Ученые МТУСИ разработали систему обнаружения скрытых майнеров в Linux

Ученые Московского технического университета связи и информатики (МТУСИ) разработали программный продукт для обнаружения скрытого майнинга на ресурсах под управлением операционной системы Linux. По результатам тестирования разработанный детектор продемонстрировал 100% полноту обнаружения угрозы и общую точность 97,5% на подготовленных сценариях компроментации системы. Об этом CNews сообщили представители МТУСИ.

Разработка выполнена под руководством доцента кафедры «Информационная безопасность» МТУСИ Александра Большакова. В ее основе — архитектура и математическая модель обнаружения программного обеспечения, скрытно использующего вычислительные ресурсы для майнинга криптовалют.

Для выявления угрозы разработчики применили гибридный подход, объединив в рамках единого алгоритма статические, поведенческие и сетевые признаки. При принятии решения алгоритм использует весовые коэффициенты, позволяющие учитывать совокупность характеристик анализируемого процесса.

Одной из особенностей решения стало использование скользящего окна и расчет коэффициента вариации. Это позволяет различать характер нагрузки, создаваемой скрытым майнером, и периодическую нагрузку, возникающую при работе легитимных процессов.

По результатам тестирования детектор показал следующие характеристики: Accuracy — 97,5% — общая точность работы; Recall — 100% — полнота обнаружения угроз; Precision — 95,24% — точность классификации; F1-мера — 97,56% — сбалансированная оценка качества алгоритма.

Программный продукт реализован на языке программирования Golang. Это позволило обеспечить высокую скорость работы и прямое обращение к системным интерфейсам Linux. Для сбора метрик процессов реализовано взаимодействие с виртуальной файловой системой `/proc`, а для контроля состояния графических адаптеров — интеграция с библиотекой NVML.

Разработка получила свидетельство о государственной регистрации программы для ЭВМ «Программный продукт для обнаружения майнера в ресурсах с ОС Linux» № RU 2026662200.

По результатам проведенного тестирования программный продукт продемонстрировал эффективность при обнаружении скрытых майнеров и может использоваться как дополнительный модуль обеспечения безопасности в инфраструктурах на базе операционной системы Linux.