ONYXStromstudios
ESENPTRU
ВойтиСоздать аккаунт
ONX-15 · Рой

Обнаружение кампаний

Все существующие системы ждут, пока кто-то пожалуется на ссылку. К этому моменту мошенники уже получили деньги. ONYX смотрит не на страницу, а на то, как ссылка расходится — и это видно на третьей минуте.
Кампания собираетсяENJ-0406

Реконструкция настоящей кампании с поддельными подарками. Каждая строка — одно наблюдение; полоса — накопленная уверенность.

Кампания собирается4 · аккаунтов
+0 минАккаунт 3 дней · сервер Aтот же текст
+12 минАккаунт 1 дня · сервер Bтот же текст
+26 минАккаунт 5 дней · сервер Cтот же текст
+40 минАккаунт 2 дней · сервер Bтот же текст
Уверенность 12Порог 12
КампанияОхват · Множественность · Возраст · Всплеск · Копипаст
Почему списки блокировок опаздываютTAR-0407

Мошенническая страница живёт несколько часов. От запуска до попадания в список блокировок проходит в среднем от нескольких часов до двух суток. Когда блокировка приходит, деньги уже собраны, а домен сменён.

Анализ страницы тоже не помогает: вредоносный сайт смотрит, кто запрашивает. Если это дата-центр, он отдаёт чистую страницу. Сканер видит магазин, жертва видит кражу.

Ни один сервер не увидит это в одиночку. Каждый видит «кто-то прислал ссылку». Картина возникает, только если смотреть на все сразу.
Признаки и вес каждогоSEN-0408
ОхватВ скольких независимых сообществах появилась ссылка
МножественностьСколько разных аккаунтов её прислали
ВозрастМедианный возраст этих аккаунтов. Старые аккаунты стоят времени, а время дёшево не купишь
ВсплескМинуты между первым и последним наблюдением
КопипастСколько сообщений содержат ровно тот же текст. Человек пишет своими словами; кампания вставляет один и тот же
НовизнаСколько дней назад зарегистрирован домен

Ни один признак сам по себе не достигает порога. Действовать по одному признаку — это ровно тот способ, которым блокируют невиновных.

Почему вирусное видео не срабатываетVIR-0409

Это вопрос, который топит подобные системы. У легитимной ссылки, ставшей популярной, больше аккаунтов и больше серверов, чем у кампании, поэтому эти два признака ничего не различают и весят мало.

Чего у легитимной ссылки быть не может: аккаунтов трёхдневной давности, окна в сорок минут и одного и того же скопированного текста. Туда и уходят баллы.

случайаккаунтовсерверовуверенность
Кампания с поддельными подарками4312
Видео становится вирусным1266

Измерено: кампания из примера набирает 12, а вирусное видео от двенадцати человек на шести серверах остаётся на 6 — при втрое большем числе аккаунтов.

Два условия, которые баллами не заменитьPUE-0410
  • Один человек, разославший свою ссылку на десять серверов, — не кампания: нужны несколько аккаунтов.
  • Десять человек на одном сервере, обсуждающих новость, — тоже нет: кампания расходится по сообществам, которые друг друга не знают.
Чего он не делаетPRI-0411

Он не строит ничей профиль. Наблюдение — это четыре числа и ни одного имени: какая ссылка, какой сервер, какой аккаунт и сколько ему дней. Первые три передаются хешами.

Считается, сколько разных аккаунтов, а не какие именно. Вердикт выносится о ссылке. Никто не помечается, а данные забываются через шесть часов.