[发明专利]一种基于搜索引擎的命令控制节点地址查找机制

摘要

本发明公开了一种基于搜索引擎的命令控制节点地址查找机制，包括发布模块、搜索模块、关键字生成模块、噪音记录过滤、信息提取与转换模块，攻击者事先通过免费博客发布以日期MD5值为标题、命令控制节点IP地址为内容的博文，感染恶意代码的主机以该日期MD5值为关键字访问搜索引擎并得到搜索记录集合，对该记录集合进行Top‑K排序后，选取排名前K条与含有命令控制节点IP地址博文相关的记录，并从此K条记录的摘要部分提取命令控制节点IP地址，本申请的机制可通过多种搜索引擎发现并能准确地提取命令控制节点信息。

主权项

1.基于搜索引擎的命令控制节点地址查找机制，其特征在于，包括发布模块、搜索模块、关键字生成模块、噪音记录过滤、信息提取与转换模块，攻击者通过发布模块将C&C节点信息以博文的形式发布在事先申请开通的多个博客上，并且这些博文可被搜索引擎收录；当恶意代码感染设备变为Bot后，该Bot从关键字生成模块产生的与所述博文相关的关键字列表中选取关键字，并利用搜索模块访问搜索引擎后得到SERP，接着通过噪音信息过滤模块滤除SERP中的噪音记录而筛选出摘要部分含有C&C节点地址的记录，最后信息提取与转换模块从筛选出记录的摘要部分提取C&C节点的IP地址，并将IP地址格式转换为二进制格式，以完成Bot发现和获取C&C节点地址的过程。