[论文解读] Discovery, Retrieval, and Analysis of 'Star Wars' botnet in Twitter

Juan Echeverría, Shi Zhou|arXiv (Cornell University)|Jan 10, 2017

Spam and Phishing Detection参考文献 29被引用 6

一句话总结

本文發現、檢索並分析了Twitter上的「星際大戰」僵尸網路——該網路由超過35萬個僅發送隨機《星際大戰》台詞的僵尸帳號組成。該僵尸網路自2013年以來持續活躍，提供了罕見的大規模、同質化實時僵尸資料集，有利於深入分析僵尸設計與行為，並揭示了新的檢測洞察，包括發現第二個規模更大的僵尸網路（擁有超過50萬個帳號）。

ABSTRACT

It is known that many Twitter users are bots, which are accounts controlled and sometimes created by computers. Twitter bots can send spam tweets, manipulate public opinion and be used for online fraud. Here we report the discovery, retrieval, and analysis of the `Star Wars' botnet in Twitter, which consists of more than 350,000 bots tweeting random quotations exclusively from Star Wars novels. The botnet contains a single type of bot, showing exactly the same properties throughout the botnet. It is unusually large, many times larger than other available datasets. It provides a valuable source of ground truth for research on Twitter bots. We analysed and revealed rich details on how the botnet was designed and created. As of this writing, the Star Wars bots are still alive in Twitter. They have survived since their creation in 2013, despite the increasing efforts in recent years to detect and remove Twitter bots.We also reflect on the `unconventional' way in which we discovered the Star Wars bots, and discuss the current problems and future challenges of Twitter bot detection.

研究动机与目标

• 發現並檢索Twitter上自2013年以來持續活躍的大型、此前未知的僵尸網路。
• 分析由相同類型帳號組成、具有穩定特性的同質化僵尸網路的設計、結構與行為。
• 提供一個罕見的大規模真實Twitter僵尸資料集，作為未來僵尸檢測與行為分析研究的真實基準。
• 探討長期處於休眠狀態的僵尸網路對網絡詐騙、意見操縱及檢測挑戰的影響。

提出的方法

• 該僵尸網路是在分析Twitter使用者ID的1%隨機樣本時偶然發現的，使用Twitter API取得使用者個人資料與推文歷程。
• 研究人員透過檢測具有相同推文內容（隨機《星際大戰》台詞）且發文模式變異極小的帳戶來識別僵尸。
• 透過網絡分析方法對該僵尸網路進行研究，包括粉絲關係、推文頻率以及活動的時間模式。
• 團隊使用基本的機器學習分類器檢測推文內容與使用者行為中的異常，進而揭示該僵尸網路的同質性。
• 長期監控該僵尸網路以評估其持續性與活動水準，確認其持續存在且低調運作。
• 透過分析共享的行為模式，「星際大戰」僵尸網路的發現使團隊得以識別出第二個規模更大的僵尸網路（擁有超過50萬個帳號）。

实验结果

研究问题

• RQ1 如何在如Twitter之類的即時社交媒體平台上檢測到具有穩定行為的大規模同質化僵尸網路？
• RQ2 「星際大戰」僵尸網路的結構與行為特徵為何？與先前報導的僵尸網路有何差異？
• RQ3 為何「星際大戰」僵尸網路自2013年以來一直未被偵測到且持續活躍，儘管有持續的僵尸檢測努力？
• RQ4 低活動、處於休眠狀態的僵尸網路在多大程度上可能構成威脅，例如虛假粉絲、意見操縱或串流API污染？
• RQ5 是否可透過發現一個大型同質化僵尸網路，來識別出其他具有相同行為特徵、規模更大的僵尸網路？

主要发现

• 「星際大戰」僵尸網路由超過35萬個僅發送《星際大戰》小說中隨機引述的帳號組成，內容與行為完全無差異。
• 該僵尸網路自2013年創建以來持續活躍且未被偵測到，顯示現有僵尸檢測機制的局限性。
• 這些帳號活動極低——每帳號僅發送少量推文且擁有極少連接，使其外觀更像真實人類使用者，因而較難引起懷疑。
• 研究人員發現，這些「星際大戰」帳號被用作虛假粉絲，數名高知名度使用者被數萬個此類帳號追蹤。
• 該僵尸網路的同質性與長壽性，使團隊得以基於共享的行為模式識別出第二個規模更大的僵尸網路（超過50萬個帳號）。
• 本研究顯示，處於休眠狀態、低活動的僵尸網路可長達數年未被偵測，但仍可能構成重大威脅，包括網絡詐騙與操縱行為。