RU2811855C1 - Адаптивный способ обнаружения криптоджекера в компьютерном устройстве пользователя - Google Patents

Abstract

Изобретение относится к вычислительной технике. Технический результат заключается в обеспечении обнаружения браузерных и файловых криптоджекеров без существенного снижения производительности и при адаптации параметров обнаружения под особенности пользовательских вычислительных процессов. Способ обнаружения криптоджекера в компьютерном устройстве пользователя содержит этапы, на которых формируют статистику величины загрузки процессорной системы, объема внешнего сетевого трафика и интенсивности вызова криптобиблиотек соответственно криптоджекерами и «легитимными» вычислительными процессами на компьютерном устройстве пользователя и на этой основе определяют адаптированные пороговые значения соответствующих параметров, превышения которых рассматривают как признаки для классификации анализируемых вычислительных процессов в качестве процессов работы программ-криптоджекеров. 2 з.п. ф-лы, 3 ил.

Description

Область техники, к которой относится изобретение

Изобретение относится к сфере противодействия криптоджекингу - добычи криптовалют с помощью компьютерных устройств пользователей без согласия владельцев, а более конкретно к системам и способам обнаружения в компьютерных устройствах пользователей вычислительных процессов, являющихся криптоджекерами, т.е. реализующих без согласия (без ведома) пользователей вычислительные процедуры добычи криптовалют.

Уровень техники

Криптоджекинг является постоянно растущей криминальной отраслью с 51 миллионом атак, обнаруженных только в первой половине 2021 года.

Криптоджекеры с определенной степенью условности можно разделить на браузерные и файловые.

Браузерные криптоджекеры возникли как преступное ответвление в развитии официального криптомайнинга, реализуемого посредством функционала специализированных сайтов, предоставляющих услуги пользователям по включению за плату их компьютерных устройств в процесс генерации криптовалют. Соответственно запуск и функционирование в компьютерном устройстве пользователя программ криптомайнинга осуществляется через веб-браузеры. Недобросовестные владельцы сайтов, не предупреждая, не информируя пользователей, могут скрытно, в рамках, в том числе и фонового функционирования браузера, запускать в компьютерном устройстве пользователя программы криптомайнинга, передающие результаты своей работы на сайт злоумышленника.

Принцип инфицирования и функционирования файловых криптоджекеров сходен с обычными вирусными вредоносными программами и, чаще всего, осуществляется на основе технологий социальной инженерии, в частности, фишинга. Скрытно от пользователя в его компьютерном устройстве устанавливается и функционирует вредоносное ПО в виде программы криптомайнинга (криптоджекера), передающее результаты своей работы на адрес злоумышленника.

Процесс добычи криптовалют заключается в интерактивном выполнении процессором компьютерного устройства специальных вычислительных процедур с передачей их результатов на сервер криптомайнинга и получением с него последующих инструкций для дальнейших вычислительных процедур. При этом особенностью отмеченных специальных вычислительных процедур является вызов и исполнение криптобиблиотек на пользовательском компьютерном устройстве. В результате обязательными и характерными признаками процесса криптомайнинга является существенная загрузка процессора (процессорной системы), постоянный внешний сетевой трафик и постоянные вызовы криптобиблиотек компьютерного устройства пользователя.

Техническая проблема обнаружения работы криптоджекеров по отмеченным выше признакам заключается в том, что «легитимные» вычислительные процессы компьютерного устройства пользователя также могут существенно загружать процессор, вызывать в том числе значительные объемы внешнего сетевого трафика (например, при загрузке из сети видео, сетевых компьютерных игр) и использовать (вызывать и исполнять) криптобиблиотеки. Вместе с тем одновременное наличие всех трех отмеченных признаков, в особенности, постоянных (с определенной интенсивностью) вызовов криптобиблиотек, для «легитимных» вычислительных процессов на пользовательском компьютерном устройстве является редким (маловероятным) событием.

Однако статистические характеристики процессов загрузки процессора, величины внешнего сетевого трафика, интенсивности вызова криптобиблиотек существенным образом зависят от вида компьютерного устройства (домашний компьютер, смартфон, офисное рабочее место, сервер сети и т.д.) и «пристрастий» пользователя (просмотр на домашнем компьютере или смартфоне видео из сети, сетевые игры, общение в социальной сети и т.д.). В результате для обнаружения по отмеченным признакам работы криптоджекеров требуется анализ и учет статистики соответствующих параметров как самих криптоджекеров, так и вычислительных процессов конкретного пользовательского компьютерного устройства.

Известен «Способ выявления несогласованного использования ресурсов вычислительного устройства пользователя» (патент РФ №2757330, G06K 9/00 (2006.01), G06F 21/00 (2013.01), опубл.: 13.10.2021 Бюл. №29), при котором: анализируют работу процесса браузера и выявляют работу скрипта, исполняющегося в браузере; перехватывают сообщения, передаваемые от скрипта серверу и от сервера скрипту при взаимодействии скрипта с сервером; анализируют скрипт и перехватываемые сообщения на наличие признаков несогласованного использования ресурсов вычислительного устройства пользователя; выявляют несогласованное использование ресурсов вычислительного устройства пользователя в случае выявления по крайней мере одного признака несогласованного использования ресурсов вычислительного устройства пользователя. При этом ключевой особенностью, на которой базируется выявление признаков несогласованного использования ресурсов компьютерного устройства пользователя, включая криптомайнинг, является использование криптоджекерами протоколов WebSocket/WebSocketSecured (WS/WSS) для обеспечения взаимодействия скрипта на клиенте и сервера в процессе добычи криптовалют.

Однако существующее решение не обеспечивает обнаружение файловых криптоджекеров и, кроме того, требует существенных вычислительных ресурсов для осуществления непрерывного контроля (перехвата и анализа) всего исходящего и входящего сетевого трафика браузера на предмет задействования протоколов WS/WSS и скриптов на компьютерном устройстве пользователя, что неизбежно приводит к снижению производительности «легитимных» вычислительных процессов, в частности, активно задействующих сетевые ресурсы.

Раскрытие сущности изобретения

Настоящее изобретение предназначено для обнаружения в компьютерном устройстве пользователя вычислительных процессов, выполняющих функции криптоджекера, т.е. реализующих без согласия (без ведома) пользователей вычислительные процедуры добычи криптовалют.

Основной задачей, решаемой заявляемым изобретением, является обнаружение как браузерных, так и файловых криптоджекеров, без применения тотального и непрерывного анализа содержания сетевого трафика, и, соответственно, без существенного снижения производительности компьютерного устройства пользователя при адаптации параметров обнаружения под особенности загрузки процессора, величины создаваемого внешнего сетевого трафика и интенсивности вызова криптобиблиотек вычислительными процессами компьютерного устройства пользователя.

Технический результат настоящего изобретения заключается в реализации заявленной задачи.

Технический результат достигается тем, что в адаптивном способе обнаружения криптоджекера в компьютерном устройстве пользователя:

- экспериментальным путем формируют или получают по подписке гистограммы распределения частот значений величины загрузки криптоджекерами процессорной системы компьютерных устройств пользователей (первый параметр), величины вызываемого работой криптоджекеров внешнего сетевого трафика (второй параметр), интенсивности вызова криптоджекерами криптобиблиотек на компьютерном устройстве пользователя (третий параметр); гистограммы рассматривают как распределения условных вероятностей значений соответствующих параметров при диагнозе «процесс является криптоджекером», при этом в качестве значений первого, второго и третьего параметров рассматривают не «мгновенные» значения, а усредненные за некоторые временные интервалы, которые устанавливают в зависимости от динамики изменений соответствующих параметров для сглаживания так называемых «выбросов» «мгновенных» значений;

- проводят анализ статистики тех же параметров для «легитимных» вычислительных процессов, выполняющихся на компьютерном устройстве пользователя, с целью формирования гистограмм распределения частот значений, которые рассматривают как распределения условных вероятностей соответствующих параметров при диагнозе «процесс не является криптоджекером»;

- по критерию максимизации статистического расстояния случайных величин на основе минимума коэффициента Бхаттачарья между гистограммами распределения каждого параметра при диагнозах «процесс является криптоджекером» и «процесс не является криптоджекером», соответственно, определяют пороги для первого, второго и третьего параметров, адаптивные к особенностям вычислительных процессов компьютерного устройства пользователя;

- анализируют текущее усредненное на соответствующем временном интервале значение загрузки процессорной системы очередным анализируемым процессом компьютерного устройства пользователя и при превышении порога для первого параметра принимают предварительный диагноз «процесс является криптоджекером», в противном случае принимают диагноз «процесс не является криптоджекером» и переходят к анализу следующего процесса;

- при принятии предварительного диагноза «процесс является криптоджекером» анализируют текущее усредненное на соответствующем временном интервале значение величины внешнего сетевого трафика, вызываемого анализируемым вычислительным процессом, и при превышении порога для второго параметра сохраняют предварительный диагноз «процесс является криптоджекером»; в противном случае отвергают предварительный диагноз «процесс является криптоджекером», принимают диагноз «процесс не является криптоджекером» и направляют значение величины первого параметра для перерасчета гистограммы распределения частот значений величины загрузки процессорной системы «легитимными» вычислительными процессами компьютерного устройства пользователя;

- при сохранении предварительного диагноза «процесс является криптоджекером» анализируют текущее усредненное на соответствующем временном интервале значение интенсивности вызова соответствующим вычислительным процессом криптобиблиотек на компьютерном устройстве пользователя и при превышении порога для третьего параметра принимают окончательный диагноз «процесс является криптоджекером»; в противном случае отвергают предварительный диагноз «процесс является криптоджекером», принимают диагноз «процесс не является криптоджекером» и направляют значения первого и второго параметров для перерасчета гистограмм распределения частот значений загрузки процессорной системы и внешнего сетевого трафика «легитимными» вычислительными процессами компьютерного устройства пользователя.

Согласно одному из частных вариантов реализации:

- на исходном этапе формируют или получают по подписке гистограммы распределения частот значений первого, второго и третьего параметров отдельно для браузерных криптоджекеров и отдельно для файловых криптоджекеров;

- аналогично формируют или пересчитывают гистограммы распределения частот значений первого, второго и третьего параметров отдельно для «легитимных» вычислительных процессов браузеров и отдельно для других процессов (не являющихся браузерами) компьютерного устройства пользователя;

- определяют пороги первого, второго и третьего параметров отдельно для обнаружения браузерных криптоджекеров и отдельно пороги для обнаружения файловых криптоджекеров;

- на цикличных этапах по анализу вычислительных процессов компьютерного устройства пользователя используют пороги первого, второго и третьего параметров в зависимости от того, является ли анализируемый вычислительный процесс браузером или нет.

Согласно еще одному из частных вариантов реализации:

- отдельно для каждого «легитимного» вычислительного процесса компьютерного устройства пользователя формируют или пересчитывают гистограммы распределения частот значений первого, второго и третьего параметров, формируя тем самым базу данных по гистограммам распределения частот значений соответствующих параметров (по количеству и идентификаторам вычислительных процессов, запускаемых/выполняющихся в компьютерном устройстве пользователя);

- отдельно для каждого «легитимного» вычислительного процесса компьютерного устройства пользователя определяют индивидуальные пороги первого, второго и третьего параметров, которые фиксируют в специальной базе данных;

- на цикличных этапах по анализу вычислительных процессов компьютерного устройства пользователя используют индивидуальные пороги первого, второго и третьего параметров, соответствующие по номеру (идентификатору) анализируемому вычислительному процессу.

Краткое описание чертежей

Фиг. 1 отображает структуру адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя в виде блок-схемы.

Фиг. 2 отображает примеры возможных видов гистограмм распределения частот значений первого параметра (величины загрузки процессорной системы компьютерного устройства пользователя).

Фиг. 3 отображает график значений коэффициента Бхаттачарья, вычисленного для различных значений порога первого параметра (величины загрузки процессорной системы) по гистограммам распределения, представленным на фиг. 2, иллюстрируя тем самым механизм определения адаптированного к особенностям «легитимных» вычислительных процессов компьютерного устройства пользователя порога первого параметра.

Осуществление изобретения

Объекты и признаки настоящего изобретения, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящее изобретение не ограничивается примерными вариантами осуществления, раскрытыми ниже, оно может воплощаться в различных видах. Сущность, приведенная в описании, является ничем иным, как конкретными деталями, необходимыми для помощи специалисту в области техники в исчерпывающем понимании изобретения, и настоящее изобретение определяется в объеме приложенной формулы.

Предлагаемый способ схематично показан на чертеже (фиг. 1), где этапы его осуществления, их содержание, их последовательность и связи между ними наглядно представлены в виде блок-схемы. Блоки 110, 120, 130 отображают предварительные три этапа обучения/адаптации адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя. Блоки 140-190 отображают циклическую часть способа по анализу вычислительных процессов, выполняющихся в компьютерном устройстве пользователя.

На первом из трех предварительных этапов (блок 110) экспериментальным путем формируют или получают по подписке статистику (гистограммы распределения частот значений) величины загрузки криптоджекерами процессорной системы компьютерных устройств пользователей (параметр х₁), величины вызываемого работой криптоджекеров внешнего сетевого трафика (параметр х₂) и интенсивности вызова криптоджекерами криптобиблиотек на компьютерных устройствах пользователей (параметр х₃). Гистограммы рассматривают как распределения условных вероятностей p(x₁/D₂), p(x₂/D₂), р(x₃/D₂) значений соответствующих параметров х₁, х₂, х₃ при диагнозе D₂ - «процесс является криптоджекером». При этом в качестве параметров х₁, х₂, х₃ рассматривают не «мгновенные», а усредненные за временные интервалы Δt₁ для х₁, Δt₂ для х₂, Δt₃ для х₃, которые устанавливают в зависимости от динамики изменений соответствующих параметров для сглаживания т.н. «выбросов» «мгновенных» значений.

Далее на втором из трех предварительных этапов (блок 120) проводят анализ статистики тех же параметров «легитимных» вычислительных процессов, выполняющихся на компьютерном устройстве пользователя, путем формирования гистограмм распределения частот значений параметров х₁, х₂, х₃, которые рассматривают как распределения условных вероятностей p(x₁/D₁), p(x₂/D₁), p(x₃/D₁) при диагнозе D₁ - «процесс не является криптоджекером».

Формирование гистограмм частот значений p(x₁/D₁), p(x₂/D₁), p(x₃/D₁) осуществляют (блок 120) на основе анализа данных работы встроенных системных утилит, например, «Монитора ресурсов» для параметров загрузки процессора и объема сетевого трафика, или специальных программных утилит, как, например, «Bitmeter OS» (см. например, https://codebox.net/pages/bitmeteros-downloads) для анализа объема трафика сети, и «MS Detours» (см, например, https://www.microsoft.com/en-us/research/project/detours/) для анализа интенсивности вызова криптобиблиотек, либо на основе использования специально разработанных программных средств.

В одном из вариантов реализации способа в качестве величины единичного интервала подсчета частот значений параметра х₁ берут интервал Δх₁, равный 1%, т.е. подсчитывают количество попаданий значения параметра х₁ тех или иных «легитимных» вычислительных процессов на компьютерном устройстве пользователя в интервалы 0-1%, 1%-2%, 2%-3%, 99%-100%, и, соотнося количества таких попаданий с общим количеством измерений (наблюдений), формируют гистограмму распределений частот значений p(x₁/D₁). При этом для подсчета частот значений параметра х₁ используют не мгновенные значения, а усредненные (.) на временном интервале Δt₁. Интервал t₁ устанавливают в зависимости от динамики изменений параметра х₁ соответствующего вычислительного процесса на конкретном компьютерном устройстве пользователя для сглаживания так называемых «выбросов» «мгновенных» значений. В качестве стандартной величины Δt₁ как, например, при работе утилиты «Монитор ресурсов», принимают Δt₁=1 сек (другой вариант - 1 мин).

Подсчет частот значений х₁ осуществляют по усредненным значениям на последовательных временных интервалах 0 - Δt₁, Δt₁ - 2Δt₁, 2Δt₁ - 3Δt₁ и т.д. в течение характерного для работы компьютерного устройства пользователя технологического периода времени, к примеру, в течение часа рабочего времени (другой вариант - в течение рабочего дня). Таким образом формируют гистограммы распределений частот значений p{x₁/D₁) для каждого вычислительного процесса компьютерного устройства пользователя.

По исходному варианту (по п. 1) адаптивного способа обнаружения криптоджекера каждый анализируемый вычислительный процесс рассматривают как реализацию некоего обобщенного вычислительного процесса компьютерного устройства пользователя. Исходя из этого итоговое формирование гистограммы распределения частот значений p(x₁/D₁) осуществляют путем усреднения соответствующих гистограмм по всему ансамблю (совокупности) вычислительных процессов компьютерного устройства пользователя.

Требуемое количество N измерений (подсчетов) параметра х₁, необходимых для получения гистограмм распределения частот значений для конкретного вычислительного процесса, определяют исходя из методов обоснования оптимального количества интервалов k разбиения диапазона значений анализируемого параметра при построении гистограмм распределения по эмпирическим данным (см., например, ГОСТ Р 50.1.033-2001 Прикладная статистика. Правила проверки согласия опытного распределения с теоретическим. Часть 1. Критерии типа хи-квадрат), в частности, в практических инженерных приложениях исходя из правила:

k≤N/n*,

где n* - минимальное количество попаданий значения анализируемого параметра в любой из k наблюдаемых интервалов (обычно в качестве n* берут величину в диапазоне от 5 до 10 попаданий), откуда при заданном k следует, что:

N≥kn*,

и, соответственно, при k, равном 100 (100 однопроцентных интервалов для параметра х₁), при n*, равном 10, требуется не менее 1000 измерений (подсчетов).

Аналогичным образом формируют гистограммы распределения частот значений p(x₂/D₁), p(x₃/D₁), используя в качестве Δх₂ величину, равную 1 Мбит/сек, в качестве Δх₃ величину, равную 1 вызову в сек, в качестве Δt₂ величину, равную 1 сек (другой вариант - 1 мин), в качестве Δt₃ величину, равную 1 мин (другой вариант - 1 час), за исключением того, что для параметров х₂ и х₃, как и, вообще говоря, для любого параметра, статистика которого анализируется по гистограммам распределения, формируемым по эмпирическим данным, интервалы разбиения диапазона значений соответствующего параметра не обязательно должны быть равными. Исходя из этого, в одном из вариантов реализации заявляемого способа интервалы значений Δх₂ для параметра х₂ в диапазоне от 0 до 10 Мбит/сек берут по 1 Мбит/сек, далее в диапазоне от 10 до 100 Мбит/ сек по 2-10 Мбит/сек, и по 100 Мбит/сек далее, ограничивая диапазон анализа параметра х₂ величиной, равной 1 Гбит/сек. Для параметра х₃ диапазон анализа ограничивают величиной, равной 10-20 вызовами в сек.

Формирование экспериментальным путем (блок 110) гистограмм распределения значений параметров х₁, х₂, х₃ вычислительными процессами криптоджекеров p(x₁/D₂), p(x₂/D₂), p(x₃/D₂) осуществляют аналогичным образом, используя коллекции криптоджекеров, размещаемые на специализированных информационных ресурсах или в других источниках, стремясь при этом к охвату наибольшего количества из известных криптоджекеров и оперативно пересчитывая гистограммы при появлении и исследовании новых криптоджекеров.

Пересчет (блок 120) гистограмм распределения p(x₁/D₁), p(x₂/D₁) осуществляют на основе правила для вычисления выборочного среднего случайной величины х при поступлении в момент времени t_N новых данных x(t_N) в выборку с предыдущим объемом в N-1 элементов:

Рассматривая значения элементов, к примеру, гистограммы распределения p(x₁/D₁) как выборочное среднее количества попаданий значений величины х₁ в соответствующий j-й интервал значений ((j-1)%-j'%), отнесенное к количеству наблюдений N, перерасчет осуществляют только для j-го элемента гистограммы:

На фиг. 2 приведены примеры возможного вида гистограмм распределения частот значений величины загрузки процессора криптоджекерами p{x₁/D₂) и гистограмм распределения частот величины загрузки процессора вычислительными процессами компьютерных устройств пользователей p(x₁/D₁).

На основе гистограмм p(x₁/D₁), p(x₂/D₁), p(x₃/D₁) и p(x₁/D₂), p(x₂/D₂), p(x₃/D₂) на третьем (блок 130 фиг. 1) из предварительных этапов адаптивного способа обнаружения криптоджекера определяют пороговые значения х_{1_0}, х_{2_0}, х_{3_0}, превышения которых величинами х₁, х₂, х₃ рассматривают в качестве признаков классификации вычислительных процессов как криптоджекеров. Превышения или непревышения величинами х₁, х₂, х₃ пороговых значений х_{1_0}, х_{2_0}, х_{3_0} рассматривают как случайные события, которые формируют значения дискретных (дихотомических) случайных величин у₁, у₂, у₃ (равно 0 - не превышено, равно 1 - превышено).

При этом определяют вероятности р(у₁=0/D₁), р(у₁=1/D₁) по гистограмме p(x₁/D₁) на основе следующих соотношений:

На основе аналогичных соотношений определяют вероятности р(y₁=0/D₂), p(y₁=1/D₂):

По аналогичным соотношениям определяют величины р(у₂=0/D₁), p(y₂=0/D₂), p(y₂=1/D₁), р{у₂=1/D₂) и р(у₃=0/D₁), р(у₃=0/D₂), р(y₃=1/D₁), p(y₃=1/D₂).

Совокупности пар значений р(у₁=0/D₁), р(у₁=1/D₁) и р(у₁=0/D₂), р(y₁=1/D₂) рассматривают как распределения условных вероятностей дискретной (дихотомической) случайной величины y₁ соответственно при диагнозе D₁ и диагнозе D₂. Совокупности пар значений p(y₂=0/D₁), р(у₂=1/D₁) и р(у₂=0/D₂), р(у₂=1/D₂) рассматривают как распределения условных вероятностей случайной величины у₂ соответственно при диагнозе D₁ и диагнозе D₂. Совокупности пар значений p(y₃=0/D₁), р(у₃=1/D₁) и р(у₃=0/D₂), р(у₃=1/D₂) рассматривают как распределения условных вероятностей случайной величины у₃ соответственно при диагнозе D₁ и диагнозе D₂.

Известно (см., например, K. Fukunaga. Introduction to Statistical Pattern Recognition, 2nd Edition, Academic Press, New York, 1990), что мерой различимости (степени перекрытия) двух распределений р(х) и q(x) дискретной случайной величины х, нечувствительной к виду и соотношению параметров распределений, является коэффициент Бхаттачарья:

где X - совокупность значений дискретной случайной величины х.

При максимальной статистической различимости распределений р(х) и q(x) (полное отсутствие перекрытия) коэффициент Бхаттачарья BC(p,q)=0, при полной статистической неразличимости (полное совпадение р(х) и q(x)) BC(p,q)=1.

Для дихотомических случайных величин у₁, у₂, y₃ коэффициент Бхаттачарья между распределениями р(у₁/D₁) и p(y₁/D₂), р(у₂/D₁) и p(y₂/D₂), p(y₃/D₁) и р(y₃/D₂) определяют по следующим соотношениям:

Поскольку коэффициент Бхаттачарья BC(p(y₁/D₁), p(y₁/D₂)) является функцией (функционалом) от величины (порога) х_{1_0}, то его значения последовательно вычисляют для х_{1_0}, принимающих все возможные значения из диапазона изменения параметра х₁, т.е. от х_{1_0}, равного 1%, до х_{1_0}, равного 100%, формируя тем самым ряд значений BC(p(y₁/D₁), р(у₁/D₂) при х_{1_0} в диапазоне от 1% до 100% (см. фиг. 3).

В качестве порога х_{1_0} для величины х₁ выбирают значение х_{1_0} из диапазона 1 - 100%, при котором коэффициент Бхаттачарья является минимальным, обеспечивая тем самым максимальную статистическую различимость криптоджекеров и «легитимных» вычислительных процессов конкретного компьютерного устройства пользователя.

На фиг. 3 приведены примеры ряда значений BC(p)(y₁/D₁), p(y₁/D₂)) в зависимости от величины х_{1_0} для гистограмм распределения р(х₁/ D₁), p(x₁/D₂), представленных на фиг. 2, по которым порог х_{1_0} равен 14% в первом варианте и 18% во втором варианте.

Аналогичным образом определяют пороги х_{2_0} и х_{3_0}. Циклическая часть адаптивного способа обнаружения криптоджекера начинается с блока 140 (фиг. 1), на котором рассматривают текущее усредненное за время Δt₁ значение загрузки процессорной системы очередным анализируемым процессом компьютерного устройства пользователя. При превышении порога х_{1_0} принимают предварительное решение (блок 150) о классификации процесса как криптоджекера (диагноз D₂) и вычисляют (блок 160) среднее за время Δt₂ значение величины внешнего сетевого трафика х₂, характеризующего соответствующий процесс компьютерного устройства пользователя, в противном случае (блок 150) принимают диагноз D₁ (процесс - не криптоджекер) и переходят к анализу следующего процесса (блок 140).

При предварительной классификации вычислительного процесса по параметру х₁ как криптоджекера анализируют среднее за время Δt₂ значение величины сетевого трафика х₂ (блоки 160, 170). При превышении величиной порога х_{2_0} (блок 170) сохраняют предварительный диагноз D₂ (процесс - криптоджекер) в отношении анализируемого вычислительного процесса и вычисляют (блок 180) среднее за время Δt₃ значение интенсивности вызова соответствующим вычислительным процессом криптобиблиотек на компьютерном устройстве пользователя, в противном случае (блок 170) отвергают предварительный диагноз D₂, принимают диагноз D₁ (процесс - не криптоджекер) и направляют значение величины для перерасчета (блок 120) гистограммы распределения частот значений p(x₁/D₁).

На заключительном этапе (блоки 180, 190) анализируют среднее за время Δt₃ значение интенсивности вызова соответствующим вычислительным процессом компьютерного устройства пользователя криптобиблиотек и при превышении величиной порога х_{3_0} (блок 190) окончательно принимают диагноз D₂ (процесс - криптоджекер, блок 200), в противном случае (блок 190) отвергают предварительный диагноз D₂, принимают диагноз D₁ (процесс - не криптоджекер) и направляют значения величин для перерасчета (блок 120) гистограмм распределения p(x₁/D₁), p{x₂/D₁).

В варианте реализации адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя по пункту 2 с целью учета различий в статистиках параметров х₁, х₂, х₃ браузерных и файловых криптоджекеров процесс обучения-адаптации (предварительные этапы способа, блоки 110, 120, 130 фиг. 1) строят отдельно для обнаружения браузерных и отдельно файловых криптоджекеров, для чего на первом из трех предварительных этапов (блок 110) экспериментальным путем строят или получают по подписке отдельно гистограммы распределения частот значений для браузерных криптоджекеров и для файловых криптоджекеров.

На втором (блок 120) из трех предварительных этапов также отдельно строят гистограммы распределения вычислительных процессов компьютерного устройства пользователя, реализуемых работой программ-браузеров, и гистограммы распределения некоего обобщенного вычислительного процесса реализуемого любыми программами компьютерного устройства пользователя, не являющимися программами-браузерами.

На третьем (блок 130) из предварительных этапов адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя отдельно определяют пороги для обнаружения браузерных и пороги для обнаружения файловых криптоджекеров аналогичным п. 1 образом, используя при этом соответствующие гистограммы распределения для определения порогов и гистограммы распределения и для определения порогов

Циклическую часть (блоки 140-190) адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя по п. 2 организуют аналогичным п. 1 образом, за исключением использования порогов в зависимости от того, является ли анализируемый вычислительный процесс браузером или нет.

В варианте реализации адаптивного способа обнаружения криптоджекера в компьютерном устройстве пользователя по пункту 3 с целью учета индивидуальных различий в статистиках параметров х₁, х₂, х₃ различных «легитимных» процессов компьютерного устройства пользователя процесс обучения/адаптации (предварительные этапы, блоки 110, 120, 130 фиг. 1) строят по анализу статистики каждого отдельного вычислительного процесса на компьютерном устройстве пользователя.

С этой целью на втором (блок 120) из предварительных этапов отдельно для каждого вычислительного процесса компьютерного устройства пользователя формируют или пересчитывают гистограммы распределения частот значений где m - номер (идентификатор) вычислительного процесса, формируя тем самым базу данных их M гистограмм распределения частот значений параметров х₁, х₂, х₃ (по количеству и идентификаторам вычислительных процессов, выполняющихся на компьютерном устройстве пользователя);

на третьем (блок 130) из предварительных этапов отдельно для каждого вычислительного процесса m определяют пороги которые фиксируют в специальной базе данных;

на циклических (блоки 140 -190) этапах используют пороги соответствующие по номеру (идентификатору) анализируемому вычислительному процессу.

Claims (16)

1. Адаптивный способ обнаружения криптоджекера в компьютерном устройстве пользователя, в котором:

а) экспериментальным путем формируют или получают по подписке гистограммы распределения частот значений величины загрузки криптоджекерами процессорной системы компьютерных устройств пользователей, являющейся первым параметром, величины вызываемого работой криптоджекеров внешнего сетевого трафика, являющейся вторым параметром, интенсивности вызова криптоджекерами криптобиблиотек на компьютерном устройстве пользователя, являющейся третьим параметром; гистограммы рассматривают как распределения условных вероятностей значений соответствующих параметров при диагнозе «процесс является криптоджекером», при этом в качестве значений первого, второго и третьего параметров рассматривают не «мгновенные» значения, а усредненные за некоторые временные интервалы, которые устанавливают в зависимости от динамики изменений соответствующих параметров для сглаживания так называемых «выбросов» «мгновенных» значений;

б) проводят анализ статистики тех же параметров для «легитимных» вычислительных процессов, выполняющихся на компьютерном устройстве пользователя, с целью формирования гистограмм распределения частот значений, которые рассматривают как распределения условных вероятностей соответствующих параметров при диагнозе «процесс не является криптоджекером»;

в) по критерию максимизации статистического расстояния случайных величин на основе минимума коэффициента Бхаттачарья между гистограммами распределения каждого параметра при диагнозах «процесс является криптоджекером» и «процесс не является криптоджекером» соответственно определяют пороги для первого, второго и третьего параметров, адаптивные к особенностям вычислительных процессов компьютерного устройства пользователя;

г) анализируют текущее усредненное на соответствующем временном интервале значение загрузки процессорной системы очередным анализируемым процессом компьютерного устройства пользователя и при превышении порога для первого параметра принимают предварительный диагноз «процесс является криптоджекером», в противном случае принимают диагноз «процесс не является криптоджекером» и переходят к анализу следующего процесса;

д) при принятии предварительного диагноза «процесс является криптоджекером» анализируют текущее усредненное на соответствующем временном интервале значение величины внешнего сетевого трафика, вызываемого анализируемым вычислительным процессом, и при превышении порога для второго параметра сохраняют предварительный диагноз «процесс является криптоджекером»; в противном случае отвергают предварительный диагноз «процесс является криптоджекером», принимают диагноз «процесс не является криптоджекером» и направляют значение величины первого параметра для перерасчета гистограммы распределения частот значений величины загрузки процессорной системы «легитимными» вычислительными процессами компьютерного устройства пользователя;

е) при сохранении предварительного диагноза «процесс является криптоджекером» анализируют текущее усредненное на соответствующем временном интервале значение интенсивности вызова соответствующим вычислительным процессом криптобиблиотек на компьютерном устройстве пользователя и при превышении порога для третьего параметра принимают окончательный диагноз «процесс является криптоджекером»; в противном случае отвергают предварительный диагноз «процесс является криптоджекером», принимают диагноз «процесс не является криптоджекером» и направляют значения первого и второго параметров для перерасчета гистограмм распределения частот значений загрузки процессорной системы и внешнего сетевого трафика «легитимными» вычислительными процессами компьютерного устройства пользователя.

2. Адаптивный способ обнаружения криптоджекера в компьютерном устройстве пользователя по п. 1, в котором:

на этапе а) формируют или получают по подписке гистограммы распределения частот значений первого, второго и третьего параметров отдельно для браузерных криптоджекеров и отдельно для файловых криптоджекеров;

аналогично на этапе б) формируют или пересчитывают гистограммы распределения частот значений первого, второго и третьего параметров на компьютерном устройстве пользователя отдельно для «легитимных» вычислительных процессов браузеров и отдельно для других процессов, не являющихся браузерами;

на этапе в) определяют пороги первого, второго и третьего параметров отдельно для обнаружения браузерных криптоджекеров и отдельно пороги для обнаружения файловых криптоджекеров;

на этапах г), д) и е) используют пороги первого, второго и третьего параметров в зависимости от того, является ли анализируемый вычислительный процесс браузером или нет.

3. Адаптивный способ обнаружения криптоджекера в компьютерном устройстве пользователя по п. 1, в котором:

на этапе б) отдельно для каждого «легитимного» вычислительного процесса на компьютерном устройстве пользователя формируют или пересчитывают гистограммы распределения частот значений первого, второго и третьего параметров, формируя тем самым базу данных по гистограммам распределения частот значений соответствующих параметров, а именно по количеству и идентификаторам вычислительных процессов, запускаемых/выполняющихся на компьютерном устройстве пользователя;

на этапе в) отдельно для каждого «легитимного» вычислительного процесса компьютерного устройства пользователя определяют индивидуальные пороги первого, второго и третьего параметров, которые фиксируют в специальной базе данных;

на этапах г), д) и е) используют индивидуальные пороги первого, второго и третьего параметров, соответствующие по номеру, являющемуся идентификатором анализируемого вычислительного процесса.

Images