Mendeteksi emulator dan virtual machine dalam trafik web

Sebagian besar fraud yang berjalan dalam skala besar berjalan di atas infrastruktur tervirtualisasi, karena alternatifnya — satu ruangan penuh ponsel dan laptop fisik — tidak dapat diskalakan dan tidak dapat disembunyikan. Sebuah emulator atau virtual machine memungkinkan satu operator memunculkan ribuan perangkat yang tampak berbeda-beda sesuai permintaan, masing-masing terlihat seperti endpoint konsumen yang baru. Mendeteksi virtualisasi itu adalah salah satu hal berdaya ungkit tinggi yang dilakukan lapisan device intelligence, karena ia mengidentifikasi infrastruktur dari penyalahgunaan skala besar alih-alih mengejar aksi fraud individual satu per satu.

Tulisan ini membahas bagaimana emulator dan VM menunjukkan dirinya dalam trafik web dan aplikasi: sinyal hardware, timing, dan koherensi yang sulit direproduksi oleh lingkungan tervirtualisasi, mengapa tak ada satu sinyal pun yang cukup, dan bagaimana bertindak atas deteksi itu tanpa merusak virtualisasi yang sah. Audiensnya adalah engineer dan tim fraud yang membangun atau mengevaluasi bot detection.

Mengapa emulator dan VM penting bagi fraud

Emulator dan virtual machine penting karena keduanya adalah substrat yang hemat biaya untuk fraud bervolume tinggi — keduanya mengubah satu mesin menjadi armada perangkat yang tampak bersih, yang persis dibutuhkan oleh ekonomi kebanyakan fraud.

Masalah yang berulang dalam fraud adalah skala. Satu akun palsu atau satu transaksi fraud jarang menguntungkan; uangnya ada pada melakukannya ribuan kali. Melakukannya ribuan kali membutuhkan ribuan identitas perangkat, karena platform makin sering menautkan penyalahgunaan berdasarkan perangkat (lihat cara kerja device fingerprinting). Hardware fisik adalah cara jujur untuk mendapatkan banyak identitas perangkat, dan itu terlalu mahal serta lambat. Virtualisasi adalah cara murahnya.

Secara konkret, virtualisasi menopang:

Device farm. Rak-rak perangkat mobile teremulasi atau instance headless browser, diorkestrasi untuk membuat akun, mengeklaim promo, memasang ulasan palsu, atau menjalankan credential stuffing dan penyalahgunaan pembuatan akun dalam volume besar. Setiap instance teremulasi tampil sebagai ponsel atau laptop terpisah.

Emulasi aplikasi mobile. Menjalankan aplikasi Android atau iOS di emulator pada hardware desktop atau server untuk mengotomatiskan alur berbasis aplikasi yang seharusnya membutuhkan ponsel asli — pendaftaran mobile, promo yang dibatasi aplikasi, fraud di dalam aplikasi.

Cloud browser dan browser-as-a-service. Browser penuh yang berjalan di VM cloud, diotomatiskan untuk scraping, ad fraud, dan penyalahgunaan akun. Ini lebih canggih dari bot kasar karena me-render halaman sepenuhnya dan mengeksekusi JavaScript.

Benang merahnya: satu mesin fisik, banyak identitas virtual. Jika Anda bisa mendeteksi virtualisasinya, Anda meruntuhkan armada itu kembali ke ukuran sebenarnya — dan "seribu pengguna" yang sebenarnya adalah satu host teremulasi merupakan keputusan risiko yang sangat berbeda dari seribu perangkat asli. Inilah sebabnya deteksi virtualisasi adalah pengganda kekuatan: ia menyerang struktur biaya yang membuat fraud bervolume tinggi menjadi layak.

Apa yang membongkar sebuah virtual machine

Sebuah virtual machine membongkar dirinya sendiri lewat sinyal-sinyal fisik yang harus ia sintesis alih-alih miliki — GPU, perilaku timing, sensor, dan artefak tingkat rendah dari hypervisor tempatnya berjalan. Hardware konsumen asli menghasilkan sinyal-sinyal ini sebagai efek samping dari keasliannya; sebuah VM harus memalsukannya, dan memalsukan semuanya secara koheren itu sulit.

Tanda GPU tervirtualisasi. Ini salah satu petunjuk terkuat. Rendering grafis bergantung pada GPU sebenarnya, drivernya, dan perilaku floating-point-nya. VM umumnya memakai grafis tervirtualisasi atau di-render secara software — SwiftShader, llvmpipe, GPU virtual VMware/VirtualBox/QEMU, atau GPU yang di-passthrough tetapi tetap melaporkan string yang membongkar. String renderer dan vendor WebGL kerap menyebut virtualisasi secara langsung ("SwiftShader," "llvmpipe," "VMware SVGA," "Google SwiftShader"), dan bahkan ketika string tersebut dipalsukan, output rendering canvas dan WebGL itu sendiri berbeda dari GPU fisik dengan cara-cara halus yang sukar dipalsukan. GPU asli me-render adegan kompleks dengan artefak khas driver tertentu; rendering software menghasilkan tanda yang berbeda.

Timing yang terlalu bersih. Hardware asli itu berisik. Kompilasi JIT, garbage collection, thermal throttling, interrupt OS, dan efek hierarki memori memasukkan jitter berkelanjutan ke dalam pengukuran timing. Lingkungan tervirtualisasi — terutama yang di-hosting di cloud pada infrastruktur berkualitas tinggi — sering berjalan terlalu mulus, dengan variansi timing lebih rendah dari yang ditunjukkan perangkat konsumen fisik. Timing beresolusi tinggi atas pola komputasi tertentu bisa membongkar lingkungan yang profil kinerjanya secara tidak wajar seragam. Ironisnya, "kebersihan" VM datacenter itu sendiri adalah sinyalnya.

Artefak hypervisor. Virtualisasi meninggalkan jejak tingkat rendah: flag fitur CPU dan keanehan timing instruksi yang berbeda di bawah hypervisor, perilaku TSC (timestamp counter) tertentu, dan — di mana dapat diamati — nilai hardware-concurrency dan memori yang mengelompok di sekitar konfigurasi khas VM alih-alih khas konsumen. Sebuah perangkat yang melaporkan jumlah core dan profil memori yang sangat mirip server sambil mengaku sebagai laptop konsumen adalah tidak koheren.

Sidik jari audio dan hardware lain. Sidik jari AudioContext bergantung pada subsistem audio; hardware audio yang tervirtualisasi atau tak ada menghasilkan output floating-point yang berbeda dari hardware suara asli. Kecil kalau berdiri sendiri, berguna dalam kombinasi.

Konteks jaringan. Armada emulator dan VM kerap berjalan di data center, jadi lapisan jaringan — ASN data center, IP penyedia hosting — mengukuhkan sinyal endpoint. Tanda VM dan IP data center adalah pola yang jauh lebih kuat dari keduanya secara terpisah. (Operator canggih menyamarkan VM mereka di balik proxy residensial untuk menyembunyikan sisi jaringan, dan itulah persisnya mengapa deteksi VM di tingkat endpoint penting secara independen — ia bertahan melewati proxy.)

Bagaimana emulator mobile menunjukkan dirinya

Emulator mobile menunjukkan dirinya lewat prinsip yang sama diterapkan pada ponsel: mereka harus mensintesis karakteristik hardware, sensor, dan rendering spesifik dari perangkat fisik, dan sintesis itu tidak lengkap. Aplikasi Android atau iOS yang berjalan di emulator pada hardware desktop bukanlah ponsel, dan selusin sinyal mengatakannya.

String identitas hardware. Emulator membawa nilai model-perangkat, build-fingerprint, dan nama-hardware yang khas. Emulator Android secara historis melaporkan "generic," "goldfish," "ranchu," "sdkgphone," dan identifier build serupa, bersama nama model yang khas emulator. Bahkan ketika ini di-patch untuk meniru perangkat asli, _kombinasi model, board, CPU ABI, dan build fingerprint sering tidak cocok dengan perangkat asli mana pun yang pernah dirilis — sebuah ponsel flagship yang diklaim dengan ABI x86 (ponsel asli itu ARM) adalah pertanda jelas.

Sensor yang hilang atau palsu. Ponsel asli punya akselerometer, giroskop, magnetometer, sensor cahaya sekitar, dan barometer, dan — yang krusial — sensor-sensor itu menghasilkan data yang berkelanjutan, terkorelasi, dan berisik saat perangkat dipegang dan digerakkan. Emulator entah tak punya sensor ini, melaporkan nilai statis, atau memutar ulang pola sintetis yang tak memiliki variansi alami dan korelasi lintas-sensor dari perangkat yang dipegang tangan manusia. Sebuah "ponsel" yang akselerometernya menunjukkan konstanta sempurna, atau yang giroskop dan akselerometernya tak bergerak bersama sebagaimana dituntut fisika, adalah teremulasi.

Perbedaan rendering dan GPU. Sama seperti di desktop, tanda rendering GPU mobile berbeda antara GPU mobile ponsel fisik (Adreno, Mali, Apple GPU) dan yang teremulasi atau di-render software. Kepadatan layar, resolusi, dan artefak rendering yang seharusnya cocok dengan model ponsel tertentu yang diklaim sering tidak cocok.

Profil timing dan kinerja. Aplikasi ponsel yang berjalan pada hardware kelas server di emulator berkinerja berbeda dari aplikasi yang sama pada SoC ponsel sebenarnya — sering lebih cepat dan lebih mulus dari yang mampu dilakukan perangkat asli, contoh lain dari petunjuk "terlalu bersih".

Kasus mobile adalah tempat data sensor menjadi menentukan, karena benar-benar sulit dipalsukan dengan baik. Mereproduksi output berkelanjutan dan koheren secara fisik dari sensor gerak ponsel asli — akselerometer dan giroskop yang sepakat tentang gerakan yang sama, dengan mikro-jitter tangan manusia yang realistis — jauh lebih banyak pekerjaannya dibanding mengedit string nama-model, dan kebanyakan setup emulasi tak melakukannya secara meyakinkan.

Mengapa tak ada satu sinyal pun yang cukup

Tak ada satu sinyal pun yang secara andal mendeteksi virtualisasi, karena sinyal apa pun bisa dipalsukan oleh operator yang mengetahuinya — itulah sebabnya deteksi yang tangguh bergantung pada koherensi lintas-sinyal alih-alih pemeriksaan individual mana pun. Ini prinsip yang sama yang mengatur deteksi anti-detect browser: petunjuk individual bisa ditambal; koherensi di seluruhnya tidak bisa.

Operator yang gigih akan:

• Memalsukan string vendor/renderer WebGL agar menyebut GPU asli.
• Menambal build fingerprint dan model Android agar cocok dengan ponsel asli.
• Menyuntikkan nilai sensor sintetis untuk memalsukan data gerak.
• Menyamarkan VM di balik proxy residensial untuk membersihkan sinyal jaringan.

Salah satu dari ini mengalahkan detektor yang bergantung pada satu sinyal tersebut. Sistem yang hanya memeriksa string renderer WebGL dikalahkan oleh pengeditan string. Sistem yang hanya memeriksa build fingerprint dikalahkan oleh sebuah patch.

Yang sulit adalah melakukan semuanya secara koheren sekaligus. Operator yang memalsukan string WebGL untuk mengaku sebagai GPU Adreno tetap menghasilkan output rendering canvas yang tak cocok dengan Adreno asli. Yang memalsukan nama model tetap melaporkan ABI x86, atau jumlah core yang tak dimiliki ponsel mana pun, atau data sensor tanpa korelasi lintas-sensor yang realistis, atau timing yang terlalu bersih untuk SoC yang mereka klaim. Setiap pemalsuan yang mereka tambahkan adalah permukaan lain yang harus tetap konsisten dengan semua yang lain, dan kendalanya berlipat ganda.

Ini adalah prinsip koherensi-lingkungan: deteksinya bukan "apakah satu nilai ini tampak tervirtualisasi," melainkan "apakah semua nilai ini menggambarkan satu perangkat tunggal, asli, dan mungkin secara fisik." Sebuah iPhone yang diklaim yang GPU-nya me-render seperti software, sensornya menunjukkan konstan, ABI-nya x86, dan timing-nya semulus datacenter tidaklah tidak koheren dalam satu cara — ia tidak koheren dalam empat cara, dan mendamaikan keempatnya secara serentak adalah bagian yang mahal. Biaya memelihara koherensi penuh di setiap sinyal itulah yang membuat deteksi berbasis-koherensi bertahan di tempat pemeriksaan sinyal-tunggal gagal. Perlombaan senjata yang lebih luas dan posisinya saat ini dibahas dalam kondisi trafik bot.

Bagaimana bertindak atas deteksi virtualisasi

Jangan secara refleks memblokir virtualisasi — timbanglah ia sebagai sinyal risiko dalam konteks, karena virtualisasi yang sah itu ada dan pemblokiran menyeluruh menyebabkan false positive. Respons yang tepat bergantung pada apa lagi yang benar tentang trafik itu.

Ada alasan yang nyata dan sah mengapa seorang pengguna mungkin berada di VM atau emulator: developer yang menguji di emulator, peneliti keamanan, pengguna yang sadar privasi menjalankan browser di VM, infrastruktur virtual-desktop korporat, setup aksesibilitas. Memblokir semua virtualisasi secara langsung menghukum para pengguna ini. Virtualisasi adalah sinyal risiko, bukan vonis.

Pendekatan yang produktif memperlakukannya sebagai satu masukan ke dalam keputusan bertingkat:

• Virtualisasi saja, konteks selebihnya normal: risiko rendah-hingga-sedang. Satu developer di emulator bukanlah fraud. Catat, jangan blokir.
• Virtualisasi + jaringan data center + akun baru + velositas tinggi: risiko tinggi. Ini tanda device farm — sebuah endpoint teremulasi, di atas infrastruktur hosting, membuat akun dengan cepat. Sinyal-sinyalnya saling mengukuhkan menjadi vonis yang meyakinkan.
• Virtualisasi + pelanggaran koherensi (string palsu yang tak cocok dengan rendering, kombinasi hardware yang mustahil): risiko tinggi. Virtualisasi ditambah upaya aktif untuk menyembunyikannya itu sendiri adalah sinyal terkuat — pengguna VM yang sah tak menambal build fingerprint mereka untuk menyamar sebagai ponsel flagship.
• Korelasi armada: ketika banyak perangkat "berbeda" berbagi tanda virtualisasi yang membongkar dan berperilaku secara terkoordinasi, deteksi armada meruntuhkannya kembali ke asal sebenarnya, yang menentukan terlepas dari tampilan akun tunggal mana pun.

Polanya konsisten dengan deteksi headless browser dan bot detection secara umum: sinyal individual menginformasikan skor, kombinasi sinyal menghasilkan vonis, dan responsnya bertingkat — izinkan, tantang, atau blokir — alih-alih pemblokiran tumpul atas virtualisasi begitu saja. Deteksi emulator dan VM paling bernilai bukan sebagai gerbang mandiri, melainkan sebagai sinyal berbobot berat yang, dipadukan dengan konteks jaringan dan perilaku, menyingkap infrastruktur di balik fraud bervolume tinggi.

Tracio mendeteksi virtualisasi sebagai bagian dari device intelligence-nya di seluruh 130+ sinyal — tanda GPU dan rendering, pemeriksaan timing dan koherensi-hardware, analisis sensor mobile dan identitas-build — dipadukan dengan konteks jaringan IP intelligence dan pemeriksaan koherensi lintas-sinyal yang menangkap upaya pemalsuan yang terlewat oleh detektor sinyal-tunggal. Ia berjalan melalui lapisan bot detection dan mengembalikan vonis, dengan sinyal-sinyal dasarnya terlampir, dalam waktu kurang dari 50ms.

Ingin melihat bagaimana deteksi virtualisasi bekerja terhadap trafik device farm dan emulator di funnel Anda sendiri?

Mulai uji coba gratis Anda — 2.500 verifikasi gratis, tanpa perlu kartu kredit. Pesan demo untuk menelusuri deteksi emulator dan VM terhadap model ancaman spesifik Anda.