Что нужно знать об Антифроде перед вбивом

[Forum Library]

В этой теме я бы хотел рассмотреть как можно идентифицировать пользователя, работу оператора, как нужно анализировать шоп.

1) Начнём с методов идентификации пользователей.

Зачем нужна идентификация? В общем случае - чтобы понять, был ли этот человек на сайте, на каких сайтах он был, чтобы давать контекстную рекламу. В частном случае - чтобы не давать кардерам делать их чёрные дела.
Многие слышали, об идентификации Canvas Fingerprint.
Вот его критерии:

[+] Canvas Fingerprinting

• UserAgent
• Language
• Color Depth
• Screen Resolution
• Timezone
• Has session storage or not
• Has local storage or not
• Has indexed DB
• Has IE specific 'AddBehavior'
• Has open DB
• CPU class
• Platform
• DoNotTrack or not
• Full list of installed fonts (maintaining their order, which increases the entropy), implemented with Flash.
• A list of installed fonts, detected with JS/CSS (side-channel technique) - can detect up to 500 installed fonts without flash
• Canvas fingerprinting
• WebGL fingerprinting
• Plugins (IE included)
• Is AdBlock installed or not
• Has the user tampered with its languages 1
• Has the user tampered with its screen resolution 1
• Has the user tampered with its OS 1
• Has the user tampered with its browser 1
• Touch screen detection and capabilities
• Pixel Ratio

Отпечаток составляется из всех этих параметров. Каждый параметр имеет допустимую погрешность, то есть если вы измените только 1 из этих параметров, существенно ничего не изменится (кроме версии браузера, самой версии операционной системы). Допустим я изменил Timezone, общий отпечаток не поменяется, ровно как и включу или отключу я DoNotTrack, тем более они имеют маленький вклад в сам отпечаток. Однако поменяй я несколько параметров, да ещё и установлю Microsoft Office (сам офис не нужен, нужны лишь шрифты, которые идут в комплекте с ним), фингерпринт изменится.

Какие параметры нужно изменять, чтобы добиться изменения фингерпринта?
1) Версию браузера
2) Сам браузер, с хрома на фаерфокс к примеру
3) Версию винды
4) Шрифты (пакет офиса)
5) Плагины.
Каждый из первых трёх параметров изменяет фингерпринт, остальные два лишь в совокупности (не считая языка, таймзоны, разрешения экрана, глубины цвета и т.д. которые вносят очень маленький % в отпечаток и по сути он вряд ли будет изменяться)

Ещё я бы хотел сказать пару слов о WebGl, многие в курсе, что он способен определить имя драйвера графической карты, но не все в курсе, как его изменить.

Сайт https://www.browserleaks.com/webgl
Не очень, правда? Так могут легко узнать, что мы сидим с виртуалки.
Изменить это несложно, пишем в поиске regedit.
Пишем в поиске название нашей видеокарты, в моём случае SVGA 3D
Затем ищем параметр DriverDesc и изменяем его правой кнопкой мыши, Modify

Пишем, что хотим ) Но лучше реальную модель

После этого перезагружаемся и вуаля

По идентификации я упомяну ещё в конце этой статьи, когда будем разбирать анализ сайта.

2) Работа оператора

После того, как мы всё сделали и видим надпись order processing есть два пути развития событий, в зависимости от того, сколько у нас RiskScore 1) автоматическое подтверждение 2) подтверждение оператором.

В первом случае радуемся. Во втором случае оператор будет смотреть что мы купили (товары в зоне риска), нашу историю (когда мы заходили), дату регистрации, активность (тот самый разогрев шопа), правильность адреса (как написан и что там вообще стоит на карте), время покупки (ночь или рабочее время), совпадение OS, чистоту IP, расстояние между IP и адресом холдера и много других параметров. Параметры могут разниться в зависимости от шопа, вот примерный список.

[+] Potential fraud

1. IP address checks (Проверка IP адреса на блек)
2. Country Match (Совпадает ли страна, указанная в Биллинге с IP?)
3. High Risk Country (Страна с выс. уровнем фрода? Индия, Россия например)
4. Distance between IP and billing locations (Расстояние между IP и адресом Биллинга)
5. City Name
6. Region Code
7. Region Name
8. Country Code
9. Country Name
10. Continent Code
11. Latitude/Longitude (Гео координаты)
12. US Postal Code
13. Time Zone
14. AS Number (Не знаю что это)
15. User Type (Браузер)
16. Connection Type (Тип соединения - прокси например)
17. Domain Name (Домен)
18. ISP/Organization (Провайдер)
19. Accuracy Radius (Точность определения)
20. Country Confidence Factor (Проверка совпадения страны)
21. Region Confidence Factor (То же самое по региону
22. City Confidence Factor (Совпадения города)
23. Postal Code Confidence Factor (Почтового кода)
24. Proxy Detection
25. Anonymous Proxy
26. Open Proxy
27. Corporate Proxy
28. Email Checks
29. Free Email (Указана бесплатная почта?)
30. High Risk Email (Почта в спам листе?)
31. Issuing Bank Number (BIN) Checks
32. BIN Country Match
33. BIN Country Output
34. BIN Name Match (Проверка совпадения имени КХ)
35. BIN Name Output
36. BIN Phone Match (Проверка номера телефона)
37. BIN Phone Output
38. BIN Prepaid Output (Предоплаченная карта?)
39. Address Check (Проверка AVS)
40. High-risk shipping address (Адрес посреда?)
41. Risk Score

Так же стоит подбирать туннель/носок, так, чтобы было совпадение OS.

Теоретически можно посмотреть на какие сайты заходил пользователь, по запросу Js. Допустим, если мы логинились на Facebook'e, то это вызовет большее доверие, несомненно. Но эта инфа недостоверная, поэтому заморачиваться или нет дело только Ваше.

Сам оператор тоже человек и безусловно может распознать поведение присущее кардеру, как уже много раз говорили, стоит вести себя как обычный покупатель и продумывать всё до мелочей, даже пожелание к покупке стоит писать.

3)После того, как мы нашли шоп, с которым хотим "работать", желательно узнать, какие запросы он отправляет. Для этого нам поможет расширение Chameleon (ссылка https://github.com/ghostwords/chameleon)
Устанавливаем его и проходим все этапы от регистрации до покупки, и смотрим, какие запросы он отправляет.

Это нам поможет узнать, что же от нас хочет шоп, и как под него подстроиться и узнать наличие фингерпринта.

Я попытался кратко рассмотреть фингерпринт, идентификацию пользователя как таковую и операторскую работу, конечно всё это может разниться в зависимости от шопа, в некоторых фингерпринта и вовсе нет.

Все эти технические составляющие, такие как настройка системы. замыкание на себя (webrtc), поиск чистого туннеля, важны, но так же на успешность вбива безусловно большое влияние оказывает сам банк. Есть бины, которые находятся в "чёрном списке"(неактуальные). Так же сам банк может отменить оплату, если, допустим, заметит подозрительную активность.

Главное быть не как все (кардеры), но одновременно как все (обычные покупатели).

 

[Carder]

Антифрод при вбиве​

Данная статья будет как Альма-матер для новичков, поэтому присаживаемся поудобней и внимательно читаем следующую информацию.

Будем разбирать всё по порядку от А до Я и начнём мы с первого знакомства шопа с ВАМИ.

Определение Системы:

Как только вы перешли по ссылке на сайт, антифрод сразу же сканирует показатели вашего железа, а именно:

• UserAgent - клиентское приложение, использующее определённый сетевой протокол (подробнее на википедии).
• Браузер + его версию
• Язык системы (Language) + Язык раскладки клавиатуры
• Color Depth - Глубина цвета монитора.
• Screen Resolution - Разрешение экрана
• Timezone - Часовой Пояс
• Сохранена ли сессия в браузере
• Класс центрального процессора (CPU class)
• Платформа железа (подробнее в википедии)
• Включен DoNotTrack или нет
• Полный список установленных шрифтов (поддержание их порядка, что увеличивает энтропию), реализованных с помощью Flash.
• Список установленных шрифтов, обнаруженных с помощью JS / CSS (метод боковых каналов) - может обнаружить до 500 установленных шрифтов без flash-памяти
• Отпечаток (он же fingerprint) Canvas
• Отпечаток WebGL
• Установленные ли плагины и аддоны, если да то какие
• Стоит AdBlock или нет
• Обнаружение сенсорного экрана и возможности
• Pixel Ratio - Соотношение пикселей

Так же важен источник откуда вы перешли на сайт и сама ссылка, так как она зачастую с utm метками. То есть прямой переход с google по названию сайта не даёт вам привилегий, будет цениться переход по поисковому запросу определенного товара или же переход с сайтов с купонами к данному шопу.

IP Адрес:

Важным показателем для антифрода является ваш ip и dns адреса, наличие айпишника в блек-листах, ваш пинг, proxy score, risk score (от maxmind).

Proxy Score — вероятность использования прокси

Risk Score — это показатель количества фродовых операций с данного IP адреса.

Чем меньше эти показатели и чем ваш ip чище — тем меньше вам накидывается очков фрода.

Прогрев Шопа:

Все шопы, кроме самых дырявых используют cookie и это тоже влияет на успех вбива. К примеру у вас в куках есть 50+ результатов поиска Микроволновки, но вы заходите на амазон заказывать iphone последней модели. К такому ордеру фрод будет повышен. Если же вы будете искать ту же Микроволновку, то лояльность фрода к вам будет выше.

Перед самим вбивом нужно прогреть шоп (набить куки), имитирую обычные действия покупателя, например: полазить по интересующим категориям, поискать нужный вам товар от разных производителей, прочитать отзывы к каждому товару и оставить о них фидбек был ли полезен отзыв или нет, сверить характеристики нескольких товаров, прочитать правила и политику конфидециальности сайта, по возможности пообщаться в чате и пролистать faq, при этом последние действия делать стоит уже после того как вы набили куки с поиском нужного вам товара.

После того как мы прогрели шоп 15-60 минут (в зависимости от фрода шопа соответственно) мы либо даём отлежаться аккаунту сохранив все куки и заходим через 3-4 часа или через 2-3 дня делать ордер или же приступаем к заказу сразу (зависит от суммы вбива + сложности антифрода).

Крупные шопы как amazon смотрят так же на дату регистрации аккаунта и историю покупок. Поэтому вероятность сразу же вбить дорогой товар приближена к 0.

Процесс Вбива:

Как только мы прогрели шоп и определились с товаром, который будем заказывать — переходи на страницу checkout’а и на ней регистрируемся (желательно если будем делать вбив позже) или же продолжаем как «гость».

Вводим наш billing и shipping адреса и затем выбираем оплату будь-то CC (Credit Card) или же палка (Paypal) и проводим оплату.

Теперь разберёмся на что палит антифрод на checkout странице:

• 1. Дистанция между billing и shipping адресами. Чем больше дистанция — тем больше фрод очков.
• Shipping отличается от Billing’a — есть шопы которые не шлют на различный адрес от биллинга и ваш ордер автоматически канселится. Если же шипает то учитывается дистанция между адресами, то есть если вы бьёте с New York в Los Angeles то скорее всего такой пак отменят либо прозвонщику придётся придумывать историю.
• Сумма ордера (у каждого шопа свой средний чек, что и служит нормой)
• Количество позиций
• Ликвидные товар и популярные размеры, цвета — то есть если мы заказываем с Sale трусы размера XXL то очков фрода не будет, а если заказываем куртку размера L из категории BESTSELLING то тут понятно, что они будут.
• Количество попыток успешной транзакции — то есть если вы ввели 10 карт подряд и у вас не провело транзакцию — соответственно вам начисляются фрод очки.
• Домен вашего email. Использовать почтовый ящик нужно той же страны что и шопа, или же юзать gmail.

Внимание! Если мерч шопа с AWS то соответственно проходит сверка billing адреса, что вы ввели на сайте и billing'а по карте. Если вбиваете ЕУ матом, где нет AWS, то антифрод отобразит, что не удалось произвести сверку биллинга - это как правило перекинет ордер с авто процессинга на ручную проверку и менеджер уже отталкиваясь от очков фрода будет принимать решения отправлять пак или нет.

 

[Carding 4 Carders]

Внесу свою лепту по фингерпринту:
https://chrome.google.com/webstore/detail/canvasfingerprintblock/ipmjngkmngdcdpmgmiebdmfbkcecdndc
https://addons.mozilla.org/en-us/firefox/addon/canvasblocker/
и он каждый раз уникальный ) на здоровье.
Я бы скорее добавил сюда Disconnect, работает быстрее и позволяет мониторить вообще все запросы
https://chrome.google.com/webstore/detail/disconnect/jeoacafpbcihiomhlakheieifhpjdfeo

Если не ошибаюсь, он уникальный при каждом обновлении страницы, это не есть хорошо. Т.к. все изменения, будь то фингерпринта, фиксируются в истории твоего акка. Подобная система, если я опять же не ошибаюсь в антике (сам им не пользовался).

Я пользовался им на одном сайте, когда идет запрос на фингерпринт там загоралась иконка плагина этого, на сайте которым пользовался я, этот запрос делался один раз.
В плагинах - да. В антике - и динамик и фикс. В антике других косяков хватает.
И да - есть шопы, где он стоит только на странице оплаты.

вывод напрашивается один- работать через деды. гуру поправьте если не прав..

Не гуру, но есть и антидетект, ну и для некоторых шопов можно и виртуалку использовать иногда.
Дед дедy рознь. Бывают виртуалки, бывают грязные. Некоторые мерчи палят открытые порты.

Вопрос по работе оператора, если материал европейский, то имя кх он сверить не может? Только цифровые данные карты?

Не может. Только если будет запрос в банк. А по Европе, если не ошибаюсь, по телефону большинство банков инфу не дают, только письменный запрос. Короче не заморачивайся по поводу имени КХ )

для хрома: chameleon
для лисы: ghostery

ТС про Канвас описал полный бред. Те критерии относятся к фингерпринту, а не к канвасу, и копировать их просто с Гитхаба было глупо, откуда ты и взял почти всю инфу. Канвас так и будет оставаться не измененным, Канвас это как такой пункт на который ссылается фингерпринт, где из всех этих пунктов он составляет определённый ID - fingerprint . А плагин который меняет канвас где линк выше дали, у меня к примеру не работает. Про плагин хамелеон для Хрома я писал уже, и упоминали его ни раз другие мемберы, ТС вообще видимо статьи не читает. Ааа и да, при любом изменении фингерпринт меняется, если же проверять его на сайтах, то там обычно идёт запоминание и присваивание фингерпринта не сразу по всем сразу параметрам, но обычно он так и используется в антифродах, так что смена IP, UserAgent'a уже сменит фингерпринт.

Так он и писал про изменение отпечатка, а не канваса. Канвас по сути является холстом, на который выводят определенное изображение.
Но и сам канвас можно изменить, меняя библиотеки. При изменении версии винды, версии браузера, самого браузера будет меняться отпечаток, т.к. будут меняться библиотеки, ответственные за прорисовку изображения.
Взял я критерии из гитхаба, да, т.к. они там полные и сам разработчик выложил их туда. Не ссылался я на, допустим, https://www.browserleaks.com/canvas, потому что там список критериев скуден. Конечно, они, критерии, могут разниться, в зависимости от шопов, но тем не менее, уж лучше выложить полный список, чем обрезанный.
Про плагин да, его много раз упоминали, но не добавить его в эту статью было бы грех, ведь он очень дополняет статью про фингерпринт и антифрауд.
Не при любом изменении меняется фингерпринт, нет, в лекции, разработчик Canvas Fingerprinting рассказывал о том, что каждый параметр имеет процентный вклад и допустимую погрешность, допустим изменив глубину цвета, Вы не добьетесь изменения фингерпринта. Юзер агент, если имеется в виду сам браузер или его версия, то да.

какой раз убеждаюсь, что лучше всего работать все же с деда, меньше гемора и меньше шансов, что что-то упустишь

90 % дедов виртуалки с айпи хостеров
Проверка ip на принадлежность к хостинг провайдеру одна из основных