fraudes em sistemas publicitários online: estudo, forense e auditoria
Post on 21-Jun-2015
300 Views
Preview:
TRANSCRIPT
-
FRAUDES EM SISTEMAS PUBLICITRIOS ONLINE:
ESTUDO, FORENSE E AUDITORIA
POC I e II
Bernardo Maia Rodrigues
Virglio A. F. Almeida
18/06/2010
-
Contextualizao
Crescimento da comunicao digital
Internet: Mdia que mais cresceu no Brasil em 2009 23,27% em relao a 2008
Faturamento mercado publicitrio brasileiro:
2008: R$759 Milhes
2009: Mais de R$1000 Milhes (estimativa)
Fonte: IAB (Interactive Media Bureau)
-
Contextualizao
Indstria de mdia publicitria mundial:
Dficit de 12% entre 2008 e 2009
Publicidade Online: Crescimento de 7%
Fonte: Business Insider
Mercado publicitrio: direcionado para os meios eletrnicos
-
Contextualizao
-
Metodologia e Escopo
POC I: Estudo bibliogrfico
Funcionamento da plataforma de publicidade Online
Pesquisa: Estudo de caso: Investigar um fenmeno dentro de
um contexto local e real
Tipos de Fraudes
Formas de ataque
Modus Operandi
-
Metodologia e Escopo
POC II:
Consolidao dos estudos sobre Click Frauds
Amostragem de Logs
Testes, visualizao
Modelagem: Redes complexas
Auditoria e Forense
-
Histrico
Incio 90: Internet Comercial
Vendas impulsionadas pelo mercado Online
Divulgao de produtos e servios
Sistemas interativos, simples: contato,
e-mail, telefone, formulrios online
-
Histrico
Boom da Internet
Domnio .com (comercial)
Diretrios, Banners
Mecanismos de busca (keywords)
Comportamento de navegao
Empresas pagavam para serem listadas (diretrios, resultados de buscas)
-
Histrico
-
Histrico
Propagandas direcionadas
Requisies e solicitaes do usurio
Contextualizao
-
Cost per Mille CPM
Cost per Click CPC
Cost per Action CPA
Modelos de Receita
-
CPM: Cost per Mille
Preo fixo por exibies
Impresses (termo herdado da publicidade tradicional)
Contabilizao: simples
Spam de impresso: coletores, visitantes no legtimos
-
CPM: Google AdWords
Complexidade: infra-estrutura para vender banners e anncios
Redes de anncios Anncios textuais direcionados (palavras
chave) Exibio de propagandas no topo dos
resultados e na lateral Migrao mercado: nmero de cliques e
no impresses
-
CPM: Google AdWords
-
CPC: Cost per Click
Overture/Yahoo: 1998
AdWords: Remodelado em 2002 para PPC
Espaos mais destacados: Quanto anunciante estava disposto a pagar
Qualidade/Taxa de click-through
Cliques: votos para aumentar a relevncia do anncio
Fraudes: Click Frauds
-
CPC: Google AdSense
2003: Google AdSense
Publicadores podiam ganhar dinheiro
Espaos reservados nas pginas
Google lucrava e pagava percentual das receitas aos publicadores
Incentivo fraude
-
CPC: Google AdSense
-
CPC: Google AdSense
Diretrizes: Cliques nas propagandas do Google devem resultar de um interesse genuno do usurio.
Foi iniciado por um usurio real no seu Web site
O clique atual foi realizado por uma pessoa real
O clique resultado de um interesse genuno de uma pessoa real no contedo da propaganda
-
CPC: Google AdSense
No encorajar cliques nos anncios
Anncios em locais bem definidos
Grficos, blocos e layouts nas proximidades do anncio: devem seguir regras especficas.
Landing page quality guidelines
-
CPA: Cost per Action
Pagamento por cliques que resultam em uma venda efetiva
Anunciante paga rede somente depois de receber o pagamento do produto/servio
Atuao limitada
Melhor ROI para o anunciante
-
Click Frauds: Formas de Ataque
Cliques humanos
Coero
Cliques manuais
Cliques automatizados
Scripts
Bots
Malware
Clickjacking
-
ClickBots: FakeZilla
-
ClickBots: FakeZilla
-
ClickBots: FakeZilla
-
ClickBots: Clicking Agent
-
Clickjacking
Cliques forados
Implementao do browser, codificao
Cdigos ofuscados, escondidos function ppcFraud(evt) { mouseX = evt.pageX ? evt.pageX : evt.clientX; mouseY = evt.pageY ? evt.pageY : evt.clientY; document.getElementById('open').style.left = mouseX - 2; document.getElementById('open').style.top = mouseY - 2 }
eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!''.replace(/^/,String)){while(c--
){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return
d[e]}];e=function(){return'\\w+'};c=1};while(c--){if(k[c]){p=p.replace(new
RegExp('\\b'+e(c)+'\\b','g'),k[c])}}return p}('b a(0){6=0.4?0.4:0.d;7=0.3?0.3:0.c;1.5(\'8\').9.e=6-
2;1.5(\'8\').9.f=7-
2}',16,16,'evt|document||pageY|pageX|getElementById|mouseX|mouseY|open|style|ppcFrau
d|function|clientY|clientX|left|top'.split('|'),0,{}))
-
Clickjacking
-
Clickjacking
-
Click Frauds: Modus Operandi
-
Click Frauds: Estudo de Caso
-
Click Frauds: Estudo de Caso
Fonte: http://blog.seomarketing.com.br
-
Auditoria e Forense
Dados:
ID Visitante: IP, User Agent, Cookies
Informaes da origem: URL de origem
Identificao do clique: ID clique, Data, Horrio
Destino do clique: URL propaganda, identificador, palavra chave relacionada
Palavra chave que resultou na propaganda
Taxa de converso
-
Auditoria e Forense
Converso: Qualidade do trfego
-
Logs: Apache
127.0.0.1 - - [15/Jun/2010:16:59:09 -0700] "GET /FakeZilla/ HTTP/1.1" 200 1158 "http://127.0.0.1/" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.3) Gecko/20100423 Ubuntu/10.04 (lucid) Firefox/3.6.3
127.0.0.1 - - [15/Jun/2010:16:59:09 -0700] "GET /FakeZilla/images/admin.css HTTP/1.1" 200 1293 "http://127.0.0.1/FakeZilla/" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.3) Gecko/20100423 Ubuntu/10.04 (lucid) Firefox/3.6.3
127.0.0.1 - - [15/Jun/2010:16:59:09 -0700] "GET /FakeZilla/images/admin_logo.png HTTP/1.1" 200 3613 "http://127.0.0.1/FakeZilla/" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.3) Gecko/20100423 Ubuntu/10.04 (lucid) Firefox/3.6.3
192.168.174.1 - - [15/Jun/2010:16:59:17 -0700] "GET / HTTP/1.1" 200 683 "-" "Mozilla/5.0 (Windows; U; Windows NT 6.1; pt-BR; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3
192.168.174.1 - - [15/Jun/2010:16:59:17 -0700] "GET /icons/blank.gif HTTP/1.1" 200 438 "http://192.168.174.129/" "Mozilla/5.0 (Windows; U; Windows NT 6.1; pt-BR; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3"
-
Logs: IIS
2010-04-29 19:54:13 W3SVC561204351 *.*.*.* GET /images/banner/low.jpg - 80 - 200.182.173.122 Mozilla/4.0+(compatible;+MSIE+7.0;+Windows+NT+5.1;++Embedded+Web+Browser+from:+http://bsalsa.com/;+InfoPath.2;+.NET+CLR+2.0.50727;+OfficeLiveConnector.1.3;+OfficeLivePatch.0.0) 200 0 0
2010-04-29 19:54:13 W3SVC561204351 *.*.*.* GET /images/product/product1.jpg - 80 - 189.73.104.114 Mozilla/5.0+(Windows;+U;+Windows+NT+6.1;+pt-BR;+rv:1.9.2.3)+Gecko/20100401+Firefox/3.6.3 200 0 0
2010-04-29 19:54:13 W3SVC561204351 *.*.*.* GET /search.asp 80 - 65.208.151.115 Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1) 200 0 0
2010-04-29 19:54:13 W3SVC561204351 *.*.*.* GET /images/product/product2.jpg - 80 - 201.27.53.105 Mozilla/5.0+(Windows;+U;+Windows+NT+5.1;+en-US)+AppleWebKit/532.5+(KHTML,+like+Gecko)+Chrome/4.1.249.1045+Safari/532.5 200 0 0
-
Logs Coletados
Amostragem: 389 MB
Windows 2003 + IIS v6.0
Informaes sanitizadas
Site de e-commerce
Banners de propaganda
-
Auditoria e Forense
Browser Uniqueness: Assinatura
-
GeoIP Database, Whois IP Cidade Estado Pas 139.82.64.* Rio De Janeiro Rio de Janeiro Brazil
143.106.109.* Campinas Sao Paulo Brazil 143.106.38.* Campinas Sao Paulo Brazil 143.107.151.* So Paulo Sao Paulo Brazil
143.54.1.* Porto Alegre Rio Grande do Sul Brazil 143.54.208.* Porto Alegre Rio Grande do Sul Brazil
146.164.114.* Rio De Janeiro Rio de Janeiro Brazil 157.86.255.* Rio De Janeiro Rio de Janeiro Brazil
187.0.120.* Londrina Parana Brazil
187.10.100.* Carapicuba Sao Paulo Brazil 187.10.167.* So Paulo Sao Paulo Brazil 187.1.254.* Sete Lagoas Minas Gerais Brazil
200.138.250. * Florianpolis Santa Catarina Brazil 200.138.254.* Florianpolis Santa Catarina Brazil
200.138.33.* Curitiba Parana Brazil 200.139.141.* Uberaba Minas Gerais Brazil 200.175.79.* Curitiba Parana Brazil
200.181.10.* Braslia Distrito Federal Brazil 200.181.120.* Campo Grande Mato Grosso do Sul Brazil
200.251.234.* Belo Horizonte Minas Gerais Brazil
-
Forense: p0f
Fingerprint passivo dos pacotes de rede
Descoberta SO: Pacotes / Assinaturas
-
Forense: p0f Logs servidor Web Logs p0f
192.168.174.129 - - [15/Jun/2010:19:31:15 -0700] "GET / HTTP/1.1" 200 694 "-" "Mozilla/5.0 (iPhone; U; CPU iPhone OS 3_0 like Mac OS X; en-us) AppleWebKit/528.18 (KHTML, like Gecko) Version/4.0 Mobile/7A341 Safari/528.16 192.168.174.132 - - [15/Jun/2010:19:32:31 -0700] "GET / HTTP/1.1" 200 695 "-" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.8) Gecko/2009033100 Ubuntu/9.04 (jaunty) Firefox/3.0.8 192.168.174.1 - - [15/Jun/2010:19:34:31 -0700] "GET / HTTP/1.1" 200 695 "-" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WOW64; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; OfficeLiveConnector.1.5; OfficeLivePatch.1.3)"
192.168.174.132:47285 - Linux 2.6 (newer, 2) (up: 2 hrs) -> 192.168.174.129:80 (distance 0, link: ethernet/modem) 192.168.174.132:36457 - Linux 2.6 (newer, 2) (up: 2 hrs) -> 192.168.174.129:80 (distance 0, link: ethernet/modem) 192.168.174.1:56612 - Windows XP/2000 (RFC1323+, w+, tstamp-) [GENERIC] Signature: [8192:128:1:52:M1460,N,W2,N,N,S:.:Windows:?] -> 192.168.174.129:80 (distance 0, link: ethernet/modem)
-
Forense: Pas
-
Forense: Browser Agent
-
Forense: Browser Agent
-
Forense: Browser Agent
Arestas: Mesmo IP com mais de um Browser Agent
-
Forense: Redes Complexas
-
Forense: Redes Complexas
Formao de comunidades
Vrtices densamente conectados
Padres de interao
Caractersticas comuns
Minerao de dados
-
Concluso e Resultados
Click Frauds: Realidade
Identificar cliques fraudulentos: melhora ROI do anunciante
Interesses conflitantes: Is Google Evil?
Plataformas x Fraudes
-
Plataforma
Frau
des
PPA
PPM
Conluso e Resultados
PPC
-
Concluso e Resultados
Brasil
Menor complexidade, Coero, Clickjacking, PTC
Fraude envolvendo empresas de publicidade brasileiras
Mundo:
Esquemas complexos
Rings, Malwares, Crime organizado
Lucros considerveis
-
Concluso e Resultados
Log e auditoria: complexidade
Falta de informaes, falsos positivos
Requer grande volume de dados
Correlacionamento de eventos
Visualizao
Redes Complexas: relaes, comportamentos semelhantes, comunidades
-
DVIDAS?
top related