研究人员隔离黑洞漏洞利用工具包症状，查明受感染的Twitter帐户

如果您想研究程序如何区分恶意电子邮件和普通电子邮件，则需要分析数百万个好坏之间的真实示例。 但是，除非您在NSA拥有一个朋友，否则很难获得这些样本。 另一方面，Twitter是广播媒体。 几乎所有感兴趣的人都可以看到每条推文。 珍娜·马修斯教授和博士学位 克拉克森大学的学生Joshua White利用这一事实发现了Blackhole Exploit Kit产生的推文的可靠标识符。 在第八届恶意软件和有害软件国际会议（简称Malware 2013）上，他们的演讲被认为是最佳论文。

任何渴望发送垃圾邮件，创建机器人大军或窃取个人信息的人都可以通过购买Blackhole Exploit Kit入门。 Matthews报告说，一项估计表明BEK参与了2012年所有恶意软件侵扰的一半以上。另一份报告将BEK与所有恶意URL的29％联系在一起。 尽管最近逮捕了Blackhole的涉嫌作者，但该工具包仍然是一个重大问题，其许多传播方式之一是接管Twitter帐户。 受感染的帐户发送的推文中包含链接，如果单击该链接，则该链接将成为其下一个受害者。

线下

Matthews和White在2012年期间从Twitter收集了数TB的数据。她估计，在这段时间内，他们的数据集包含所有推文的50％至80％。 他们获得的不仅仅是每条推文140个字符。 每个推文的JSON标头均包含有关发件人，推文及其与其他帐户的连接的大量信息。

他们从一个简单的事实开始：一些由BEK生成的推文包含特定的短语，例如“照片上有您吗？”。 或更具挑衅性的词组，例如“您在聚会上裸体”很酷的照片）。 通过挖掘这些已知短语的庞大数据集，他们确定了受感染的帐户。 反过来，这又使他们能够使用BEK生成的推文添加新短语和其他标记。

论文本身是学术性的和完整的，但最终结果很简单。 他们开发了一个相对简单的指标，将其应用于给定Twitter帐户的输出时，可以可靠地将受感染的帐户与干净的帐户区分开。 如果该帐户的分数高于某条线，则该帐户很好。 在线下，它已被感染。

谁感染了谁？

通过使用这种清晰的方法来区分受感染的帐户，他们继续分析了感染过程。 假设帐户B（它是干净的）紧随被感染的帐户A。 如果在帐户BEK发布BEK后不久帐户B被感染，则很有可能帐户A是来源。 研究人员在群集图中对这些关系进行了建模，该群集图非常清楚地显示了少数帐户导致大量感染。 这些是Blackhole Exploit Kit所有者专门为传播感染而设置的帐户。

Matthews指出，此时他们可以通知用户其帐户已被感染，但是他们认为这可能被认为过于侵入。 她正在与Twitter一起努力，看看可以做什么。

现代数据挖掘和大数据分析技术使研究人员能够找到几年前根本无法实现的模式和关系。 并非每一项对知识的追求都会得到回报，但是这一追求却成败了。 我衷心希望Matthews教授能够使Twitter对这项研究的实际应用感兴趣。