Мрежата от headless браузъри PaperPhone използва 75 000 IP адреса и фалшифицирани мобилни самоличности в 43 държави

PaperPhone е голяма мрежа от headless браузъри, създадена да кара автоматизираните уеб заявки да изглеждат като обикновен мобилен трафик. Тя не разчита на един-единствен очевиден източник.

Вместо това тя разпространява активността си сред хиляди адреси, като същевременно многократно представя фалшифицирани самоличности на телефони и браузъри. Операцията разкрива слабости в елементарните защити, базирани на IP адреси.

Уебсайтовете, изправени пред този трафик, могат да видят заявки, които изглежда пристигат от десетки държави, което прави блокирането по местоположение и еднократните забрани на адреси значително по-малко полезни. Мрежата е наблюдавана по време на двуседмичен период, въпреки че нейната инфраструктура може да е съществувала и по-рано.

Анализаторите на CrowdSec идентифицираха PaperPhone, след като събраха бот сигнали след актуализация за откриване от 31 август. Техният доклад от 29 септември подробно описва констатациите.

От CrowdSec съобщават в доклад, споделен с Cyber Security News (CSN), че активността е включвала 75 000 IP адреса в 230 IP блока и 43 държави. Докладът описва мащабно извличане на данни (scraping), а не потвърдена инфекция със зловреден код или пробив в данните.

Констатациите му надграждат върху разграничението, обяснено в указанията за тестване на отпечатъци на браузъра (browser fingerprinting), където характеристиките на браузъра разкриват разлики между автоматизираните среди и реалните устройства. CrowdSec не идентифицира конкретни жертви, откраднати масиви от данни или финансови загуби.

Мрежа от headless браузъри PaperPhone

Привидният глобален отпечатък не отразява потребители или устройства по целия свят. Изследователите установиха, че пиковете на заявките от далечни страни се движат заедно въпреки големите разлики в часовите зони.

Трафикът, приписван на Япония и Съединените щати, е нараствал в близко свързани времена, както и трафикът, представен като идващ от Австралия и Канада.

Това съвпадение във времето подсказва централна координация, а не независимо разглеждане. 230-те блока са били предимно /24 диапазони в 80 мрежи. Много от тях вече са били разпознати като инфраструктура на центрове за данни, вместо като жилищни проксита (residential proxies).

За разлика от операцията с прокси ботнет SystemBC, това разследване не установява, че сървърите са били компрометирани. Собствеността върху адресите и геолокационните записи също повдигат въпроси.

Даден диапазон може да има подробности за регистрация, управление и заявено местоположение, които сочат към различни региони. Съседни диапазони са били представени като намиращи се в градове от Брюксел до Банкок, Токио и Париж, създавайки изкуствена географска картина.

Повече от 20% от наблюдавания клъстер е използвал M247 като транзитен доставчик, въпреки че нито един от изброените блокове не принадлежи на този доставчик. Много блокове са били използвани с пълния си капацитет по време на извличането на данни.

Защитниците трябва да оценяват поведението на диапазоните от адреси, вместо да третират всеки IP адрес като несвързан. Тази транзитна връзка не установява авторство на оператора. Изследователите също така са наблюдавали ротация на адреси, след като многократни неуспешни проверки (challenges) са довели до забрани.

Това поведение помага да се обясни защо броят на откритите адреси е нарастнал с течение на времето: както разширяващата се телеметрия, така и цикличното сменяне на адреси са повлияли на картината. Ето защо най-ранните наблюдения отбелязват повишена видимост, а не задължително началото на операцията.

Фалшифицирани мобилни самоличности

PaperPhone е преминавал през 13 заявени самоличности на устройства, включително пет Android устройства и седем варианта на iOS. Въпреки това всеки наблюдаван бот е отчитал един и същ изгледен прозорец (viewport) от 375×812.

Този размер съвпада с площта на дисплея на iPhone 10 или 11, а не с разнообразните устройства, които мрежата твърди, че представлява. Браузърите също така са разкрили Google SwiftShader чрез полето за WebGL рендериране — софтуерен графичен визуализатор, който обикновено се свързва със системи, лишени от хардуерно ускорение.

Това е трудно да се съвмести с новите Android устройства, посочени в трафика, включително моделите Pixel 9 и Samsung Galaxy S25 Ultra, или със заявените сесии с iOS 14 и iOS 15.

Тези противоречия показват защо държавата, user-agent съобщението или репутацията на IP адреса сами по себе си не могат да установят легитимност. Организациите трябва да съпоставят обема на заявките, ротацията на адресите, изгледния прозорец на браузъра, графичното поведение, заявените устройства и неуспешните проверки.

Важността на тези сигнали се появява и при техниките за избягване на отпечатъци на браузъра при macOS, където атакуващите проверяват посетителите, за да скрият зловредно съдържание.

SwiftShader използва процесора за чертаене на графика вместо специализиран графичен чип. CrowdSec разтълкува комбинацията като доказателство за автоматизация, базирана на Chrome без хардуерно ускорение, а не за автентични сесии от телефоните, рекламирани в самоличностите на браузъра.

Констатациите подчертават ограниченията на географското блокиране и забраните на индивидуални адреси. Разглеждането на времето на заявките заедно с характеристиките на браузъра осигурява по-пълна картина от етикетите за местоположение самостоятелно.

За този клъстер синхронизираната активност, идентичните размери на дисплея, софтуерното рендериране и концентрираната собственост върху адресите разкриха автоматизацията под уж разнообразните мобилни посетители.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване на имена или активиране на хипервръзки. Възстановете оригиналния формат само в рамките на контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.