CADetector:跨家族的各项异性合约蜜罐检测

智能合约是区块链生态环境的根基,以太坊区别于比特币的最显著特性就是支持“智能合约”,也正因为这种特性使其可承载DeFi、NFT等上层应用,因此保障智能合约安全至关重要.然而,近年来兴起的智能合约蜜罐(Smart Contract Honeypot,以下简称合约蜜罐)已对以太坊生态环境造成显著污染,其具有的检测延迟大、攻击时效长、变形方法多等特点,使其成为有别于以太坊其他攻击形式的新形态威胁.为了准确、及时的检测未知合约蜜罐,本文首先研究了合约蜜罐机理,分析了现有检测方法不足.在此基础上,本文提炼了合约蜜罐的攻击模型,将其完整的攻击过程概括为“构建、编译、投递、部署、传播、诱导、锁定与收割”八个步骤.围绕“诱导”与“锁定”技术上的关键区别,本文对已知的10个蜜罐家族进行了细粒度的基因特征挖掘,首次构建了蜜罐家谱.以蜜罐家谱为指导,本文提出了一种跨家族的各项异性合约蜜罐检测方法,实现了一个不依赖机器学习的自动化检测工具—CADetector.CADetector通过检测范围界定、动态路径规划与基于启发式的各项异性特性匹配实现了对合约蜜罐的精准检测.本文基于benchmark数据集和XGBoost数据集进行了对比实验,实验结果表明CADetector实现了更高的检测召回率和精准率(93.5%~100%),超越了当前最先进的两个合约蜜罐检测工具HONEYBADGER和XGBoost,它们的精准率和召回率分别为87.3%和91.2%,凸显了CADetector集成的基因特征提取方法对合约蜜罐检测具有重要的影响.除此之外,本文基于自爬取数据集(200万个区块上的125988个未知智能合约)进行了0day合约蜜罐检测实验,新发现了高达450个0day合约蜜罐,进一步量化验证了CADetector的有效性和鲁棒性.值得一提的是,0day合约蜜罐检测实验涵盖了本文通过蜜罐家谱划分的21种围绕合约蜜罐的攻击方法,其中有3种新型的合约蜜罐攻击方法由本文首次提出.最后,本文从面向以太坊的污染现状、攻击技术、检测层面和增强实现四个维度进行了深层次的数据分析,并发现合约蜜罐仍呈现缓慢上升的趋势、隐藏状态更新技术一直是攻击者偏爱的技术且偏爱程度持续升高.对此,本文建议防御者可及时关注合约蜜罐的发展趋势、攻击者相关的以太坊地址、IP地址来源等威胁情报,进而助力区块链安全社区的情报共享和态势感知.

基于攻击流量自生成的DNS隐蔽信道检测方法

高级持续性威胁(Advanced Persistent Threat,APT)是当前最为严重的网络安全威胁之一.DNS隐蔽信道(DNS Covert Channel,DCC)由于其泛在性、隐蔽性成为攻击者手中理想的秘密信息传输通道,受到诸多APT组织的青睐.人工智能赋能的DCC检测方法逐步流行,但APT攻击相关恶意样本获取难、活性低等原因造成训练数据不平衡问题明显,严重影响了模型的检测性能.同时,已有检测工作使用DCC工具流量及少数恶意样本来评估系统,测试集覆盖范围有限,无法对系统进行全面、有效的评估.针对上述问题,本文基于攻击战术、技术和程序(Tactics,Techniques,and Procedures,TTPs)设计DCC流量生成框架并生成完备度可控的、覆盖大样本空间的、大数据量的恶意流量数据集.基于本研究生成的数据集,训练可解释性较强的机器学习模型,提出基于攻击流量自生成的DCC检测系统——DCCHunter.本研究收集了8个DCC恶意软件流量样本,复现了已被APT组织恶意运用的3个DCC工具产生流量,基于上述真实恶意样本评估系统对其未知的、真实的DCC攻击的检测能力.结果发现,系统对DCC的召回率可达99.80%,对数以亿计流量的误报率为0.29%.