nghiên cứu tổng quan về quy trình xử lý sự cố khi hệ thống nhiễm mã độc và quy trình phân tích mã độc

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNGKHOA CÔNG NGHỆ THÔNG TIN I ------ ĐỒ ÁN TỐT NGHIỆP ĐỀ TÀI: NGHIÊN CỨU TỔNG QUAN VỀ QUY TRÌNH XỬ LÝ SỰ CỐ KHI HỆ THỐNG NHIỄM MÃ ĐỘC VÀ QUY TRÌN

Trang 1

ĐỒ ÁN TỐT NGHIỆP

ĐỀ TÀI: NGHIÊN CỨU TỔNG QUAN VỀ QUY TRÌNH XỬ LÝ SỰ CỐ KHI HỆ THỐNG NHIỄM MÃ ĐỘC VÀ QUY TRÌNH PHÂN TÍCH

Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc

Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc

71Monday, June 10, 20246:00:47 PM6:00:47 PM71Monday, June 10, 20246:00:47 PM6:00:47 PM71Monday, June 10, 20246:00:47 PM6:00:47 PM

71Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocMonday, June 10, 2024

Trang 2

HỌC VIỆN CÔNG NGHỆ BƯU CHÍNH VIỄN THÔNGKHOA CÔNG NGHỆ THÔNG TIN I

- -

ĐỒ ÁN TỐT NGHIỆP

ĐỀ TÀI: NGHIÊN CỨU TỔNG QUAN VỀ QUY TRÌNH XỬ LÝ SỰ CỐ KHI HỆ THỐNG NHIỄM MÃ ĐỘC VÀ QUY TRÌNH PHÂN TÍCH

Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc

Trang 3

Em xin gửi lời cảm ơn chân thành đến các thầy cô giáo trong khoa Công nghệ thông tin I, các thầy cô giáo trong Học viện Công nghệ Bưu chính Viễn thông đã dạy dỗ, động viên em trong suốt quá trình học tập hơn 4 năm qua tại học viện

Cuối cùng em rất biết ơn gia đình và bạn bè luôn tạo điều kiện, quan tâm, giúp đỡ để em vượt qua những khó khăn trong quá trình học tập và cuộc sống

Em xin chân thành cảm ơn!

Hà Nội, ngày 28 tháng 10 năm 2021

Chu Trường Giang

Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc

Trang 4

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM

(Của người hướng dẫn)

Đồng ý/Không đồng ý cho sinh viên bảo vệ trước hội đồng chấm đồ án tốt nghiệp?

………, ngày tháng năm 20 CÁN BỘ - GIẢNG VIÊN HƯỚNG DẪN

(ký, họ tên)

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 5

Điểm: (bằng chữ: )

………, ngày tháng năm 20 CÁN BỘ - GIẢNG VIÊN PHẢN BIỆN

(ký, họ tên)

Trang 6

MỤC LỤC

LỜI CẢM ƠN 3

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM 4

NHẬN XÉT, ĐÁNH GIÁ, CHO ĐIỂM 5

CHƯƠNG II PHƯƠNG PHÁP PHÂN TÍCH MÃ ĐỘC 32

2.1 Phương pháp xử lý sự cố khi máy tính nhiễm mã độc 32

2.1.1 Quy trình xử lý sự cố với 1 công ty, tổ chức lớn: 32

2.1.2 Xử lý sự cố nhiễm mã độc với các cá nhân 34

2.2 Tổng quan về phân tích mã độc 35

123docz.net - File bi loi xin lienhe: lethikim34079@hotmail.com 712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 7

2.3.3 Nguyên tắc chung khi phân tích mã độc: 38

2.4 Cài đặt môi trường phân tích mã độc 38

2.4.1 Tạo máy ảo phân tích mã độc 38

2.4.2 Sử dụng máy ảo phân tích mã độc 39

3.2 Các phương tiện cần chuẩn bị 54

3.3 Các công cụ sử dụng trong bài 54

Trang 8

KẾT LUẬN 70DANH MỤC TÀI LIỆU THAM KHẢO 71

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 9

Bảng 7 Bản ghi nhận thay đổi của hệ thống sau khi chạy mã độc 64

Trang 10

DANH MỤC ẢNH VÀ HÌNH VẼ

Ảnh 1.1 Minh họa mã độc 15

Ảnh 1.2 Minh họa virus máy tính 16

Ảnh 1.3 Minh họa Worm 17

Ảnh 1.4 Minh họa Trojan 17

Ảnh 1.5 Minh họa Adware 18

Ảnh 1.6 Minh họa RootKit 19

Ảnh 1.7 Thiệt hại của ransomware 20

Ảnh 1.8 Lịch sử của ransomware 21

Ảnh 1.9 Minh họa Keyloger 29

Ảnh 2.1.Sơ đồ quy trình phân tích mã độc 33

Ảnh 2.2 Hậu quả của việc không cẩn thận khi phân tích mã độc 37

Ảnh 2.3.Môi trường phân tích mã độc 38

Ảnh 2.4 Sơ đồ quy trình phân tích mã độc 40

Ảnh 2.5 Mục đích của phân tích sơ lược 42

Ảnh 2.6 Quy trình phân tích sơ lược 43

Ảnh 2.7 Sơ đồ mạng với môi trường phân tích mã độc 49

Ảnh 2.8 Minh họa mã nhị phân 50

Ảnh 2.9 Công cụ OllyDbg 51

Ảnh 2.10 Công cụ WinDbg 51

Ảnh 2.11 Quy trình phân tích tĩnh 52

Ảnh 3.1 Máy ảo Windows 8.1 55

Ảnh 3.2 Máy ảo Linux Remnux 56

Ảnh 3.3 Kết quả của các lệnh file, signsrch, yara-rules 57

Ảnh 3.4 Kết quả của lệnh peframe 1 58

Ảnh 3.5 Kết quả của lệnh peframe 2 58

Ảnh 3.6 Kết quả của lệnh pecheck 59

Ảnh 3.7 Kết quả của lệnh strings 1 59

Ảnh 3.8 Kết quả của lệnh strings 2 60

Ảnh 3.9 Kết quả của lệnh xorsearch, brxor, bbcrack 60

Ảnh 3.10 Kết quả của lệnh bbcrack 61

Ảnh 3.11 Kết quả của lệnh floss 61

Ảnh 3.12 Kết quả sau khi chạy mã độc 62

Ảnh 3.13 Kết quả phân tích WireShark 64

Ảnh 3.14 Kết quả phân tích Whois 65

Ảnh 3.15 Tạo môi trường phân tích trên any.run 1 65712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 11

Trang 12

DANH MỤC CÁC THUẬT NGỮ VIẾT TẮT

Ký hiệu Tên tiếng Anh Ý nghĩa Tiếng Việt

API Application Programming Interface

PE32 Portable Executable 32-bit Chương trình thực thi 32-bit

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 13

còn gây ra các mối đe dọa trong lĩnh vực an ninh quốc phòng

Theo trung tâm an ninh mạng Viettel (VCS), trong nửa đầu năm 2021 đã ghi nhận và phân tích rất nhiều các cuộc tấn công lớn của các nhóm APT Ví dụ như: các chiến dịch tấn công của nhóm APT nhắm tới các nhà nghiên cứu bảo mật, nhắm tới người dùng lợi dụng một số bản cập nhật từ Noxplayer, mã độc KerrDown, các cuộc tấn công nhắm vào các tổ chức chính phủ, quân đội tại Việt Nam, các cuộc tấn công lợi dụng các văn bản liên quan đến chính trị tại Việt Nam … Cũng theo báo cáo này, trong nửa đầu năm 2021 ghi nhận các vụ lộ lọt thông tin lớn từ các doanh nghiệm lớn của Việt Nam (ngân hàng, tài chính, bán lẻ)

Theo Trung tâm Giám sát an toàn Không gian mạng Quốc gia (NCSC), trong 8 tháng đầu năm 2021, Cục An toàn thông tin đã ghi nhận 5082 cuộc tấn công mạng gây sự cố vào các hệ thống thông tin tại Việt Nam (1212 cuộc Phishing, 970 cuộc Deface, 2900 cuộc tấn công mã độc), tăng 25.82% so với cùng kì 8 tháng đầu năm 2020

Trong số 5082 cuộc tấn công thì có tới 2900 cuộc tấn công bằng mã độc chiếm sấp xỉ 57% (theo NCSC) Nhận thấy được sự tinh vi và mức độ nguy hiểm của tấn công bằng mã độc nên mục đích của đồ án là nhằm tạo ra 1 tài liệu nhằm mục tiêu phân loại các loại mã độc, hành vi hoạt động và cách phòng tránh cho người dùng thông thường Ngoài ra còn để tạo nên 1 tài liệu tham khảo cho các sinh viên, học sinh muốn tìm hiểu về biện pháp xử lý khi nhiễm mã độc hoặc phương pháp để phân tích 1 mã độc

Với mục tiêu đó, bố cục đồ án sẽ bao gồm ba chương theo cấu trúc như sau:

Chương 1: Tổng quan về mã độc

Giới thiệu về mã độc, phân loại mã độc, nguyên lí hoạt động của mã độc và cách phòng tránh

Chương 2: Phương pháp phân tích mã độc

Trình bày các bước trong phân tích mã độc và quá trình xử lý sự cố khi máy tính bị nhiễm mã độc

Trang 14

Chương 3: Phân tích mã độc tống tiền DarkSide Kết luận

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 15

minh, thiết bị IoT, mạng và các thiết bị có thể lập trình khác Thiệt hại ở đây có thể là chiếm quyền điều khiển thiết bị, khóa các tệp cần thiết, đánh cắp thông tin người dùng, làm giảm hiệu suất của thiết bị, v.v Ngày nay, mã độc ngày càng biến đổi một cách tinh vi và khó lường từ cách thức lây nhiễm, cách thức ẩn mình trong hệ thống cho tới cách thức thực hiện hành vi Mã được chia thành rất nhiều loại khác nhau như là viruses, ransomware, spyware, v.v

Ảnh 1.1 Minh họa mã độc

Phần mềm độc hại đã thực sự là mối đe dọa đối với các cá nhân và tổ chức kể từ đầu những năm 1970 khi virus Creeper lần đầu xuất hiện Kể từ đó, thế giới đã bị tấn công từ hàng trăm nghìn biến thể phần mềm độc hại khác nhau Cần phải chú ý thêm rằng mã độc khác với chương trình lỗi Mã độc là chương trình được tạo ra với chủ đích xấu còn những chương trình lỗi – thường là do lỗi lập trình, mặc dù những lỗi này cũng có thể bị các kẻ xấu lợi dụng để thực hiện các hành vi xấu như chiếm quyền điều khiển, đánh cắp thông tin v.v

1.2 Phân loại

1.2.1 Viruses

Virus máy tính là loại mã độc lâu đời nhất và là 1 trong những loại mã độc phổ

biến nhất Thông thường, người ta thường nhầm lẫn rằng tất cả các phần mềm gây hại Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc

Nghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma DocNghien Cuu Tong Quan Ve Quy Trinh Xu Ly Su Co Khi He Thong Nhiem Ma Doc Va Quy Trinh Phan Tich Ma Doc71Monday, June 10, 20246:00:47 PM6:00:47 PM71Monday, June 10, 20246:00:47 PM6:00:47 PM71Monday, June 10, 20246:00:47 PM6:00:47 PM

Trang 16

trên máy tính đều là virus Chúng ta cần phải hiểu rõ ràng về virus, thông thường nó thường được ẩn trong các chương trình máy tính Giống như virus cảm cúm, virus máy tính cũng có khả năng nhân rộng bằng cách tự sửa đổi mã của các chương trình khác sau khi nó thâm nhập được vào hệ thống

Ảnh 1.2 Minh họa virus máy tính

Trong một thế giới công nghệ internet kết nối liên tục như ngày nay, virus có thể lây lan theo rất nhiều cách Virus máy tính có thể lây lan qua email, các loại tệp đính kèm, các tệp tải xuống từ internet, các liên kết lừa đảo trên mạng xã hội hoặc qua các thiết bị lưu trữ như USB Virus có thể ẩn mình dưới vỏ bọc là các tệp đính kèm có nội dung vui nhộn, thiệp chúc mừng hoặc những hình ảnh và video nhạy cảm kích thích người xem

1.2.2 Worm

Worm hay còn được gọi là sâu máy tính – chúng là một đoạn mã độc sống ký sinh trong các chương trình máy tính, nhằm phá hoại và lây lan Nó có khả năng tự nhân bản trên chính bản thân nó mà không cần sao chép và nhúng vào một file nào khác Chúng có thể tự lây lan thông qua internet, do đó chúng thường gây thiệt hại nghiêm trọng cho một mạng lưới về tổng thể, trong khi virus thường chỉ nhắm vào các tập tin trên máy tính bị nhiễm Worm lây lan chủ yếu là do các lỗ hổng bảo mật của hệ thống

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 17

Ảnh 1.3 Minh họa Worm

1.2.3 Trojan horse

Trojan horse trong thần thoại Hy Lạp là một con ngựa gỗ to lớn mà quân Hy Lạp sử dụng để đánh lừa quân đội thành Trojan, bên trong nó có đầy binh lính của quân Hy Lạp Chính vì đặc điểm này mà người ta đã dùng nó để đặt cho một loại mã độc có cơ chế hoạt động tương tự

Mã độc Trojan horse hay còn gọi là Trojan, chúng có vỏ bọc là một phần mềm thông thường nhưng bên trong lại chứa những đoạn mã nguy hiểm Loại mã độc này được hacker sử dụng để phá hủy, làm gián đoạn, ăn cắp dữ liệu hoặc mạng của bạn Khác với Virus hay Worm, Trojan không có khả năng tự nhân bản Loại mã độc này thường được phát tán qua các cuộc tấn công sử dụng kỹ thuật xã hội (lừa người dùng tải về một Trojan có vỏ bọc phần mềm an toàn)

Ảnh 1.4 Minh họa Trojan

Trang 18

1.2.4 Adware

Adware được hiểu là phần mềm quảng cáo, nhưng chúng hoạt động không được sự cho phép của người dùng Chúng liên tục hiển thị các quảng cáo gây phiền hà, và có thể thu thập thông tin cá nhân của người dùng để phục vụ mục đích cá nhân hóa quảng cáo

Ảnh 1.5 Minh họa Adware

1.2.5 Rootkits

Rootkits cho phép tin tặc truy cập trái phép vào thiết bị của bạn mà không để lại dấu vết Rootkits rất khó phát hiện và có thể che giấu sự hiện diện của chúng trong các hệ thống một cách tinh vi Tin tặc sử dụng rootkits truy cập vào máy tính nạn nhân để đánh cắp dữ liệu hoặc thực hiện những mục đích xấu

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 19

Ảnh 1.6 Minh họa RootKit

1.2.6 Ransomware 1.2.6.1 Định nghĩa

Ransomware là một loại phần mềm độc hại, sau khi lây nhiễm vào máy tính, mã hóa hoặc chặn truy cập dữ liệu trên đĩa và sau đó thông báo cho nạn nhân về khẳ năng khôi phục các dữ liệu này nhằm mục đích tống tiền Nếu thiết bị của bạn được kết nối với mạng thì Ransomware có thể phát tán sang các máy tính hoặc thiết bị lưu trữ khác trên mạng

Các trường hợp tấn công đầu đầu tiên sử dụng mã hóa được ghi nhận vào năm 1989 Phần mềm ransomware AIDS/PC Cyborg nhắm mục tiêu chủ yếu vào các máy tính từ các công ty trong lĩnh vực y tế Chúng được cấy vào ổ đĩa 5,25 inch mạo danh một cuộc khảo sát về nguy cơ nhiễm HIV/AIDS Tin nhắn tiền chuộc được in trên máy in được kết nối với máy tính nạn nhân

Ransomware thường được lây lan qua thư rác hoặc email lừa đảo, và cũng có thể thông qua các trang web hoặc tải xuống theo ổ đĩa (gọi chung là sử dụng các kỹ thuật xã hội để lừa đảo nạn nhân cài đặt về thiết bị), để lây nhiễm vào thiết bị điểm cuối và thâm nhập vào mạng Internet

Các cuộc tấn công bằng Ransomware thường gây thiệt hại lớn và trên diện rộng vì khả năng lây lan kinh khủng của loại mã độc này Trong báo cáo hoạt động về mã độc tống tiền do VirusTotal và Google phối hợp thực hiện mới đây với hơn 80 triệu mẫu nghi ngờ cho thấy, mã độc tống tiền tăng gần 200% so với thời điểm ban đầu tại Việt Nam Báo cáo ghi nhận từ 140 quốc gia cũng cho biết, từ năm 2020 đến tháng 7/2021

Trang 20

đã có hơn 130 họ mã độc tống tiền được kích hoạt, trong đó GandCrab là loại ransomware tung hoành mạnh nhất

Ảnh 1.7 Thiệt hại của ransomware

1.2.6.2 Phân loại

Các loại mã độc phổ biến nhất là:

o Locker ransomware: Locker ransomware là loại mã độc tống tiền hoạt động

theo cơ chế khóa máy tính hoặc thiết bị của nạn nhân và tống tiền

o Crypto ransomware: so với Locker ransomware thì Crypto ransomware phổ

biến và rộng rãi hơn Nó mã hóa tất cả các file trong máy tính và tống tiền nạn nhân để đổi lấy khóa giải mã Một số biến thể Crypto ransomware có khả năng lây nhiễm sang các ổ đĩa được chia sẻ, mạng và đám mây

o Double extortion ransomware: mã hóa file và xuất dữ liệu đó nhằm mục

đích tống tiền nạn nhân Với mã độc tống tiền này, kẻ tấn công sẽ hăm dọa đăng những thông tin dữ liệu bị đánh cắp Nó có nghĩa là, cho dùng nạn nhân có thể lấy lại dữ liệu thông qua backup, thì kẻ tấn công vẫn có khả năng tống tiền nạn nhân Tuy nhiên, việc trả tiền chuộc cũng không đảm bảo việc dữ liệu được bảo vệ, vì những kẻ tấn công có quyền truy cập vào dữ liệu bị đánh cắp

o RaaS: liên quan đến việc kẻ tấn công thuê quyền truy cập vào một chủng

ransomware từ tác giả của ransomware, người cung cấp nó như một dịch vụ cho thuê Tác giả của RaaS giao ransomware của họ trên các trang darkweb và cho phép tội phạm mua nó dưới hình thức đăng kí

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 21

Ảnh 1.8 Lịch sử của ransomware

o Tháng 12/2004: GPCode

Sau 15 năm tạm lắng xuống, GPCode đã đánh dấu bắt đầu kỷ nguyên của ransomware đối với Internet Loại mã độc tống tiền này lây lan qua email, mã

hóa các tập tin của nạn nhân và đổi tên thành Vnimanie (nghĩa là gây chú ý

Trang 22

trong tiếng Nga) Không giống như nhiều cuộc tấn công ransomware hiện nay, các tác giả của GPCode tập trung vào các tổ chức hơn là các cá nhân, gửi một lượng lớn email độc hại và yêu cầu 20$ - 70$ tiền chuộc

o Tháng 5/2006: Archievus

Là ransomware đầu tiên sử dụng mã hóa Rivest-Shamir-Adleman (RSA) 1024 bit Mục tiêu của nó nhắm vào các hệ thống Windows và phát tán qua các URL độc hại và email rác Nó nhắm vào thư mục có tên “My Documents” Một khi thư mục bị mã hóa, nạn nhân sẽ được chuyển hướng tới 1 cửa hàng trực tuyến Chỉ sau khi nạn nhân mua hàng, họ mới có được mật khẩu để mở khóa tệp

o Tháng 9/2011: WinLock

WinLock – “kẻ định nghĩa ra họ Lock ransomware” Là mà độc tống tiền Lock ransomware đầu tiên xuất hiện trên các trang báo Nạn nhân bị nhiễm mã độc tống tiền nay qua một trang web độc hại Sau khi mã độc xâm nhập thành công, nó sẽ bắt nạn nhân phải trả 10$ để nhận được một đoạn mã Sau khi nhập mã vào thiết bị, mã độc sẽ yêu cầu nạn nhân gọi đến 1 số điện thoại miễn phí Nhưng cuộc gọi đó thực ra là đã được chuyển hướng và nạn nhân sẽ mất thêm chi phí cho cuộc gọi

o Tháng 8/2012: Reveton

Reveton là một dạng mã độc tài chính, nó được lây lan thông qua các cuộc tấn công drive-by-download Sau khi bị lây nhiễm, một cảnh bảo tự hiện lên với nội dung thông báo từ một cơ quan pháp luật và cáo buộc nạn nhân là kẻ phạm tội (Ví dụ như tải xuống phần mềm vi phạm bản quyền) và đe dọa bỏ tù nếu không nộp tiền phạt theo yêu cầu Các biến thể sau đó đã sử dụng webcam cả nạn nhân, yêu cầu thanh toán bằng bitcoin, và lây lan phần mềm độc hại đánh cắp mật khẩu và hệ điều hành di động và Mac bị nhiễm

o Tháng 9/2013: CryptoLocker

CryptoLocker là một trong những ví dụ đầu tiên về mã độc tống tiền tinh vi Mã độc này khóa người dùng với hệ thống của họ, và sau đó nó sử dụng cặp khóa RSA2048 bit để mã hóa hệ thống vã mọi ổ đĩa được kết nối cũng như là dịch vụ đám mây Điều này làm tăng cơ hội nạn nhân thanh toán khoản tiền chuộc vì ngay cả khi nạn nhân đã gỡ được khóa, quyền truy cập sẽ không được khôi phụ do hệ thống đã được mã hóa CryptoLocker lây lan qua các tệp đính kèm độc hại trong thư rác FedEx và thông báo theo dõi của UPS, cũng như các trang web bị nhiễm Kẻ tấn công yêu cầu 300$ tiền chuộc để mở khóa 1 thiết 712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 23

của bạn Trong vòng 6 tháng đầu tiên, nó đã lây nhiễm cho 635000 hệ thống và kiếm được hơn 1.1 triệu đô tiền chuộc CryptoWall lây lan qua các email lừa đảo, quảng cáo độc hại trên các website Trong nhiều trường hợp, nạn nhân có thể tránh được cuộc tấn công nếu như họ chỉ cần cập nhật phần mềm và sao lưu máy chủ của mình

o Tháng 5/2014: CTB-Locker

Curve-Tor-Bitcoin Locker sử dụng đường cong elliptic để mã hóa tập tin của nạn nhân và sử dụng trình duyệt Tor để xáo trộn hoạt động liên lạc của nó Sau khi lây nhiễm qua các email và các nội dung tải về độc hại, nạn nhân bị tống tiền chuộc bằng bitcoin CTB-Locker là một trong những chủ ransomware đầu tiên sử dụng thông báo đa ngôn ngữ để thông báo cho nạn nhân bị lây nhiễm Nó cũng đánh dấu cho sự khởi đầu của việc sự dụng tiền điện tử để thanh toán tiền chuộc

o Tháng 6/2014: SimpleLocker

SimpleLocker, còn được gọi với cái tên khác là Simplocker, là mã độc tống tiền đầu tiên nhắm mục tiêu vào các thiết bị Android Nó quét thẻ SD và sau đó mã hóa hình ảnh, tệp và video Các phiên bản sau có thể truy cập vào camera của nạn nhân Ngoài ra nó còn có khả năng thu thập thiết bị, số kiểu máy và nhà sản xuất Giống như CTB-Locker, SimpleLocker sử dụng trình tuyệt Tor để tránh việc bị truy vết Kẻ tấn ông yêu cầu một khoản tiền chuộc để đổi lấy mật khẩu và quyền truy cập thiết bị

o Tháng 2/2015: TeslaCrypt

TeslaCrypt nhắm mục tiêu vào các game thủ Lần xuất hiện đầu tiên nó chỉ có thể mã hóa các tệp có kích thước nhỏ hơn 268MB Kẻ tấn công đòi 500$ tiền chuộc và đe dọa sẽ tăng phí gấp đôi nếu nạn nhân chậm trả Trong năm 2016, tổ chức đứng sau TeslaCrypt đã phát hành một khóa chính, họ cho phép nạn nhân giải mã các tệp miễn phí

o Tháng 9/2015: LockerPin

Trang 24

LockerPin là mã độc tống tiền di động khóa mã PIN đầu tiên nhắm vào các thiết bị hệ điều hành Android Nó đã lây nhiễm vào thiết bị của người dùng sau khi được tải xuống từ các cửa hàng ứng dụng của bên thứ ba Không giống như người tiền nhiệm SimpleLocker, LockerPin có thể ghi đè các đặc quyền quản trị, dừng các chương trình chống virus đang chạy trên thiết bị và thay đổi mã PIN của nạn nhân Tuy nhiên, ngay cả khi khoản tiền chuộc 500$ được trả, những kẻ tấn công không thể mở khóa thiết bị của nạn nhân vì mã PIN được tạo ngẫu nhiên và những kẻ tấn công cũng không thể xác định được

o Tháng 11/2015: Chimera

Mã độc tống tiền Chimera là một trong những chủng loại đầu tiên đe dọa làm rò rỉ dữ liệu của nạn nhân nếu khoản tiền chuộc 2.5 bitcoin không được trả Chimera được phát tán thông qua các email có chứa liên kết Dropbox độc hại Vào tháng 7/2016, Petya đã tung ra 3500 khóa giải mã Chimera Các bộ giải mã Chimera khác cũng có sẵn

o Tháng 11/2015: Linux.Encoder.1

Linux.Encoder.1 là mã độc tống tiền đầu tiên nhắm vào các máy tính hệ điều hành Linux Sau khi khai thác một lỗ hổng trong nền tảng Magento thương mại điện tử, Troạn đã mã hóa MySQL, Apache và các thư mục gốc và home Những kẻ tấn công yêu cầu một bitcoin để đổi lấy khóa giải mã Các hệ thống vá lỗ hổng Magento đã ngăn người dùng trở thành nạn nhân

o Tháng 1/2016: Ransom32

Ransom32 là loại mã độc tống tiền sử dụng JavaScript đầu tiên Điều này làm cho nó trở thành một nền tảng đa nền tảng, mã độc tống tiền “viết một lần, lây nhiễm tất cả”, nó có thể lây nhiễm vào Windows, Linux và Mac

o Tháng 2/2016: Locky

Locky đã sử dụng mạng botnet Necurs để gửi email lừa đảo với tệp đính kèm Word hoặc Excel có chứa macro độc hại Nó mã hóa tệp trên hệ điều hành Windows Locky xuất hiện trở lại vào tháng 9/2017 trong một cuộc tấn công mà 27 triệu tin nhắn được gửi đi trong vòng 24h

o Tháng 3/2016: Petya

Petya là mã độc tống tiền có khả năng ghi đè lên các bản ghi khởi động (MBR) và mã hóa tệp chính (MFT), ghi lại các dữ liệu và vị trí thực và tất cả đường dẫn thư mục của tất cả các file trên thiết bị Ba bước này đã khóa nạn nhân khỏi hệ thống của họ Petya đã lây nhiễm các hệ thống Windows thông qua các email lừa đảo

o Tháng 3/2016: SamSam

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 25

o Tháng 4/2016: Jigsaw

Các nạn nhân của mã độc Jigsaw sẽ được đối mặt với một bức ảnh ghê rợn và một đồng hồ đếm ngược Nếu 150$ tiền chuộc không được thanh toán trong vòng 1 giờ thì một trong số các tệp của nạn nhân sẽ bị xóa Mỗi giờ trôi qua, số lượng các tệp bị xóa ngày càng tăng lên Nếu nạn nhân cố gắng khởi đọng lại thiết bị của họ, 1000 tệp sẽ bị xóa ngay lập tức

o Tháng 6/2016: Zcryptor

ZCrypto là một trong những loại sâu mã hóa đầu tiên, nó là sự kết hợp giữa sâu máy tính mà ransomware Nó tự nhân bản để sao chép chính nó vào các thiết bị và mạng được kết nối bên ngoài Zcrypto mã hóa file của nạn nhân và yêu cầu tiền chuộc là 1.2 bitcoin Sau 4 ngày nếu như chưa thanh toán thì tiền chuộc sẽ tăng lên 5 bitcoin

o Tháng 9/2016: Mamba

Mamba, còn được gọi với cái tên khác là HDDCrypto, nó là một mã độc tống tiền mã hóa ổ cứng và phát tán thông qua một công cụ mã hóa hợp pháp là DiskCrypto Các báo cáo cho thấy Mamba đã khai thác một chương trình máy chủ Oracle chưa được vá lỗi; một bản cập nhật hệ thống đơn giản có thể ngăn chặn cuộc tấn công

o Tháng 1/2017: Spora

Spora được đặt tên theo một từ tiếng Nga, nó có khả năng hoạt động ngoại tuyến và có hệ thống thanh toán phức tạp Nó được phát tán thông qua email phishing kèm theo tệp đính kèm độc hại Sau khi được tải về, nó mã hóa file sử dụng thuật toán AES và RSA Vào tháng 8/2017 một bản nâng cấp của Spora đã được tung ra, nó có thêm tính năng lấy cắp thông tin từ trình duyệt web và ghi lại các lần gõ phím

o Tháng 5/2017: Jaff

Jaff được phát hiện một ngày trước cuộc tấn công két tiếng WannaCry Mặc dù nó bắt chước Locky nhưng nó kém tinh vi hơn nhiều Jaff đã sử dụng mạng botnet Necurs để phát tán khoảng 5 triệu email độc hại mỗi giờ Những

Trang 26

kẻ tấn công yêu cầu $ 3,300 đổi sang bitcoin - một khoản tiền chuộc cao hơn nhiều so với các biến thể khác

o Tháng 5/2017: WannaCry/WannaCrypt

WannaCry đã được sử dụng trong cuộc tấn công mạng toàn cầu vào tháng 5/2017 với quy mô trên 150 quốc gia Cho đến tháng 5/2019, nó được báo cáo rằng đã lây lan đến gần 5 triệu thiết bị WannaCry đã ảnh hưởng đến các tổ chức nổi tiếng như Dịch vụ Y tế của Vương quốc Anh, FedEx, Honda và Boeing Còn được gọi là WannaCrypt, WannaCryptor và Wanna Decryptor, nó lây lan qua khai thác EternalBlue bị rò rỉ của Cơ quan An ninh Quốc gia, một lỗ hổng trong các phiên bản cũ của Server Message Block Microsoft đã phát hành một bản vá vào tháng 3 năm 2017, nhưng nó không được cập nhật rộng rãi Là một con sâu máy tính, nó tự sao chép để lây nhiễm

o Tháng 6/2017: Goldeneye

Goldeneye, một biến thể của Petya, thường được gọi là anh chị em của WannaCry Nó lây lan qua phương pháp lừa đảo và mã hóa dữ liệu cá nhân của nạn nhân, mã hóa MBR và MFT Nó cũng được truyền qua lỗ hổng EternalBlue

o Tháng 6/2017: NotPetya

Biến thể Petya có tên NotPetya được coi là ransomware, nhưng với vai trò là một công cụ xóa sổ, nó tập trung vào việc phá hủy các tập tin hơn là thu tiền Giống như Petya, nó mã hóa MBR và MFT Không giống như Petya, sau khi mã hóa, nó sẽ phá hủy nội dung của thiết bị Ngay cả khi nạn nhân trả tiền chuộc, họ sẽ không bao giờ lấy lại được hồ sơ của mình NotPetya sử dụng nhiều vectơ tấn công, bao gồm cả các công cụ phần mềm hợp pháp

o Tháng 10/2017: Bad Rabbit

Bad Rabbit, một biến thể của NotPetya, sử dụng quảng cáo giả mạo trình cài đặt Adobe Flash để nhằm mục tiêu nạn nhân Giống như Petya, Bad Rabbit khai thác EternalBlue và mã hóa MBR Khi một thiết bị bị nhiễm, một thông báo sẽ xuất hiện yêu cầu 0,05 bitcoin Nếu nạn nhân không trả tiền trong vòng 40 giờ, số tiền chuộc sẽ tăng lên

o Tháng 1/2018: GandCrab

GandCrab là biến thể RaaS đầu tiên yêu cầu thanh toán bằng tiền điện tử Dash Nó đã sử dụng miền cấp cao nhất bit, miền không bị Công ty Internet cho Tên và Số được chỉ định, để đảm bảo bí mật GandCrab lây lan qua email, bộ dụng cụ khai thác và các chiến dịch phần mềm độc hại khác Nó chịu trách nhiệm cho hơn 50% lượng tấn công ransomware vào tháng 8 năm 2018 Vào 712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 27

chứa các tài liệu Microsoft Office độc hại Nó đã được sử dụng trong một cuộc tấn công chống lại Công ty xuất bản Tribune vào tháng 12 năm 2018 Vào năm 2019 và 2020, nó đã được sử dụng trong một số cuộc tấn công chống lại các tổ chức chăm sóc sức khỏe Các mục tiêu và nạn nhân cũng bao gồm các chính phủ, hệ thống trường học, và các công ty khu vực công và tư nhân khác

o Tháng 4/2019: REvil

REvil, còn được gọi là Sodin và Sodinokibi, có thể liên quan đến GandCrab của năm 2018 Hai chủng này có những điểm tương đồng nổi bật và đã được triển khai cùng nhau trên hệ thống của nạn nhân trong các cuộc tấn công ban đầu, trước khi GandCrab nghỉ hưu Các cuộc tấn công ban đầu đã khai thác lỗ hổng Oracle WebLogic và lỗ hổng zero-day của Windows Sau đó, khai thác các hệ thống bị xâm nhập thông qua lừa đảo, lỗ hổng Giao thức Máy tính Từ xa (RDP), tấn công VPN và tấn công chuỗi cung ứng REvil đã được sử dụng trong các cuộc tấn công đáng chú ý chống lại Acer, JBS USA và Kaseya Nhóm ransomware đã ngừng hoạt động vào tháng 7 năm 2021 nhưng xuất hiện trở lại vào tháng 9 năm 2021 Một bộ giải mã phổ quát đã được phát hành vào tháng 9 năm 2021 cho các nạn nhân của các cuộc tấn công trước ngày 13 tháng 7 năm 2021

o Tháng 5/2019: Maze

Maze, một biến thể của ChaCha, lây lan qua email rác, các cuộc tấn công RDP và bộ dụng cụ khai thác Đây là một trong những ví dụ đầu tiên về mã độc tống tiền kép Vào tháng 6 năm 2019, Maze thông báo thành lập một nhóm tổ chức tội phạm mạng Maze đóng cửa hoạt động vào tháng 11 năm 2020

o Tháng 5/2019: RobbinHood

RobbinHood xâm nhập vào mạng của nạn nhân thông qua các âm mưu lừa đảo, tấn công RDP hoặc các Trojan khác, đôi khi lợi dụng lỗ hổng CVE-2018-19320, một lỗ hổng trình điều khiển nhân Gigabyte Nó vô hiệu hóa các dịch vụ và chương trình bảo vệ, ngắt kết nối mạng chia sẻ, xóa các bản sao bóng,

Trang 28

xóa nhiều sự kiện và vô hiệu hóa tính năng sửa chữa tự động của Windows Yêu cầu tiền chuộc của RobbinHood dao động từ 3 đến 13 bitcoin

o Tháng 11/2019: Tycoon

Tycoon nhắm mục tiêu đến môi trường Windows và Linux tại các tổ chức giáo dục và công ty phần mềm Các nhà nghiên cứu của BlackBerry cho biết đây là dòng ransomware đầu tiên sử dụng định dạng hình ảnh Java, hoặc JIMAGE, để tạo và cung cấp bản dựng một JRE tùy chỉnh Khi vào trong mạng, Tycoon sẽ vô hiệu hóa các chương trình antimalware và có thể ẩn mình trong nhiều tháng trước khi mã hóa tệp máy chủ và yêu cầu tiền chuộc Một khóa giải mã đã được đăng trực tuyến, nó giải mã một số, nhưng không phải tất cả hệ thống bị ảnh hưởng

o Tháng 8/2020: DarkSide

DarkSide, phần mềm độc hại được sử dụng trong cuộc tấn công Colonial Pipeline vào tháng 5/2020, là một RaaS nhắm vào các nạn nhân có cấu hình cao Nó sử dụng mã độc tống tiền kép, ra lệnh và kiểm soát thông qua Tor, và các kỹ thuật làm xáo trộn nâng cao, trong số các chiến thuật tàng hình khác Vào tháng 5 năm 2021, tổ chức đứng sau ransomware này thông báo các hoạt động của nó sẽ tạm ngừng sau áp lực từ chính phủ Hoa Kỳ BlackMatter, một nhóm ransomware nổi lên vào tháng 7 năm 2021, đã ghi nhận những điểm tương đồng với các băng nhóm DarkSide và REvil

o Tháng 9/2020: Egregor

Egregor, một biến thể của ransomware Sekhmet, là một RaaS mà nhiều người cho rằng là các chi nhánh cũ của Maze Egregor là một loại mã độc tống tiền kép và công khai làm xấu mặt các nạn nhân của nó Sau khi trả tiền chuộc, những kẻ tấn công sẽ giải mã hệ thống của nạn nhân và đưa ra lời khuyên cho nạn nhân về các công ty có thể bảo vệ mạng của mình tốt hơn và tránh các cuộc tấn công trong tương lai Một số chi nhánh không được tiết lộ của Egregor đã bị bắt vào tháng 2 năm 2021 Cùng lúc đó, tổ chức này đã giải tán

1.2.7 Keylogers

Keylogers là phần mềm ghi lại hoạt động bàn phím hoặc chụp ảnh màn hình tại máy nạn nhân một cách trái phép và gửi về cho attacker Attacker có thể thu được tin nhắn cá nhân, nội dung email, số thẻ tín dụng và dĩ nhiên là bao gồm mọi loại mật khẩu mà người dùng sử dụng

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 29

Ảnh 1.9 Minh họa Keyloger

1.3 Nguyên lí hoạt động của mã độc

1.3.1 Định dạng dữ liệu và vật chủ của mã độc

Phần này sẽ giới thiệu về định dạng giữ liệu và vật chủ của các loại mã độc Mỗi loại mã độc chỉ lây vào một số định dạng dữ liệu nhất định Phân tích các định dạng dữ liệu mà mã độc hay sử dụng làm môi trường lây lan, cư trú để phát tán và thực thi trên môi trường của nạn nhân thì có kết luận như bảng sau:

1 Tệp tin văn bản

File virus, Worm, Trojan

Tệp tin script bbs Tệp tin registry reg Tệp tin siêu văn bản htt, hta

Macro Virus

Tệp tin dữ liệu doc, docx, dot Tệp tin bảng tính xls, xlsx, xlt Tệp tin trình diễn ppt, pptx, pot

Trang 30

4 Mẫu tin khởi động

Tự nhân bản và xóa bỏ (thư mục, system, users)

Tạo khởi động cùng với hệ điều hành (registry, startup, service, schedule, tasks, …)

Thay đổi hệ thống

Vô hiệu hóa các chức năng của hệ điều hành (Windows Firewall, Update, …)

Vô hiệu hóa các chương trình bảo vệ (Antivirus, các công cụ phân tích)

Ẩn chính bản thân chúng (thực hiện các thay đổi liên quan đến tiến trình)

Hoạt động chính của mã độc

Đánh cắp thông tin (registry, config files, keylogger, sniffer, …)

Bot (kết nối đến C&C server và thực hiện command)

Lây nhiễm sang các hệ thống máy tính khác

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 31

+ Hãy chú ý cẩn thận trước khi click vào bất cứ đường link hay tải về máy tính bất cứ thứ gì

+ Tuyệt đối không tin vào các cửa sổ windows tự động nhảy ra và yêu cầu bạn phải tải các phần mềm

+ Hạn chế chia sẻ tệp tin của bạn + Sử dụng các phần mềm duyệt virus

1.4 Kết chương

Chương I trình bày khái niệm về mã độc và các thông tin liên quan như phân loại mã độc, các hành vi của mã độc, nguyên lí hoạt động của mã độc Ngoài ra, chương cũng nêu ra các biện pháp để phòng tránh các cuộc tấn công mã độc

Trang 32

CHƯƠNG II PHƯƠNG PHÁP PHÂN TÍCH MÃ ĐỘC

Chương II sẽ đưa ra cái nhìn tổng quan về phân tích mã độc, các định nghĩa, các bước thực hiện của các kỹ thuật phân tích mã độc khác nhau Sau đó tổng hợp và tạo bảng so sánh ưu nhược điểm giữa các kỹ thuật phân tích mã độc nêu trên Ngoài ra, trong chương này, sẽ giới thiệu thêm về phương pháp xử lý sự cố khi máy tính bị nhiễm mã độc cho các cá nhân hoặc cơ quan tổ chức

2.1 Phương pháp xử lý sự cố khi máy tính nhiễm mã độc

Với sự phát triển nhanh chóng của cuộc cách mạng công nghệ lần thứ 4, sự gia tăng các thiết bị IoT, số lượng mã độc mới, mã độc tấn công vào các cá nhân, cơ quan, tổ chức ngày càng tăng về số lượng và mức độ tinh vi Việc phát hiện, xử lý, khắc phục, loại bỏ mã độc ra khỏi hệ thống mạng luôn gặp nhiều khó khăn luôn cần phải tuân theo quy trình ứng cứu, xử lý sự cố

2.1.1 Quy trình xử lý sự cố với 1 công ty, tổ chức lớn:

Quy trình xử lí sự cố mã độc thường nằm trong quy trình xử lí sự cố an toàn thông tin, chúng cần được thực hiện khoa học, hiệu quả theo mô hình sau đây:

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 33

Ảnh 2.1.Sơ đồ quy trình phân tích mã độc

Trang 34

o Phát hiện, tiếp nhận thông tin sự cố: Việc phát hiện, tiếp nhận thông tin sự cố mã độc trong hệ thống mạng được thực hiện bởi các cá nhân, tổ chức hoặc là các hệ thống giám sát

o Triển khai các bước ưu tiên ứng cứu ban đầu: Cần xác định mức độ ưu tiên xử lý, dựa vào bản chất và dấu hiệu của sự cố để xử lý

o Lựa chọn phương án ứng cứu: lựa chọn phương án ứng cứu phù hợp với từng sự cố và hệ thống mạng cụ thể

o Báo cáo sự cố: Báo cáo thông tin về sự cố, đề xuất phương án ứng cứu để lãnh đạo phê duyệt, chỉ đạo xử lý

o Chỉ đạo xử lý sự cố: Thực hiện thành lập đội ứng cứu tham giả xử lý sự cố; Phối hợp với các đơn vị chuyên trách ứng cứu sự cố, các doanh nghiệp viễn thông… o Ngăn chặn sự cố: Thực hiện thu thập dữ liệu điện tử, phân tích xác định phạm vi, đối tượng bị ảnh hưởng, phân tích nguồn gốc tấn công, triển khai các biện pháp ngăn chặn và giảm thiểu rủi ro đối với hệ thống thông tin

o Xử lý, gỡ bỏ: Thực hiện loại bỏ mã độc ra khỏi hệ thống, triển khai các biện pháp đảm bảo an ninh, an toàn thông tin bổ sung như rà quét, đánh giá, loại bỏ, khắc phục các điểm yếu, lỗ hổng bảo mật trong hệ thống

o Khôi phục: Thực hiện việc khôi phục dữ liệu, kết nối, cấu hình, bổ sung thiết bị, phần mềm cho hệ thống

o Kiểm tra phân tích hệ thống: Thực hiện đánh giá hệ thống thong tin sau khi khắc phục hệ thống Nếu hệ thống chưa hoạt động ổn cần tiếp tục điều tra, phân tích, xử lý triệt để, khôi phục

o Tổng kết, đánh giá: Tổng hợp các thông tin, viết báo cáo

2.1.2 Xử lý sự cố nhiễm mã độc với các cá nhân

o Ngắt kết nối Internet: Khi phát hiện máy tính có giấu hiệu bất thường nghi nghiễm mã độc, việc đầu tiên cần làm là ngắt kết nối Internet Mã độc có thể gửi, nhận dữ liệu hoặc tự lây lan thông qua môi trường Internet, việc ngắt kết nối để làm giảm thiệu sự lây lan và thiệt hại do mã độc gây ra

o Sao lưu dữ liệu cá nhân: Sao lưu các dữ liệu quan trọng sang một nơi an toàn Chú ý: mã độc có khả năng lây lan sang các tập tin khác nên việc sao lưu cần hết sức cẩn trọng

o Khởi động máy tính ở chế độ Safe Mode hoặc dùng ổ đĩa cứu hộ: Nếu mã độc được cài đặt để chạy tự động, việc chạy ở Safe Mode giúp ngăn ngừa mã độc tự khởi chạy cùng với hệ điều hành Để bật Safe Mode:

1 Khởi động lại máy tính của bạn

2 Khi máy tính đang khởi động lại, nhấn và giữ phím F8

3 Khi này hệ điều hành sẽ hiển thị các tùy chọn khởi động, chọn Safe Mode Chú ý: Tránh đăng nhập vào tài khoản trong quá trình xóa bỏ mã độc

o Sử dụng một thiết bị an toàn có kết nối Internet để tìm kiếm thông tin trên Internet về các giấu hiệu máy tính nhiễm mã độc đang gặp phải với hy vọng sẽ tìm kiếm được thông tin về mã độc đó để có phương pháp xử lý

712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM712410066:00:47 PM6:00:47 PM

Trang 35

hệ điều hành Trước khi làm việc này thì nên back up dữ liệu quan trọng

Chọn nút Start -> Settings -> Type Recovery Options -> Reset this PC -> Get started -> Remove everything

2.2 Tổng quan về phân tích mã độc

Phân tích mã độc là nghiên cứu hoặc quy trình xác định chức năng, nguồn gốc và tác động tiềm ẩn của một mẫu mã độc nhất định và trích xuất thông tin ra từ đó Phân tích mã độc là một bước quan trọng để có thể ngăn chặn và tiêu diệt hoàn toàn mã độc ra khỏi máy tính và hệ thống mạng; khôi phục lại hiện trạng của mạng ban đầu; truy tìm nguồn gốc kẻ tấn công Ngoài ra những thông tin từ báo cáo phân tích mã độc sẽ giúp ích cho việc bảo vệ hệ thống chống lại các cuộc tấn công mã độc tương tự trong tương lai

Để hiểu rõ hơn về phân tích mã độc, cần phải làm rõ được các câu hỏi như: Ai là người phân tích mã độc? Tại sao lại phải phân tích mã độc? Mục đích của phân tích mã độc là gì? Cụ thể:

2.2.1 Ai là người phân tích mã độc?

Phân tích mã độc là một công việc rất khó, đòi hỏi sự hiểu biết sâu về công nghệ thông tin nói chung và an toàn thông tin nói riêng Việc phân tích mã độc thường được thực hiện bởi các đơn vị và tổ chức sau: Đơn vị ứng cứu khẩn cấp

o Hãng phần mềm anti-virus

o Đơn vị phát triển công cụ bảo mật o Đơn vị cũng cấp dịch vụ bảo mật o Các cơ quan Nhà nước, Chính phủ o Kẻ tấn công

2.2.2 Tại sao cần phải phân tích mã độc?

Việc phân tích mã độc có ý nghĩa rất lớn với đảm bảo an ninh thông tin, nó sẽ đem lại những thông tin chính xác về mã độc khi mà ta không thể tin tưởng hoàn toàn vào các nguồn thông tin công cộng

Việc phân tích mã độc cũng hỗ trợ các hoạt động đảm bảo an toàn thông tin như: o Truy tìm dấu vết, bằng chứng (phục vụ công tác điều tra số)

o Xác định dấu hiệu nhận biết của mã độc (để phòng chống)