搜索

[13737] 2019-02-07_suricata下的挖矿行为检测

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-07_suricata下的挖矿行为检测 s u r i c a t a 下 的 挖 矿 行 为 检 测 原 创   c h a r m 1 y   F r e e B u f   2 0 1 9 - 0 2 - 0 7 本 文 浅 略 地 分 析 了 挖 矿 行 为 的 流 量 特 征 ， 在 本 文 浅 略 地 分 析 了 挖 矿 行 为 的 流 量 特 征 ， 在 s u r i c a t a 下 使 用 相 应 检 测 规 则 发 现 挖 矿 行 为 。 下 使 用 相 应 检 测 规 则 发 现 挖 矿 行 为 。 挖 矿 木 马 的 现 状 挖 矿 木 马 的 现 状 随 着 加 密 货 币 的 出 现 以 及 带 来 的 实 际 收 益 ， 挖 矿 木 马 成 为 黑 产 团 伙 的 主 要 获 利 方 式 之 一 ， 也 成 为 了 企 业 内 部 安 全 的 主 要 威 胁 之 一 。 在 内 网 中 遇 到 出 现 挖 矿 木 马 的 原 因 一 般 分 为 服 务 器 感 染 木 马 、 P C 感 染 木 马 、 网 页 挖 矿 脚 本 等 ， 很 多 僵 尸 网 络 也 把 挖 矿 作 为 主 要 的 获 利 手 段 。 由 此 对 挖 矿 木 马 的 检 测 能 力 成 为 了 内 网 安 全 中 比 较 重 要 的 一 部 分 。 挖 矿 行 为 的 流 量 特 征 挖 矿 行 为 的 流 量 特 征 挖 矿 行 为 的 识 别 可 以 通 过 很 多 方 面 进 行 判 断 ， 终 端 层 面 监 控 硬 件 资 源 的 使 用 率 ， 及 相 关 进 程 分 析 ； 流 量 层 面 通 过 识 别 挖 矿 行 为 的 流 量 特 征 ， 从 流 量 中 识 别 出 挖 矿 行 为 。 本 文 中 主 要 从 流 量 层 面 去 识 别 挖 矿 行 为 。 s t r a t u m 协 议 是 目 前 主 流 的 矿 机 和 矿 池 之 间 的 T C P 通 讯 协 议 ， 通 过 检 测 s t r a t u m 协 议 来 发 现 挖 矿 行 为 是 行 之 有 效 的 。 s t r a t u m 协 议 为 J S O N 的 数 据 格 式 ， 分 析 矿 机 与 矿 池 之 间 使 用 s t r a t u m 协 议 的 通 信 过 程 ， 如 下 ： 通 信 过 程 主 要 分 为 矿 机 登 记 、 任 务 下 发 、 账 号 登 录 、 结 果 提 交 与 难 度 调 整 等 部 分 。 矿 机 登 记 以 m i n i n g . s u b s c r i b e 方 法 向 矿 池 连 接 ： 矿 池 以 m i n i n g . n o t i f y 方 法 返 回 相 关 信 息 ： 账 号 登 录 一 般 分 为 两 种 ， 一 种 是 直 接 登 录 ， 另 一 种 是 通 过 j s o n r p c 方 式 （ 很 多 挖 矿 节 点 与 矿 池 的 通 信 是 依 靠 j s o n r p c 来 进 { " i d " : 1 , " m e t h o d " : " m i n i n g . s u b s c r i b e " , " p a r a m s " : [ ] } { " i d " : 1 , " r e s u l t " : [ [ " m i n i n g . n o t i f y " , " a e 6 8 1 2 e b 4 c d 7 7 3 5 a 3 0 2 a 8 a 9 d d 9 5 c f 7 1 f " ] , " 0 8 0 0 0 0 0 2 " , 4 ] , " e r r o r " : n u l l }
行 请 求 与 相 应 的 ， 这 种 方 式 也 是 依 赖 于 T C P 的 S t r a t u m 协 议 ） 。 矿 机 直 接 通 过 m i n i n g . a u t h o r i z e 方 法 登 录 ： 通 过 j s o n r p c 方 式 登 录 ： 结 果 提 交 通 过 ” m i n i n g . s u b m i t ” 方 法 向 矿 池 提 交 任 务 ： 难 度 调 整 以 m i n i n g . s e t _ d i f f i c u l t y 方 法 调 整 难 度 ： 分 许 上 面 j s o n 内 容 ， 主 要 特 征 字 段 有 i d 、 m e t h o d 、 j s o n r p c 、 p a r a m s 、 r e s u l t 、 l o g i n 、 p a s s 、 a g e n t 、 m i n i n g . s u b m i t 等 ， 通 过 对 具 体 通 信 数 据 包 进 行 相 应 特 征 字 符 串 检 测 ， 以 此 来 发 现 挖 矿 行 为 的 存 在 。 而 网 页 挖 矿 行 为 也 可 以 通 过 检 测 c o i n h i v e . m i n . j s 等 特 征 字 符 串 来 发 现 。 挖 矿 行 为 的 特 征 检 测 挖 矿 行 为 的 特 征 检 测 由 于 门 罗 币 具 有 匿 名 性 、 C P U 挖 矿 、 价 值 靠 前 等 特 点 ， 所 以 成 为 挖 矿 木 马 的 首 选 ， 平 常 实 际 工 作 遇 见 的 挖 矿 木 马 挖 取 的 加 密 货 币 也 几 乎 都 是 门 罗 币 。 故 以 门 罗 币 为 例 ， 通 过 s u r i c a t a 来 检 测 其 流 量 特 征 ， 进 而 发 现 流 量 中 存 在 的 挖 矿 行 为 。 门 罗 币 采 用 C r y p t o n i g h t 算 法 ， 公 开 提 供 的 程 序 有 x m r - s t a k ， x m r i g ， c l a y m o r e 等 ， 相 应 的 主 要 流 量 请 求 特 征 为 ： x m r - s t a k r e q u e s t ： r e s p o n s e ： x m r i g r e q u e s t ： r e s p o n s e ： c l a y m o r e r e q u e s t ： { " p a r a m s " : [ " m i n e r 1 " , " p a s s w o r d " ] , " i d " : 2 , " m e t h o d " : " m i n i n g . a u t h o r i z e " } { " i d " : 1 , " j s o n r p c " : " 2 . 0 " , " m e t h o d " : " l o g i n " , " p a r a m s " : { " l o g i n " : " b l u e 1 " , " p a s s " : " x " , " a g e n t " : " W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 " } } { " p a r a m s " : [ " m i n e r 1 " , " b f " , " 0 0 0 0 0 0 0 1 " , " 5 0 4 e 8 6 e d " , " b 2 9 5 7 c 0 2 " ] , " i d " : 4 , " m e t h o d " : " m i n i n g . s u b m i t " } { " i d " : n u l l , " m e t h o d " : " m i n i n g . s e t _ d i f f i c u l t y " , " p a r a m s " : [ 2 ] } { " m e t h o d " : " l o g i n " , " p a r a m s " : { " l o g i n " : " x x x x x x x " , " p a s s " : " x x x " , " r i g i d " : " " , " a g e n t " : " x x x x x x " } , " i d " : 1 } { " m e t h o d " : " s u b m i t " , " p a r a m s " : { " i d " : " x x " , " j o b _ i d " : " x x x x x x " , " n o n c e " : " x x x x x " , " r e s u l t " : " x x x x x x " } , " i d " : 1 } { " m e t h o d " : " j o b " , " p a r a m s " : { " t a r g e t " : " x x x x x " , " j o b _ i d " : " x x x x x x " , " b l o b " : " x x x x x x x " } } { " i d " : x , " j s o n r p c " : " 2 . 0 " , " m e t h o d " : " l o g i n " , " p a r a m s " : { " l o g i n " : " x x x x x x " , " p a s s " : " x " , " a g e n t " : " x x x x x " , " a l g o " : [ " x x x " , " x x x " , " x x x " ] } } { " i d " : x , " j s o n r p c " : " 2 . 0 " , " m e t h o d " : " s u b m i t " , " p a r a m s " : { " i d " : " x x x x " , " j o b _ i d " : " x x " , " n o n c e " : " x x x x " , " r e s u l t " : " x x x x x x x " } } { " p a r a m s " : { " b l o b " : " x x x x x x " , " t a g e t " : " x x x x " , " j o b _ i d " : " x x x x x " } , " m e t h o d " : " x x x " } { " m e t h o d " : " l o g i n " , " p a r a m s " : { " l o g i n " : " x x x x x x " , " p a s s " : " x " , " a g e n t " : " x x x " } , " i d " : 1 } { " m e t h o d " : " s u b m i t " , " p a r a m s " : { " i d " : " x x x x " , " j o b _ i d " : " x x x " , " n o n c e " : " x x x x x " , " r e s u l t " : " x x x x x " } , " i d " : x }
r e s p o n s e ： 对 上 面 的 流 量 请 求 特 征 分 析 可 以 发 现 ， 请 求 中 主 要 分 为 l o g i n 操 作 与 s u b m i t 操 作 , 对 具 体 请 求 具 体 分 析 。 l o g i n 操 作 可 以 分 为 直 接 使 用 s t r a t u m 协 议 与 通 过 j s o n r p c 方 式 ， s u r i c a t a 本 身 有 相 应 检 测 规 则 ： 对 s u b m i t 操 作 可 以 分 析 ， 可 以 使 用 以 下 规 则 进 行 检 测 ： 矿 池 响 应 矿 工 的 流 量 检 测 规 则 ： 通 过 对 规 则 进 行 分 析 ， 以 上 规 则 所 匹 配 的 字 符 串 及 其 相 互 位 置 关 系 正 好 符 合 前 面 门 罗 币 的 流 量 请 求 特 征 。 由 此 可 以 使 用 s u r i c a t a 加 载 以 上 规 则 来 检 测 挖 矿 流 量 。 网 页 挖 矿 行 为 也 可 以 通 过 以 下 规 则 进 行 检 测 ： 通 过 以 上 规 则 来 检 测 内 网 流 量 ， 基 本 可 以 发 现 绝 大 多 数 的 挖 矿 行 为 。 以 一 个 实 际 例 子 来 说 明 ， 最 近 遇 到 在 虚 拟 机 中 使 用 网 上 的 W i n d o w s 激 活 工 具 导 致 感 染 挖 矿 木 马 ， 具 体 情 况 为 通 过 s u r i c a t a 进 行 流 量 分 析 ， 挖 矿 木 马 的 挖 矿 行 为 触 发 相 关 规 则 告 警 。 通 过 溯 源 找 到 受 害 机 器 ， 对 受 害 机 器 进 行 应 急 处 置 ， 之 后 详 细 过 程 跟 本 文 关 系 不 大 ， 就 不 说 明 了 。 要 提 到 的 一 点 是 挖 矿 进 程 的 c o m m a n d L i n e 为 ： 可 以 发 现 挖 矿 进 程 与 矿 池 的 连 接 采 用 的 是 s t r a t u m + t c p 的 协 议 进 行 通 信 ， 其 恶 意 流 量 也 就 命 中 了 相 应 的 检 测 规 则 ， 从 而 触 发 告 警 ， 发 现 挖 矿 行 为 的 存 在 。 实 际 工 作 中 检 测 到 s e r v e r 端 的 流 量 ， 往 往 比 检 测 到 c l i e n t 端 的 流 量 更 有 效 ， 具 体 原 因 在 于 s e r v e r 端 有 时 对 请 求 不 一 定 都 有 响 应 操 作 ， 或 响 应 不 一 定 能 返 回 成 功 。 { " p a r a m s " : { " b l o b " : " x x x x x x " , " t a r g e t " : " x x x x " , " j o b _ i d " : " x x x " } , " m e t h o d " : " x x x " } a l e r t   t c p   $ H O M E _ N E T   a n y   - >   $ E X T E R N A L _ N E T   a n y   ( m s g : " E T   P O L I C Y   C r y p t o   C o i n   M i n e r   L o g i n " ;   f l o w : t o _ s e r v e r , e s t a b l i s h e d ;   c o n t e n t : " | 7 b   2 2 | m e t h o d | 2 2   3 a | " ;   d e p t h : 1 0 ;   f a s t _ p a t t e r n ;   c o n t e n t : " | 2 2 | l o g i n | 2 2   2 c | " ;   d i s t a n c e : 0 ;   w i t h i n : 9 ;   c o n t e n t : " | 2 2 | p a r a m s | 2 2   3 a | " ;   d i s t a n c e : 0 ;   w i t h i n : 1 0 ;   c o n t e n t : " | 7 b   2 2 | l o g i n " ;   n o c a s e ;   d i s t a n c e : 0 ;   w i t h i n : 8 ;   c o n t e n t : " a g e n t | 2 2   3 a | " ;   n o c a s e ;   d i s t a n c e : 0 ;   m e t a d a t a :   f o r m e r _ c a t e g o r y   P O L I C Y ;   r e f e r e n c e : m d 5 , d 1 0 8 2 e 4 4 5 f 9 3 2 9 3 8 3 6 6 a 4 4 9 6 3 1 b 8 2 9 4 6 ;   r e f e r e n c e : m d 5 , 3 3 d 7 a 8 2 f e 1 3 c 9 7 3 7 a 1 0 3 b c c 4 a 2 1 f 9 4 2 5 ;   r e f e r e n c e : m d 5 , e b e 1 a e b 5 d d 6 9 2 b 2 2 2 f 8 c f 9 6 4 e 7 7 8 5 a 5 5 ;   c l a s s t y p e : t r o j a n - a c t i v i t y ;   s i d : 2 0 2 2 8 8 6 ;   r e v : 3 ;   m e t a d a t a : a f f e c t e d _ p r o d u c t   A n y ,   a t t a c k _ t a r g e t   C l i e n t _ E n d p o i n t ,   d e p l o y m e n t   P e r i m e t e r ,   t a g   B i t c o i n _ M i n e r ,   s i g n a t u r e _ s e v e r i t y   A u d i t ,   c r e a t e d _ a t   2 0 1 6 _ 0 6 _ 0 9 ,   m a l w a r e _ f a m i l y   C o i n M i n e r ,   p e r f o r m a n c e _ i m p a c t   L o w ,   u p d a t e d _ a t   2 0 1 7 _ 1 0 _ 1 2 ; ) a l e r t   t c p - p k t   $ H O M E _ N E T   a n y   - >   $ E X T E R N A L _ N E T   a n y   ( m s g : " E T   P O L I C Y   C r y p t o c u r r e n c y   M i n e r   C h e c k i n " ;   f l o w : e s t a b l i s h e d , t o _ s e r v e r ;   c o n t e n t : " | 7 b   2 2 | i d | 2 2   3 a | " ;   n o c a s e ;   d e p t h : 6 ;   c o n t e n t : " | 2 2 | j s o n r p c | 2 2   3 a | " ;   n o c a s e ;   d i s t a n c e : 0 ;   c o n t e n t : " | 2 2   2 c   2 2 | m e t h o d | 2 2   3 a   2 2 | l o g i n | 2 2   2 c   2 2 | p a r a m s | 2 2   3 a | " ;   f a s t _ p a t t e r n ;   c o n t e n t : " | 2 2 | p a s s | 2 2   3 a   2 2 | " ;   n o c a s e ;   c o n t e n t : " | 2 2 | a g e n t | 2 2   3 a   2 2 | " ;   n o c a s e ;   c o n t e n t : ! " < t i t l e " ;   n o c a s e ;   c o n t e n t : ! " < s c r i p t " ;   n o c a s e ;   c o n t e n t : ! " < h t m l " ;   n o c a s e ;   m e t a d a t a :   f o r m e r _ c a t e g o r y   P O L I C Y ;   c l a s s t y p e : p o l i c y - v i o l a t i o n ;   s i d : 2 0 2 4 7 9 2 ;   r e v : 4 ;   m e t a d a t a : a f f e c t e d _ p r o d u c t   W i n d o w s _ X P _ V i s t a _ 7 _ 8 _ 1 0 _ S e r v e r _ 3 2 _ 6 4 _ B i t ,   a t t a c k _ t a r g e t   C l i e n t _ E n d p o i n t ,   d e p l o y m e n t   P e r i m e t e r ,   s i g n a t u r e _ s e v e r i t y   M i n o r ,   c r e a t e d _ a t   2 0 1 7 _ 1 0 _ 0 2 ,   u p d a t e d _ a t   2 0 1 8 _ 0 6 _ 1 5 ; ) a l e r t   t c p   $ H O M E _ N E T   a n y   - >   $ E X T E R N A L _ N E T   a n y   ( m s g : " C r y p t o c u r r e n c y   M i n e r   C h e c k   B y   S u b m i t " ;   f l o w : t o _ s e r v e r , e s t a b l i s h e d ;   c o n t e n t : " | 2 2 | m e t h o d | 2 2   3 a | " ;   f a s t _ p a t t e r n ;   c o n t e n t : " | 2 2 | s u b m i t | 2 2   2 c | " ;   d i s t a n c e : 0 ;   w i t h i n : 1 0 ;   c o n t e n t : " | 2 2 | p a r a m s | 2 2   3 a   7 b | " ;   d i s t a n c e : 0 ;   w i t h i n : 1 5 ;   c o n t e n t : " r e s u l t | 2 2   3 a | " ;   n o c a s e ;   d i s t a n c e : 0 ;   s i d : 3 0 1 3 0 1 5 ;   r e v : 1 ;   m e t a d a t a : D e t e c t i n g   M i n i n g   R u l e s ; a l e r t   t c p   $ E X T E R N A L _ N E T   a n y   - >   $ H O M E _ N E T   a n y   ( m s g : " P o o l s   R e s p o n s e   C r y p t o c u r r e n c y   M i n e r " ;   f l o w : t o _ c l i e n t , e s t a b l i s h e d ;   c o n t e n t : " | 2 2 | m e t h o d | 2 2   3 a | " ;   n o c a s e ;   c o n t e n t : " | 2 2 | p a r a m s | 2 2   3 a | " ;   n o c a s e ;   c o n t e n t : " | 2 2 | b l o b | 2 2   3 a | " ;   n o c a s e ;   c o n t e n t : " | 2 2 | j o b _ i d | 2 2   3 a | " ;   n o c a s e ;   s i d : 3 0 1 3 0 1 6 ;   r e v : 1 ;   m e t a d a t a : D e t e c t i n g   M i n i n g   R u l e s ; ) a l e r t   h t t p   $ E X T E R N A L _ N E T   a n y   - >   $ H O M E _ N E T   a n y   ( m s g : " E T   C U R R E N T _ E V E N T S   C o i n H i v e   I n - B r o w s e r   M i n e r   D e t e c t e d " ;   f l o w : e s t a b l i s h e d , f r o m _ s e r v e r ;   f i l e _ d a t a ;   c o n t e n t : " c o i n h i v e . m i n . j s " ;   n o c a s e ;   f a s t _ p a t t e r n ;   c o n t e n t : " s t a r t " ;   n o c a s e ;   d i s t a n c e : 0 ;   c o n t e n t : " s c r i p t " ;   c o n t e n t : " v a r " ;   d i s t a n c e : 0 ;   p c r e : " / ^ s * ( ? P < v a r > [ a - z A - Z 0 - 9 ] { 3 , 2 0 } ) s * = s * n e w s * C o i n H i v e s * . s * [ ^ ( ] + ( s * [ x 2 2 x 2 7 ] [ A - Z a - z 0 - 9 ] + s * [ x 2 2 x 2 7 ] s * ( ? : x 2 c s * x 7 b s * w + x 3 a s * d . d x 7 d ) ? ) s * x 3 b s + ( ? P = v a r ) s * . s * s t a r t / R i " ;   m e t a d a t a :   f o r m e r _ c a t e g o r y   C U R R E N T _ E V E N T S ;   c l a s s t y p e : p o l i c y - v i o l a t i o n ;   s i d : 2 0 2 4 7 2 1 ;   r e v : 2 ;   m e t a d a t a : a f f e c t e d _ p r o d u c t   A n y ,   a t t a c k _ t a r g e t   C l i e n t _ E n d p o i n t ,   d e p l o y m e n t   P e r i m e t e r ,   s i g n a t u r e _ s e v e r i t y   M i n o r ,   c r e a t e d _ a t   2 0 1 7 _ 0 9 _ 1 8 ,   p e r f o r m a n c e _ i m p a c t   M o d e r a t e ,   u p d a t e d _ a t   2 0 1 8 _ 0 5 _ 0 8 ; ) - a   c r y p t o n i g h t   - o   s t r a t u m + t c p : / / x m r . p o o l . m i n e r g a t e . c o m : 4 5 5 6 0   - u   m i n e p o o l @ g m x . c o m   - p   x   - t   1
总 结 总 结 通 过 以 上 的 方 式 ， 基 本 能 够 发 现 大 多 数 的 挖 矿 行 为 ， 但 有 些 情 况 还 是 检 测 不 到 的 。 比 如 曾 经 遇 到 过 的 O n e S y s t e m C a r e 挖 矿 木 马 对 挖 矿 协 议 进 行 全 部 加 密 ， 所 以 无 法 通 过 检 测 相 应 挖 矿 流 量 发 现 其 恶 意 行 为 。 实 际 发 现 过 程 为 监 控 I O C 的 访 问 情 况 ， 发 现 有 内 网 I P 恶 意 连 接 I O C ， 最 终 通 过 溯 源 分 析 发 现 感 染 挖 矿 木 马 。 对 于 把 挖 矿 协 议 进 行 加 密 的 情 况 ， 目 前 感 觉 流 量 监 控 方 向 上 好 的 处 理 方 式 有 对 矿 池 的 连 接 监 控 、 I O C 的 访 问 监 控 等 手 段 进 行 防 护 。   但 真 实 存 在 的 情 况 多 种 多 样 ， 如 何 有 效 的 从 流 量 中 发 现 恶 意 行 为 ， 必 将 是 一 个 长 期 对 抗 的 过 程 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： c h a r m 1 y ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理