Abstract-Cyberbrottslingar använder olika typer av geografiskt distribuerade servrar för att köra sin verksamhet som C&C-servrar för att hantera sin malware, utnyttja servrar för att distribuera malware, betalningsservrar för monetarisering, och omdirigatorer för anonymitet. Att identifiera den serverinfrastruktur som används av en it-brottsoperation är grundläggande för försvarare, eftersom det möjliggör nedtagningar som kan störa operationen och är ett avgörande steg mot att identifiera brottslingarna bakom den. I detta dokument föreslår vi en ny aktiv undersökningsmetod för att upptäcka skadliga servrar och komprometterade värdar som lyssnar på (och reagerar på) inkommande nätverksförfrågningar. Vårt tillvägagångssätt skickar sonder till fjärrvärdar och undersöker deras svar, avgöra om fjärrvärdarna är skadliga eller inte. Den identifierar olika skadliga servertyper samt malware som lyssnar för inkommande trafik såsom P2P bots. Jämfört med befintliga försvar, vår aktiva undersökning strategi är snabb, billig, lätt att distribuera, och når Internet skala. Vi har implementerat vår aktiva undersökningsstrategi i ett verktyg som kallas CyberProbe. Vi har använt CyberProbe för att identifiera 151 skadliga servrar och 7881 P2P bots genom 24 lokaliserade och Internet-omfattande skanningar. Av dessa servrar 75% är okända för allmänt tillgängliga databaser av skadliga servrar, vilket tyder på att CyberProbe kan uppnå upp till 4 gånger bättre täckning än befintliga tekniker. Våra resultat visar en viktig leverantör lokalitet egendom: verksamheten är värd i genomsnitt 3.2 servrar på samma hosting leverantör för att amortera kostnaden för att upprätta en relation med leverantören.
Cyberprobe REF beskriver en aktiv undersökningsmetod för att upptäcka skadliga servrar och komprometterade värdar.
CyberProbe: Towards Internet-Scale Active Detection of Malicious Servers
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}