Бот для credential stuffing

Credential stuffing эксплуатирует тот факт, что люди переиспользуют пароли между сайтами. Атакующие добывают комболисты имён пользователей и паролей, утёкших из не связанных между собой утечек, а затем используют бота, чтобы отправить каждую пару в форму входа цели. Каждый успешный вход — это аккаунт, который атакующий теперь может контролировать, монетизировать или перепродать.

Чтобы преуспеть в объёме, бот должен уклоняться от ограничения частоты и обнаружения. Он распределяет попытки по многим IP-адресам, используя пулы прокси, размеряет запросы, чтобы не срабатывать по порогам, и часто управляет headless-браузерами, чтобы мочь выполнять JavaScript и испытания, которые предъявляет современная страница входа. Когда появляются испытания, операция может направить их в CAPTCHA-ферму.

Экономика перекошена в пользу атакующего. Даже низкая доля успеха прибыльна, потому что входные учётные данные дёшевы, а процесс полностью автоматизирован, так что миллионы попыток могут дать стоящее число валидных входов. Именно поэтому сырой объём попыток, а не смекалка на одну попытку, определяет угрозу.

Защиты стремятся сломать объём, а не судить каждую попытку изолированно. Проверки скорости ловят всплески против многих аккаунтов, сетевая аналитика помечает подозрительные происхождения, а идентификация устройства связывает попытки, которые ротируют свои поверхностные маски. Распознавание самой автоматизации — вот что мешает боту попросту размазать свои попытки достаточно тонко, чтобы проскользнуть мимо лимитов на аккаунт.