[發明專利]挖礦行為的檢測方法、系統及計算機可讀存儲介質

在審

• 申請號: 202111153535.9
• 申請日: 2021-09-29
• 公開（公告）號: CN113868088A
• 公開（公告）日: 2021-12-31
• 發明（設計）人: 王嘉雄;孫鑫
• 申請（專利權）人: 杭州默安科技有限公司
• 主分類號: G06F11/30
• 分類號: G06F11/30
• 代理公司: 杭州裕陽聯合專利代理有限公司 33289
• 代理人: 楊琪宇

1.一種挖礦行為的檢測方法，其特征在于包括以下步驟：

監控通信函數，當所述通信函數被進程調用時，獲取所述進程的進程信息和訪問信息；

基于所述訪問信息判斷所述進程所訪問的目標是否為礦池，當所述進程所訪問的目標為礦池時，判定所述進程為挖礦進程。

2.根據權利要求1所述的挖礦行為的檢測方法，其特征在于：

所述通信函數包括udp_recvmsg、connect、sendto和recvfrom。

3.根據權利要求2所述的挖礦行為的檢測方法，其特征在于：

基于kprobe掛鉤所述通信函數，當所述通信函數被進程調用時，捕獲所述進程的進程信息和訪問信息。

4.根據權利要求1至3任一所述的挖礦行為的檢測方法，其特征在于：

訪問信息包括對應進程所訪問的域名信息和/或IP信息；

將域名信息與預設的礦池域名列表相匹配，當匹配成功時，判定所述進程所訪問的目標為礦池；

將IP信息與預設的礦池IP列表相匹配，當匹配成功時，判定所述進程所訪問的目標為礦池。

5.根據權利要求1至3任一所述的挖礦行為的檢測方法，其特征在于：

進程信息包括對應進程的進程ID和可執行文件路徑。

6.根據權利要求5所述的挖礦行為的檢測方法，其特征在于，判定進程為挖礦進程后，還包括驗證步驟，具體為：

基于所述可執行文件路徑和預設白名單判斷所述挖礦進程是否進行非法挖礦。

7.根據權利要求6所述的挖礦行為的檢測方法，其特征在于，當判定挖礦進程進行非法挖礦時，上報所述挖礦進程的進程信息和訪問信息，和/或結束所述挖礦進程。

8.一種挖礦行為的檢測系統，其特征在于，包括：

監控模塊，用于監控通信函數，當所述通信函數被進程調用時，獲取所述進程的進程信息和訪問信息；

監視器，用于基于所述訪問信息判斷所述進程所訪問的目標是否為礦池，當所述進程所訪問的目標為礦池時，判定所述進程為挖礦進程。

9.根據權利要求8所述的挖礦行為的檢測系統，其特征在于，所述監視器包括第一判斷單元和第二判斷單元；

所述第一判斷單元，用于基于所述訪問信息判斷所述進程是否為挖礦進程；

所述第二判斷單元，用于提取所述挖礦進程的進程信息，基于所述進程信息和預設白名單判斷所述挖礦進程是否進行非法挖礦。

10.一種計算機可讀存儲介質，其存儲有計算機程序，其特征在于，該程序被處理器執行時實現權利要求1至7任意一項所述方法的步驟。