Ученые МТУСИ разработали систему обнаружения скрытых майнеров в Linux

Разработка выполнена под руководством доцента кафедры «Информационная безопасность» МТУСИ Александра Большакова. В ее основе — архитектура и математическая модель обнаружения программного обеспечения, скрытно использующего вычислительные ресурсы для майнинга криптовалют.

Для выявления угрозы разработчики применили гибридный подход, объединив в рамках единого алгоритма статические, поведенческие и сетевые признаки. При принятии решения алгоритм использует весовые коэффициенты, позволяющие учитывать совокупность характеристик анализируемого процесса.

Одной из особенностей решения стало использование скользящего окна и расчет коэффициента вариации. Это позволяет различать характер нагрузки, создаваемой скрытым майнером, и периодическую нагрузку, возникающую при работе легитимных процессов.

По результатам тестирования детектор показал следующие характеристики:

Accuracy — 97,5% — общая точность работы;

Recall — 100% — полнота обнаружения угроз;

Precision — 95,24% — точность классификации;

F1-мера — 97,56% — сбалансированная оценка качества алгоритма.

Программный продукт реализован на языке программирования Golang. Это позволило обеспечить высокую скорость работы и прямое обращение к системным интерфейсам Linux. Для сбора метрик процессов реализовано взаимодействие с виртуальной файловой системой `/proc`, а для контроля состояния графических адаптеров — интеграция с библиотекой NVML.

Разработка получила свидетельство о государственной регистрации программы для ЭВМ «Программный продукт для обнаружения майнера в ресурсах с ОС Linux» № RU 2026662200.

По результатам проведенного тестирования программный продукт продемонстрировал эффективность при обнаружении скрытых майнеров и может использоваться как дополнительный модуль обеспечения безопасности в инфраструктурах на базе операционной системы Linux.

Фото: Shubham Dhage, unsplash.com