عنوان الإطروحه
A combined Artificial Intelligence Model for Detecting Cryptojacking Attacks
تاريخ مناقشة الاطروحه
2025-12-22
اسم الطالب
غدير زيدان محمد سليمان
المشرف
محمد سعيد منصور البشير
المشرف المشارك
اعضاء لجنة المناقشة
فيصل سليمان صالح السقار
يوسف الكيلاني
الكلية
كلية الامير الحسين بن عبدالله لتكنولوجيا المعلومات
القسم
علم الحاسوب
الملخص بالعربية
يُعدّ الاستغلال الخفي للموارد الحاسوبية لتعدين العملات الرقمية (Cryptojacking) من التهديدات المتنامية في الأمن السيبراني، إذ يتسم بالاستمرارية وسرعة التطور. ومع اعتماد المهاجمين على أساليب مراوغة متقدمة مثل التبدّل الشكلي، والإخفاء، والتشغيل المتدرّج لتقليل الأثر على الأداء وتفادي الرصد، أصبحت آليات الكشف المعتمدة على التواقيع أقل فاعلية من الناحية العملية. انطلاقًا من هذه الفجوة، تقدّم هذه الدراسة إطارًا ذكيًا هجينيًا للكشف ينتقل من الاعتماد على التواقيع إلى الكشف القائم على السلوك والقياسات التليمترية، مع تصميم يدعم العمل بزمن حقيقي وقابلية النقل بين البيئات المختلفة. ويرتكز الإطار على إشارات عامة مشتركة بين المنصات تشمل ضغط المعالجة CPU وGPU، واستهلاك الذاكرة، وخصائص تنفيذ التعليمات على مستوى opcode، وسلوك الشبكة، بما يسمح بالتقاط البصمة السلوكية المميزة لتعدين العملات عبر منصات غير متجانسة كإنترنت الأشياء، والمتصفح، والحواسيب الشخصية، والخوادم. يعتمد الحل المقترح على دمج مكوّنات تعلم متكاملة بهدف تعزيز المتانة وقابلية التعميم. إذ يُستخدم نموذج CNN?LSTM لاستخلاص الأنماط الزمنية المعقدة من سلاسل القياسات التليمترية، بينما يُسهم نموذج التجميع المكدّس (Stacking Ensemble) في تحقيق استقرار أعلى عند التصنيف اعتمادًا على السمات السلوكية المُهندسة. وللتعامل مع انجراف المفهوم وتغيّر أنماط الهجوم بمرور الوقت، يتضمن الإطار آلية تعلم تكيفي عبر الإنترنت تُمكّن النموذج من تحديث حدوده القرارّية بصورة مستمرة، بما يحافظ على الأداء أمام هجمات اليوم الصفري. وتُحسم النتيجة النهائية من خلال دمج وزني هجيني يوازن بين قوة الالتقاط الزمني العميق وثبات التجميع ومرونة التعلم التكيفي في قرار واحد عالي الاعتمادية. أظهرت التجارب الموسعة على خمس مجموعات بيانات عامة لظاهرة Cryptojacking تفوق الإطار بصورة متسقة في البيئات ذات الإشارة الواضحة وكذلك في السيناريوهات الأكثر صعوبة. فقد حقق نموذج الدمج الهجيني أداءً شبه مثالي على بيانات Attack Timeseries وOpcodes مع وصول الدقة وقيمة F1 إلى نحو 0.9999، كما سجل على بيانات CJ-Sniffer الخاصة بحركة الشبكة دقة 0.9999 ودقة إيجابية 0.9999 واستدعاء 0.9997 وF1 تساوي 0.9999، بينما حققت بيانات Hardware Traces المستندة إلى المضيف دقة 0.9932 وF1 تساوي 0.9932 مع AUROC يساوي 0.9999. وفي مجال بيانات GPU الأكثر ضبابية وتعقيدًا، حافظ النموذج على متانة مرتفعة بدقة 0.9714 وF1 تساوي 0.9664 مدعومة بـ AUROC يساوي 0.9974. وعلى مستوى التحسينات المقارنة، ارتفعت قيمة F1 في Hardware Traces من 99.00% إلى 99.60% بزيادة قدرها 0.60 نقطة مئوية، وفي CJ-Sniffer من 98.97% إلى 99.50% بزيادة 0.53 نقطة، وفي Opcodes من 97.00% إلى 99.50% بزيادة 2.50 نقطة، مع تحقيق سقف الدقة المبلغ عنه في Timeseries عند 99.99% وتقديم حزمة مقاييس أكثر اكتمالًا. أما ضمن بيانات GPU فقد ارتفعت الدقة بمقدار 2.98 نقطة مقارنة بأقوى نموذج فردي (CatBoost) وبمقدار 1.43 نقطة مقارنة بنموذج التجميع المكدّس، بما يؤكد أن التصميم المقترح يوفر دفاعًا عمليًا عالي الثقة وقابلًا للنشر والنقل ويسهم بوضوح في دفع مستوى الأداء في كشف Cryptojacking إلى الأمام
الملخص بالانجليزي
 Cryptojacking, the covert and unauthorized use of computing resources for cryptocurrency mining, has emerged as a persistent and fast-evolving cybersecurity threat. Signature-based defenses are increasingly ineffective against contemporary cryptojacking that rely on polymorphism, evasion, and adaptive throttling to remain undetected. To counter this, in this thesis we introduce an intelligent hybrid detection?mechanism that changes the static signature-based detection towards a behavior, telemetry-empowered recognition. The framework is tailored for real-time treatment and?wide portability by targeting general device signals which represent CPU burden, GPU burden, memory requests, opcode-level execution behaviors, network traffic behavior with a view to ensure stable detection of mining traces in diverse platforms like IoT devices or browsers or desktops or servers. The method combines complementary learning units to achieve?the best robustness and generalization capability. A?CNN?LSTM network is used to learn rich temporal features in high-dimensional telemetry streams and a stacking ensemble delivers robust classification for engineered behavioral attributes. To tackle the real-world problem of concept drift and ever-changing attack modes, we design an adaptive online learning unit?to update the decision boundary in an incremental way over time, enhancing resistance to never-before-seen zero-day cryptojacking behaviors. The last verdict is obtained by exploiting a hybrid weighted fusion mechanism, which merges?all these predictors into a unique consistent decision, allowing to balance the compromise between deep temporal pattern extraction and ensemble stability and online conformability. Comprehensive evaluation on five publicly available cryptojacking datasets demonstrates consistent superiority in both separable and challenging settings. On the Attack Timeseries and Opcodes datasets, the hybrid fusion model reaches near-ceiling results, with accuracy and F1 approximately 0.9999; on CJ-Sniffer network traffic it achieves accuracy 0.9999, precision 0.9999, recall 0.9997, and F1 0.9999, while host-based Hardware Traces yield accuracy 0.9932 and F1 0.9932 with AUROC 0.9999. On the more ambiguous GPU telemetry domain, the model maintains strong robustness with accuracy 0.9714 and F1 0.9664, supported by AUROC 0.9974. In comparative terms, the framework improves F1 on Hardware Traces from 99.00% to 99.60% (+0.60 percentage points), on CJ-Sniffer from 98.97% to 99.50% (+0.53 points), and on Opcodes from 97.00% to 99.50% (+2.50 points), while matching the reported 99.99% accuracy ceiling on Timeseries and delivering stronger completeness in the full metric suite. Within the GPU dataset, it further raises accuracy by +2.98 points over the strongest single baseline (CatBoost) and by +1.43 points over the stacking ensemble, confirming that the proposed design delivers a practical, portable, and high-confidence defense that meaningfully advances cryptojacking detection
رقم ISN
9667
للحصول على الرسالة كملف يرجى تزويد المكتبة برقم ISN