Phát hiện emulator và máy ảo trong lưu lượng web

Phần lớn gian lận vận hành ở quy mô lớn đều chạy trên hạ tầng ảo hóa, bởi giải pháp thay thế — một căn phòng đầy điện thoại và laptop vật lý — không mở rộng được và không ẩn mình được. Một emulator hay máy ảo cho phép một kẻ vận hành khởi tạo hàng nghìn thiết bị trông có vẻ khác biệt theo yêu cầu, mỗi cái trông như một endpoint tiêu dùng mới toanh. Phát hiện sự ảo hóa đó là một trong những việc có đòn bẩy cao nhất mà một lớp device intelligence làm được, vì nó nhận diện hạ tầng của lạm dụng quy mô lớn thay vì đuổi theo từng hành vi gian lận riêng lẻ một.

Bài viết này bàn về cách emulator và VM tự lộ diện trong lưu lượng web và ứng dụng: các tín hiệu phần cứng, thời gian và tính nhất quán mà môi trường ảo hóa chật vật tái tạo, vì sao không tín hiệu đơn lẻ nào là đủ, và cách hành động dựa trên phát hiện mà không làm hỏng ảo hóa hợp pháp. Đối tượng đọc là các kỹ sư và đội chống gian lận đang xây dựng hoặc đánh giá bot detection.

Vì sao emulator và VM quan trọng với gian lận

Emulator và máy ảo quan trọng vì chúng là nền tảng tiết kiệm chi phí cho gian lận số lượng lớn — chúng biến một máy đơn lẻ thành một đội thiết bị trông sạch sẽ, đúng thứ mà kinh tế học của phần lớn gian lận đòi hỏi.

Vấn đề lặp đi lặp lại trong gian lận là quy mô. Một tài khoản giả đơn lẻ hay một giao dịch gian lận đơn lẻ hiếm khi có lời; tiền nằm ở chỗ làm điều đó hàng nghìn lần. Làm điều đó hàng nghìn lần cần hàng nghìn danh tính thiết bị, vì các nền tảng ngày càng liên kết lạm dụng theo thiết bị (xem cách device fingerprinting hoạt động). Phần cứng vật lý là cách trung thực để có nhiều danh tính thiết bị và nó đắt đỏ đến mức không kham nổi và chậm chạp. Ảo hóa là cách rẻ.

Cụ thể, ảo hóa làm nền tảng cho:

Device farm. Các dàn thiết bị di động giả lập hoặc phiên trình duyệt headless, được điều phối để tạo tài khoản, giành khuyến mãi, đăng đánh giá giả, hay chạy credential stuffing và lạm dụng tạo tài khoản ở quy mô lớn. Mỗi phiên giả lập xuất hiện như một điện thoại hay laptop riêng biệt.

Giả lập ứng dụng di động. Chạy ứng dụng Android hoặc iOS trong emulator trên phần cứng desktop hoặc server để tự động hóa các luồng dựa trên ứng dụng vốn được cho là cần điện thoại thật — đăng ký di động, khuyến mãi khóa theo ứng dụng, gian lận trong ứng dụng.

Cloud browser và browser-as-a-service. Các trình duyệt đầy đủ chạy trong VM đám mây, được tự động hóa để scraping, gian lận quảng cáo và lạm dụng tài khoản. Chúng tinh vi hơn bot thô sơ vì kết xuất trang đầy đủ và thực thi JavaScript.

Mạch chung: một máy vật lý, nhiều danh tính ảo. Nếu bạn phát hiện được sự ảo hóa, bạn thu đội thiết bị đó về đúng kích thước thật của nó — và "một nghìn người dùng" thực chất là một máy chủ giả lập là một quyết định rủi ro rất khác so với một nghìn thiết bị thật. Đây là lý do phát hiện ảo hóa là bội số lực lượng: nó tấn công cấu trúc chi phí khiến gian lận số lượng lớn khả thi.

Điều gì làm lộ một máy ảo

Một máy ảo tự lộ diện qua các tín hiệu vật lý mà nó phải tổng hợp thay vì sở hữu — GPU, hành vi thời gian, cảm biến, và các dấu vết cấp thấp của hypervisor mà nó chạy trên đó. Phần cứng tiêu dùng thật tạo ra các tín hiệu này như một hệ quả phụ của việc là thật; một VM phải giả chúng, và giả tất cả một cách nhất quán là điều khó.

Chữ ký GPU ảo hóa. Đây là một trong những dấu hiệu mạnh nhất. Kết xuất đồ họa phụ thuộc vào GPU thực tế, driver của nó, và hành vi dấu phẩy động của nó. VM thường dùng đồ họa ảo hóa hoặc kết xuất bằng phần mềm — SwiftShader, llvmpipe, GPU ảo VMware/VirtualBox/QEMU, hoặc một GPU truyền thẳng vẫn báo cáo các chuỗi tố cáo. Chuỗi renderer và vendor của WebGL thường nêu tên trực tiếp sự ảo hóa ("SwiftShader," "llvmpipe," "VMware SVGA," "Google SwiftShader"), và ngay cả khi những chuỗi này bị giả mạo, bản thân đầu ra kết xuất canvas và WebGL vẫn khác với GPU vật lý theo những cách tinh vi, khó giả. Một GPU thật kết xuất một cảnh phức tạp với các dấu vết đặc trưng của driver; kết xuất bằng phần mềm tạo ra một chữ ký khác.

Thời gian quá sạch. Phần cứng thật thì nhiễu. Biên dịch JIT, garbage collection, thermal throttling, ngắt của OS, và hiệu ứng phân cấp bộ nhớ đưa jitter liên tục vào các phép đo thời gian. Môi trường ảo hóa — đặc biệt loại lưu trữ đám mây trên hạ tầng chất lượng cao — thường chạy quá mượt, với biến thiên thời gian thấp hơn mức thiết bị tiêu dùng vật lý thể hiện. Đo thời gian độ phân giải cao của các mẫu tính toán cụ thể có thể phơi bày một môi trường có hồ sơ hiệu năng đồng đều một cách bất thường. Nghịch lý là, chính "sự sạch sẽ" của một VM trung tâm dữ liệu lại là tín hiệu.

Dấu vết hypervisor. Ảo hóa để lại các dấu vết cấp thấp: các cờ tính năng CPU và các đặc điểm kỳ quặc trong thời gian lệnh khác đi dưới hypervisor, hành vi TSC (bộ đếm dấu thời gian) cụ thể, và — nơi quan sát được — các giá trị hardware-concurrency và bộ nhớ tụ lại quanh các cấu hình điển hình của VM thay vì điển hình của tiêu dùng. Một thiết bị báo cáo số nhân và hồ sơ bộ nhớ rất giống server trong khi tự nhận là laptop tiêu dùng là không nhất quán.

Vân tay âm thanh và phần cứng khác. Vân tay AudioContext phụ thuộc vào hệ thống con âm thanh; phần cứng âm thanh ảo hóa hoặc vắng mặt tạo ra đầu ra dấu phẩy động khác với phần cứng âm thanh thật. Nhỏ khi đứng riêng, hữu ích khi kết hợp.

Ngữ cảnh mạng. Các đội emulator và VM thường chạy trong trung tâm dữ liệu, nên lớp mạng — ASN trung tâm dữ liệu, IP nhà cung cấp hosting — chứng thực cho các tín hiệu endpoint. Một chữ ký VM và một IP trung tâm dữ liệu là một mẫu mạnh hơn nhiều so với từng thứ riêng lẻ. (Các kẻ vận hành tinh vi đặt residential proxy phía trước VM của mình để giấu phía mạng, đó chính là lý do phát hiện VM ở cấp endpoint quan trọng một cách độc lập — nó sống sót qua proxy.)

Cách emulator di động tự lộ diện

Emulator di động tự lộ diện qua cùng nguyên lý áp dụng cho điện thoại: chúng phải tổng hợp đặc điểm phần cứng, cảm biến và kết xuất cụ thể của một thiết bị vật lý, và sự tổng hợp đó không đầy đủ. Một ứng dụng Android hoặc iOS chạy trong emulator trên phần cứng desktop không phải là điện thoại, và cả tá tín hiệu nói lên điều đó.

Chuỗi danh tính phần cứng. Emulator mang các giá trị device-model, build-fingerprint và hardware-name đặc trưng. Các emulator Android trong lịch sử báo cáo "generic," "goldfish," "ranchu," "sdkgphone," và các định danh build tương tự, cùng với các tên model điển hình của emulator. Ngay cả khi những giá trị này được vá để bắt chước một thiết bị thật, _sự kết hợp của model, board, CPU ABI và build fingerprint thường không khớp với bất kỳ thiết bị thật nào đã xuất xưởng — một điện thoại đầu bảng được khai báo với ABI x86 (điện thoại thật là ARM) là một dấu hiệu tố cáo.

Cảm biến thiếu hoặc giả. Điện thoại thật có gia tốc kế, con quay hồi chuyển, từ kế, cảm biến ánh sáng môi trường và áp kế, và — quan trọng nhất — những cảm biến đó tạo ra dữ liệu liên tục, tương quan, nhiễu khi thiết bị được cầm và di chuyển. Emulator hoặc thiếu các cảm biến này, báo cáo giá trị tĩnh, hoặc phát lại các mẫu tổng hợp không có biến thiên tự nhiên và tương quan liên cảm biến của một thiết bị đang được bàn tay người cầm. Một "điện thoại" mà gia tốc kế đọc ra một hằng số hoàn hảo, hoặc con quay và gia tốc kế không di chuyển cùng nhau theo cách vật lý đòi hỏi, là được giả lập.

Khác biệt kết xuất và GPU. Cũng như trên desktop, chữ ký kết xuất GPU di động khác nhau giữa GPU di động của một điện thoại vật lý (Adreno, Mali, Apple GPU) và một GPU giả lập hoặc kết xuất bằng phần mềm. Mật độ màn hình, độ phân giải, và các dấu vết kết xuất lẽ ra phải khớp với một model điện thoại được khai báo cụ thể thường không khớp.

Hồ sơ thời gian và hiệu năng. Một ứng dụng điện thoại chạy trên phần cứng cấp server trong emulator hoạt động khác với cùng ứng dụng đó trên SoC của điện thoại thật — thường nhanh và mượt hơn mức thiết bị thật có thể, một trường hợp nữa của dấu hiệu "quá sạch."

Trường hợp di động là nơi dữ liệu cảm biến trở nên quyết định, vì nó thực sự khó giả tốt. Tái tạo đầu ra liên tục, nhất quán về mặt vật lý của các cảm biến chuyển động của điện thoại thật — gia tốc kế và con quay đồng thuận về cùng một chuyển động, với micro-jitter thực tế của bàn tay người — là công việc nhiều hơn hẳn so với sửa một chuỗi tên model, và phần lớn cấu hình giả lập không làm điều đó một cách thuyết phục.

Vì sao không tín hiệu đơn lẻ nào là đủ

Không tín hiệu đơn lẻ nào phát hiện ảo hóa một cách đáng tin cậy, vì bất kỳ tín hiệu nào cũng có thể bị giả mạo bởi một kẻ vận hành biết về nó — đó là lý do phát hiện vững chắc phụ thuộc vào tính nhất quán liên tín hiệu chứ không phải bất kỳ kiểm tra riêng lẻ nào. Đây cũng là nguyên lý chi phối phát hiện anti-detect browser: các dấu hiệu riêng lẻ có thể vá được; tính nhất quán trên tất cả chúng thì không.

Một kẻ vận hành quyết tâm sẽ:

• Giả mạo các chuỗi vendor/renderer của WebGL để nêu tên một GPU thật.
• Vá build fingerprint và model của Android để khớp với một điện thoại thật.
• Tiêm giá trị cảm biến tổng hợp để giả dữ liệu chuyển động.
• Đặt residential proxy phía trước VM để dọn sạch tín hiệu mạng.

Bất kỳ điều nào trong số này đánh bại một bộ phát hiện dựa vào một tín hiệu đó. Một hệ thống chỉ kiểm tra chuỗi renderer của WebGL bị đánh bại bởi một lần sửa chuỗi. Một hệ thống chỉ kiểm tra build fingerprint bị đánh bại bởi một bản vá.

Điều khó là làm tất cả một cách nhất quán cùng lúc. Kẻ vận hành giả mạo chuỗi WebGL để tuyên bố một GPU Adreno vẫn tạo ra đầu ra kết xuất canvas không khớp với một Adreno thật. Kẻ giả tên model vẫn báo cáo một ABI x86, hoặc một số nhân mà không điện thoại nào như vậy có, hoặc dữ liệu cảm biến không có tương quan liên cảm biến thực tế, hoặc thời gian quá sạch so với SoC mà họ tuyên bố. Mỗi lần giả mạo họ thêm vào là một bề mặt nữa phải giữ nhất quán với tất cả những cái còn lại, và các ràng buộc nhân lên.

Đây là nguyên lý nhất quán môi trường: việc phát hiện không phải "một giá trị này có trông ảo hóa không," mà là "tất cả các giá trị này có mô tả một thiết bị đơn lẻ, thật, khả thi về mặt vật lý không." Một chiếc iPhone được khai báo mà GPU kết xuất như phần mềm, cảm biến đọc ra hằng số, ABI là x86, và thời gian mượt như trung tâm dữ liệu thì không phải bất nhất theo một cách — nó bất nhất theo bốn cách, và dung hòa cả bốn cùng lúc là phần tốn kém. Chi phí duy trì tính nhất quán đầy đủ trên mọi tín hiệu là điều làm cho phát hiện dựa trên tính nhất quán trụ vững ở nơi các kiểm tra tín hiệu đơn lẻ thất bại. Cuộc chạy đua vũ trang rộng hơn và tình trạng hiện tại của nó được bàn trong tình hình lưu lượng bot.

Cách hành động dựa trên phát hiện ảo hóa

Đừng phản xạ chặn ảo hóa — hãy đánh trọng số nó như một tín hiệu rủi ro trong ngữ cảnh, vì ảo hóa hợp pháp có tồn tại và chặn toàn diện gây ra false positive. Phản ứng đúng phụ thuộc vào điều gì khác là đúng về lưu lượng đó.

Có những lý do thật, hợp pháp để một người dùng ở trong VM hoặc emulator: lập trình viên kiểm thử trên emulator, nhà nghiên cứu bảo mật, người dùng chú trọng quyền riêng tư chạy trình duyệt trong VM, hạ tầng desktop ảo doanh nghiệp, cấu hình trợ năng. Chặn toàn bộ ảo hóa ngay lập tức trừng phạt những người dùng này. Ảo hóa là một tín hiệu rủi ro, không phải một phán quyết.

Cách tiếp cận hiệu quả xem nó như một đầu vào cho một quyết định phân cấp:

• Chỉ ảo hóa, ngữ cảnh còn lại bình thường: rủi ro thấp đến trung bình. Một lập trình viên đơn lẻ trên emulator không phải gian lận. Ghi nhận nó, đừng chặn.
• Ảo hóa + mạng trung tâm dữ liệu + tài khoản mới + tốc độ cao: rủi ro cao. Đây là chữ ký device farm — một endpoint giả lập, trên hạ tầng hosting, tạo tài khoản nhanh chóng. Các tín hiệu chứng thực lẫn nhau thành một phán quyết tự tin.
• Ảo hóa + vi phạm tính nhất quán (chuỗi giả mạo không khớp kết xuất, tổ hợp phần cứng bất khả): rủi ro cao. Ảo hóa cộng với các nỗ lực chủ động che giấu nó tự thân đã là tín hiệu mạnh nhất — người dùng VM hợp pháp không vá build fingerprint để giả dạng điện thoại đầu bảng.
• Tương quan đội thiết bị: khi nhiều thiết bị "khác biệt" cùng chia sẻ chữ ký ảo hóa tố cáo và hành xử theo cách phối hợp, việc phát hiện đội thiết bị thu chúng về nguồn gốc thật của chúng, điều này mang tính quyết định bất kể diện mạo của bất kỳ tài khoản đơn lẻ nào.

Mẫu hình này nhất quán với phát hiện trình duyệt headless và bot detection nói chung: tín hiệu riêng lẻ đưa thông tin vào điểm số, sự kết hợp các tín hiệu tạo ra phán quyết, và phản ứng được phân cấp — cho phép, thách thức, hoặc chặn — chứ không phải một cú chặn thô đối với ảo hóa như vậy. Phát hiện emulator và VM giá trị nhất không phải như một cổng độc lập mà như một tín hiệu được đánh trọng số nặng, khi kết hợp với ngữ cảnh mạng và hành vi, phơi bày hạ tầng đứng sau gian lận số lượng lớn.

Tracio phát hiện ảo hóa như một phần của device intelligence trên hơn 130 tín hiệu — chữ ký GPU và kết xuất, kiểm tra thời gian và tính nhất quán phần cứng, phân tích cảm biến di động và danh tính build — kết hợp với ngữ cảnh mạng IP intelligence và các kiểm tra tính nhất quán liên tín hiệu bắt được những nỗ lực giả mạo mà bộ phát hiện tín hiệu đơn lẻ bỏ lỡ. Nó chạy qua lớp bot detection và trả về một phán quyết, kèm các tín hiệu nền tảng, trong dưới 50ms.

Muốn xem phát hiện ảo hóa hoạt động thế nào trước lưu lượng device farm và emulator trong phễu của chính bạn?

Bắt đầu dùng thử miễn phí — 2.500 lượt xác minh miễn phí, không cần thẻ tín dụng. Đặt lịch demo để đi qua phát hiện emulator và VM đối chiếu với mô hình đe dọa cụ thể của bạn.