Turning Internet of Things(IoT) into Internet of Vulnerabilities (IoV) : IoT Botnets
物联网（IoT）是互联网世界的下一个重大发展步骤。物联网背后的主要意图是在不同的生活水平上实现更安全的生活和风险缓解。随着物联网僵尸网络的出现，人们对物联网设备的看法已经从增强生活的推动者转变为网络犯罪分子的互联网漏洞。物联网僵尸网络暴露了两个不同的突出问题，1）大量的物联网设备可以通过公共互联网访问。2)安全性（如果考虑的话）通常是许多广泛的物联网设备架构中的事后考虑。在本文中，我们简要概述了物联网僵尸网络的解剖及其基本操作模式。将讨论最近使用物联网僵尸网络的一些主要DDoS事件以及相应的漏洞。我们还提供了缓解物联网相关网络风险的补救措施和建议，并简要说明了网络保险在现代互联世界中的重要性。
2017-02-13 cs.CR cs.NI
Towards Developing Network forensic mechanism for Botnet Activities in the IoT based on Machine Learning Techniques
物联网是一个互联的日常物品网络，这些物品被称为已经增强了一小部分计算能力的东西。最近，物联网受到各种不同僵尸网络活动的影响。由于僵尸网络多年来一直是造成严重安全风险和经济损失的原因，现有的网络取证技术无法识别和跟踪僵尸网络当前复杂的方法。这是因为商业工具主要依赖于基于签名的方法，无法发现新形式的僵尸网络。在文献中，有几项研究使用机器学习ML技术来训练和验证用于定义此类攻击的模型，但它们仍然会产生很高的误报率，并面临调查僵尸网络轨迹的挑战。本文研究了ML技术在开发基于网络流标识符的网络取证机制中的作用，该机制可以跟踪僵尸网络的可疑活动。使用UNSW-NB 15数据集的实验结果表明，具有流标识符的ML技术可以有效地检测僵尸网络攻击及其跟踪。
2017-11-08 cs.CR
A Secure Contained Testbed for Analyzing IoT Botnets
随着物联网（IoT）设备的日益广泛采用，许多安全问题已经浮出水面。Mirai对Dyn DNS服务的攻击，其中IP摄像头，DVR和路由器等易受攻击的物联网设备被感染并用于传播大规模DDoS攻击，是最近比较突出的例子之一。物联网僵尸网络由数十万个僵尸程序组成，目前至少存在于“野外”，预计未来只会增长，有可能导致网络公司严重的网络停机和经济损失。因此，我们建议建立测试平台来评估物联网僵尸网络，并针对它们设计合适的缓解技术。在这项工作中提出了一个基于DETERlab的物联网僵尸网络测试床。该测试平台构建在一个安全的封闭环境中，包括DHCP、DNS等辅助服务以及僵尸网络基础设施，包括CnC和scanListen/loading服务器。开发物联网僵尸网络测试平台给我们带来了一些独特的挑战，这些挑战与非物联网僵尸网络测试平台中遇到的挑战不同，我们在本文中重点介绍了这些挑战。此外，我们指出了我们的测试平台的重要功能，并通过实验结果说明了它的一些功能。
2019-06-17 cs.CR cs.NI
Adversarial Explainability: Utilizing Explainable Machine Learning in Bypassing IoT Botnet Detection Systems
提出一种利用模型可解释性在黑盒设置下生成对抗样本的攻击，仅修改一个特征即可使训练后的 IoT 僵尸网络检测系统检测率降至 0%。
2023-09-29 cs.CR
N-BaIoT: Network-based Detection of IoT Botnet Attacks Using Deep Autoencoders
物联网设备的激增比台式计算机更容易受到危害，导致基于物联网的僵尸网络攻击的发生率增加。为了缓解这种新的威胁，需要开发新的方法来检测从受损的物联网设备发起的攻击，并区分基于物联网的小时和毫秒攻击。在本文中，我们提出并实证评估了一种新的基于网络的异常检测方法，该方法提取网络的行为快照，并使用深度自动编码器来检测来自受损物联网设备的异常网络流量。为了评估我们的方法，我们在实验室中用两个最广为人知的基于物联网的僵尸网络Mirai和BASHLITE感染了九个商用物联网设备。我们的评估结果表明，我们提出的方法能够准确、即时地检测从僵尸网络中受感染的物联网设备发起的攻击。
2018-05-09 cs.CR cs.LG
Towards the Development of Realistic Botnet Dataset in the Internet of Things for Network Forensic Analytics: Bot-IoT Dataset
物联网系统的扩散，已经看到它们成为恶意第三方的目标。为解决这一问题，需要制定切实可行的保护和调查对策。这些对策包括网络入侵检测和网络取证系统。为此，一个结构良好且具有代表性的数据集对于训练和验证系统的可信度至关重要。虽然有几个网络，但在大多数情况下，没有太多关于所使用的僵尸网络场景的信息。本文提出了一个新的数据集Bot-IoT，它包含了合法和模拟的物联网网络流量以及各种类型的攻击。我们还提出了一个现实的测试平台环境，以解决现有数据集的缺点，捕获完整的网络信息，准确的标签，以及最近和复杂的攻击多样性。最后，与现有数据集相比，我们使用不同的统计和机器学习方法评估了BoT-IoT数据集的可靠性。这项工作为允许在物联网特定网络中识别僵尸网络提供了基线。Bot-IoT数据集可以在[1]访问。
2018-11-02 cs.CR
A Threat Modelling Approach to Analyze and Mitigate Botnet Attacks in Smart Home Use Case
尽管物联网设备的开发和利用激增，但物联网设备的安全性仍处于起步阶段。物联网设备的安全隐患使黑客很容易接管物联网设备并将其用于僵尸网络攻击等恶意活动。随着物联网设备的猖獗出现，僵尸网络攻击正在激增。僵尸网络攻击不仅对物联网设备用户，而且对世界其他地区都是灾难性的。因此，迫切需要在设计阶段识别和缓解物联网设备中可能的威胁。威胁建模是一种用于在系统设计活动的早期阶段识别威胁的技术。在本文中，我们提出了一种威胁建模方法来分析和减轻物联网灵巧家庭用例中的僵尸网络攻击。所提出的方法使用STRIDE和VAST威胁建模方法识别灵巧家庭用例中的开发级和应用级威胁。此外，我们将已识别的威胁与僵尸网络攻击联系起来。最后，我们提出了所有已识别的威胁，包括僵尸网络威胁的缓解技术。
2021-01-06 cs.CR cs.CY
AutoBotCatcher: Blockchain-based P2P Botnet Detection for the Internet of Things
一般来说，僵尸网络是一个受感染的互联网计算机的集合，由攻击者出于恶意目的控制。为了增加攻击的成功机会和抵御防御机制的弹性，现代僵尸网络通常具有分散的P2P结构。在这里，物联网设备正在发挥关键作用，成为恶意方执行攻击的主要工具之一。值得注意的例子是对Krebs on Security和DYN的DDoS攻击，这些攻击是由僵尸网络的物联网设备执行的。我们迈出了在物联网中检测P2P僵尸网络的第一步，提出了AutoBotCatcher，其设计是基于同一僵尸网络的机器人经常相互通信并形成社区的考虑。因此，AutoBotCatcher的目的是动态分析根据其网络流量形成的物联网设备社区，以检测僵尸网络。AutoBotCatcher利用许可的拜占庭容错（BFT）区块链作为状态转换机，允许一组预先识别的各方在没有信任的情况下进行协作，以便通过收集和审计物联网设备的网络流量作为区块链交易来执行协作和动态僵尸网络检测。在本文中，我们重点介绍了AutoBotCatcher的设计，首先定义了AutoBotCatcher底层的区块链结构，然后讨论了其组件。
2018-09-27 cs.CR
A Game-Theoretic Approach for AI-based Botnet Attack Defence
Massey University（梅西大学）；University of Melbourne（墨尔本大学）；Data61 CSIRO（澳大利亚联邦科学与工业研究组织 Data61）
新一代僵尸网络利用人工智能（AI）技术隐藏僵尸主机的身份和攻击意图，以避免检测。不幸的是，目前还没有一种评估工具能够评估现有防御策略对这种基于AI的僵尸网络攻击的有效性。在本文中，我们提出了一个序贯博弈论模型，能够分析僵尸网络攻击者和防御者可能使用的潜在策略的细节，以达到纳什均衡（NE）。效用函数是在攻击者以最小的攻击成本发动最大数量的DDoS攻击，而防御者以最小的防御成本利用最大数量的防御策略的假设下计算的。我们进行了数值分析的基础上，涉及不同的（模拟）云带大小的不同的攻击成功率值的防御策略。我们的实验结果证实，防御的成功在很大程度上取决于防御策略的数量，根据仔细评估的攻击率。
2021-12-04 cs.AI cs.CR
IoT Botnet Detection Using an Economic Deep Learning Model
University of Louisiana at Lafayette（路易斯安那大学拉斐特分校）
本文提出一种经济型深度学习模型，用于检测物联网僵尸网络及多种攻击，在更低的实现预算和更快的训练检测速度下取得了优于现有模型的准确率。
2023-05-28 cs.CR cs.LG
The End of the Canonical IoT Botnet: A Measurement Study of Mirai's Descendants
通过测量 Hajime 和 Mozi 两个 Mirai 后代，发现它们已显著分化，表明经典物联网僵尸网络已不复存在。
2023-09-03 cs.CR
Model-Based Framework for exploiting sensors of IoT devices using a Botnet: A case study with Android
僵尸网络不仅对互联网，而且对连接到互联网的设备都构成了严重的安全威胁。物联网的指数级增长、席卷全球的COVID-19疫情以及越来越多的网络犯罪分子现在可以访问或开发出越来越复杂的工具，这些因素都刺激了僵尸网络在这一领域的增长。最近爆发的僵尸网络，如Dark Nexus（来自Qbot和Mirai），Mukashi，LeetHozer，Hoaxcalls等，表明这种威胁正在以惊人的速度收敛。僵尸网络的属性使它们成为物联网设备中恶意活动的绝佳平台。这些物联网设备被需要创新和保护其客户、员工和业务合作伙伴的个人和机密数据的组织所使用。物联网设备具有内置的传感器或致动器，可以利用这些传感器或致动器来监视或控制与它们连接的实体的物理环境，从而违反了这些设备的设计隐私的基本概念。在本文中，我们设计和描述了一个模块化的僵尸网络框架的物联网。我们的框架是独立于通信信道的，因为它利用各种可用的通信信道来命令和控制物联网设备。该框架使用了一种增强的集中式架构与一种新的域通量技术。拟议的框架将提供有关如何在设计时将物联网设备中的隐私纳入其中的见解，以检查这些设备中的传感器和执行器是否受到恶意利用，从而保护隐私。本文包括设计考虑，指挥和控制结构，特点，能力，入侵，和其他相关工作。此外，概念证明僵尸网络的实施和解释使用开发的框架。
2022-01-14 cs.CR cs.SE
Enhanced Hybrid Deep Learning Approach for Botnet Attacks Detection in IoT Environment
Sethu Institute of Technology（塞图理工学院）；Vellore Institute of Technology（韦洛尔理工学院）；College of Engineering and IT, University of Dubai（迪拜大学工程与信息技术学院）
针对物联网环境中僵尸网络攻击检测的挑战，本研究提出堆叠深度卷积神经网络、Bi-LSTM、Bi-GRU和RNN的混合深度学习方法，基于UNSW-NB15数据集实现99.76%的测试准确率和99.18%的ROC-AUC值，性能优于现有模型。
2025-02-10 cs.CR cs.CV
A Lightweight Federated Learning Approach for Privacy-Preserving Botnet Detection in IoT
University of North Dakota（北达科他大学）
针对物联网环境下传统僵尸网络检测方法的扩展性、隐私性与适应性问题，提出基于联邦学习的轻量级隐私保护检测框架，采用通信高效聚合策略，在保证检测准确率的同时大幅降低通信成本。
2025-10-03 cs.CR cs.DC cs.LG
SHoM: A Mental-Synthesis Trust Management Model for Mitigating Botnet-Driven DDoS Attacks in the Internet of Things
本文提出SHoM信任管理模型，通过综合考量信任相关的安全因素，缓解物联网中由僵尸网络驱动的DDoS攻击，并基于对40至50个现有安全模型的综述研究进行设计。
2025-08-16 cs.CR
Testing And Hardening IoT Devices Against the Mirai Botnet
绝大多数廉价的物联网（IoT）设备都是全新的，并且配置了开箱即用的设置，没有得到制造商的适当保护，并且容易受到潜伏在互联网上的现有恶意软件的攻击。其中包括Mirai僵尸网络，其源代码已泄露给全世界，允许任何恶意行为者配置和释放它。未安全有效地使用的软件资产组合使消费者面临全面妥协。我们使用Mirai库配置并攻击了4个不同的物联网设备。我们的实验得出结论，四个设备中有三个容易受到Mirai恶意软件的攻击，并且在使用默认配置部署时受到感染。这表明，原始的安全配置不足以为消费者提供可接受的保护级别，使他们的设备暴露和脆弱。通过分析Mirai库及其攻击向量，我们能够确定适当的设备配置对策，以加强设备对抗此僵尸网络，并通过实验成功验证。
2020-07-27 cs.CR cs.CY
Botnet-based Distributed Denial of Service (DDoS) Attacks on Web Servers: Classification and Art
僵尸网络是一种流行的机制，用于促进对计算机网络或应用程序的分布式拒绝服务（DDoS）攻击。目前，基于僵尸网络的应用层DDoS攻击是网络安全威胁的最新和最有问题的趋势。应用层上基于僵尸网络的DDoS攻击限制了资源，减少了收入，并导致客户不满等。DDoS攻击是最难解决的在线问题之一，特别是当目标是Web服务器时。在本文中，我们提出了一个全面的研究，以显示基于僵尸网络的DDoS攻击的应用层，特别是在Web服务器上的危险，以及最近明显增加的此类攻击事件的增加。还描述了基于僵尸网络的DDoS攻击事件和著名公司和政府网站的收入损失。这可以更好地了解问题、当前的解决方案空间和未来的研究范围，以有效地防御此类攻击。
2012-08-02 cs.CR
What we learn from learning - Understanding capabilities and limitations of machine learning in botnet attacks
随着僵尸网络攻击的不断增加，计算机网络不断受到削弱网络基础设施的攻击的威胁。实时检测这些攻击被证明是一项困难且资源密集的任务。检测这种攻击的相关方法之一是使用机器学习模型的基于签名的检测。本文探讨了这些模型在检测僵尸网络攻击的有效性，使用从大规模网络攻击中捕获的数据。我们的研究提供了两个机器学习模型-随机森林和多层感知器（深度学习）在这种攻击场景下的性能特征的全面概述。使用大数据分析，该研究探讨了在僵尸网络攻击/通信中使用机器学习的优势，局限性，模型/特征参数和整体性能。从分析中获得的见解，这项工作建议的算法/模型的僵尸网络的特定攻击，而不是一个广义的模型。
2018-05-03 cs.CR
Botnets Breaking Transformers: Localization of Power Botnet Attacks Against the Distribution Grid
传统的僵尸网络攻击利用大量分布式的受感染的互联网连接设备来瞄准并淹没其他具有互联网数据包的设备。随着消费者越来越多地采用高瓦数的面向互联网的“智能设备”，出现了一种新的“电力僵尸网络”攻击，其中这种设备被用来以不寻常的负载需求为目标并压倒电网设备。我们介绍了这种攻击的一种变体，即电力僵尸网络磨损攻击，它并不打算造成停电或短期严重不稳定，而是迫使昂贵的机械组件更频繁地激活，需要昂贵的更换/维修。具体来说，我们的目标是有载分接开关（OLTC）Transformer，它使用机械开关来响应负载需求的变化。在我们的分析和模拟中，这些攻击可以将OLTC的寿命减半，或者在最极端的情况下，将其减少到原始寿命的$2.5\%$。值得注意的是，这些电力僵尸网络由未连接到用于控制电网的内部SCADA系统的设备组成。这是一种新的基于互联网的网络攻击，从外部攻击电网。为了帮助电力系统，以减轻这些类型的僵尸网络攻击，我们开发的攻击定位策略。我们制定的问题作为一个监督机器学习任务，以定位电源僵尸网络攻击的来源。在模拟环境中，我们生成训练和测试数据集，以评估几种基于机器学习算法的定位方法，包括SVM，神经网络和决策树。我们表明，基于决策树的分类成功地识别电力僵尸网络攻击，并定位受损设备，至少$94\%$提高了基线“最频繁”分类器的准确性。
2022-03-18 cs.CR
Efficient IoT Intrusion Detection with an Improved Attention-Based CNN-BiLSTM Architecture
Department of Computer Science（计算机科学系）；Quaid-i-Azam University（夸迪·阿扎姆大学）；Cyber Security Center（网络安全中心）；Prince Mohammad Bin Fahd University（普林斯·穆罕默德·宾·法赫德大学）；School of Computing, Engineering and Built Environment（计算、工程与建筑环境学院）
本文提出一种改进的注意力基于CNN-BiLSTM架构，用于高效检测物联网中的僵尸网络攻击，实现了99%的分类准确率和高精度召回率。
2026-02-11 cs.AI cs.CR
Analyzing The Mirai IoT Botnet and Its Recent Variants: Satori, Mukashi, Moobot, and Sonic
本文详细分析了Mirai物联网僵尸网络及其四个知名变种的攻击方法、影响与感染机制，总结其针对的常见漏洞并提出防御方向，为IoT安全防护提供参考。
2025-08-03 cs.CR
Adv-Bot: Realistic Adversarial Botnet Attacks against Network Intrusion Detection Systems
Université Libre de Bruxelles（布鲁塞尔自由大学）；Royal Military Academy（皇家军事学院）；Ecole Militaire Polytechnique（军事理工学院）
由于机器学习（ML）算法的众多优点，现在许多应用程序都包含了它们。然而，图像分类领域的许多研究表明，ML可以被各种对抗攻击所欺骗。这些攻击利用了ML算法固有的脆弱性。这在网络安全领域提出了许多问题，其中越来越多的研究人员最近正在调查针对基于机器学习的安全系统（例如入侵检测系统）的这种攻击的可行性。这项研究的大部分表明，使用从原始数据源提取的特征来欺骗模型是可能的，但它没有考虑到这种攻击的实际实施，即，从理论到实践的逆向转化。这些对抗攻击的真正实施将受到各种限制的影响，这些限制将使它们的执行更加困难。因此，本研究的目的是调查的实际可行性的对抗攻击，特别是规避攻击，对基于网络的入侵检测系统（NIDS），证明这是完全有可能的愚弄这些ML为基础的IDS使用我们提出的对抗算法，同时假设尽可能多的限制，在一个黑盒设置。此外，由于它是至关重要的设计防御机制，以保护基于ML的入侵检测系统免受这种攻击，防御方案。真实的僵尸网络流量跟踪被用来评估这项工作。我们的目标是创建对抗性僵尸网络流量，可以避免检测，同时仍然执行其所有预期的恶意功能。
2023-03-12 cs.AI cs.CR
Machine Learning-Based Early Detection of IoT Botnets Using Network-Edge Traffic
Singapore University of Technology and Design（新加坡科技设计大学）；National University of Singapore（新加坡国立大学）；University of Sydney（悉尼大学）
在这项工作中，我们提出了一个轻量级的物联网僵尸网络检测解决方案，EDIMA，该解决方案旨在部署在安装在家庭网络中的边缘网关上，并在发起攻击之前对僵尸网络进行早期检测。EDIMA包括一个新的基于两阶段机器学习（ML）的检测器，专门为边缘网关的物联网机器人检测而开发。基于ML的机器人检测器首先采用ML算法进行聚合流量分类，然后采用基于自相关函数（ACF）的测试来检测单个机器人。EDIMA架构还包括恶意软件流量数据库、策略引擎、特征提取器和流量解析器。性能评估结果表明，EDIMA实现了较高的bot扫描和bot-CnC流量检测准确率，同时具有极低的误报率。检测性能也显示出对连接到部署EDIMA的边缘网关的IoT设备数量的增加具有鲁棒性。此外，在Raspberry Pi上部署的EDIMA的Python实现的运行时性能分析显示，机器人检测延迟低，RAM消耗低。EDIMA还被证明优于现有的检测技术的机器人扫描流量和僵尸CnC服务器通信。
2020-10-22 cs.CR cs.LG cs.NI
Taking Control: Design and Implementation of Botnets for Cyber-Physical Attacks with CPSBot
最近，Mirai和Persirai等僵尸网络大规模瞄准物联网设备。我们考虑僵尸网络对网络物理系统（CPS）的攻击，这需要先进的功能，如实时控制物理过程。传统的僵尸网络不适合这一目标，主要是因为它们缺乏进程控制能力，没有针对低延迟通信进行优化，并且僵尸程序通常不利用本地资源。我们认为，这种攻击需要网络物理僵尸网络。网络物理僵尸网络需要协调和异构的机器人，能够执行对抗控制策略，同时受到目标CPS的约束。在这项工作中，我们提出了CPSBot，一个框架来建立网络物理僵尸网络。我们提出了一个例子，集中式CPSBot针对集中控制系统和分散式CPSBot针对系统分布式控制。我们使用MQTT为C&C通道和Modbus/TCP作为目标网络协议实现了以前的CPSBot，并使用它对真实和模拟的水分配发起了几次攻击。我们评估我们的实现与分布式答复和分布式模拟攻击的CPS，并显示恶意控制可以忽略不计的延迟是可能的。
2018-02-01 cs.CR
Modeling and Analyzing Attacker Behavior in IoT Botnet using Temporal Convolution Network (TCN)
将僵尸网络列入黑名单的传统反应式方法无法适应快速变化的网络攻击环境。自动化和主动的方法来检测和阻止僵尸网络主机将极大地有利于行业。攻击者的行为分析被证明是有效的，对各种各样的攻击类型。然而，以前的作品，只专注于网络流量的异常，以检测僵尸和僵尸网络。在这项工作中，我们采取了更强大的方法来分析异构事件，包括网络流量，文件下载事件，SSH登录和攻击者在受损主机输入的命令链。我们已经部署了几个蜜罐来模拟Linux shell，并允许攻击者访问shell。我们已经收集了一个大型数据集的异构威胁事件的蜜罐。然后，我们结合和建模的异构威胁数据来分析攻击者的行为。然后，我们使用了一种称为时间卷积网络（TCN）的深度学习架构来对数据进行顺序和预测分析。$85-97\%$的预测精度验证了我们的数据模型以及我们的分析方法。在这项工作中，我们还开发了一种自动化机制来收集和分析这些数据。对于自动化，我们使用了CYbersecurity信息交换（CYBEX）。最后，我们将TCN与长短期记忆（LSTM）和门控递归单元（GRU）进行了比较，并表明TCN在手头的任务上优于LSTM和GRU。
2021-08-27 cs.CR
Detecting Botnet Attacks in IoT Environments: An Optimized Machine Learning Approach
Western University（韦仕敦大学）
对互联网的依赖增加以及相应的连接需求激增导致物联网（IoT）设备的显着增长。物联网设备的持续部署反过来又导致网络攻击的增加，因为潜在的攻击面越来越多，最近的报告显示，物联网恶意软件攻击从2017年的1030万次增加到2018年的3270万次，增加了215.7%。这说明物联网设备和网络的脆弱性和敏感性增加。因此，需要在这样的环境中适当有效且高效的攻击检测和缓解技术。机器学习（ML）已经成为一种潜在的解决方案，因为物联网设备和网络生成了大量的数据。因此，它们有很大的潜力被用于物联网环境的入侵检测。为此，本文提出了一种优化的基于ML的框架，该框架由贝叶斯优化高斯过程（BO-GP）算法和决策树（DT）分类模型的组合组成，以有效和高效的方式检测对物联网设备的攻击。使用Bot-IoT-2018数据集评估了拟议框架的性能。实验结果表明，该优化框架具有较高的检测准确率、查准率、查全率和F-score，突出了其在物联网环境下检测僵尸网络攻击的有效性和鲁棒性。
2020-12-16 cs.CR cs.LG cs.NI
Deep Reinforcement Learning based Evasion Generative Adversarial Network for Botnet Detection
Northumbria University（诺森比亚大学）；University of Petra（佩特拉大学）；University of Hull（赫尔大学）
基于机器学习的僵尸网络检测器是对抗性规避攻击的潜在目标。一些研究工作使用生成对抗网络（GANs）生成的样本进行对抗训练，使僵尸网络检测器能够识别对抗规避。然而，合成规避可能不遵循输入样本的原始语义。本文提出了一种新的GAN模型，利用深度强化学习（DRL）来探索语义感知样本，同时加强其检测。DRL代理用于攻击充当僵尸网络检测器的GAN的防火墙。在GAN训练过程中，代理根据精心制作的扰动对训练器进行训练，这有助于GAN生成器比没有DRL的情况更早地收敛。我们将此模型命名为RELEVAGAN，即[“relive a GAN”或基于深度强化学习的规避生成对抗网络]，因为在DRL的帮助下，它通过让其生成器在语义限制内探索规避样本来最小化GAN的工作。在GAN训练期间，进行攻击以调整代理学习精心制作的扰动的权重。RELEVAGAN不需要对ML分类器进行对抗性训练，因为它可以充当对抗性语义感知僵尸网络检测模型。代码将在https://github.com/rhr407/RELEVAGAN上提供。
2022-10-06 cs.AI cs.CR
Mitigating IoT Botnet DDos Attacks through MUD and eBPF based Traffic Filtering
针对IoT设备易被纳入僵尸网络发动DDoS攻击的问题，提出基于扩展MUD规则的集成系统，搭配eBPF与iptables两种执行后端，验证了其防护有效性与低影响性。
2023-05-03 cs.CR cs.NI
Network Security Modeling using NetFlow Data: Detecting Botnet attacks in IP Traffic
网络安全，即对IP流量中恶意事件的安全监控，是一个统计学家基本上未探索的重要领域。计算机科学家在这一领域做出了重大贡献，他们使用统计异常检测和其他监督学习方法来检测特定的恶意事件。在这项研究中，我们调查僵尸网络命令和控制（C&C）主机在大量的IP流量的检测。我们使用NetFlow数据（IP流量监控的行业标准）进行探索性分析和提取新特征。使用统计以及深度学习模型，我们开发了一个统计入侵检测系统（SIDS），以预测与恶意攻击识别的流量轨迹。采用解释性机器学习技术，僵尸网络流量签名。这些模型成功检测到僵尸网络C&C主机和受损设备。通过将预测与已发布恶意IP地址的现有黑名单进行匹配，验证了结果。
2021-08-19 cs.CR
Mitigating Botnet Attack Using Encapsulated Detection Mechanism (EDM)
僵尸网络，因为它是俗称成为时尚，在最近的时间，由于它嵌入式力量的网络服务器。僵尸网络每天在网络服务器和客户端基础设施中呈指数增长约170，000。网络环境每月与超过500万个机器人作战。尼日利亚作为一个国家，每年因网络欺诈损失超过125亿奈拉，银行和其他金融机构等终端用户每天都在与僵尸网络威胁作斗争。
2018-06-16 cs.CR cs.NI
An Anomaly-based Botnet Detection Approach for Identifying Stealthy Botnets
僵尸网络（受感染计算机的网络）通常用于恶意活动，如垃圾邮件，点击欺诈，身份盗窃，网络钓鱼和分布式拒绝服务（DDoS）攻击。以往的研究大多是完全或部分基于特征的僵尸网络检测方法。在本文中，我们提出了一种完全基于异常的方法，不需要机器人签名，僵尸网络C&C协议和C&C服务器地址的先验知识。我们从僵尸网络的内在特征出发。机器人连接到C&C通道并执行接收到的命令。属于同一僵尸网络的僵尸程序接收相同的命令，这导致它们具有相似的网络流特征并执行相同的攻击。我们的方法集群机器人与相似的网络流量和攻击在不同的时间窗口，并执行相关性，以确定机器人感染的主机。我们已经开发了一个原型系统，并评估它与现实世界的痕迹，包括正常的流量和几个现实世界的僵尸网络的痕迹。实验结果表明，该方法具有较高的检测准确率和较低的误报率。
2018-11-02 cs.CR
BotNet Intrusion Detection System in Internet of Things with Developed Deep Learning
技术的快速发展导致了计算网络的创建。物联网的应用随着传感器的扩展和发展以及一系列设备连接到互联网的使用而变得越来越明显。当然，任何网络的发展也会带来一些挑战。与其他网络一样，物联网的主要挑战是其安全性。在安全领域，存在攻击检测、认证、加密等问题，其中最重要的攻击之一是破坏网络使用的网络攻击。物联网上最重要的攻击之一是僵尸网络攻击。这个主题的最重要的挑战包括非常高的计算复杂性，缺乏与以前的方法比较，缺乏可扩展性，高执行时间，缺乏审查的准确性方面提出的方法来检测和分类攻击和入侵。在物联网中使用入侵检测系统是识别和检测各种攻击的重要一步。因此，能够解决这些挑战的算法提供了一种接近最优的方法。使用基于训练的模型和算法，如深度学习-强化学习和XGBoost学习组合（DRL-XGBoost）模型，可以成为克服以前弱点的一种有趣方法。本次研究的数据是Bot-IoT-2018。
2022-07-10 cs.CR
Comprehensive Botnet Detection by Mitigating Adversarial Attacks, Navigating the Subtleties of Perturbation Distances and Fortifying Predictions with Conformal Layers
Northumbria University（诺森比亚大学）；Teesside University（蒂赛德大学）
本文提出基于流的僵尸网络检测方法，结合遗传算法与粒子群优化，分析C&W和GAN对抗攻击下的扰动距离与样本可迁移性，并通过重训练和保形预测层显著降低误分类，提升检测鲁棒性。
2024-09-01 cs.AI cs.CR
Design of Generic Framework for Botnet Detection in Network Forensics
随着互联网在社会、个人、商业等生活领域的普及，网络犯罪也以惊人的速度升级。互联网在不同领域的使用也增加了非法活动，这反过来又引发了许多网络攻击和威胁。网络取证是用来检测网络攻击的。这可以看作是网络安全的延伸。它是一种检测并建议预防各种网络攻击的技术。僵尸网络是最常见的攻击之一，被认为是被黑客入侵的计算机网络。它捕获网络数据包，存储它，然后分析和关联，以找到攻击源。基于这种方法的僵尸网络检测的各种方法在文献中，但缺乏一个通用的方法。因此，有必要设计一个通用的框架，可以用于任何僵尸网络检测。这个框架是使用的研究人员，在他们自己的僵尸网络检测方法的发展，通过提供方法和指导方针。本文研究了目前流行的各种僵尸网络检测方法，建立了它们之间的共性，并提出了一个通用的僵尸网络检测模型。建议的框架被描述为UML图。
2013-10-02 cs.CR
Host Attack Graph for Botnet Propagation
Department of Computer Science, Faculty of Mathematics and Computer Science, and Interdisciplinary School for Doctoral Studies, University of Bucharest, Romania（布加勒斯特大学数学与计算机科学学院、跨学科博士研究学院）
本文提出主机攻击图模型，设计两种僵尸网络传播策略，经仿真发现网络拓扑与目标选择对传播的影响不可忽视，相关实现及基准可在指定链接获取。
2026-10-09 cs.CR cs.GT cs.NI
Using 2.4 GHz Wireless Botnets to Implement Denial-of-Service Attacks
本文试图创建一个可以自主工作的软件和硬件复合体，并演示了在无线网络上实施拒绝服务攻击的简易性，这反过来又强调了为无线网络提供全面保护的必要性。
2019-02-22 cs.CR cs.NI
Anticipating Moves to Prevent Botnet Generated DDoS Flooding Attacks
分布式拒绝服务（DDoS）攻击是互联网上经常出现的问题。这些攻击会产生大量虚假网络流量，以干扰目标服务器或网络链接。尽管有许多努力来检测和减轻它们，但攻击者一直在玩游戏，总是绕过对策。如今，受感染设备的数量有所增加，随着物联网和灵活通信技术的出现，情况更是如此。利用设备到设备的短距离无线通信和其他方式，受感染的设备可以协调复杂的僵尸网络，这些僵尸网络可以用来加强DDoS攻击。新一代的僵尸网络更难检测，因为它们的自适应和动态行为产生的受感染的移动便携式设备。此外，由于可能存在大量地理分布的设备，僵尸网络会显著增加DDoS流量。面对他们的新行为和不断增加的DDoS流量，需要新颖的智能驱动方法。具体来说，我们提倡尽可能在早期阶段{ \em预测} DDoS攻击的趋势。这项工作提供了一个概述的方法，可以用来预测僵尸网络在其早期阶段产生的DDoS攻击的趋势，并带来了一个有见地的讨论每种方法的优点和开放的问题。
2016-11-30 cs.CR cs.NI
Defense Strategies Against Modern Botnets
僵尸网络是由带有恶意代码的受损计算机组成的网络，这些计算机受到远程控制，用于启动分布式拒绝服务（DDoS）攻击、发送大量电子邮件（SPAM）和其他类型的攻击。防御现代僵尸网络是一个真正的挑战。本文提供了几种防御僵尸网络的策略，并列出和描述了建立成功防御所应采取的措施和活动。本文还提供了并行预览的战略，其优点和缺点，认为根据不同的标准。
2009-06-23 cs.CR
How the Graph Construction Technique Shapes Performance in IoT Botnet Detection
School of Systems and Computing（系统与计算学院）；University of New South Wales（新南威尔士大学）
本研究通过比较不同图构造技术，发现盖比图在物联网木马检测中表现出最佳性能，准确率达97.56%。
2026-02-28 cs.CR cs.LG cs.NI
DDoS Attacks with Randomized Traffic Innovation: Botnet Identification Challenges and Strategies
分布式拒绝服务（DDoS）攻击通常通过$botnet$发起，$botnet$是隐藏在网络中的受损节点的“军队”。因此，用于DDoS缓解的推理工具应该能够及早可靠地区分正常用户和受感染的用户。不幸的是，最近出现的在应用层执行的攻击已经成倍增加了僵尸网络可以利用来隐藏其恶意活动的可能性。新的挑战出现了，不能简单地借用迄今为止已成功应用于早期DDoS范式的工具来解决。在这项工作中，我们基本上提供了三个贡献：$i)$我们为上述攻击类别引入了一个抽象模型，其中僵尸网络通过不断学习环境中可接受的模式来模拟正常流量; $ii)$我们设计了一个推理算法，该算法被证明可以提供一致的（即，随着时间的推移收敛到真正的解决方案）估计僵尸网络可能隐藏在网络中;和$iii)$，我们验证了所提出的推理策略的有效性$real$网络痕迹。
2016-09-09 cs.CR cs.IT cs.NI
Proactive Population-Risk Based Defense Against Denial of Cyber-Physical Service Attacks
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，DDoS攻击通过溢出服务器的带宽来工作。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟机器人的招募，我们扩展了传统的博弈论概念，并创建了一个“泊松信号博弈”。“然后我们分析了两种不同的机制（法律和经济）来阻止僵尸网络招募。我们发现：1）防御者可以约束僵尸网络活动; 2）立法规定最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，设计主动防御PDOS攻击。
2017-10-16 cs.CR
Botnet Detection by Monitoring Similar Communication Patterns
僵尸网络在当今的网络攻击中最为普遍和常见，对我们的网络资产和组织财产造成严重威胁。僵尸网络是受感染的计算机（Bots）的集合，由其发起者（BotMaster）在共同的命令和控制（C&C）基础设施下远程控制。它们用于向Bot分发命令以进行恶意活动，例如分布式拒绝服务（DDoS）攻击、垃圾邮件和网络钓鱼。大多数现有的僵尸网络检测方法仅集中于特定的僵尸网络命令和控制（C&C）协议（例如，IRC、HTTP）和结构（例如，中心化），并且随着僵尸网络改变其结构和C&C技术而变得无效。在本文中，首先，我们提供了僵尸网络C&C通道的分类，并评估正在使用的每一个众所周知的协议。然后，我们提出了一个新的通用检测框架，目前主要集中在基于P2P和IRC的僵尸网络。该框架基于僵尸网络的定义。僵尸网络被定义为在同一僵尸网络中执行类似通信和恶意活动模式的一组僵尸程序。我们提出的检测框架与许多其他类似工作的区别在于，不需要僵尸网络的先验知识，如僵尸网络签名。
2010-04-08 cs.CR
HYDRA: Quantifying Botnet Resource Thresholds for Efficient Link-Flooding Attacks on LEO Satellite Networks
Stein Faculty of Computer and Information Science, Ben-Gurion University of the Negev（内盖夫本-古里安大学斯坦计算机与信息科学学院）
HYDRA提出量化LEO卫星网络对链路泛洪攻击韧性的优化框架，通过最小化僵尸网络资源实现高效破坏，并评估五种缓解策略以提升网络韧性。
2026-09-15 cs.CR
Piping Botnet - Turning Green Technology into a Water Disaster
客户和消费者正在使用当前一代的物联网设备来管理从关键基础设施（如城市供水服务和智能电网）获得的资源（如水和电），从而创建针对关键基础设施的新攻击媒介。在这项研究中，我们表明，智能灌溉系统，一种新型的绿色技术和物联网设备，旨在节约用水和金钱，可以被攻击者用作攻击城市供水服务的手段。我们提出了一个分布式攻击模型，攻击者可以使用商业智能灌溉系统的僵尸网络来攻击城市供水服务。然后，我们展示了在局域网中受损设备上运行的机器人如何：（1）通过使用专用分类模型分析局域网的行为，在15分钟内检测连接的商业智能灌溉系统（RainMachine，BlueSpray和GreenIQ），以及（2）根据攻击者的意愿使用欺骗和重放攻击通过商业智能灌溉系统启动浇水。此外，我们还对这种攻击可能造成的损害进行了建模，并表明使用1，355个喷头的僵尸网络可以在一小时内清空标准水塔，使用23，866个喷头的僵尸网络可以在一夜之间清空洪水水库。最后，我们讨论了对策方法，并假设下一代管道工是否会使用Kali Linux而不是活动扳手。
2018-08-06 cs.CR cs.CY
UNBUS: Uncertainty-aware Deep Botnet Detection System in Presence of Perturbed Samples
越来越多的僵尸网络家族已经使用深度学习架构成功检测到。随着攻击种类的增加，这些架构应该变得更加强大。他们已被证明是非常敏感的小，但良好的构造扰动的输入。僵尸网络检测需要极低的误报率（FPR），这在当代深度学习中通常无法实现。攻击者试图通过制造有毒样本来增加FPR。最近的大部分研究都集中在使用模型损失函数来构建对抗性示例和鲁棒模型。本文提出了两种基于LSTM的僵尸网络分类算法，其分类准确率高于98%。然后，提出了对抗攻击，将准确率降低到30%左右。然后，通过检查的方法来计算的不确定度，防御方法，提出了提高精度约70%。通过使用深度集成和随机加权平均量化方法，它已被研究的精度在所提出的方法的不确定性。
2022-04-28 cs.CR cs.LG
AntibotV: A Multilevel Behaviour-based Framework for Botnets Detection in Vehicular Networks
Badji Mokhtar-Annaba University（巴吉·穆克塔尔-安纳巴大学）；Ecole Nationale Supérieure d’Informatique (ESI)（国家高等计算机学院）；University of La Rochelle（拉罗谢尔大学）
本文针对车载网络中的新型零日僵尸攻击WSMP-Flood和Geo-WSMP Flood，提出AntibotV多层行为检测框架，结合网络层与车载内部监控，检测率超97%，误报率低于0.14%。
2024-07-03 cs.AI cs.CR
The Case for a Collaborative Universal Peer-to-Peer Botnet Investigation Framework
对等（P2P）僵尸网络作为一种低开销、高效、自我维护、分布式的替代传统客户端/服务器模型的方法，在广泛的网络攻击中得到了广泛的应用。这些网络攻击可以采取分布式拒绝服务攻击、身份验证破解、垃圾邮件、网络战或针对金融系统的恶意软件分发的形式。这些攻击也可以跨越到物理世界，攻击关键基础设施，造成其中断或破坏（电力，通信，水等）。P2P技术很容易被用于这种恶意目的，因为执行全球精心策划的攻击所涉及的设置，运行和维护成本最低，以及感知到的额外匿名层。在僵尸网络技术不断发展的空间中，缩短发现新开发或更新的僵尸网络系统与获得缓解能力之间的时间间隔至关重要。许多调查机构往往重复努力，为打击特定威胁而专门制定工具。本文概述了一个能够通过主要利益攸关方之间的合作快速跟踪调查过程的框架。
2014-09-30 cs.CR cs.NI
Proactive Defense Against Physical Denial of Service Attacks using Poisson Signaling Games
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，分布式拒绝服务（DDoS）攻击使服务器的带宽过载。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟招聘的机器人，我们开发了一个“泊松信号游戏”，一个信号游戏与未知数量的接收器，有不同的能力来检测欺骗。然后，我们使用这个游戏的一个版本来分析两种机制（法律和经济），以阻止僵尸网络招聘。均衡结果表明：1）防御者可以约束僵尸网络活动，2）立法最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，主动的PDOS防御。
2017-10-16 cs.CR
Multi-phase IRC Botnet and Botnet Behavior Detection Model
僵尸网络被认为是网络和互联网面临的最危险和最严重的安全威胁之一。与其他安全威胁相比，僵尸网络成员可以通过IRC和HTTP等常见协议，甚至通过隐蔽和未知的应用程序，通过僵尸主机的C&C消息进行定向和控制。至于IRC僵尸网络，一般的安全实例，如防火墙和IDS，本身并不能提供一个可行的解决方案来完全阻止它们。这些设备不能很好地区分IRC协议的合法和恶意流量。因此，本文提出了一种基于入侵检测系统的多阶段IRC僵尸网络和僵尸网络行为检测模型，该模型基于C&C响应消息和网络环境中IRC僵尸程序的恶意行为。该模型已被评估五个网络流量跟踪从两个不同的网络环境（虚拟网络和DARPA 2000 Windows NT攻击数据集）。实验结果表明，该模型能够检测出所有受感染的IRC僵尸网络成员，并报告其当前的攻击状态，过滤其恶意IRC消息，传递其他正常IRC消息，检测出僵尸网络行为，且误报率很低，与僵尸网络通信协议无关。所提出的模型进行了比较与一些现有的和众所周知的方法，包括BotHunter，BotSniffer和Rishi关于僵尸网络的特点，在每种方法。比较表明，所提出的模型在比较模型上取得了进步，不依赖于特定的时间窗口或特定的机器人签名。
2015-01-13 cs.CR
Botnet economics and devising defence schemes from attackers own reward processes
本文主要研究僵尸网络的经济学和防御策略的设计。它认为，通过将攻击者商业模式的稀缺信息与对这些业务流程的合理经济分析相结合，可以确定目标可以实施的经济防御机制的设计规则，通常是以廉价的方式以及技术手段。一个简短的调查博弈论在安全领域，其次是一个真实的案例，一个互联网赌场。这导致开发一个模型，适用于这种情况下和其他人，这是第一次定性，然后定量。这允许根据不同的均衡或终止原则进行不同的分析;研究的是目标和攻击者的奖励盈亏平衡分析和博弈论的最大-最小分析。在此基础上，确定了一些具体的经济和信息主导的防御战略，可以使用模型和其他数据或案例的具体适应进一步研究。
2013-08-13 cs.CR cs.GT
Associated Random Neural Networks for Collective Classification of Nodes in Botnet Attacks
Institute of Theoretical and Applied Informatics, Polish Academy of Sciences (PAN)（波兰科学院理论与应用信息学研究所）；Yaşar University（亚萨尔大学）
僵尸网络攻击是对网络系统的主要威胁，因为它们能够将它们所危害的网络节点变成额外的攻击者，从而导致长时间的大量攻击的传播。由于多个网络IP地址将同时受到危害，因此对此类僵尸网络的检测变得复杂，因此除了关注单个节点的现有传统方法之外，对受危害节点的集体分类可能是有用的。因此，这项工作介绍了一个集体僵尸网络攻击分类技术，从一个N节点的IP网络与一个新的关联随机神经网络（ARNN），识别的节点受到损害的流量。ARNN是一种递归架构，它包含两个相互关联、互连且架构相同的n-神经元随机神经网络，它们同时充当相互批评者，以做出关于n个节点中的哪些节点已经受损的决定。提出了一种新的梯度学习下降算法的ARNN，并有效地运行与传统的离线训练先验数据，并与在线增量训练没有事先离线学习。来自107个节点的分组网络的实际数据与超过700，000个分组一起用于评估ARNN，表明它提供了准确的预测。与使用相同学习和测试数据集的其他已知最先进方法的比较表明，ARNN提供了显着更好的性能。
2023-03-23 cs.CR cs.LG cs.NI
OnionBots: Subverting Privacy Infrastructure for Cyber Attacks
在过去的十年里，僵尸网络通过采取一系列日益复杂的策略来逃避检测和接管，并将其基础设施货币化而生存下来。与此同时，Tor等隐私基础设施的成功为非法活动打开了大门，包括僵尸网络、勒索软件以及毒品和违禁品市场。我们认为，下一波僵尸网络将广泛颠覆隐私基础设施和加密机制。在这项工作中，我们建议先发制人的调查设计和缓解这样的僵尸网络。首先，我们介绍OnionBots，我们相信它将成为下一代有弹性的隐形僵尸网络。OnionBots使用隐私基础设施进行网络攻击，将其操作与受感染的主机IP地址完全分离，并携带不会泄露有关其来源，目的地和性质的信息的流量。这些机器人在隐私基础设施内共生，以逃避检测，测量，规模估计，观察以及一般所有基于IP的当前缓解技术。此外，我们表明，有一个足够的自我修复的网络维护计划，这是简单的实现，洋葱机器人实现了低直径和低程度，并在节点删除分区是强大的。我们开发了一种缓解技术，称为SOAP，它可以中和基本OnionBots的节点。我们还概述并讨论了一组技术，可以实现超级洋葱机器人的后续浪潮。鉴于此类僵尸网络的潜力，我们认为研究界应该积极开发检测和缓解方法来阻止OnionBots，可能会对隐私基础设施进行调整。
2015-01-14 cs.CR
BRIDGE and TCH-Net: Heterogeneous Benchmark and Multi-Branch Baseline for Cross-Domain IoT Botnet Detection
School of Computer Engineering, Kalinga Institute of Industrial Technology (KIIT)（计算机工程学院，卡林加工业技术学院（KIIT））
本文提出BRIDGE异构多数据集基准和TCH-Net多分支网络，解决跨域物联网僵尸网络检测中的异构特征空间和泛化问题，建立首个社区泛化基线。
2026-04-13 cs.CR cs.LG cs.NI
Moving-target Defense against Botnet Reconnaissance and an Adversarial Coupon-Collection Model
我们考虑一个基于云的多服务器系统，由一组副本应用程序服务器背后的一组代理（间接）服务器，直接与客户端在互联网上进行交互。我们研究了主动移动目标防御，以阻止DDoS攻击者的侦察阶段，从而减少攻击的影响。防御是一种有效的移动目标（motag）技术，其中代理动态变化。该系统使用HTTP重定向的AWS原型进行评估，并通过对抗优惠券收集器数学模型的数值评估进行评估，后者允许更大规模的外推。
2018-04-26 cs.CR
