jež jednosignálové detektory míjejí. Běží přes vrstvu bot detection a vrací verdikt s připojenými podkladovými signály za méně než 50 ms.

Chcete vidět, jak si detekce virtualizace vede proti provozu z device farem a emulátorů ve vaší vlastní nálevce?

Spusťte bezplatnou zkušební verzi — 2 500 ověření zdarma, bez platební karty. Rezervujte si demo a projděte si detekci emulátorů a VM proti vašemu konkrétnímu modelu hrozeb.