A operação de fraude publicitária Papyrus foi identificada por analistas da IAS, utilizando aplicativos de leitura de ficção serializada como cobertura para atividades maliciosas em segundo plano. Enquanto os usuários leem, o aplicativo abre sites ocultos e gera tráfego falso, simulando cliques e rolagens para monetização indevida.
Descoberta e escopo da operação
A campanha foi detectada em um cluster de aplicativos de leitura de romances, onde a IAS identificou que a operação era direcionada por servidores de comando e controle remotos. O esquema aproveita sessões de leitura longas, dando aos operadores tempo suficiente para executar atividades de navegador ocultas. O modelo ecoa outras operações de fraude de navegador oculto, onde experiências móveis legítimas mascaram atividade publicitária automatizada.
A operação foi projetada para carregar destinos monetizados, fazer cliques e simular rolagens enquanto o aplicativo visível continua parecendo normal. O impacto vai além de alguns carregamentos de página indesejados. A IAS encontrou mais de 800 domínios associados e quase 8.000 valores de host únicos, estimando que a operação possa ter produzido cerca de 1 milhão de dólares em impacto de monetização mensal no seu pico.
Mecanismos de ocultação e execução
No centro do Papyrus está uma camada de orquestração chamada BootNova. Após o início de um aplicativo, ele entra em contato com infraestrutura remota para instruções sobre se deve executar, quais destinos carregar, quantas visualizações de navegador abrir e como elas devem se comportar. Os operadores também podem alterar o tempo, o direcionamento por localização, as configurações de retransmissão e as regras de interação sem emitir uma atualização do aplicativo.
O BootNova usa trabalhadores chamados WebViewOut para criar visualizações de navegador ocultas atrás da interface normal do aplicativo. Um componente chamado CWebViewPlugin mantém as visualizações anexadas à estrutura da tela, mas fora da vista, às vezes abaixo de uma camada de cobertura adicional. O leitor vê um livro, enquanto as páginas da web podem carregar por baixo dele.
A operação usa então código incorporado no aplicativo e scripts fornecidos por seus servidores para interagir com essas páginas. Ela pode capturar coordenadas de toque, copiar toques para o navegador oculto, rolar páginas, fechar anúncios e lidar automaticamente com prompts de consentimento. Um módulo rotulado RsaUtils obscurece o endereço de comando e controle embutido e as mensagens do servidor usando codificação Base64 e deslocamento de caracteres.
Impacto financeiro e operacional
O Papyrus não apenas inflaciona visitas. Seus módulos de clique e rolagem são construídos para fabricar os sinais frequentemente tratados como evidência de atenção do usuário. A IAS observou "receitas de movimento" que podem definir locais de clique, intervalos de rolagem, atrasos, escolhas de navegação e coordenadas de fechamento de anúncios, com controles de probabilidade usados para variar os padrões.
Essa variação torna a atividade menos repetitiva, mas não a torna real. Na pesquisa, o tráfego do Papyrus registrou uma taxa de sucesso de clique quase 25 vezes maior, eCPM aproximadamente quatro vezes maior e pontuações de atenção cerca de 13% mais altas do que o tráfego não-Papyrus. O resultado é uma imagem distorcida de onde as pessoas estão realmente se envolvendo.
Esse risco importa porque os sistemas de campanha podem otimizar o tráfego que parece ter o melhor desempenho. Um clique ou rolagem fabricado pode direcionar gastos, relatórios e entrega futura na direção errada.
Medidas de mitigação recomendadas
Os anunciantes devem examinar saltos incomuns nas taxas de clique, sinais de atenção ou valor de fontes de aplicativos e web particulares, e devem validar o tráfego nas camadas de aplicativo, navegador, destino e hostname. Eles também devem usar controles de tráfego inválido que podem bloquear o fornecimento ruim conhecido, em vez de confiar apenas em métricas de engajamento de nível superficial.
Para os usuários, o aviso prático é mais simples: instalar aplicativos de leitura e entretenimento de fontes confiáveis, revisar permissões e remover aplicativos que mostram drenagem de bateria inexplicável, uso de dados ou comportamento intrusivo. A lição mais ampla do Papyrus é que uma experiência de front-end convincente pode ocultar atividade que beneficia outra pessoa.
Perguntas frequentes
Como identificar aplicativos afetados? Observe comportamentos incomuns como aquecimento excessivo do dispositivo, uso de bateria rápido ou tráfego de dados alto quando o aplicativo está em uso ou inativo.
É necessário desinstalar imediatamente? Sim, se o aplicativo não for de uma fonte confiável ou apresentar comportamento suspeito, a remoção é recomendada.
O que os CISOs devem fazer imediatamente
Equipes de segurança devem monitorar tráfego de rede incomum originado de dispositivos móveis corporativos e revisar políticas de instalação de aplicativos. A validação de tráfego publicitário deve incluir verificações de integridade de dispositivo e análise de comportamento de aplicativos.