[논문 리뷰] When Push Comes to Ads: Measuring the Rise of (Malicious) Push Advertising

Karthika Subramani, Xingzi Yuan외 4명|arXiv (Cornell University)|2020. 10. 27.

Spam and Phishing Detection참고 문헌 25인용 수 4

한 줄 요약

이 논문은 웹 푸시 알림(WPN)을 자동으로 수집하고 분석하여 WPN 기반 광고 캠페인을 탐지하고 악성 광고를 식별하는 시스템인 PushAdMiner를 소개한다. 수집한 572개 캠페인으로부터 확보한 5,143개의 WPN 광고 중 51%가 악성임을 확인했으며, 기존 광고 차단 기술은 이를 차단하지 못해 심각한 보안 격차가 존재함을 드러낸다.

ABSTRACT

The rapid growth of online advertising has fueled the growth of ad-blocking software, such as new ad-blocking and privacy-oriented browsers or browser extensions. In response, both ad publishers and ad networks are constantly trying to pursue new strategies to keep up their revenues. To this end, ad networks have started to leverage the Web Push technology enabled by modern web browsers. As web push notifications (WPNs) are relatively new, their role in ad delivery has not yet been studied in depth. Furthermore, it is unclear to what extent WPN ads are being abused for malvertising (i.e., to deliver malicious ads). In this paper, we aim to fill this gap. Specifically, we propose a system called PushAdMiner that is dedicated to (1) automatically registering for and collecting a large number of web-based push notifications from publisher websites, (2) finding WPN-based ads among these notifications, and (3) discovering malicious WPN-based ad campaigns.Using PushAdMiner, we collected and analyzed 21,541 WPN messages by visiting thousands of different websites. Among these, our system identified 572 WPN ad campaigns, for a total of 5,143 WPN-based ads that were pushed by a variety of ad networks. Furthermore, we found that 51% of all WPN ads we collected are malicious, and that traditional ad-blockers and URL filters were mostly unable to block them, thus leaving a significant abuse vector unchecked.

연구 동기 및 목표

• 웹 푸시 기술이 광고 전달에 어떻게 활용되고 있는지, 특히 광고 차단 회피를 위한 맥락에서 조사하기.
• 웹 푸시 알림(WPN)을 통한 악성 광고(malvertising)의 보편성과 그 정도를 식별하고 분석하기.
• 기존 광고 차단 솔루션이 WPN 기반 악성 광고를 탐지하고 차단하는 데 얼마나 효과적인지 평가하기.
• WPN이 악성 광고의 새로운 벡터로 악용되고 있으며, 대부분 감시되지도 않고 대응되지도 않는다는 점을 드러내기.

제안 방법

• 스케일러블한 브라우저 기반 수집 파이프라인을 활용해 수천 개의 출판사 웹사이트에서 웹 푸시 알림을 자동으로 등록하기.
• 현대 브라우저의 푸시 알림 API를 통해 웹사이트에서 사용자 기기로 전송되는 모든 WPN 메시지를 수집하고 로깅하기.
• 자동화된 히وري스틱과 시그니처 기반 분석을 적용해 수집된 알림을 잠재적 광고 또는 악성 콘텐츠로 분류하기.
• 클러스터링과 패턴 인식 기법을 활용해 다양한 도메인과 광고 네트워크를 통해 반복되는 광고 캠페인 식별하기.
• URL 및 콘텐츠 분석을 통해 WPN 페이로드 내 알려진 악성 지표 탐지하기.
• 의심스러운 알림에 대한 수동 점검과 알려진 위협 지능 피드와의 교차 검증을 통해 결과 검증하기.

실험 결과

연구 질문

• RQ1 제3자 광고 네트워크는 웹 푸시 알림을 광고 전달에 얼마나 널리 사용하고 있는가?
• RQ2 웹 푸시 알림을 통한 악성 광고의 보편성은 어느 정도이며, WPN 기반 광고 중 악성 광고 비율은 얼마인가?
• RQ3 기존의 광고 차단기 및 URL 필터는 WPN 기반 악성 광고를 효과적으로 탐지하고 차단할 수 있는가?
• RQ4 다양한 웹사이트와 광고 네트워크를 통해 퍼진 악성 WPN 광고 캠페인의 특성과 확산 패턴은 어떠한가?

주요 결과

• PushAdMiner는 수천 개의 웹사이트를 대상으로 572개의 별도된 WPN 광고 캠페인으로부터 총 21,541건의 웹 푸시 알림(WPN) 메시지를 수집했다.
• 총 5,143건의 WPN 기반 광고가 식별되었으며, 그 중 51%가 악성으로 분류되어 WPN을 통한 악성 광고의 광범위한 보편성을 시사한다.
• 기존의 광고 차단기 및 URL 필터는 악성 WPN 광고의 다수를 차단하지 못해 현재 클라이언트 기반 보안 방어의 심각한 빈도가 존재함을 드러낸다.
• 연구 결과에 따르면, 광고 네트워크들이 기술의 상대적 신규성과 낮은 감시 수준에도 불구하고 WPN을 활용해 광고, 심지어 악성 광고까지도 활발히 배포하고 있음을 확인했다.
• 악성 WPN 캠페인은 다양한 도메인과 네트워크를 통해 퍼져 있어 푸시 알림 메커니즘의 광범위하고 조직적인 악용을 시사한다.
• 결과적으로 WPN는 악성 광고의 주요이고 보호되지 않은 벡터로 자리 잡았으며, 사용자 프라이버시와 보안에 심각한 위협을 가하고 있음을 입증한다.