[论文解读] CoinPolice:Detecting Hidden Cryptojacking Attacks with Neural Networks

Ivan Petrov, Luca Invernizzi+1 more|arXiv (Cornell University)|Jun 18, 2020

Advanced Malware Detection Techniques参考文献 11被引用 16

一句话总结

CoinPolice 是一种基于神经网络的系统，通过主动探测浏览器的 CPU 限速行为来检测隐藏的加密货币挖矿攻击，实现了 97.87% 的检测率和 0.74% 的误报率。该系统优于现有最先进方法，尤其在应对 aggressively throttled（激烈限速）的挖矿程序时表现更优，并在迄今为止规模最大的调查中识别出 6,700 个挖矿网站。

ABSTRACT

Traffic monetization is a crucial component of running most for-profit online businesses. One of its latest incarnations is cryptocurrency mining, where a website instructs the visitor's browser to participate in building a cryptocurrency ledger (e.g., Bitcoin, Monero) in exchange for a small reward in the same currency. In its essence, this practice trades the user's electric bill (or battery level) for cryptocurrency. With user consent, this exchange can be a legitimate funding source - for example, UNICEF has collected over 27k charity donations on a website dedicated to this purpose, thehopepage.org. Regrettably, this practice also easily lends itself to abuse: in this form, called cryptojacking, attacks surreptitiously mine in the users browser, and profits are collected either by website owners or by hackers that planted the mining script into a vulnerable page. Cryptojackers have been bettering their evasion techniques, incorporating in their toolkits domain fluxing, content obfuscation, the use of WebAssembly, and throttling. Whereas most state-of-the-art defenses address multiple of these evasion techniques, none is resistant against all. In this paper, we offer a novel detection method, CoinPolice, that is robust against all of the aforementioned evasion techniques. CoinPolice flips throttling against cryptojackers, artificially varying the browser's CPU power to observe the presence of throttling. Based on a deep neural network classifier, CoinPolice can detect 97.87% of hidden miners with a low false positive rate (0.74%). We compare CoinPolice performance with the current state of the art and show our approach outperforms it when detecting aggressively throttled miners. Finally, we deploy Coinpolice to perform the largest-scale cryptoming investigation to date, identifying 6700 sites that monetize traffic in this fashion.

研究动机与目标

• 为应对日益增长的隐藏加密货币挖矿威胁，即恶意脚本在未经用户同意的情况下于用户浏览器中挖矿。
• 克服现有检测系统所受干扰的规避技术，如域名轮换、内容混淆、WebAssembly 的使用以及 CPU 限速。
• 开发一种对所有已知规避策略（尤其是已广泛使用的限速技术）具有鲁棒性的检测机制。
• 开展迄今为止规模最大的加密货币挖矿调查，识别出数千个恶意挖矿网站。

提出的方法

• CoinPolice 通过人为改变浏览器的 CPU 限速率进行主动探测，观察挖矿脚本是否对处理能力降低产生响应。
• 通过 Chrome DevTools API 收集性能追踪数据，提取每个线程的 CPU 使用率和函数调用持续时间，构建时间序列特征。
• 使用深度神经网络分类器对这些特征进行训练，以区分合法与恶意的挖矿行为。
• 通过随机函数调用偏移进行数据增强，以提高对基于时间的规避策略的鲁棒性。
• 分析火焰图和函数级执行模式，即使在函数名称被混淆的情况下也能检测到挖矿逻辑。
• 该方法旨在检测那些通过限速规避被动检测的挖矿程序，因为限速会降低 CPU 使用率以逃避检测。

实验结果

研究问题

• RQ1 检测系统能否有效识别出使用激烈 CPU 限速以规避被动监控的加密货币挖矿脚本？
• RQ2 通过 CPU 限速进行主动探测的性能与被动检测方法相比，在检测隐蔽挖矿程序时表现如何？
• RQ3 像函数名随机化或随机延迟等规避技术在多大程度上可以绕过所提出的检测机制？
• RQ4 隐藏加密货币挖矿在全网的真实规模如何？这些攻击在高流量域名中有多普遍？
• RQ5 基于 CPU 性能追踪训练的神经网络分类器能否在真实环境中实现高检测准确率和低误报率？

主要发现

• CoinPolice 对隐藏加密货币挖矿脚本的检测率达到 97.87%，误报率仅为 0.74%。
• 该系统在检测使用激烈 CPU 限速的挖矿程序方面优于当前最先进的方法，而这些程序通常会被被动方法遗漏。
• 在一次大规模调查中，CoinPolice 识别出 6,700 个参与加密货币挖矿的网站，其中包括 447 个位于 Alexa 全球前 100 万个网站列表中的网站。
• 仅 43% 通过模式匹配识别出的网站实际上在进行加密货币挖矿，表明存在大量非功能性或处于非活动状态的挖矿脚本。
• 研究证实，CPU 限速已变得极为普遍，2019 年有 58% 的挖矿程序使用了该规避技术，而 2018 年仅为 10%。
• 得益于数据增强和特征工程，该系统对潜在的规避策略（如随机函数延迟和混淆的函数名）表现出良好的鲁棒性。