IAS Threat Labによると、Papyrusと名付けられた新たなモバイル広告詐欺スキームは、小説読書アプリ群を悪用して隠れたブラウザトラフィックを生成しているといいます。
Papyrusに関連する小説読書アプリのサンプル(出典:IAS Threat Lab)
ユーザーが恋愛小説やファンタジー小説の章をタップして読み進めている間、アプリは水面下で密かにブラウザウィンドウを開き、画面には表示されない状態でウェブサイトを読み込み、クリックし、スクロールする動作を自動で行っています。
研究者らは次のように説明しています。「Papyrusは、アプリ内の隠れたブラウザ活動を制御するオーケストレーション層であるBootNovaを中核として構築されています。アプリが起動すると、BootNovaはリモートのコマンド&コントロール(C2)インフラに接続し、設定情報を取得します。このC2は、隠れた活動を実行すべきかどうか、どこで実行するか、どのURLを読み込むか、いくつのウェブビューを稼働させるか、そしてそれらのウェブビューが読み込んだページとどのように相互作用するかを決定できます」
「このリモート設定によって、有効化の可否、タイミング、地理的なターゲティング、リトライ動作、稼働させるウェブビューの数、宛先URL、そしてそれらのページに適用する操作ロジックまでもが制御可能になっています」
BootNovaが指示を受け取ると、それをWebViewOutと呼ばれるワーカーに渡します。WebViewOutは、ユーザーには決して見えないブラウザウィンドウの開閉・管理を担います。CWebViewPluginと呼ばれるラッパーが、これらのウィンドウをアプリのインターフェースに紐づけつつ、画面表示の背後に位置するよう配置します。一部のアプリでは、その上にさらにカバービューを重ねる仕組みも確認されています。
研究者らは「その効果は単純ながら強力です」と述べています。「アプリは、想定通りの読書用インターフェースを表示し続けながら、背後で隠れたウェブビューがウェブコンテンツを読み込み、操作を行うことができるのです」
BootNovaは自身の通信を隠蔽するための対策も講じています。研究者らがRsaUtilsと名付けたモジュールは、ハードコードされたC2アドレスと、サーバーとの間でやり取りされるメッセージを、Base64と文字シフト式の暗号を使ってデコードしており、アプリを調査する者に対してアドレスが平文のまま見えないようにしています。
Papyrusによる隠れたブラウジングの自動化
Papyrusは2つの方法で隠れたブラウザウィンドウを操作しています。1つは、アプリ内に組み込まれたJavaScriptで、ページのどこがタップされたかを追跡し、それを疑似的なタップ・クリック・スクロール操作として再現するものです。もう1つは、実行時にオペレーター自身のサーバーから送り込まれるもので、これによりアプリのアップデートを行うことなく、隠れたブラウザが各ページで行う動作をいつでも変更できるようになっています。
研究者らはさらに次のように付け加えています。「IASは、メディア要素をミュートしたり、同意ダイアログなどのページ要素を自動的にクリックしたりできる、サーバー配信型のJavaScriptを確認しています」
さらに第3の層も存在します。IASによると、これらのアプリは「ユーザーのタップを隠れたウェブビューに引き渡し、バックグラウンドでクリックとして登録するクリック・スクロールモジュール」を使用しているといいます。つまり、ユーザーが目に見える読書画面上で行ったタップが、そのまま隠れたブラウザ側にもコピーされ、そこでもクリックとしてカウントされる仕組みです。
この自動化がどちらの手段によるものであれ、その動作は無作為ではありません。
IASは次のように指摘しています。「このスキームは、クリック座標、スクロール範囲、動作間の遅延、広告を閉じる際の座標、ナビゲーション動作を定義できる『動作レシピ』を使用しています。これらのレシピは確率ゲートを通じて選択されるため、単純な固定パターンを繰り返すのではなく、動作にばらつきを持たせることが可能です」
小説読書アプリが選ばれたのも偶然ではありません。数秒だけ確認してすぐ閉じるようなユーティリティアプリとは異なり、人々はこうしたアプリを開いた後、長時間そのまま使い続ける傾向があるためです。
研究者らは次のように説明しています。「Papyrusは、読書に費やされた時間を、隠れたウェブ収益化に利用できる時間へと変換しています。目に見えるアプリの利用体験が隠れ蓑となり、隠れたブラウザ活動が収益化の経路を提供しているのです」
攻撃の規模
IASはPapyrusを800を超えるドメイン、および約8,000のユニークなホスト名と関連付けています。その大半は、ゲームサイト、ブログ、ニュース風のページ、そして視聴者に向けてではなくトラフィックを受け取るために作られた生成AI製のコンテンツです。
IASの調査によると、このトラフィックにおけるクリック成功率は、Papyrus以外のトラフィックと比べて約25倍高く、eCPMは約4倍、注目度スコアも通常より13パーセント高い水準となっていました。
IASは「この不正なトラフィックは、単に偽物というだけではありませんでした」と指摘したうえで、「正規のトラフィックよりも価値があるように見えていたのです」と述べています。
こうした数値と、IASが直接観測できたPapyrusの供給量の割合をもとに、同社はこのスキームがピーク時には月間およそ100万ドルの収益を上げていたと推定しています。
研究者らは次のように警告しています。「隠れたページの読み込みは、それだけで不正なトラフィックを生み出し得ます。それに加えて自動化されたクリックやスクロールが組み合わされば、パフォーマンスに関する報告や注目度に基づく評価を歪め、誤った情報に基づくキャンペーン最適化戦略につながりかねません」
この部分こそが、広告費の浪費にとどまらない深刻な問題です。あるキャンペーンが、隠れたブラウザウィンドウの内部で生成された数値によって好調に見えているとすれば、広告主は自らを欺いているまさにそのトラフィックに、さらに多くの予算を投じてしまう結果になりかねません。
翻訳元: https://www.helpnetsecurity.com/2026/08/06/papyrus-mobile-ad-fraud-scheme/
