是谁悄悄偷走了我的电：利用DNSMon批量发现被挂挖矿代码的域名

在360网络安全研究院，我们持续的分析海量的DNS流量。基于此，我们建立了 DNSMon 检测系统，能够对 DNS 流量中的各种异常和关联关系予以分析。

在之前的 文章 中，我们提到了openload.co 等网站利用Web页面挖矿的情况。在那之后，我们进一步利用 DNSMon 对整个互联网上网页挖矿进行分析，本文描述我们目前看到情况。

当前我们可以看到：

当前网页挖矿已经成为一个市场，市场中的角色包括：

600+内容/流量网站

在 Alexa Top30万 的站点中，通过验证他们的首页，我们可以确认当前有至少 628 个网站挂载了挖矿代码。我们把这些域名绘制了标签图如下，读者可以有一个直观印象。由于色情相关的特殊性，我们不会公布这些已知域名。

1.png

图1

网站内容分类如下表所示：

2.png

图2

10+挖矿网站市场占有率排名

内容/流量网站汇聚了用户流量以后，会通过挖矿网站来变现。按照被内容网站使用数量统计，我们看到 2018-02-06 当天的Top 10 挖矿网站如下所示：

3.png

图3

值得一提的是，上表中尽管所有的挖矿网站被使用了728次，但所有的内容网站加起来只有 628 个，这是因为部分内容网站使用了 2 个或者更多的挖矿网站。在这个市场里，这是一种普遍的情况。

挖矿网站家族

所有的挖矿网站之间，是可以汇聚到不同家族的。我们已知的挖矿网站家族包括：

流量趋势

主要的挖矿网站 DNS 流量趋势如下图：

4.png

图4

从图中我们可以看出：

另外，最近我们开始观察到，coinhave 家族开始使用一些域名的冗余技术来将流量分散到类如6860c644.space等20个子站上，主站的流量在缩小。

新玩家和新玩法

近期我们注意到一些新的玩法正在这个市场上出现：

用户知情的Web挖矿：authedmine.com 是新近出现的一个挖矿网站，网站宣称只有在用户明确知道并授权的情况下，才开始挖矿

使用 DNSMon 检测网页挖矿情况的原理和优点

以上展示了我们使用 DNSMon 监控网页挖矿的结果，其监控原理如下：

使用 DNSMon 检测网页挖矿有以下优点和缺点：

优点

缺点

仅能反映域名之间关联，网页挖矿事实还需要使用其他手段确认

总体而言，利用 DNSmon 系统，我们能够：

源链接

Hacking more

...