Cách phát hiện anti-detect browser (Multilogin, GoLogin, Dolphin Anty)

Anti-detect browser là công cụ né tránh tinh vi nhất trong kho vũ khí của kẻ gian lận. Khác với VPN hay chuỗi proxy chỉ che giấu địa chỉ IP, anti-detect browser tạo ra hoàn toàn các định danh thiết bị mới — giả mạo canvas, WebGL, font, audio và hàng chục tín hiệu browser fingerprinting khác.

Anti-detect browser là gì?

Anti-detect browser là bản Chromium (hoặc Firefox) đã chỉnh sửa, được thiết kế để mỗi profile trình duyệt trông như một thiết bị hoàn toàn khác. Chúng được dùng để quản lý nhiều tài khoản trên các nền tảng áp dụng chính sách một-tài-khoản-một-người, để gian lận quảng cáo trên nhiều tài khoản quảng cáo, để gian lận affiliate marketing, và để web scraping ở quy mô lớn.

Ba tên tuổi thống trị thị trường này là Multilogin, GoLogin và Dolphin Anty.

Multilogin hoạt động như thế nào

Multilogin là lựa chọn cấp doanh nghiệp. Nó đi kèm hai engine trình duyệt tùy chỉnh: Mimic (dựa trên Chromium) và Stealthfox (dựa trên Firefox). Mỗi profile nhận một tổ hợp riêng gồm nhiễu canvas, tham số WebGL, danh sách font, độ phân giải màn hình, múi giờ, ngôn ngữ và cấu hình WebRTC.

Điểm cải tiến then chốt của Multilogin là chèn nhiễu tất định. Thay vì thêm nhiễu ngẫu nhiên vào việc render canvas (bản thân điều này lại là một mẫu hình có thể phát hiện), Multilogin áp dụng một phép biến đổi nhất quán cho mỗi profile. Cùng một profile luôn tạo ra cùng một canvas hash, khiến nó trông như một thiết bị thật với các hệ thống fingerprinting đơn giản.

GoLogin hoạt động như thế nào

GoLogin nhắm vào phân khúc tầm trung với trình duyệt Orbita. Nó có giá phải chăng hơn Multilogin và cung cấp khả năng giả mạo tương tự: canvas, WebGL, font, múi giờ, định vị địa lý và tích hợp proxy.

Cách GoLogin giả mạo fingerprint kém tinh vi hơn Multilogin. Nhiễu canvas thường đồng đều hơn giữa các profile, và một số tổ hợp tham số WebGL không khớp với bất kỳ phần cứng thật nào. Điều này tạo ra cơ hội để phát hiện.

Dolphin Anty hoạt động như thế nào

Dolphin Anty thống trị mảng affiliate marketing. Nó cung cấp các tính năng cộng tác nhóm — profile có thể được chia sẻ giữa các thành viên, điều này hữu ích cho các agency quản lý hàng trăm tài khoản quảng cáo.

Các kỹ thuật phát hiện

Phân tích tính bất nhất của canvas

Anti-detect browser giả mạo đầu ra canvas, nhưng chính việc giả mạo lại tự bộc lộ qua phân tích thống kê. GPU thật tạo ra đầu ra canvas với các mẫu hình render dưới điểm ảnh nhất quán, tương quan với model GPU được khai báo qua WebGL. Anti-detect browser chèn nhiễu vào đầu ra canvas, nhưng mẫu nhiễu không khớp với những gì bất kỳ GPU thật nào tạo ra.

Chúng tôi tính entropy Shannon của các vùng lân cận điểm ảnh và so sánh với các hồ sơ render GPU đã biết. Một NVIDIA GeForce RTX 3060 thật tạo ra đầu ra canvas với một chữ ký entropy cụ thể. Trình duyệt Mimic của Multilogin tạo ra đầu ra canvas với entropy cao hơn một chút do việc chèn nhiễu. Chênh lệch này nhỏ — dưới 0,3 bit cho mỗi vùng lân cận điểm ảnh — nhưng nó nhất quán và đo được.

Sai lệch tham số WebGL

WebGL để lộ thông tin chi tiết về GPU: chuỗi vendor, chuỗi renderer, các extension được hỗ trợ, kích thước texture tối đa và các định dạng độ chính xác. Anti-detect browser cho phép người dùng chọn profile GPU, nhưng các tổ hợp không phải lúc nào cũng hợp lý. Một profile tự nhận là Intel UHD 630 nhưng lại báo cáo giá trị kích thước texture tối đa mà chỉ GPU AMD hỗ trợ là điều đáng ngờ. Chúng tôi duy trì một cơ sở dữ liệu về các tổ hợp tham số hợp lệ cho mọi GPU lớn ra mắt trong thập kỷ qua.

Tính bất nhất của thuộc tính navigator

Đối tượng navigator báo cáo các thuộc tính lẽ ra phải nhất quán với nhau về mặt nội tại. hardwareConcurrency (số nhân CPU), deviceMemory, platform và userAgent đều phải kể một câu chuyện mạch lạc về thiết bị. Anti-detect browser đôi khi tạo ra các tổ hợp bất khả thi: một user agent Windows với platform Linux, hoặc 32GB bộ nhớ với 2 nhân CPU. Chúng tôi kiểm tra 47 quy tắc nhất quán chéo giữa các thuộc tính.

Bất thường trong render font

Việc render font được quyết định bởi hệ điều hành, engine render font và các font sẵn có. Anti-detect browser có thể chèn danh sách font tùy chỉnh, nhưng chúng không thể mô phỏng hoàn hảo cách một hệ điều hành khác render các font đó. Chúng tôi render các glyph cụ thể và phân tích kích thước bounding box, advance width và các cặp kerning. Một máy Windows render văn bản tạo ra các chỉ số khác biệt tinh tế so với máy Mac, ngay cả với cùng một font.

Phân tích thời gian

Việc giả mạo fingerprint tốn thời gian. Mỗi lời gọi API bị giả mạo thêm một chi phí nhỏ nhưng đo được so với thực thi native. Chúng tôi đo thời gian thực thi của 12 lời gọi API then chốt và so sánh với khoảng kỳ vọng cho phần cứng được khai báo. Trên thiết bị thật, canvas.toDataURL() mất 2-8ms. Với việc chèn nhiễu, nó mất 8-20ms.

Artifact của framework tự động hóa

Nhiều anti-detect browser để lại dấu vết của hạ tầng tự động hóa. Các bản Chromium tùy chỉnh có thể để lộ các thuộc tính phi tiêu chuẩn trên đối tượng navigator hoặc window. Chúng tôi kiểm tra hơn 200 artifact tự động hóa đã biết, bao gồm dấu vết CDP, các thuộc tính đặc trưng của Puppeteer, và các thuộc tính tùy chỉnh do trình duyệt Orbita của GoLogin chèn vào.

Lợi thế đa hình

Logic phát hiện trong JavaScript tĩnh dễ bị reverse-engineer. Script đa hình của tracio.ai giải quyết điều này. Mỗi khách truy cập nhận một JavaScript riêng — cùng các bước kiểm tra, nhưng với tên biến khác nhau, thứ tự thực thi khác nhau, cấu trúc mã khác nhau. Một nhà cung cấp anti-detect sẽ phải reverse-engineer từng biến thể, điều không khả thi về mặt kinh tế.

Ví dụ phản hồi API

Khi tracio.ai phát hiện một anti-detect browser, phản hồi API bao gồm các tín hiệu cụ thể:

Tín hiệu antiDetectBrowser bao gồm họ được phát hiện (Multilogin, GoLogin hoặc Dolphin Anty), biến thể engine cụ thể, và các chỉ báo kích hoạt việc phát hiện — chẳng hạn canvas_entropy_anomaly, webgl_param_mismatch và timing_deviation.

Khuyến nghị

Nếu multi-accounting hoặc gian lận affiliate là vấn đề với nền tảng của bạn:

1. Triển khai device fingerprinting khi đăng ký, đăng nhập và các sự kiện chuyển đổi then chốt
2. Bật tính năng phát hiện anti-detect browser
3. Dùng Verdict Engine để tự động hóa các quyết định BLOCK và CHALLENGE
4. Theo dõi các kỹ thuật né tránh mới — bối cảnh anti-detect thay đổi hằng tháng

Bắt đầu với gói miễn phí của tracio.ai

để xem lưu lượng anti-detect browser hiện tại của bạn trông như thế nào. Hầu hết các nền tảng đều bất ngờ trước khối lượng đó.