暴露隧道中的老鼠：使用流量分析进行基于Tor的恶意软件检测

Tor~\citetor是使用最广泛的匿名通信网络，每天有数百万用户。由于Tor提供了服务器和客户端的匿名性，数百个在野外发现的恶意软件二进制文件依靠它来隐藏它们的存在并阻碍命令与控制（C&C）的拆除操作。我们认为Tor是实现在线自由和隐私的重要工具，阻止它来抵御此类恶意软件对用户和组织来说都是不可行的。在这项工作中，我们提出了有效的流量分析方法，可以准确识别基于Tor的恶意软件通信。我们收集了数百个基于Tor的恶意软件二进制文件，执行并检查了47000多个活动加密恶意软件连接，并将其与良性浏览流量进行了比较。除了传统的流量分析功能（在连接级别工作）外，我们还提出了全局主机级网络功能，以跨主机日志捕获特殊的恶意软件通信指纹。我们的实验证实，我们的模型能够以0.7%的FPR检测“零日”恶意软件连接，即使恶意软件连接在测试集中的Tor跟踪中所占比例小于5%。使用多标签方法，我们能够准确检测基于恶意软件行为的类（灰色软件、勒索软件等）最后，我们在真实的企业日志上评估了模型的健壮性，并表明分类器可以识别受感染的主机，即使缺少特征。