Онлайн-платформы полагаются на цифровые сигналы для выявления подозрительных учетных записей и активности. Антидетект-браузеры усложняют доверие к этим сигналам, позволяя операторам создавать и управлять большим количеством профилей браузера, которые выглядят так, будто принадлежат разным пользователям, устройствам и местоположениям.
Хотя эти инструменты имеют законное применение, специалисты Check Point Research обнаружили задокументированные свидетельства их использования в преступных экосистемах для таких действий, как захват учетных записей и мошенничество с платежами. ИИ и автоматизация могут еще больше увеличить масштаб этих операций.
Ключевые выводы
- Антидетект-браузеры позволяют операторам управлять большим количеством изолированных профилей браузера, которые кажутся принадлежащими разным пользователям, устройствам и местоположениям.
- Check Point Research обнаружила задокументированные факты использования антидетект-браузеров в преступных экосистемах для захвата аккаунтов, платежного мошенничества и другой вредоносной деятельности.
- Эти учетные записи также могут использоваться для координации операций по влиянию, что вызывает особую тревогу в преддверии выборов.
- Антидетект-браузеры, такие как AdsPower, MultiLogin и Kameleo, сочетают в себе манипуляцию цифровыми отпечатками браузера с интеграцией прокси, автоматизацией и управлением множеством аккаунтов.
- Интеграция ИИ и автоматизация могут дополнительно масштабировать эти операции за счет поддержки генерации контента и активности в рамках множества изолированных личностей.
- Организациям следует выходить за рамки анализа поведения отдельных аккаунтов и отслеживать инфраструктурные, сетевые и сессионные сигналы, которые могут указывать на скоординированную активность.
Что такое антидетект-браузеры?
Каждый браузер раскрывает информацию, которую веб-сайты могут использовать для того, чтобы отличить одного пользователя от другого. Это может включать разрешение экрана устройства, часовой пояс, тип браузера, шрифты, данные WebGL, характеристики оборудования и другие параметры. В совокупности эти сигналы формируют цифровой отпечаток браузера (фингерпринт).
Антидетект-браузеры манипулируют этими сигналами, позволяя каждому профилю браузера выглядеть как отдельный пользователь или устройство. Они широко используются для управления несколькими онлайн-аккаунтами, в том числе на таких платформах социальных сетей, как Facebook, Instagram, TikTok, YouTube и X. Эти инструменты также поддерживают учетные записи в сфере электронной коммерции, финансовых услуг и профессиональных сетей.
Результатом становится серьезная проблема видимости. Один оператор может контролировать множество профилей, каждый из которых выглядит для платформы как независимый пользователь со своими характеристиками устройства и сетевой идентичностью.
Check Point Research выделила пять уровней, с помощью которых антидетект-браузеры могут скрывать эту связь: устройство, сеть, сессия, поведение и контент.
Рисунок 1 – Пять уровней, с помощью которых антидетект-браузеры обходят методы обнаружения платформ.
Как антидетект-браузеры используются в киберпреступности
Значение антидетект-технологий выходит далеко за рамки управления несколькими профилями в социальных сетях.
Специалисты Check Point Research обнаружили на теневых форумах и криминальных маркетплейсах задокументированные упоминания о том, что антидетект-браузеры внедряются в более широкие рабочие процессы атак. К ним относятся операции по захвату аккаунтов, при которых украденные сессионные файлы cookie загружаются в профили браузера, мошенничество с платежными картами, мошеннические заявки на кредиты и массовое создание искусственных аккаунтов.
В одной из реклам на теневом форуме, обнаруженной исследователями, предлагался движок «злоумышленник посередине» с функцией экспорта собранных учетных данных сессий напрямую в антидетект-браузеры. В другом посте о найме рекламировалось вредоносное ПО — инфостилер, совместимое с несколькими антидетект-платформами и предназначенное для сбора данных, включая сессионные файлы cookie и токены аутентификации.
Такое сочетание имеет решающее значение, поскольку злоумышленники не полагаются на какой-то один метод обхода защиты. Антидетект-браузеры могут стать одним из компонентов более крупной инфраструктуры, объединяющей украденные учетные данные, резидентные прокси и поддельные идентификаторы устройств.
Коммерческая экосистема, созданная для масштабирования
Инструменты, проанализированные Check Point Research, иллюстрируют, насколько доступными стали эти возможности. Например, AdsPower публикует тарифные планы, поддерживающие тысячи профилей, и предоставляет шаблоны автоматизации для таких действий, как лайки, комментарии, прямые сообщения и сбор подписчиков на различных платформах. Его интерфейс также позволяет операторам настраивать параметры фингерпринтинга, такие как WebRTC, часовой пояс, местоположение и язык для отдельных профилей.
Рисунок 2 – Сравнение популярных антидетект-инструментов.
MultiLogin аналогичным образом предоставляет изолированные профили браузеров, поддержку автоматизации и мобильную инфраструктуру, в то время как Kameleo предлагает возможности манипулирования цифровыми отпечатками браузера и автоматизации. В ходе исследования также были выявлены обсуждения и реклама этих инструментов на русскоязычных теневых форумах.
В результате мы получаем экосистему, оформленную почти как традиционное коммерческое ПО: с подписками, документацией, автоматизацией, техподдержкой и интеграциями.
Как ИИ меняет масштаб антидетект-операций
ИИ добавляет еще один уровень в эту инфраструктуру. Ранее поддержание огромного количества личностей требовало значительного объема ручного труда. Профили приходилось создавать, обслуживать и эксплуатировать, а контент — писать и распространять.
Исследование показывает, как части этого рабочего процесса можно все сильнее автоматизировать. AdsPower рекламирует специальный сервер Model Context Protocol для интеграции с рабочими процессами на базе больших языковых моделей, а также шаблоны автоматизации и инструменты для формирования истории активности аккаунтов перед их использованием в операциях.
Рисунок 3 – Маркетплейс RPA компании AdsPower содержит готовые шаблоны автоматизации для массовой активности аккаунтов на основных платформах, включая автоматические лайки, комментарии, отправку личных сообщений, парсинг подписчиков и вовлечение с помощью ИИ.
Почему организациям необходимо смотреть шире поведения аккаунтов
Для специалистов по безопасности это исследование подчеркивает более масштабную проблему: обнаружения самого аккаунта может быть недостаточно.
Антидетект-браузеры созданы для манипулирования множеством сигналов, которые организации используют для определения того, выглядит ли сессия, устройство или пользователь легитимными. Check Point Research рекомендует уделять больше внимания индикаторам на уровне инфраструктуры, включая масштабное использование резидентных прокси-серверов, шаблоны подавления WebRTC, необычные последовательности внедрения файлов cookie и сигналы антидетект-браузеров в веб-трафике.
Организациям также следует проверить, способны ли системы мониторинга сессий выявлять аномалии в предварительно аутентифицированных сессиях, и оценить средства контроля мошенничества, которые сильно зависят от постоянства устройств или непрерывности сессий.
Как организации могут реагировать на активность антидетект-браузеров
Поскольку антидетект-браузеры усложняют оценку отдельных учетных записей изолированно друг от друга, организациям следует усилить обнаружение на более широком инфраструктурном и сессионном уровне. Check Point Research рекомендует сосредоточиться на нескольких направлениях:
- Мониторинг инфраструктурных сигналов: ищите индикаторы антидетект-браузеров, масштабное использование резидентных прокси и шаблоны подавления WebRTC.
- Укрепление мониторинга сессий: выявляйте аномалии, связанные с предварительно аутентифицированными сессиями и необычными последовательностями внедрения файлов cookie.
- Проверьте средства обнаружения мошенничества: оцените средства контроля, которые сильно зависят от постоянства устройств или непрерывности сеансов, так как эти сигналы можно подделать.
- Ищите связанную активность: оценивайте подозрительное поведение в разных аккаунтах, а не полагайтесь только на активность отдельного профиля.
Браузеры для защиты от обнаружения имеют легитимное применение, но те же возможности могут использоваться и для вредоносных операций. Сочетание подделки личных данных, автоматизации, прокси-инфраструктуры и генерации контента с помощью ИИ может облегчить управление большим количеством якобы независимых онлайн-профилей.
По мере развития этих возможностей организациям придется выйти за рамки отдельных аккаунтов и учитывать инфраструктуру и сигналы, которые их связывают. Главный вопрос все чаще заключается в следующем: действительно ли тысячи кажущихся независимых аккаунтов независимы?
Чтобы ознакомиться с полными техническими результатами, перейдите к публикации Check Point Research here.
