近年来,随着加密货币的兴起,恶意挖矿攻击日益猖獗。这种攻击不经过用户授权,利用受害者包括CPU、GPU、存储和网络在内的计算机资源,执行恶意挖矿行为,挖掘数字货币,给用户带来严重的经济损失和安全威胁。为了应对这种威胁,业界相关研究者提出了多种针对恶意挖矿攻击的防护方案。然而,这些已有方案存在明显的不足,主要表现在:第一,挖矿攻击检测系统和挖矿软件运行在同一个操作系统中,容易被挖矿软件攻击或绕过;第二,已有方案主要针对网页挖矿行为进行检测,对当前广泛存在的二进制挖矿软件攻击则防护不足。为此,本文提出了一种基于虚拟机自省(Virtual Machine Introspection,VMI)的恶意挖矿软件检测与防御方法。与已有解决方案相比,本文提出的方法具有两个明显的优势:第一,利用虚拟机自省技术,在hypervisor层完成对客户机中二进制挖矿软件恶意行为的监控和防护,因此很难被恶意挖矿软件攻击或绕过;第二,本文结合恶意挖矿软件的行为特征,综合运用恶意挖矿进程文件读写内容的关键字检索、网络操作模式匹配以及系统寄存器值离散系数判定的方法,实现恶意挖矿软件的检测和防御,准确度更高。本文方法基于以下观测提出:第一,挖矿软件在运行过程中,会读取与挖矿相关的配置文件信息,并产生与挖矿信息相关的日志文件,这些文件中存在与挖矿行为密切相关的关键字;第二,在挖矿活动进行中,矿机需要不断与矿池进行通信,这些通信活动具有特定的模式;第三,挖矿软件在挖矿过程中会生成大量的伪随机数,并将这些数值存放在寄存器中,这与正常情况下寄存器中的数值存在明显不同。由此,本文方法首先运行了100个已知恶意挖矿软件,逐个运行后记录这些恶意挖矿软件运行过程中产生的文件读写内容、网络流量信息和读写寄存器的值,从中筛选出与挖矿行为紧密相关的关键字和特定的网络操作模式,确定挖矿过程中相关寄存器取值离散系数的阈值,并依此制定了恶意挖矿软件的匹配规则和安全策略。然后,在恶意挖矿软件运行过程中,本文方法克服了VMI监控的语义间隙鸿沟,在hypervisor层捕获客户机内部进程产生的文件和网络系统调用,并对其参数进行解析以及还原进程上下文信息,从而获得进程的文件和网络活动监控信息;同时,本文方法还利用VMI技术捕获和读取系统相关寄存器的值,实现了对寄存器的监控。最后,相关的监控信息被发送给特定的攻击检测模块,攻击检测模块按照预定的匹配规则和安全策略,完成对恶意挖矿软件的检测和防御。最后,本文基于KVM hypervisor和Windows 7客户机实现了原型系统,并收集了439个主流挖矿软件和320个其它类型的软件样本对原型系统进行功能测试。测试结果表明,本文方法的检测误报率为0。同时,性能测试结果表明,本文方法带来的性能损耗较小,文件和网络操作的平均性能损耗分别为5.75%和2.13%。