移动僵尸网络的命令与控制信息隐匿技术

移动僵尸网络的命令与控制信息隐匿技术 Steganography Techniques for Command and Control Information of Mobile Botnet first-author 陈松健，男，硕士生，主要研究方向为网络安全.E-mail：1215042932@njupt.edu.cn 陈松健，男，硕士生，主要研究方向为网络安全.E-mail： 1215042932@njupt.edu.cn 1215042932@njupt.edu.cn corresp 陈伟, E-mail:chenwei@njupt.edu.cn 陈伟, E-mail:chenwei@njupt.edu.cn chenwei@njupt.edu.cn 南京邮电大学 计算机学院, 江苏 南京 210023 南京邮电大学 计算机学院, 江苏 南京 210023 College of Computer, Nanjing University of Posts and Telecommunications, Nanjing 210023, Jiangsu, China College of Computer, Nanjing University of Posts and Telecommunications, Nanjing 210023, Jiangsu, China 随着移动互联网的发展和普及，越来越多的攻击者通过移动僵尸网络进行犯罪活动.针对推送型移动僵尸网络，提出了一种拟英文自然语言的移动僵尸网络命令和传输机制，通过基于推送内容的隐写方法，将需要传输的控制指令隐藏于推送文本中，使推送文本拟自然语言化，躲避推送服务提供商的异常检测.实验结果表明，这种拟自然语言隐写方法能够根据语料库动态地提升隐写文本的单词嵌入率，隐写文本自然可读，具有良好的传输效率和隐蔽性. With the development of mobile Internet, more and more attackers use mobile botnet to commit cyber crimes. A transmission mechanism, where every command for controlling is hidden in human-like message, was proposed for mobile botnet relying on push server. Through the text steganography method, the command which needs to be transmitted is hidden in the human-like pushing text to avoid the anomaly detection. The experimental results show that this steganography mechanism with high transmission efficiency and invisibility dynamically enhances the average covert rate according to the corpus and that the stegotext is readable and natural. 移动僵尸网络 命令与控制 消息推送 文本隐写 语言建模 mobile botnet command and control message push text steganography language modeling 引言 1 近几年，移动互联网发展迅速，根据CNNIC(中国互联网络信息中心)第38次中国互联网发展统计报告 [ 1 1 ] ，截至2016年6月，中国通过手机上网的用户已经达到了6.56亿，随之而来，移动互联网的安全问题越来越需要得到重视.移动互联网上的恶意攻击代码和蠕虫病毒不断出现, 已经给人们的日常生活和工作造成巨大损失, 甚至对社会稳定和国家安全构成了威胁.Android和IOS平台上，各种病毒也逐渐涌现了出来.2009年出现了首个针对Symbian系统并携带基于Http协议的C & C机制的移动恶意代码SymbOS/Yxes [ 2 2 ] ，而后针对越狱Iphone手机的僵尸网络iKee B [ 3 3 ] 也活跃起来，2012年首个Android移动僵尸网络Geinimi [ 4 4 ] 出现. 移动僵尸网络(mobile botnet)是指攻击者采用一种或多种传播手段，将大量移动终端感染Bot程序(僵尸程序)病毒，从而在控制者和被感染主机之间形成的一个可一对多控制的网络. 现今很多移动平台都提供消息推送服务，如Google的针对Android平台的GCM服务 [ 5 5 ] ；Apple针对iOS平台的APNS服务 [ 6 6 ] ；微软针对Windows Mobile平台的MPNS服务 [ 7 7 ] ；黑莓的BPS [ 8 8 ] 消息推送服务等.这种消息推送服务能够有效并实时地通过云端消息推送服务器将消息推送到指定的移动终端.除了以上几种推送服务器，还有很多第三方推送服务供应商可以向各个品牌的手机推送消息，如Amazon的SNS服务 [ 9 9 ] ，基于GCM的Airbop服务 [ 10 10 ] 以及国内的极光推送 [ 11 11 ] 等.推送服务器以其健壮性、隐蔽性、低消耗的特点成为了移动僵尸网络控制命令传输的新桥梁. 国内外研究现状 1 本节将对僵尸网络的命令与控制机制的研究状况与隐写术的发展现状进行介绍. 移动僵尸网络的命令与控制机制 2 命令与控制(C & C)机制，指僵尸控制者(botmaster)控制大量僵尸节点(bot)时采用的方式和主要技术点，如何保护C & C信道一直是移动僵尸网络中热门的研究话题.Cui等 [ 12 12 ] 提出一种基于URL Flux的移动僵尸网络模型，攻击者将僵尸命令加密绑定至图片上，并将其上传至博客，僵尸手机通过访问博客下载图片，然后解析命令并执行，消除了基于Http命令与控制信道的单点失效的弊端.Mulliner等 [ 13 13 ] 提出了一种基于SMS-HTTP混合模式的C & C命令与控制信道的移动僵尸网络，主要分成HTTP和SMS两部分，通过SMS发送僵尸命令相对应的URL信息，再将预存于网站上的加密签名文件配合URL信息进行解密并执行.Singh等 [ 14 14 ] 评估了利用电子邮件通信的僵尸网络C & C信道的可行性.Zhao等 [ 15 15 ] 提出了在Google的C2DM服务器下构建移动僵尸网络的方式，包括其详细过程和僵尸程序.Chen等 [ 16 16 ] 提出了利用GCM推送服务器和图片隐藏等技术实现云控移动僵尸网络，避免了僵尸节点与控制服务器之间直接的网络通信，增强了隐蔽性，并在后续的研究 [ 17 17 ] 中提出流量自适应的推送型移动僵尸网络，能够有效抵御基于流量分析的异常检测，但对于基于推送内容的异常检测系统，还是使用加密文本，并没有有效的隐蔽方式，僵尸网络的可靠性无法得到切实保证.李娜等 [ 18 18 ] 提出了在GCM服务器下，利用网址缩短服务混淆(USses-Flux)技术隐藏C & C推送服务器，通过隐藏重定向页的名称和内容，使得流量测试工具不能获取重定向页面的地址，从而隐藏了发送的信息, 并具有很强的隐秘性、强壮性和低消耗等特点，但由于推送服务器的行为异常，还是可以被基于网络行为分析的异常检测检测出来.由此可见，研究如何隐蔽实时执行僵尸命令对于分析僵尸网络具有重要意义. 由于推送服务器一般只推送文本消息，最常见的推送服务也是基于发布/订阅模式的消息推送服务，目前已有研究工作提出基于文本隐写的侧信道构建方法.为了提高对新型移动僵尸网络的分析和防范能力，有必要研究将僵尸网络的C&C信道隐藏于推送服务中的新型C&C机制. 隐写术 2 隐写术是一种利用无害的信息或与隐藏信息毫无关联的载体去隐藏目的信息的信息隐藏技术，相比加密有使第三方无法察觉隐秘消息存在的显著优点.在加密术中，第三方是明确知道有隐匿信息存在的，只是无法破解.隐写术应用范围极其广泛，比如匿名通信，匿名在线交易，计算机网络系统中的匿名信道等等，隐写术载体种类也非常多，如文本、图像、声音、电波等.Chand等 [ 19 19 ] 设计了基于单词替换的自然语言系统Lunabel，它比早期的NICETEXT隐写术更不容易被察觉.Grosvald等 [ 20 20 ] 针对文本设计了一种新的基于单词替换的隐写术方法，这种隐写术方法着力于解决隐写产生的结果与正常人类自然语言相比不自然的问题，并改善了隐写结果与自然语言的统计特征之间的差距.Safaka等 [ 21 21 ] 针对通信网络中第三方非人为检测，提出了拟自然语言的隐写技术，其主要思想是将隐藏信息压缩后转化为单词仓仓号，再通过 N 元语言模型选词，最后通过人工手段提升句子的自然性，以此将隐藏信息与自然语言融合，旨在将用户的隐私权利还给用户，避免不必要的互联网服务提供商的检查，但其缺点是需要通过人工手段提高隐写文本的自然性，传输效率低，不符合工程开发的要求. 本文将隐写术用于僵尸网络的命令与控制机制设计中，提出了一种基于推送服务器的新型僵尸网络拟自然语言(本文的拟自然语言是指拟英语自然语言)C&C文本隐写术，将移动僵尸网络的C&C信道隐藏于推送服务中，采用隐写术将C&C信道更好的藏匿起来，使其难以被发现和破解. 拟自然语言C&C文本隐写术 1 由于当前推送服务器的主要用途在于推送新闻、广告等含有大量文本的内容，所以如果将控制命令能够合理地隐藏其中，就可以避过很多检测.本文提出的新型C&C机制主要包含压缩和替换两个部分，并在客户端解码部分阐述了解码原理. 该模型框架如 图 1 图 1 所示. 压缩 2 在压缩部分，通过哈夫曼编码将需要隐藏的C&C命令进行压缩，生成二进制机器码串，这个方法适用于各种移动僵尸网络的常见命令. 哈夫曼编码将需要隐藏的信息 S 以低损失的代价压缩成二进制序列.这个哈夫曼编码的字母表只含有僵尸网络控制命令中包含字符的单词集合 S * ={GET APP, GET INFO, SMSDOS, IP, SOCK, REMOVE, DOS, DOWNLOAD, UPDATE, POSITION, ATTACKING}. 在本文中，压缩和解压缩过程分别符号化为 C 和 C -1 ，即二进制序列 Q 可以这样得到： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258260&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258260&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258260&type=middle 对这样的字母表中命令单词集合以均等出现概率进行哈夫曼编码，建立对应的哈夫曼树，以上述 S * 包含的命令为例，最终取得的哈夫曼编码压缩比为50.83%. 替换 2 在替换部分，我们首先结合推送服务器的推送特点产生范本，再根据可变单词仓的构造规则生成单词仓并根据控制命令选中单词仓，最后根据三重替换规则选出仓中合适的词与原范本进行融合. 基于推送内容的范本 3 本文对推送服务器的推送消息进行了分类，常见的推送消息按内容划分主要包括：天气预报、联系人通知、新闻、广告、博文.而新闻资讯和商业广告，作为推送方的主要商业盈利手段，被推送的次数更多.我们通过收集过去的新闻资讯，自制新闻语料库 R ′，在每次需要生成范本时候，随机的选择其中的一条新闻，作为这轮推送的范本.同时，新闻语料库会定期从大型新闻媒体上爬取新闻，更新本地语料库，以降低范本发生碰撞的可能性. 可变单词仓的构造 3 为了将信息隐藏到范本中，压缩得到的二进制序列 Q 将被切分，取其中一定长度的二进制序列将其转化为数字.与此同时，按照可变单词仓的构造规则构建单词仓，很多仓保存了预先准备的自然语言单词，通过选定仓号选出单词，我们将隐匿信息和自然语言结合到一起. 举一个简单的例子，假设C & C文本压缩后得到的二进制序列 Q 为011001010110，假设以3个bit为一组进行切分，得到的仓号为：3, 1, 2, 6.然后再依次到3号、1号、2号、6号仓选出需要的单词，至此，已经成功地将信息隐藏到了单词中.假设我们取到的3号、1号、2号、6号仓中根据替换规则选取的单词为“I”, “dislike”, “bad”, “weather”.这样就组成了一个短句子“I dislike bad weather”. 不同于过去的研究，我们设计了一种可变的单词仓来存放候选词，范本的句子长度以及范本中某一特殊位置的单词的长度会作为随机数种子，使模型在推送服务器的每一个推送过程进行变化更新.根据句子长度 L 的不同，我们会这样定义本次推送生成的单词仓 M ={ R ， L ， l ， B ， b }, 其中 R ：大数据文本语料库； L ：仓中的元素个数，对于每次临时生成的随机句子来说，它是可变的； l ：范本中特殊位置单词的长度，用来计算bin中单词的起始替换位置； B ：所有单词仓bin的合集， B ={ B 1 ， B 2 ，…， B i }， http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258316&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258316&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258316&type=middle ( m 为 R 的单词个数)； b：二进制序列切分长度 http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258323&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258323&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258323&type=middle ，会根据每次推送的bin的个数 i 的不同而变化. 本文构建的单词已具有以下特性： 1) 隐蔽性 推送服务器现在最主要的用途是推送文本和图片，作为客户端广告和新闻消息的来源，将C&C文本用推送服务器推送就要求推送内容尽可能贴近这类消息，所以我们设计这样的模型将C&C文本隐藏其中，并限制文本长度不长于255个字符(推文的字符数量限制)，增加它的隐蔽性. 同时，在替换单词时也可能会发生bin中单词全都无法命中的情况，针对这种情况，我们会在选中的bin中取和原文此位置的单词词性相同的词进行替换，在语法上保证句子的自然性. 2) 保密性 现在设计的可变单词仓相比传统的单词仓，因为每次推送都是构造不同的单词仓，选择插入单词的位置、产生的单词仓的个数和每个单词仓内的单词不都与原来相同，极大地提升了隐藏消息的破解难度，能够有效地抵御差分分析和词频分析，对于即使没有通过服务提供商的常规消息检测的信息，也进行了二次保护，保证了单词仓和隐藏信息不会被破解.这样的设计保证了即使是加密相同的信息，通过单词仓得到的单词也可能是不同的，类似于密码学中“一次一密”的思想，对信息进行了有效的保护，由于隐写术方法不用公开，实现了推送文本服务这种单工通信中的信息安全. 3) 高效性 每个单词的转码效率可以用切分二进制串的长度 b 来表示， b 越长，效率越高. 最终推送效率 E 可以表示为： E = w × log 2 i  ( w 为替换词的个数) 由于语料库 R ′随机生成的句子长度 L 与替换词的个数 w 正相关，句子越长替换词的个数也越多： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258273&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258273&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258273&type=middle 最终得到以下结果： E ∝ L , 且 L 与 i 负相关. 总体上 R 不变的话， E 在一定程度上保持恒定; 在 R 变化的情况下， E ∝ m ，即 R 越大效率越高.实现自动化的高效传输，无需人工介入. 而整个推送过程的效率通过选择插入的单词数来保证，如果只强调效率的话，显然用字符的大小写去表示二进制串每位为0或者1的值可以提高编码效率，然而在英文自然语言中不规律地出现大小写字符是与英文自然语言的潜在书写规律相违背的，这会严重影响生成的拟自然语言文本，降低生成的拟自然语言文本被识别为自然语言的概率，即降低文本的自然性，从而严重影响拟自然语言文本的隐蔽性.当从插入位置的前后各选取一个单词作为替换位置的上下文时，不同短句之间的自然性通过原范本中短语的前一短语的末位词和后一短语的开始词连接来保证，我们可以选取这样的位置作为替换位置进行替换. 三重替换规则 3 为了避免单一替换原则替换失败，本文设计了三重替换规则来进行单词替换.三重替换规则的含义是替换时优先级从高到低分别是：单词相似度规则、词性规则、随机选取规则. 1) 单词相似度规则：利用WordNet来计算单词相似性 [ 22 22 ] .WordNet主要是按照基于概念间结构层次关系组织的语义词典的方法，根据在这类语言学资源中概念之间的上下位关系和同位关系来计算词语的相似度.WordNet基于上位词层次结构中相互连接的概念之间的最短路径在0~1范围打分.本模型生成的消息主要和一般常见的推送内容相似，所以基于文献[ 23 23 ]的研究，对于推送消息来说，选用Lin算法 [ 24 24 ] 计算相似度比较好. Lin算法的相似度取决于不同词义概念所包含信息的共有性和差别性.依据Lin算法，本文相似度计算如下： http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258287&type= http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258287&type=small http://html.publish.founderss.cn/rc-pub/api/common/picture?pictureId=4258287&type=middle 这里的lso()返回的两个词的概念是在IS-A关系组织的知识库中的最小上层概念. 我们通过WordNet把bin中的词与原本需要替换的词进行相似度计算，取得相似度最高的单词，在语义和语法上与原范本相似，从而保证文本的自然性. 2) 词性规则：NLTK( http://www.nltk.org/ http://www.nltk.org/ )将单词总共分为33个小类，我们又在此基础上根据用法把它们归为了5个大类，如 表 1 表 1 所示.在这里将这些小类作为第一匹配项，如果原文的单词与替换词所属小类相同，则优先替换为这个小类的单词，若小类的词不存在，则在同一大类中随机选词进行替换. 本文 NTLK Nouns FW, PRP, NN, NNS, NNP, NNPS Verbs VB, VBD, VBG, VBN, VBP, VBZ Adjectives WDT, DT, CD, POS, PDT, WP, WP$, WDT, WRB, JJ, JJR, JJS Adverbs MD, RP, TO, RB, RBP, RBS, UH Conjunctions/Prepositions CC, IN 3) 随机选取规则：通过随机数确定替换词在bin中的位置，选择替换词. 输出结果融合 3 通过语料库 R ′和可变单词仓的构造，我们得到了范本和各个单词仓，将范本中的部分词进行简单的替换，使两者相互融合统一，最终得到了载密的C & C拟自然语言文本. 拟自然语言隐写模型完整算法过程如下： Step 1  输入需要隐匿的数据信息 S 进行压缩得到二进制序列 Q ； Step 2  输入用于生成范本的语料库 R ′； Step 3  用 R ′语料库随机选取语料生成范本Covertext； Step 4  结合 l 在范本Covertext中寻找bin中的替换词起始位置距首单词的偏移量，并结合 N 来计算下一个插入单词的出现位置； Step 5  将 R 中的单词按词性进行均摊，并结合 L 将 R 中的单词划分到不同的仓中； Step 6  通过bin仓个数 i 计算二进制串划分长度log 2 ( i )； Step 7  将二进制串 Q 分割成 q 1 , q 2 , q 3 , …； Step 8  选到对应位置按照三重替换原则替换单词； Step 9  若 Q 未处理完，将二进制 Q 未处理完的部分作为下次处理的开始，转到Step 2.否则完成，退出. 基于混合模型的大量数据传输 3 在移动僵尸网络的被控制终端需要进行僵尸程序增量更新时，将从控制端传输相对较大的数据量(一般单个文件不超过1 MB)，我们会将原始数据压缩后分段并推送多次消息，来完成整个消息的传输. 在这里，第一次推送初始化的时候，生成范本，并记录范本的长度以及特殊单词的长度，将特殊单词的长度作为替换词起始位置距句首单词的偏移量，在接下来的属于这整个隐匿推送中的每一个分段的数据推送中都用第一个分段范本的长度以及特殊单词的长度及偏移量，并通过设置超时时间TTL判断，前后两次推送是否属于同一个匿传输的数据流. 这样在这一次隐匿传输中我们的单词仓不会重复计算，而仓中的元素个数和选择插入词的偏移位置也是基于第一个推送的消息长度，使得在一次隐匿传输过程中单词仓的重复利用率得到提高，减少了计算量. 在替换部分，我们将根据常见的推送内容的语料文本生成范本，进一步生成可变单词仓，二进制机器码选中合适的单词仓，再根据三重替换规则替换范本中的词，达到生成拟自然语言C&C文本的目的.本文设计了可变单词仓和三重替换规则，并将其与范本进行融合，形成了新型的C&C文本模型. 解码 2 在客户端接收到我们传输的第一个推送文本之后，客户端会进行替换词抽取过程、解码过程和哈夫曼解码过程. 替换词抽取过程负责将可变单词仓中的仓选单词从范本中抽取出来，解码过程负责逆向解码.替换词清除过程会根据约定的作为偏移量计算凭据的特殊位置单词，计算出偏移量，找出所有可能被替换的单词，去除无用的范本单词，只留下包含隐藏信息的单词. 逆向解码过程负责根据传来的推送文本重构单词仓，并将剩下的单词序列归类到所属的单词仓中，将所有仓号以二进制序列形式进行重组，还原成原来隐藏信息的二进制序列. 哈夫曼解码过程负责将得到的二进制序列，根据哈夫曼树，计算出原始指令. 以简单的IP命令解码为例，假设接收端获得的推文为“I like the movie which was published last week too”，我们通过句末单词长度为3，即偏移量为3，得到替换位置应该从第4个单词开始计算，我们以上下文各取一个词的情况来对后面的句子进行分割，得到“movie which was”和“published last week”两段，确定替换词为“which”和“last”；另一方面通过句长为10，说明每个单词仓中有10个单词，以此使用语料库构建单词仓，再通过遍历的方式找出“which”和“last”的所属单词仓仓号，即为原始指令的二进制序列，最后通过哈夫曼树，将对应的指令进行解码. 实验 1 实验环境 2 本文从wiki news上爬取新闻，自制范本语料库 R ′.将想要隐匿推送的信息输入本文提出的拟自然语言隐写模型中，得到生成的推送文本，再使用极光推送服务进行推送.在Android客户端进行推送文本解码工作，验证消息的正确性，分析推送效率. 表 2 表 2 显示了我们所选取的用来生成单词仓的语料库 R 的来源. Key word Source Number of words Number of unique words dog wiki news 2 653 1 107 flight wiki news 3 407 1 248 animal wiki news 6 800 2 764 实验过程与结果 2 使用哈夫曼树将僵尸网络的控制命令进行压缩，得到要传输的二进制信息，如 表 3 表 3 所示. Botnet commands Binary command coded by Huffman GET APP 101101010001010111100000010001 GET INFO 101101010001010111011100000011010010 SMSDOS 11011111101001010110 SMS SPREAD 110111111010111110000100111101010001001 GENSMS 10110101000001101111110 DENYSMS 1001101000000011001101111110 REMOVE 00111101011110100110101010 IP 01110001 SOCK 11001011100011000 CALL_HOME 111001000111011110110111001101101011111010 UPDATE 01100100011001100000101010 POSITION 00010101100111001001110100000 DOWNLOAD 100101001101100001110101010001001 DOS 1001010110 ATTACKING 1000001000101000111000110000111000010110 在生成范本后，对于作为计算偏移量凭证的特殊单词的位置选取，我们做了统计实验，在实验中使用古森堡语料库随机抽取了285个句子，对句子中不同位置出现的单词长度频率进行统计实验，如 图 2 图 2 . 实验表明，句子的第一个单词和第二个单词的单词长度分布不均，而句尾的单词长度分布较为均匀，所以选取句尾的单词长度作为偏移量.这样选取的替换的起始位置能保证较好的随机性. 所以本文通过范本提供的推送句子长度 L 和句末单词长度 l 构建单词仓，再按照三重替换规则进行单词替换，把传送的隐匿信息以bin仓号的形式隐藏，将选中的单词仓中按照三重替换规则的优先级先后作为替换依据替换掉原来的单词，将范本与控制命令融合，从而产生发送的句子.在实验中，本文仿照Safaka等人的工作 [ 21 21 ] 通过Opengrm库( http://www.opengrm.org/ http://www.opengrm.org/ )配合相同题材的文本训练简单的 N 元语言模型，从而随机产生句子，再与本文提出的方法产生的句子进行比较，无论在句子结构上还是在语法语义上，本文生成的句子具有更好的可读性和自然性；在推送的内容上，本文通过基于上下文的三重替换策略能够较好的保证生成后的句子和原范本具有较高的相似度，使得推送内容与一般推送服务的推送内容相近. 例1  选取的flight新闻范本 Approximately twenty flight routes for various airlines are to be modified to avoid the path of a rocket scheduled to be launched from North Korea later this month. 例2  选取flight新闻生成范本，发送remove命令生成句子 Approximately twenty flight routes for various humans are to regard modified to monitor the path cut a rocket departed to be considered from North Korea later this month. 例3  选取flight新闻训练 N 元语言模型生成的句子 Were received acting been were can main terrorism since main democracies received signs out can so far democracies received France. 在多次实验过后，本文生成了用flight、dog和animal语料库结合范本建立可变单词仓，生成了长度小于64的50个句子，范本平均长度28.82，最坏单词嵌入率为4 bit/word，平均单词嵌入率5 bit/word，最优单词嵌入率6 bit/word；与Safaka等人所做的基于 N 元语言模型的工作相比，本方法在用较小的语料库的情况下，嵌入率上升了2 bit/word( 图 3 图 3 )，且随语料库增大，嵌入率动态上升.实现了全程自动化编码，适用于真实的C & C传输环境.僵尸网络控制命令集进行哈夫曼编码压缩的压缩比为50.83%，平均命令长度为26.86 bits，相比压缩之前的二进制编码效率有了较大提高. 关于推送方案的可行性讨论，一般推文长度小于255，假设取255，也就是在二进制串被分割为最差情况下，二进制串以2 bits为一组进行单词替换，此时需要的本文长度不会超过63(编码最长命令call_home)+ l ( l 为句末单词长度)，远小于255，所以推送方案255长度的推文一定能够推送僵尸网络控制命令集中所有命令.事实上，英文中单词平均长度为5.5，在实验中只要选取的范本长度大于30+6(假设句末单词长度为5.5)，就能推送全部命令. 综上所述，本文提出的拟自然语言模型隐写方法无论在隐蔽性还是效率上的具有良好的表现，适用于僵尸网络的C&C命令传输. 结论 1 在移动僵尸网络的研究中，控制命令机制是僵尸网络研究的重点之一.本文研究了一种将僵尸网络控制命令拟自然语言化的隐写方法，设计可变单词仓和三重替换规则来隐写僵尸网络的控制命令，同时保证了移动僵尸网络命令推送的效率以及隐蔽性.本文比起无上下文内容关联的Safaka N 元语言模型隐写方法，采用基于范本的三重替换规则，使得句子的自然性和连贯性得到加强，并结合可变单词仓，将改进的拟自然语言模型应用于僵尸网络控制命令传输中，提高了控制命令的编码效率和保密性.这种方法在推送僵尸网络控制命令这种较小的数据量时具有很高的效率.该控制命令推送机制是基于推送内容设计的，难以被基于流量分析和差分分析等检测手段所检测. 该方法的性能可以在可变单词仓的单词分配上做更进一步的自然性优化.在本方法中，自然性基于替换词的相似度和范本，而在单词仓中的分词，将直接影响替换词的相似度高低.如何选择合理的分仓策略是进一步的改进方向. 参考文献 中国互联网络信息中心. 第38次中国互联网络发展状况统计报告[R]. 北京: 中国互联网络信息中心, 2016. CNNIC. Statistical report of the 38 th China Internet development [R]. Beijing: CNNIC, 2016(Ch). APVRILLE A. Symbian worm Yxes: Towards mobile botnets?[J]. Journal in Computer Virology , 2012, 8(4): 117-131. PORRAS P, SAIDI H, YEGNESWARAN V. An Analysis of the iKee. B Iphone Botnet[DB/OL]. [2017-07-02] . http://www.csl.sri.com/users/vinod/papers/ikee.pdf http://www.csl.sri.com/users/vinod/papers/ikee.pdf . DOI: 10.1007/978-3-642-17502-2_12 DOI:10.1007/978-3-642-17502-2_12 . WYATT T. Security Alert: Geinimi, Sophisticated New Android Trojan Found in Wild[EB/OL]. [2010-12-29] . https://blog.lookout.com/security-alert-geinimi-sophisticated-new-android-trojan-found-in-wild https://blog.lookout.com/security-alert-geinimi-sophisticated-new-android-trojan-found-in-wild . GOOGLE INC. Android Cloud to Device Messaging Framework[EB/OL]. [2017-07-05] . https://developers.google.com/cloud-messaging/gcm https://developers.google.com/cloud-messaging/gcm . APPLE INC. Local and Push Notification Programming Guide[EB/OL]. [2017-06-02] . https://developer.apple.com/library/content/documentation/NetworkingInternet/Conceptual/RemoteNotificationsPG/APNSOverview.html #// apple_ref/doc/uid/TP 40008194- CH 8- SW 1 https://developer.apple.com/library/content/documentation/NetworkingInternet/Conceptual/RemoteNotificationsPG/APNSOverview.html#//apple_ref/doc/uid/TP40008194-CH8-SW1 . MICROSOFT INC. Push Notifications Overview for Windows Phone[EB/OL]. [2017-07-06] . http://msdn.microsoft.com/enus/library/ff 402558( v = vs .92). aspx http://msdn.microsoft.com/enus/library/ff402558(v=vs.92).aspx . BLACKBERRY LIMITED. Push Service[EB/OL]. [2017-07-02] . http://developer.blackberry.com/services/push/ http://developer.blackberry.com/services/push/ . AMAZON INC. Simple Notification Service[EB/OL]. [2017-07-09] . http://aws.amazon.com/sns http://aws.amazon.com/sns . INDIGO ROSE SOFTWARE CORP. Airbop[EB/OL]. [2017-06-02] . http://airbop.com http://airbop.com . 深圳市和讯华谷信息技术有限公司. Jpush产品简介[EB/OL]. [2017-05-02] . https://docs.jiguang.cn/jpush/guideline/intro/. https://docs.jiguang.cn/jpush/guideline/intro/ HEXUN HUAGU INFORMATION TECHNOLOGY Co., ctd. Jpush production Introduction[EB/OL] . [2017-05-02]. https://docs.jiguang.cn/jpush/guideline/intro/ https://docs.jiguang.cn/jpush/guideline/intro/ (Ch). CUI X, FANG BX, YIN LH, et al . Andbot: towards advanced mobile botnets[C]// Proceedings of the 4 th USENIX conference on Large-scale Exploits and Emergent Threats . Boston: USENIX Association: 2011: 11. MULLINER C, SEIFERTIN J P. Rise of the iBots: Owning a telco network[C]// Proceedings of the 5 th IEEE International Conference on Malicious and Unwanted Software ( Malware ). Washington D C: IEEE, 2010: 71-80. DOI: 10.1109/MALWARE.2010.5665790. http://dx.doi.org/10.1109/MALWARE.2010.5665790. SINGH K, SRIVASTAVA A, GIFFIN J, et al . Evaluating email's feasibility for botnet command and control[C]// Proceedings of IEEE International Conference on Dependable Systems and Networks , 2008 ( DSN 2008). Washington D C: IEEE, 2008: 376-385. ZHAO S, LEE PP C, LUI J, et al . Cloud-based push-styled mobile botnets: A case study of exploiting the cloud to device messaging service[C]// Proceedings of the 28 th Annual Computer Security Applications Conference . New York: ACM, 2012: 119-128. CHEN W, GONG P, YU L, et al . An adaptive push-styled command and control mechanism in mobile botnets[J]. Wuhan University Journal of Natural Sciences , 2013, 18(5): 427-434. 陈伟, 周诗文, 殷承宇.流量自适应的移动僵尸网络云控机制研究[J].通信学报, 2014, 35(11):32-38. CHEN W, ZHOU S W, YIN C Y. Research on cloud-based traffic adaptive command and control method for mobile botnet[J]. Journal on Communications , 2014, 35(11): 32-38 (Ch). 李娜, 杜彦辉, 陈默.基于短地址混淆和谷歌云推送的移动僵尸网络的构建[J].计算机应用, 2015, 35(6):1698-1704. LI N, DU Y H, CHEN M. Construction of mobile botnet based on URL shortening services flux and Google cloud messaging for Android[J]. Journal of Computer Applications , 2015, 35(6):1698-1704 (Ch). CHAND V, ORGUN C O. Exploiting linguistic features in lexical steganography: Design and proof-of-concept implementation[C]// Proceedings of the . 39 th Annual Hawaii International Conference on System Sciences Washington , D C: IEEE Computer Society, 2006: 126. DOI: 10.1109/HICSS.2006.175. http://dx.doi.org/10.1109/HICSS.2006.175. GROSVALD M, ORGUN C O. Free from the cover text: A human-generated natural language approach to text-based steganography[J]. Journal of Information Hiding and Multimedia Signal Processing , 2011, 2(2):133-141. SAFAKA I, FRAGOULI C, ARGYRAKI K. Matryoshka: Hiding Secret Communication in Plain Sight[DB/OL]. [2017-02-03] . http://pdfs.semanticscholar.org /10 c 6/ a 2 c 188bb5 aca 469 ff 7 b 29 d 87 d 3 de 6 c 800 e 74 http://pdfs.semanticscholar.org/10c6/a2c188bb5aca469ff7b29d87d3de6c800e74 . 张东娜. 基于WordNet的短文本语义相似性计算研究[D]. 长春: 吉林大学, 2010. ZHANG D N. The Research of Semantic Similarity Between Short Text Based on WordNet [D]. Changchun: Jilin University, 2010(Ch). 王李冬.融合语义和时间因子的微博检索[J].情报杂志, 2016, 35(4):190-194. WANG L D. Microblog retrieval based on the combination of semantics and temporalfactor[J]. Journal of Intelligence , 2016, 35(4):190-194(Ch). LIN D K. An Information-Theoretic Definition of Similarity[DB/OL]. [2017-06-19] . http://www.mathcs.emory.edu/~choi/courses/reading/lin -98 a.pdf http://www.mathcs.emory.edu/~choi/courses/reading/lin-98a.pdf . 10.14188/j.1671-8836.2018.02.006 TP309 whdxxblxb-64-2-133 国家自然科学基金资助项目(61602258) 2017-08-06 2018-04-24 2020-11-30 版权所有© 2018 《武汉大学学报(理学版)》编辑部 Copyright © 2018 Journal of Wuhan University(Natural Science Edition). All rights reserved. 2018 武汉大学学报(理学版) 2 64