Как ботнеты имитируют людей через Fingerprinting и WebGL — и где они палятся

Как ботнеты имитируют людей через Fingerprinting и WebGL — и где они палятся

Давайте поднимем логи и посмотрим правде в глаза: современный фрод редко выглядит как тупой набор кликов с одного IP. Его маскируют через подмену fingerprint, WebGL-рендера и поведения DOM, чтобы профиль сессии совпадал с «обычным» браузером.

Типовые маскировки:
— Canvas/WebGL fingerprint: меняют GPU-строки, шейдеры, рендер-параметры, но забывают согласовать их с UA, OS и размером viewport.
— Fonts/Audio/Intl: подсовывают правдоподобный набор, однако порядок, тайминги и локаль часто не бьются между собой.
— Input layer: движения мыши сглажены, а scroll и focus-события идут с идеальной регулярностью, как у скрипта, а не у человека.

Вот технический разбор того, как именно уплывает ваш рекламный бюджет. Ботнеты эволюционируют, но паттерны их поведения остаются прежними: одинаковые WebGL vendor/renderer на кластере с разными IP, повторяющиеся hash-сигнатуры, нулевая энтропия по сенсорам и слишком стабильная длина сессии.

Фильтровать это нужно не по одному признаку, а по связке: корреляция fingerprint ↔ IP ASN ↔ timezone ↔ event cadence ↔ entropy мыши. Если WebGL говорит одно, а сетевой след и поведение — другое, перед вами не пользователь, а аккуратно собранный контейнер с эмуляцией.

Не пытайтесь ловить такой трафик по одному бинарному правилу. Стройте скоринг на несогласованности сигналов: именно там ботнеты обычно оставляют дыру.