CN109347806B - 一种基于主机监控技术的挖矿恶意软件检测系统及方法 - Google Patents

Abstract

本发明公开了一种基于主机监控技术的挖矿恶意软件检测系统及方法，包括分析与控制中心以及由分析与控制中心调用的DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序；所述DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序实时向所述分析与控制中心返回监控数据；DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序对运行中的进程进行监控。本发明专门为检测挖矿恶意软件而设计，更有针对性；从DNS解析、网络流量、系统资源占用、API调用等多个角度对挖矿恶意软件进行检测，准确度较高；除了可以发现侵入主机的挖矿恶意软件，还能在一定程度上发现使用用户浏览器运行挖矿脚本的恶意站点。

Description

一种基于主机监控技术的挖矿恶意软件检测系统及方法

技术领域

本发明属于网络安全技术领域，特别是涉及一种主机上挖矿恶意软件的发现和检测方法。

背景技术

“挖矿”是指根据加密货币的发行规则，利用计算机的算力获得加密货币的过程，最常见的加密货币就是比特币。“挖矿恶意软件”是在受害者不知情的情况下，利用受害者的计算机资源进行挖矿的恶意软件。挖矿恶意软件的攻击范围从企业服务器、个人电脑到安卓手机，包括Linux/Unix、Windows、Android系统。被“挖矿恶意软件”入侵后，用户主机会出现卡顿、CPU占用率高等状况，企业服务器可能会由于CPU资源耗尽而服务崩溃。挖矿恶意软件的威胁有愈演愈烈的趋势，挖矿恶意软件已经成为了一种新型的重大威胁。

目前还没有专门对挖矿恶意软件进行检测的方法。

发明内容

针对上述现有技术背景，本发明提出了一种基于主机监控技术的挖矿恶意软件检测方法，。

本发明的一种基于主机监控技术的挖矿恶意软件检测系统，该检测系统包括分析与控制中心以及由所述分析与控制中心调用的DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序；DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序实时向所述分析与控制中心返回监控数据；所述DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序对对当前运行进程的进程进行监控，其中：

所述DNS解析监控程序，通过对当前运行进程的所有DNS解析求进行监控，获得所有DNS解析请求，并实时将DNS解析监控数据返回给分析与控制中心实时收集数据；监控过程中发现与挖矿相关的DNS请求，该DNS请求至少包括对于挖矿恶意软件连接到矿池或者从特定URL下载脚本这些对已知矿池的DNS解析请求，当判定为发出相应DNS请求的进程为挖矿进程，向用户发出主机被挖矿恶意软件感染的警告；

所述网络连接监控程序，通过监控对当前运行进程的网络连接，获得所有向外发出的请求，并实时将网络连接监控数据返回给分析与控制中心；一方面，提取远程地址，若该地址是已知的与挖矿有关的地址，如已知矿池的地址，或者是已知挖矿脚本的地址，则立即判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；另一方面，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

所述系统资源监控程序，通过监控对当前运行进程的系统资源使用情况，并实时将系统资源监控数据返回给分析与控制中心；当分析与控制中心发现某进程对CPU的使用率和时间超过一定阈值后，判定进程可疑，分析与控制中心向用户发出警报，提示用户有高度可疑的进程在运行；并且，当分析与控制中心发现某进程占用CPU的比例和时间超过一定阈值后，会启动高级分析；分析与控制中心立即调用API监控模块，通过进程调用的API序列对进程进行详细的分析；

所述API调用监控程序，由分析与控制中心调用，用于详细分析可疑的进程，将API调用监控程序数据发送给所述分析与控制中心，所述分析与控制中心判断该对当前运行进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

本发明的一种基于主机监控技术的挖矿恶意软件检测方法，包括以下步骤：

步骤一、对当前运行进程的所有DNS解析请求进行监控，获得所有DNS解析请求，并实时上传DNS解析监控数据，监控过程中发现与挖矿相关的DNS请求，该DNS请求至少包括对于挖矿恶意软件连接到矿池或者从特定URL下载脚本这些对已知矿池的DNS解析请求，当判定为发出相应DNS请求的进程为挖矿进程，向用户发出主机被挖矿恶意软件感染的警告；

步骤二、当前运行进程的在网络连接进行监控，获得所有向外发出的请求，并实时上传网络连接监控数据；一方面，提取远程地址，若该地址是已知的与挖矿有关的地址，如已知矿池的地址，或者是已知挖矿脚本的地址，则立即判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；另一方面，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

步骤三、对当前运行进程的系统资源使用情况进行监控，当某进程对CPU的使用率和时间超过阈值后，判定进程可疑，向用户发出警报，提示用户有高度可疑的进程在运行，并且，当发现某进程占用CPU的比例和时间超过阈值后，立即启动API调用监控，；

步骤四、对当前运行进程的调用系统API情况进行监控，通过进程调用的API序列对进程实现进一步分析，判断该进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程；向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

与现有技术相比，本发明具有以下有益效果：

(1)本方法专门为检测挖矿恶意软件而设计，更有针对性；

(2)本方法从DNS解析、网络流量、系统资源占用、API调用等多个角度对挖矿恶意软件进行检测，准确度较高；

(3)本方法使用的DNS监控除了可以发现侵入主机的挖矿恶意软件，还能在一定程度上发现使用用户浏览器运行挖矿脚本的恶意站点。

附图说明

图1为本发明的一种基于主机监控技术的挖矿恶意软件检测方法实施例架构图；

图2为本发明的一种基于主机监控技术的挖矿恶意软件检测方法整体流程图。

具体实施方式

下面将结合示例对本发明的技术方案作进一步的详细描述。

如图1、图2所示，为本发明的一种基于主机监控技术的挖矿恶意软件检测系统及方法。本发明的一种基于主机监控技术的挖矿恶意软件检测系统中，在主机内部安装检测程序，该检测程序包括以下部分分析与控制中心、DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序；

分析与控制中心负责控制各监控程序的运行，分析和处理各监控模块获取到的数据，并对各种情况进行响应，如发现可疑进程，分析与控制中心会发出警报、对可疑进程进行进一步分析以及其他操作；

DNS解析监控程序：目前的挖矿方式有两种，一种是直接连接到中心网络；第二种是矿池挖矿，相当于多个小算力的设备合作挖矿。挖矿恶意软件几乎都会以第二种方式为攻击对象。由于挖矿恶意软件连接到矿池或者从特定URL下载脚本，因此出现对已知矿池的DNS解析或其他一些挖矿所需要的信息要通过网络请求。例如恶意站点会在用户浏览器上运行挖矿脚本，这样的脚本需要从特定站点下载，这些操作都可能会首先对相关域名进行解析；这样通过发现与挖矿相关的DNS请求，可以立即判定发出相应请求的进程为挖矿进程，分析与控制中心向用户发出警告，主机很可能已经被挖矿恶意软件感染。使用DNS解析监控程序，监控所有进程对域名的解析活动，将数据传回分析与控制中心，一旦发现某进程想要解析的域名与挖矿有关，如对已知矿池的域名进行解析，或者其他与挖矿有关的域名，可立即判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

网络连接监控程序：即使挖矿恶意软件绕过了DNS监控，它仍然不可避免地要与矿池产生连接，并产生特定的网络流量。所以第一，提取远程地址，若该地址是已知的与挖矿有关的地址，如已知矿池的地址，或者是已知挖矿脚本的地址，则可以立即判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。第二，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

系统资源监控程序：挖矿恶意软件窃取的是用户的计算机计算能力，被挖矿恶意程序感染后，挖矿进程通常会长时间占用大量的CPU，一般能达到80％以上，而一般用户的应用都不会如此长时间占用如此大量的CPU。因此通过系统资源监控程序对系统资源的监控，可以立即发现运行中的挖矿进程。系统资源监控程序将数据发送给分析与控制中心，当分析与控制中心发现某进程对CPU的使用率和时间超过一定阈值后，分析与控制中心向用户发出警报，提示用户有高度可疑的进程在运行；并且，当分析与控制中心发现某进程占用CPU的比例和时间超过一定阈值后，分析与控制中心立即调用API监控模块，通过进程调用的API序列对进程进行详细的分析；

加密货币采用PoW(Proof of work)时会占用大量的CPU，对于已经被提到的PoS(Proof of Space)方案，依然可以通过监控系统资源，获得主机空间的被使用情况，发现正在占有大量资源的挖矿恶意软件。

API调用监控程序：API调用监控程序在被分析与控制中心调用时才打开，用来详细分析可疑度较高的进程。API调用监控程序监控进程所进行的系统调用，将数据发送给分析与控制中心。分析与控制中心判断该进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

本发明的一种基于主机监控技术的挖矿恶意软件检测方法整体流程图，该方法包括以下步骤：

步骤1、通过监控DNS解析，获得所有DNS解析请求，并实时将数据返回给分析与控制中心，由于挖矿恶意软件需要连接到矿池，或者从特定URL下载脚本，因此很有可能出现对已知矿池的DNS解析，这样通过发现与挖矿相关的DNS解析请求，就可以立即判定发出相应请求的进程为挖矿进程，分析与控制中心向用户发出警告，主机很可能已经被挖矿恶意软件感染；

步骤2、通过监控网络连接，获得所有向外发出的请求，并实时将数据返回给分析与控制中心。因为挖矿恶意软件需要连接到矿池，即使挖矿恶意软件绕过了DNS监控，它仍然不可避免地要与矿池产生连接，并产生特定的网络流量。所以第一，提取远程地址，若该地址是已知的与挖矿有关的地址，如已知矿池的地址，或者是已知挖矿脚本的地址，则可以立即判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。第二，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

步骤3、监控系统资源使用情况。挖矿恶意软件窃取的是用户的计算机计算能力，被挖矿恶意程序感染后，挖矿进程通常会长时间占用大量的CPU，一般能达到80％以上，而一般用户的应用都不会如此长时间占用如此大量的CPU。这种对CPU的长时间高占有率特征十分明显，有系统因为被挖矿恶意软件占有太多CPU而服务崩溃，因此通过系统资源监控程序对系统资源的监控，挖矿进程运行后可以立即被发现。挖矿恶意软件和正常合法软件对资源的占有有巨大的差别，一般软件一般占用CPU较少，或者只在短时间内CPU利用率较高。当分析与控制中心发现某进程对CPU的使用率和时间超过一定阈值后，判定进程可疑，分析与控制中心向用户发出警报，提示用户有高度可疑的进程在运行。并且，当分析与控制中心发现某进程占用CPU的比例和时间超过一定阈值后，会启动高级分析。分析与控制中心立即调用API监控模块，通过进程调用的API序列对进程进行详细的分析；

步骤4、API调用监控，在需要时监控进程的API调用。API调用监控为高级分析方式，由分析与控制中心调用，用于详细分析可疑的进程。API调用监控程序监控进程所进行的系统调用，将数据发送给分析与控制中心。分析与控制中心判断该进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程。分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

Claims (2)

1.一种基于主机监控技术的挖矿恶意软件检测系统，其特征在于，该检测系统包括分析与控制中心以及由所述分析与控制中心调用的DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序；DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序实时向所述分析与控制中心返回监控数据；所述DNS解析监控程序、网络连接监控程序、系统资源监控程序和API调用监控程序对对当前运行进程的进程进行监控，其中：

所述DNS解析监控程序，通过对当前运行进程的所有DNS解析求进行监控，获得所有DNS解析请求，并实时将DNS解析监控数据返回给分析与控制中心实时收集数据；监控过程中发现与挖矿相关的DNS请求，该DNS请求至少包括对于挖矿恶意软件连接到矿池或者从特定URL下载脚本这些对已知矿池的DNS解析请求，当判定为发出相应DNS请求的进程为挖矿进程，向用户发出主机被挖矿恶意软件感染的警告；

所述网络连接监控程序，通过监控对当前运行进程的网络连接，获得所有向外发出的请求，并实时将网络连接监控数据返回给分析与控制中心；一方面，提取远程地址，若该地址是已知的与挖矿有关的地址，包括已知矿池的地址和已知挖矿脚本的地址，则立即判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；另一方面，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

所述系统资源监控程序，通过监控对当前运行进程的系统资源使用情况，并实时将系统资源监控数据返回给分析与控制中心；当分析与控制中心发现某进程对CPU的使用率和时间超过一定阈值后，判定进程可疑，分析与控制中心向用户发出警报，提示用户有高度可疑的进程在运行；并且，当分析与控制中心发现某进程占用CPU的比例和时间超过一定阈值后，会启动高级分析；分析与控制中心立即调用API监控模块，通过进程调用的API序列对进程进行详细的分析；

所述API调用监控程序，由分析与控制中心调用，用于详细分析可疑的进程，

将API调用监控程序数据发送给所述分析与控制中心，所述分析与控制中心判断该对当前运行进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

2.一种基于主机监控技术的挖矿恶意软件检测方法，其特征在于，该方法包括以下步骤：

步骤一、对当前运行进程的所有DNS解析请求进行监控，获得所有DNS解析请求，并实时上传DNS解析监控数据，监控过程中发现与挖矿相关的DNS请求，该DNS请求至少包括对于挖矿恶意软件连接到矿池或者从特定URL下载脚本这些对已知矿池的DNS解析请求，当判定为发出相应DNS请求的进程为挖矿进程，向用户发出主机被挖矿恶意软件感染的警告；

步骤二、当前运行进程的在网络连接进行监控，获得所有向外发出的请求，并实时上传网络连接监控数据；一方面，提取远程地址，若该地址是已知的与挖矿有关的地址，包括已知矿池的地址和已知挖矿脚本的地址，则立即判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；另一方面，监控网络流量，分析与控制中心判断每个进程的网络流量的特征是否符合挖矿恶意软件的网络流量特征，若某进程的网络流量特征与挖矿恶意软件的网络流量特征相符，则判定该进程为挖矿进程；分析与控制中心向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程；

步骤三、对当前运行进程的系统资源使用情况进行监控，当某进程对CPU的使用率和时间超过阈值后，判定进程可疑，向用户发出警报，提示用户有高度可疑的进程在运行，并且，当发现某进程占用CPU的比例和时间超过阈值后，立即启动API调用监控；

步骤四、对当前运行进程的调用系统API情况进行监控，通过进程调用的API序列对进程实现进一步分析，判断该进程的API调用的特征是否符合挖矿恶意软件的API调用特征，若该进程的API调用特征与挖矿恶意软件的API调用特征相符，则判定该进程为挖矿进程；向用户发出警告，若用户对此进程的挖矿行为不知情，即不是用户自身在挖矿，则用户已被入侵，该进程为挖矿恶意软件创建的挖矿进程。

Images