5g电信网络反诈技术应用研究

5g电信网络反诈技术应用研究

在黑色欺诈产品链中有许多重要因素，如电话运营商、心理专家、抽屉、洗钱、黑客、材料经销商、数字经销商等。未来，5g的反欺诈斗争将集中在这些重要因素上。主要方向是非法收集公民个人隐私管理（深度应用分析），管理欺诈相关信息传播渠道（goip、voip、dukabao）和各种欺诈管理工具（包装平台、销售平台、网站建设、应用模型、cc客服、电子邮件平台）。商品网卡被用作热访问等欺诈对策的手段。本文就APP深度解析、GOIP/VOIP治理、多卡宝治理、物联网卡治理等四个方面进行探讨分析。1app数据泄露风险为满足5G时代海量链接、大带宽、低时延的应用场景，分门别类的APP将呈爆发增长，一方面给我们带来生活工作便利和新的生机活力，另一方面却也带来大量移动APP监管困难、防控薄弱、数据无边界等隐藏的安全风险。以前有报道，一些专职APP打包党通过对来自各个渠道的apk进行破解，反编译，之后再加入广告，病毒，重新包装投放市场，不知情的用户将携带病毒的apk下载下来使用，不仅个人数据容易泄露，财产更是受到威胁。因此5G时代聚焦涉诈APP的源头治理是非常有必要的，我们可以汇聚各类渠道的APP进行全维度深度解析，建立丰富的APP情报库，对海量APP进行关联分析、信息挖掘和情报扩展。APP深度解析的步骤如下：1.1app加固检测APP加固是一种反编译、调试、破解的技术，为APP增加一层保护；而APP脱壳则是将加上去的保护去掉，以便将APP破解。因此我们在分析APP前需要先进行加固方式的检测：分析各个主流加固厂商的加固方法，提炼相关固定的加固特征，通过扫描样本中是否出现这类特征来准确地判定和输出APP加固方式。APP加固目前主要有以下两种方式：(1)dex整体加密：将加密后的文件以单独文件存放或者掺杂到壳dex、解密so文件中，运行时首先运行壳的application，然后将加密后的dex文件内存解密直接内存加载运行；(2)smali指令抽取加密：通过修改dex文件结构，清除原有的类方法代码，增加壳代码，运行的时候动态解密类方法代码。常见的APP加固有360、阿里、爱加密、百度加固、梆梆加固、娜迦加固、腾讯加固、通付盾加固、网秦加固等。1.2传统的dex文件结构本文推荐基于虚拟机的通用脱壳方案，采用定制的安卓系统镜像执行加固应用，应用运行时会在某一阶段解密执行原始dex或还原原始的类方法，定制的系统此时会dump关键的dex文件结构以及关键的类代码数据，然后经过一定的修补还原为原始的dex。采用这种方案目前能够对主流的非商业版、部分商业版本的APP能够实现自动脱壳，如腾讯加固脱壳、360加固脱壳、梆梆加固脱壳、爱加密加固脱壳、顶象加固脱壳、几维加固脱壳、普通加密样本脱壳（无厂商）。1.3恶意代码检测利用机器学习理论检测恶意代码，主要采用数据挖掘中的分类技术，通过学习恶意代码和正常代码的特征来发现有关的模式，并可以利用这些模式进行相似性搜索以发现含有类似模式的恶意代码，不仅能够在未被感染前检测出未知恶意代码，对于模糊变换的恶意代码也有较高的检测率，是恶意代码检测发展的重要方向。传统的恶意APP分析方式主要是依赖静态、动态沙箱提取已有样本的代码和行为特征，依据经验确定识别规则，而规则的有效性缺乏论证。先验规则只能检测特征库已收录的恶意程序，无法识别未知的恶意样本。模型强调在线学习、自更新主要是为了解决病毒样本因升级换代、受到管控打击等原因更新太快，特征变化太大，离线训练的模型失效较快的问题。基于反馈结果，每当模型偏差达到预设的条件，则在线重新启动训练并升级模型。1.4多层度应用安全检测和评估1.4.1s，sgAndroid系统的权限的安全级别分为：Normal,Dangerous,Signature和Signatureorsystem四种。因此在对APP权限滥用检测的同时，可以通过对应用程序所申请的权限，根据不同的安全级别及安全行为进行聚类来对应用程序进行恶意性评估、权限滥用评估。1.4.2隐私政策获取主要是检测隐私政策中所涉及的用户信息，是否和APP代码和权限涉及的用户信息对应，从而判断APP是否获取用户隐私政策之外的用户信息。如图1所示。针对隐私政策的获取，可以通过人工操作APP点击隐私政策，沙箱自动获取隐私政策，更加全面的触发APP的各类业务。如图2所示。关键技术点有：(1）动态沙箱自动提取隐私政策文件；(2）动态沙箱人机交互提取隐私政策文件；(3）隐私政策文件解析。1.5https交互数据的解密获取HTTPS数据交互明文，识别APP是否存在敏感数据获取，以及具体获取了哪些敏感数据。HTTPS解密示意图如图3所示。1.6基于大数据的非法数据开发与相关性分析1.6.1app数据动态挖掘根据已经掌握的大量APP，可以将这些APP作为研判分析的输入对象，通过APP数据挖掘研可以将APP中的线索邮箱、手机号、通联地址等线索信息分析并提取出来，这些线索信息可以通过系统展示给用户，以APP为主体进行展示。1.6.2大数据关联分析大数据关联分析引擎是以事件为核心，传播途径和诈骗手法的多样性决定了需要以安全事件为核心串联各业务安全事件才能实现对抗，将不同业务的安全事件串联起来，通过业务之间的关系缩小分析范围，目标更明确；通过不同业务之间的特征提取，完善各业务特征库。大数据关联分析主要解决三个问题：(1）大海捞针，因为数据的用量太大，所以分析这些数据需要大量的时间和资源，为了通过业务之间的关系缩小分析范围，目标更明确，节省资源和事件；另外，多数恶意软件代码结构、加密手段、控制指令都非常相近，区别往往在于控制端邮箱和手机号不同。约90%的样本可以明显的归到10个以内的恶意家族中。(2）完善特征，单业务的快速分析依赖积累的特征数据的规模，通过不同业务之间的特征提取，可以完善各业务特征库；(3）对抗需求，无论是恶意程序还是通讯信息诈骗，都已形成黑色产业链，传播途径和诈骗手法的多样性决定了需要以安全事件为核心串联各业务安全事件才能实现对抗。2goip诈骗GOIP无线语音网关主要用于连接移动运营商蜂窝通信与IP网络，实现移动运营商蜂窝网与IP网络的上下车，使用H.323标准、SIP标准等。市场上的GOIP网关品牌包括：OpenvoxVoxStack、DBL(得伯乐)GOIP网关、ACOM网关、Dinstar(鼎信通达)无线语音网关等。5G环境中，GOIP设备也将赋予新的生命，设备的使用将更加便捷和低廉，这也将加剧GOIP设备成为违法犯罪工具的风险。通过关键节点和业务流程监测分析法，主动/被动发现GOIP设备，将精确地检测GOIP设备违法犯罪行为。GOIP诈骗点监测关键点包括：(1）诈骗份子通过家庭宽带/互联网拨打VOIP电话（多在国外）；(2）通过VOIP平台与GOIP网关交互；(3）通过GOIP设备“内置”的SIM卡使用运营商网络实施诈骗。业务流程大致为：诈骗份子→VOIP呼叫→VOIP平台→GOIP网关→电信网→被叫用户。因此，建议基于诈骗类型、号码行为特征、号码特征、号码活跃特征、号码社交网络、行为事件流、地域等多维度数据搭建大数据分析模型，利用聚类分析、随机森林、梯度决策树等方法进行分析，同时，对每一种诈骗类型进行维度和权重评估。分析模型可设计如图4所示。3手机app连接多卡宝是基于互联网，允许同时插入多张不同运营商的SIM卡，并且保证多张SIM卡同时在线以满足客户多卡一机的设备。用户可以将多张通讯SIM卡插入多卡宝，并通过手机APP与设备连接，从而解决用户多卡一机的问题，连接成功后可异地操作拨打电话等。原本是解决手机用户多卡多待问题的多卡宝，到了犯罪分子手里却成了一种新型诈骗工具，电信网络诈骗团伙往往会利用“多卡宝”等设备建立“服务点”，为境外网络诈骗犯罪团伙提供话务技术支持。针对多卡宝诈骗的治理，首先多卡宝公司针对反诈骗反骚扰进行限制。此外，可以提取针对多卡宝相关规则，通过APP识别来确定用户是否使用多卡宝，可针对本地全网进行监测预警，多管齐下针对多卡宝进行综合治理。4物联网卡的使用5G是物联网发展的温床，在物联网流量卡使用量大幅度增长的同时，在物联网红利关口下蔓延而出的各种物联网流量卡骗局也开始在社会上泛滥。物联卡作为物联网技术的核心被广泛使用于自动售卖机、移动支付、垃圾分类等无线终端设备，与此同时因使用需求，针对物联网卡出了资费非常便宜的单一流量卡，又因为无需实名认证，更是让物联网卡成为了网络诈骗的新工具。针对物联网卡的治理可通过对物联网卡号码归属属性、使用位置属性、使用频率、通信协议等属性以及是否包含语音，通信地址，是否滥用等特征进行分析，实现对物联网卡违法犯罪行为的动态检测，并面向5G场景进一步丰富分析与监测场景。5g反诈场景分析