IAS Threat Labは、人気の小説閲覧アプリ内にウェブ閲覧・クリック・スクロール操作を隠す、モバイル広告詐欺の手口「Papyrus」を発見しました。
この手口は長時間の読書セッションを不正なウェブトラフィックの発生源に変えてしまうもので、ユーザーは自分の知らないところでバックグラウンド動作が行われていることに気づきません。
問題のアプリは連載小説や長編ストーリーを提供しているように見えます。しかしIASの研究者は、一部のアプリが見た目の読書用インターフェースの裏で、webviewと呼ばれるブラウザコンポーネントをひそかに開いていることを突き止めました。
これらの隠しwebviewはウェブサイトにアクセスし、ページを読み込み、広告トラフィックを発生させ、さらには本物のユーザー操作に見せかけた動作を実行します。
Papyrusが特に懸念される点は、単にページ訪問を作り出すだけではないところです。人工的なクリックやスクロール、同意ダイアログの操作なども生成でき、広告主からは価値の高いエンゲージメントと見なされかねない兆候を作り出します。
この手口の中核を担うのが、BootNovaと呼ばれるオーケストレーションコンポーネントです。Papyrusにひも付くアプリが起動すると、BootNovaはリモートのコマンド&コントロール(C2)インフラに接続し、指示を受け取ります。
サーバー側は隠し動作を有効にするかどうかを判断し、アクセス先URLを選定し、タイミングを制御し、リトライのルールを設定し、実行するブラウザウィンドウの数を決定します。
BootNovaは、WebViewOutと呼ばれるワーカーを通じてこれらの隠しブラウザウィンドウを作成します。webviewはネイティブのビューレイヤー機能を使って、アプリの見た目上のインターフェースの背後に配置されます。
CWebViewPluginと呼ばれる独自のラッパーが、アプリのビュー階層内でブラウザを稼働させ続ける一方、読書画面やカバーレイヤーがそれをユーザーから隠す仕組みです。
その結果、ユーザーが電子書籍アプリで章を読んでいる間、端末は裏で静かにウェブサイトを読み込み、広告コンテンツと相互作用を行っている可能性があります。
IASはPapyrusに関連するドメインを800以上、ユニークなホスト値をほぼ8,000件特定しました。アクセス先には、ゲーム系サイト、ブログ、ニュース風サイト、そして生成AI関連コンテンツを扱うサイトが含まれます。
これらのサイトは、意味のあるユーザー層に向けたものというより、トラフィックを受け取って収益化することを主目的として設計されているように見受けられます。小説閲覧アプリの利用は、この詐欺モデルの重要な構成要素です。
読書系アプリは、単発の作業のために短時間だけ開くユーティリティ系アプリとは異なり、ユーザーを長時間にわたって引き付ける傾向があります。
これにより、Papyrusは表向きの利用体験を妨げることなく、ページの読み込みやアクセス先の切り替え、自動化された操作を行うための時間を十分に確保できます。
Papyrusは、アプリに埋め込まれたスクリプトとリモートから配信されるJavaScriptの両方を利用します。これらのスクリプトはクリック座標を取得し、擬似的なタッチ操作を発生させ、ページをスクロールさせ、メディアをミュートし、同意フォームを自動的に却下または承認することができます。
運営者はC2インフラを通じてスクリプトを送り込めるため、アプリの新バージョンをリリースすることなく動作を変更できると、integraladsは指摘しています。
IASは、WebViewOutワーカー内に存在する、サーバー側から制御可能なテストモードを通じてこの手口の存在を確認しました。このモードを有効にすると、通常は隠されているwebviewが前面に表示されます。
これにより研究者たちは、ページがスクロールされ、要素がクリックされ、同意フォームが自動的に処理されていく様子を、リアルタイムで直接観察することができました。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの全容を可視化し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/papyrus-test-mode-exposed/
