Что нужно знать об Антифроде перед вбивом

Friend

Friend

Professional
Messages
2,653
Reaction score
841
Points
113
В этой теме я бы хотел рассмотреть как можно идентифицировать пользователя, работу оператора, как нужно анализировать шоп.

1) Начнём с методов идентификации пользователей.

Зачем нужна идентификация? В общем случае - чтобы понять, был ли этот человек на сайте, на каких сайтах он был, чтобы давать контекстную рекламу. В частном случае - чтобы не давать кардерам делать их чёрные дела.
Многие слышали, об идентификации Canvas Fingerprint.
Вот его критерии:

[+] Canvas Fingerprinting
  • UserAgent
  • Language
  • Color Depth
  • Screen Resolution
  • Timezone
  • Has session storage or not
  • Has local storage or not
  • Has indexed DB
  • Has IE specific 'AddBehavior'
  • Has open DB
  • CPU class
  • Platform
  • DoNotTrack or not
  • Full list of installed fonts (maintaining their order, which increases the entropy), implemented with Flash.
  • A list of installed fonts, detected with JS/CSS (side-channel technique) - can detect up to 500 installed fonts without flash
  • Canvas fingerprinting
  • WebGL fingerprinting
  • Plugins (IE included)
  • Is AdBlock installed or not
  • Has the user tampered with its languages 1
  • Has the user tampered with its screen resolution 1
  • Has the user tampered with its OS 1
  • Has the user tampered with its browser 1
  • Touch screen detection and capabilities
  • Pixel Ratio
Отпечаток составляется из всех этих параметров. Каждый параметр имеет допустимую погрешность, то есть если вы измените только 1 из этих параметров, существенно ничего не изменится (кроме версии браузера, самой версии операционной системы). Допустим я изменил Timezone, общий отпечаток не поменяется, ровно как и включу или отключу я DoNotTrack, тем более они имеют маленький вклад в сам отпечаток. Однако поменяй я несколько параметров, да ещё и установлю Microsoft Office (сам офис не нужен, нужны лишь шрифты, которые идут в комплекте с ним), фингерпринт изменится.

Какие параметры нужно изменять, чтобы добиться изменения фингерпринта?
1) Версию браузера
2) Сам браузер, с хрома на фаерфокс к примеру
3) Версию винды
4) Шрифты (пакет офиса)
5) Плагины.
Каждый из первых трёх параметров изменяет фингерпринт, остальные два лишь в совокупности (не считая языка, таймзоны, разрешения экрана, глубины цвета и т.д. которые вносят очень маленький % в отпечаток и по сути он вряд ли будет изменяться)

Ещё я бы хотел сказать пару слов о WebGl, многие в курсе, что он способен определить имя драйвера графической карты, но не все в курсе, как его изменить.
7c7e954c5d6c62677e65a.png


Сайт https://www.browserleaks.com/webgl
Не очень, правда? Так могут легко узнать, что мы сидим с виртуалки.
Изменить это несложно, пишем в поиске regedit.
Пишем в поиске название нашей видеокарты, в моём случае SVGA 3D
Затем ищем параметр DriverDesc и изменяем его правой кнопкой мыши, Modify

Пишем, что хотим ) Но лучше реальную модель
c59621a62e66a0be4670e.png


После этого перезагружаемся и вуаля
4ee309c24a474926f59ca.png


По идентификации я упомяну ещё в конце этой статьи, когда будем разбирать анализ сайта.

2) Работа оператора

После того, как мы всё сделали и видим надпись order processing есть два пути развития событий, в зависимости от того, сколько у нас RiskScore 1) автоматическое подтверждение 2) подтверждение оператором.

В первом случае радуемся. Во втором случае оператор будет смотреть что мы купили (товары в зоне риска), нашу историю (когда мы заходили), дату регистрации, активность (тот самый разогрев шопа), правильность адреса (как написан и что там вообще стоит на карте), время покупки (ночь или рабочее время), совпадение OS, чистоту IP, расстояние между IP и адресом холдера и много других параметров. Параметры могут разниться в зависимости от шопа, вот примерный список.

[+] Potential fraud
  1. IP address checks (Проверка IP адреса на блек)
  2. Country Match (Совпадает ли страна, указанная в Биллинге с IP?)
  3. High Risk Country (Страна с выс. уровнем фрода? Индия, Россия например)
  4. Distance between IP and billing locations (Расстояние между IP и адресом Биллинга)
  5. City Name
  6. Region Code
  7. Region Name
  8. Country Code
  9. Country Name
  10. Continent Code
  11. Latitude/Longitude (Гео координаты)
  12. US Postal Code
  13. Time Zone
  14. AS Number (Не знаю что это)
  15. User Type (Браузер)
  16. Connection Type (Тип соединения - прокси например)
  17. Domain Name (Домен)
  18. ISP/Organization (Провайдер)
  19. Accuracy Radius (Точность определения)
  20. Country Confidence Factor (Проверка совпадения страны)
  21. Region Confidence Factor (То же самое по региону
  22. City Confidence Factor (Совпадения города)
  23. Postal Code Confidence Factor (Почтового кода)
  24. Proxy Detection
  25. Anonymous Proxy
  26. Open Proxy
  27. Corporate Proxy
  28. Email Checks
  29. Free Email (Указана бесплатная почта?)
  30. High Risk Email (Почта в спам листе?)
  31. Issuing Bank Number (BIN) Checks
  32. BIN Country Match
  33. BIN Country Output
  34. BIN Name Match (Проверка совпадения имени КХ)
  35. BIN Name Output
  36. BIN Phone Match (Проверка номера телефона)
  37. BIN Phone Output
  38. BIN Prepaid Output (Предоплаченная карта?)
  39. Address Check (Проверка AVS)
  40. High-risk shipping address (Адрес посреда?)
  41. Risk Score
Так же стоит подбирать туннель/носок, так, чтобы было совпадение OS.

Теоретически можно посмотреть на какие сайты заходил пользователь, по запросу Js. Допустим, если мы логинились на Facebook'e, то это вызовет большее доверие, несомненно. Но эта инфа недостоверная, поэтому заморачиваться или нет дело только Ваше.

Сам оператор тоже человек и безусловно может распознать поведение присущее кардеру, как уже много раз говорили, стоит вести себя как обычный покупатель и продумывать всё до мелочей, даже пожелание к покупке стоит писать.

3)После того, как мы нашли шоп, с которым хотим "работать", желательно узнать, какие запросы он отправляет. Для этого нам поможет расширение Chameleon (ссылка https://github.com/ghostwords/chameleon)
Устанавливаем его и проходим все этапы от регистрации до покупки, и смотрим, какие запросы он отправляет.
152d2e875e43531484e8c.png


Это нам поможет узнать, что же от нас хочет шоп, и как под него подстроиться и узнать наличие фингерпринта.

Я попытался кратко рассмотреть фингерпринт, идентификацию пользователя как таковую и операторскую работу, конечно всё это может разниться в зависимости от шопа, в некоторых фингерпринта и вовсе нет.

Все эти технические составляющие, такие как настройка системы. замыкание на себя (webrtc), поиск чистого туннеля, важны, но так же на успешность вбива безусловно большое влияние оказывает сам банк. Есть бины, которые находятся в "чёрном списке"(неактуальные). Так же сам банк может отменить оплату, если, допустим, заметит подозрительную активность.

Главное быть не как все (кардеры), но одновременно как все (обычные покупатели).
 
Last edited by a moderator:

Антифрод при вбиве​


Данная статья будет как Альма-матер для новичков, поэтому присаживаемся поудобней и внимательно читаем следующую информацию.

Будем разбирать всё по порядку от А до Я и начнём мы с первого знакомства шопа с ВАМИ.

Определение Системы:

Как только вы перешли по ссылке на сайт, антифрод сразу же сканирует показатели вашего железа, а именно:
  • UserAgent - клиентское приложение, использующее определённый сетевой протокол (подробнее на википедии).
  • Браузер + его версию
  • Язык системы (Language) + Язык раскладки клавиатуры
  • Color Depth - Глубина цвета монитора.
  • Screen Resolution - Разрешение экрана
  • Timezone - Часовой Пояс
  • Сохранена ли сессия в браузере
  • Класс центрального процессора (CPU class)
  • Платформа железа (подробнее в википедии)
  • Включен DoNotTrack или нет
  • Полный список установленных шрифтов (поддержание их порядка, что увеличивает энтропию), реализованных с помощью Flash.
  • Список установленных шрифтов, обнаруженных с помощью JS / CSS (метод боковых каналов) - может обнаружить до 500 установленных шрифтов без flash-памяти
  • Отпечаток (он же fingerprint) Canvas
  • Отпечаток WebGL
  • Установленные ли плагины и аддоны, если да то какие
  • Стоит AdBlock или нет
  • Обнаружение сенсорного экрана и возможности
  • Pixel Ratio - Соотношение пикселей

Так же важен источник откуда вы перешли на сайт и сама ссылка, так как она зачастую с utm метками. То есть прямой переход с google по названию сайта не даёт вам привилегий, будет цениться переход по поисковому запросу определенного товара или же переход с сайтов с купонами к данному шопу.

IP Адрес:

Важным показателем для антифрода является ваш ip и dns адреса, наличие айпишника в блек-листах, ваш пинг, proxy score, risk score (от maxmind).

Proxy Score — вероятность использования прокси

Risk Score — это показатель количества фродовых операций с данного IP адреса.

Чем меньше эти показатели и чем ваш ip чище — тем меньше вам накидывается очков фрода.

Прогрев Шопа:

Все шопы, кроме самых дырявых используют cookie и это тоже влияет на успех вбива. К примеру у вас в куках есть 50+ результатов поиска Микроволновки, но вы заходите на амазон заказывать iphone последней модели. К такому ордеру фрод будет повышен. Если же вы будете искать ту же Микроволновку, то лояльность фрода к вам будет выше.

Перед самим вбивом нужно прогреть шоп (набить куки), имитирую обычные действия покупателя, например: полазить по интересующим категориям, поискать нужный вам товар от разных производителей, прочитать отзывы к каждому товару и оставить о них фидбек был ли полезен отзыв или нет, сверить характеристики нескольких товаров, прочитать правила и политику конфидециальности сайта, по возможности пообщаться в чате и пролистать faq, при этом последние действия делать стоит уже после того как вы набили куки с поиском нужного вам товара.

После того как мы прогрели шоп 15-60 минут (в зависимости от фрода шопа соответственно) мы либо даём отлежаться аккаунту сохранив все куки и заходим через 3-4 часа или через 2-3 дня делать ордер или же приступаем к заказу сразу (зависит от суммы вбива + сложности антифрода).

Крупные шопы как amazon смотрят так же на дату регистрации аккаунта и историю покупок. Поэтому вероятность сразу же вбить дорогой товар приближена к 0.

Процесс Вбива:

Как только мы прогрели шоп и определились с товаром, который будем заказывать — переходи на страницу checkout’а и на ней регистрируемся (желательно если будем делать вбив позже) или же продолжаем как «гость».

Вводим наш billing и shipping адреса и затем выбираем оплату будь-то CC (Credit Card) или же палка (Paypal) и проводим оплату.

Теперь разберёмся на что палит антифрод на checkout странице:
  • 1. Дистанция между billing и shipping адресами. Чем больше дистанция — тем больше фрод очков.
  • Shipping отличается от Billing’a — есть шопы которые не шлют на различный адрес от биллинга и ваш ордер автоматически канселится. Если же шипает то учитывается дистанция между адресами, то есть если вы бьёте с New York в Los Angeles то скорее всего такой пак отменят либо прозвонщику придётся придумывать историю.
  • Сумма ордера (у каждого шопа свой средний чек, что и служит нормой)
  • Количество позиций
  • Ликвидные товар и популярные размеры, цвета — то есть если мы заказываем с Sale трусы размера XXL то очков фрода не будет, а если заказываем куртку размера L из категории BESTSELLING то тут понятно, что они будут.
  • Количество попыток успешной транзакции — то есть если вы ввели 10 карт подряд и у вас не провело транзакцию — соответственно вам начисляются фрод очки.
  • Домен вашего email. Использовать почтовый ящик нужно той же страны что и шопа, или же юзать gmail.
Внимание! Если мерч шопа с AWS то соответственно проходит сверка billing адреса, что вы ввели на сайте и billing'а по карте. Если вбиваете ЕУ матом, где нет AWS, то антифрод отобразит, что не удалось произвести сверку биллинга - это как правило перекинет ордер с авто процессинга на ручную проверку и менеджер уже отталкиваясь от очков фрода будет принимать решения отправлять пак или нет.
 
Last edited by a moderator:
Внесу свою лепту по фингерпринту:
https://chrome.google.com/webstore/detail/canvasfingerprintblock/ipmjngkmngdcdpmgmiebdmfbkcecdndc
https://addons.mozilla.org/en-us/firefox/addon/canvasblocker/
и он каждый раз уникальный ) на здоровье.
Я бы скорее добавил сюда Disconnect, работает быстрее и позволяет мониторить вообще все запросы
https://chrome.google.com/webstore/detail/disconnect/jeoacafpbcihiomhlakheieifhpjdfeo

Если не ошибаюсь, он уникальный при каждом обновлении страницы, это не есть хорошо. Т.к. все изменения, будь то фингерпринта, фиксируются в истории твоего акка. Подобная система, если я опять же не ошибаюсь в антике (сам им не пользовался).
Click to expand...
Я пользовался им на одном сайте, когда идет запрос на фингерпринт там загоралась иконка плагина этого, на сайте которым пользовался я, этот запрос делался один раз.
В плагинах - да. В антике - и динамик и фикс. В антике других косяков хватает.
И да - есть шопы, где он стоит только на странице оплаты.

вывод напрашивается один- работать через деды. гуру поправьте если не прав..
Click to expand...
Не гуру, но есть и антидетект, ну и для некоторых шопов можно и виртуалку использовать иногда.
Дед дедy рознь. Бывают виртуалки, бывают грязные. Некоторые мерчи палят открытые порты.

Вопрос по работе оператора, если материал европейский, то имя кх он сверить не может? Только цифровые данные карты?
Click to expand...
Не может. Только если будет запрос в банк. А по Европе, если не ошибаюсь, по телефону большинство банков инфу не дают, только письменный запрос. Короче не заморачивайся по поводу имени КХ )

для хрома: chameleon
для лисы: ghostery

ТС про Канвас описал полный бред. Те критерии относятся к фингерпринту, а не к канвасу, и копировать их просто с Гитхаба было глупо, откуда ты и взял почти всю инфу. Канвас так и будет оставаться не измененным, Канвас это как такой пункт на который ссылается фингерпринт, где из всех этих пунктов он составляет определённый ID - fingerprint . А плагин который меняет канвас где линк выше дали, у меня к примеру не работает. Про плагин хамелеон для Хрома я писал уже, и упоминали его ни раз другие мемберы, ТС вообще видимо статьи не читает. Ааа и да, при любом изменении фингерпринт меняется, если же проверять его на сайтах, то там обычно идёт запоминание и присваивание фингерпринта не сразу по всем сразу параметрам, но обычно он так и используется в антифродах, так что смена IP, UserAgent'a уже сменит фингерпринт.
Click to expand...
Так он и писал про изменение отпечатка, а не канваса. Канвас по сути является холстом, на который выводят определенное изображение.
Но и сам канвас можно изменить, меняя библиотеки. При изменении версии винды, версии браузера, самого браузера будет меняться отпечаток, т.к. будут меняться библиотеки, ответственные за прорисовку изображения.
Взял я критерии из гитхаба, да, т.к. они там полные и сам разработчик выложил их туда. Не ссылался я на, допустим, https://www.browserleaks.com/canvas, потому что там список критериев скуден. Конечно, они, критерии, могут разниться, в зависимости от шопов, но тем не менее, уж лучше выложить полный список, чем обрезанный.
Про плагин да, его много раз упоминали, но не добавить его в эту статью было бы грех, ведь он очень дополняет статью про фингерпринт и антифрауд.
Не при любом изменении меняется фингерпринт, нет, в лекции, разработчик Canvas Fingerprinting рассказывал о том, что каждый параметр имеет процентный вклад и допустимую погрешность, допустим изменив глубину цвета, Вы не добьетесь изменения фингерпринта. Юзер агент, если имеется в виду сам браузер или его версия, то да.

какой раз убеждаюсь, что лучше всего работать все же с деда, меньше гемора и меньше шансов, что что-то упустишь
Click to expand...
90 % дедов виртуалки с айпи хостеров
Проверка ip на принадлежность к хостинг провайдеру одна из основных
 
You must log in or register to reply here.
Back
Top