[论文解读] When Push Comes to Ads: Measuring the Rise of (Malicious) Push Advertising

Karthika Subramani, Xingzi Yuan+4 more|arXiv (Cornell University)|Oct 27, 2020

Spam and Phishing Detection参考文献 25被引用 4

一句话总结

本文提出 PushAdMiner 系統，可自動收集並分析網頁推送通知（WPNs），以檢測基於 WPN 的廣告活動並識別惡意內容。研究發現，從 572 个廣告活動中收集的 5,143 个 WPN 廣告中，有 51% 為惡意，且傳統廣告過濾工具無法阻止這些廣告，暴露了關鍵的安全漏洞。

ABSTRACT

The rapid growth of online advertising has fueled the growth of ad-blocking software, such as new ad-blocking and privacy-oriented browsers or browser extensions. In response, both ad publishers and ad networks are constantly trying to pursue new strategies to keep up their revenues. To this end, ad networks have started to leverage the Web Push technology enabled by modern web browsers. As web push notifications (WPNs) are relatively new, their role in ad delivery has not yet been studied in depth. Furthermore, it is unclear to what extent WPN ads are being abused for malvertising (i.e., to deliver malicious ads). In this paper, we aim to fill this gap. Specifically, we propose a system called PushAdMiner that is dedicated to (1) automatically registering for and collecting a large number of web-based push notifications from publisher websites, (2) finding WPN-based ads among these notifications, and (3) discovering malicious WPN-based ad campaigns.Using PushAdMiner, we collected and analyzed 21,541 WPN messages by visiting thousands of different websites. Among these, our system identified 572 WPN ad campaigns, for a total of 5,143 WPN-based ads that were pushed by a variety of ad networks. Furthermore, we found that 51% of all WPN ads we collected are malicious, and that traditional ad-blockers and URL filters were mostly unable to block them, thus leaving a significant abuse vector unchecked.

研究动机与目标

• 探討第三方廣告網絡利用網頁推送技術進行廣告傳遞的趨勢，特別是在逃避廣告過濾機制方面的應用。
• 識別並分析透過網頁推送通知（WPNs）進行的惡意推送廣告（惡意廣告）的普遍程度。
• 評估現有廣告過濾解決方案在檢測與阻擋基於 WPN 的惡意廣告方面的有效性。
• 揭露 WPNs 被濫用為惡意廣告的新型攻擊向量，且目前多數情況下未受監控與防護。

提出的方法

• 使用可擴展的瀏覽器式收集管道，自動在數千個出版商網站上註冊網頁推送通知。
• 收集並記錄透過現代瀏覽器推送通知 API 從網站發送到使用者裝置的所有 WPN 消息。
• 應用自動化啟發式演算法與基於特徵的分析，將收集到的通知分類為潛在廣告或惡意內容。
• 利用聚類與模式識別技術，識別跨不同網域與廣告網絡的重複廣告活動。
• 透過網址與內容分析，在 WPN 載荷中檢測已知的惡意指標。
• 透過與已知威脅情資資料庫交叉比對，並對可疑通知進行人工檢視，驗證研究結果。

实验结果

研究问题

• RQ1 第三方廣告網絡在多大程度上利用網頁推送通知進行廣告傳遞？
• RQ2 透過網頁推送通知進行的惡意廣告有多普遍？基於 WPN 的廣告中有多高比例為惡意？
• RQ3 傳統廣告過濾工具與網址過濾機制能否有效檢測並阻擋基於 WPN 的惡意廣告？
• RQ4 惡意 WPN 廣告活動的特徵與分佈模式為何？其在不同網站與廣告網絡間的分布情況如何？

主要发现

• PushAdMiner 從數千個網站的 572 個不同 WPN 廣告活動中，收集到共 21,541則網頁推送通知（WPN）訊息。
• 共識別出 5,143 則基於 WPN 的廣告，其中 51% 被分類為惡意，顯示 WPN 是惡意廣告的顯著傳播途徑。
• 傳統廣告過濾工具與網址過濾機制未能阻擋大多數惡意 WPN 廣告，突顯當前客戶端安全防護中的關鍵盲點。
• 研究顯示，廣告網絡即使在該技術相對新穎且監管較少的情況下，仍積極利用 WPN 傳遞廣告，包括惡意廣告。
• 惡意 WPN 廣告活動分佈於多樣化的網域與網絡中，顯示對推送通知機制的廣泛且有組織的濫用。
• 結果顯示，WPN 已成為惡意廣告的主要、且缺乏保護的傳播向量，對使用者隱私與安全構成嚴重威脅。