Mining

是谁悄悄偷走我的电（一）：利用DNSMon批量发现被挂挖矿代码的域名

Feb 7, 2018 • 6 min read

在360网络安全研究院，我们持续的分析海量的DNS流量。基于此，我们建立了 DNSMon 检测系统，能够对 DNS 流量中的各种异常和关联关系予以分析。

在之前的文章中，我们提到了 openload.co 等网站利用Web页面挖矿的情况。在那之后，我们进一步利用 DNSMon 对整个互联网上网页挖矿进行分析，本文描述我们目前看到情况。

当前我们可以看到：

0.2% 的网站在首页嵌入了Web挖矿代码：Alexa Top 10万的网站中，有 241 (0.24%) ；
Alexa Top 30万的网站中，有 629 (0.21%)
色情相关网站是主体，占据了这些网站的49%。其它还有诈骗（8%）、广告（7%）、挖矿（7%）、影视（6%）等类别
10+ 挖矿网站提供挖矿能力支撑，其中最大的是是 coinhive.com，占据了大约 57% 的份额，然后是 coin-hive.com (8%)、load.jsecoin.com (7%)、webmine.pro(4%)、authedmine.com (4%) 及其他

当前网页挖矿已经成为一个市场，市场中的角色包括：

终端用户：当前他们的利益是被忽视的
挖矿网站：新玩家，提供网页挖矿脚本和能力
内容/流量网站：既有网站，有庞大的用户但缺少变现手段。现在他们将既往无利可图的流量导向挖矿网站，利用消费者的算力网页挖矿，完成变现。最近也开始有一些内容网站，他们自行搭建挖矿能力，肥水不留外人田。

在 Alexa Top30万的站点中，通过验证他们的首页，我们可以确认当前有至少 628 个网站挂载了挖矿代码。我们把这些域名绘制了标签图如下，读者可以有一个直观印象。由于色情相关的特殊性，我们不会公布这些已知域名。

网站内容分类如下表所示：

内容/流量网站汇聚了用户流量以后，会通过挖矿网站来变现。按照被内容网站使用数量统计，我们看到 2018-02-06 当天的Top 10 挖矿网站如下所示：

值得一提的是，上表中尽管所有的挖矿网站被使用了728次，但所有的内容网站加起来只有 628 个，这是因为部分内容网站使用了 2 个或者更多的挖矿网站。在这个市场里，这是一种普遍的情况。

所有的挖矿网站之间，是可以汇聚到不同家族的。我们已知的挖矿网站家族包括：

主要的挖矿网站 DNS 流量趋势如下图：

从图中我们可以看出：

市场开启于 2017-09，coin-hive.com 和 coinhive.com 先后于 2017-09-15 和 2017-09-28 开始有大量访问
市场在持续变大，在2017-10 和 2018-01 分别有两次大的提升
最大的玩家是 coinhive 家族，这与之前的观测一致。作为代表的 coinhive.com 网站流行度已经排入Top 2万
越来越多的挖矿网站供应商在进入这个市场

另外，最近我们开始观察到，coinhave 家族开始使用一些域名的冗余技术来将流量分散到类如6860c644.space等20个子站上，主站的流量在缩小。

近期我们注意到一些新的玩法正在这个市场上出现：

以上展示了我们使用 DNSMon 监控网页挖矿的结果，其监控原理如下：

使用 DNSMon 检测网页挖矿有以下优点和缺点：

总体而言，利用 DNSmon 系统，我们能够：

本文中的标签图，使用 http://cloud.niucodata.com/ 制作

Who is Stealing My Power: Web Mining Domains Measurement via DNSMon