Phát hiện virus đa hình

MỤC LỤC Trang 1 DANH MỤC HÌNH NH V BNG BIU Trang 2 DANH MỤC KÝ HIỆU V VIẾT TẮT        !!"# !$%!# !&& !'&$ !"# !# " "$%   ( ()   &### &#%%#%$# Trang 3 ! %')! & $$% !!! !!!  ## ## !! !!  "# ")%# Trang 4 LỜI MỞ ĐẦU *%+,)%-./0123456789:8;5<= >%+,?.-5@AB.>C5B@,. DE/F%9GH%+,5IJ.H6KL<M0+ NN=.>O.+,5B,.DEFC9<HCN% +,P8.Q>%+,==%R<=%5LSGH%5 L<T0U5VFN%WX>O=<M0CY F;/X@F%9 /0X5>FZPHR=A%<C5H >[9(FC$=+=\Y=FC65FZ567./K ?]%B>E%9/FNE%>6)<+Y= .6^6KL=5INNVMSGHC%X5>_P5, 0`a+>6Yb%=5Ic65FZ=a\,PS /d.H6K+Ee%ZP$?/X@F%F ZP9/d567.F+F6<5f^T<H K?/F%VgE+/h%9%A6K+..aF% ]%T[HCN%9*%.567B.%5L9/$e8E% 5LL<iM06jaiH/d9/$e8< iM0[k%Dl6ja6K56K?-5H$,9m@%. -H%5L<8<..$e8+%9*.6K+/ d%@C.aF%]%T[%5L9*LY5@.jY% .F[F%@6K+kPhát hiện virus đa hình với chứ ký ngữ nghĩal Đề tài nghiên cứu gồm những chương sau: 6K1QV]%@R5HN9 6KnQ [F%@%5L9 6KoQ+h%Y58+F%5L9 6KpQ+F%5LUA+I/J9 6KqQ:e%Y9 m8..5675@..=6[e)>.TK$R5N (BF:h%YGYGRi[+Xa.a=+Xa aFai+Xa?+5ReMN5@%F. <aKNWj]%+LBY9 Trang 5 r%5>=s)TKX+TS. Vũ Đình ThuF.<. at(B*F:h%YGYGR6u5R<a-[]%+Lj .5@.9X5R6[vFL.N5@%F58j<8B^ A@%eM$V,9 j)ZuTK5e5L.$N$w5REH.5HA %C]%+LBY..Fs6u.5@.9 j-Y567+de5<<EXa.+$N585@ .Ej567.FK9 j)>.TKx (.H=.3+110n41o Nhómsinh viên thực hiện 1: Lê Quang Long 2: Phạm Văn Đông 3: Lê Tiến Anh Trang 6 Chương 1 TỔNG QUAN VỀ MÃ ĐỘC HẠI 1.1 Giới thiệu về mã độc hại. 1.1.1 Khái niệm mã độc hại. GR5HN.AB%E+X@567ee[P5,+ NFCNy%Ya+z9GR5HN>O.F CN.a567UzE6u?/%9 1.1.2 Lịch sử mã độc hại. +8=<UFFeC++,=+E==$ A`e[=A..U+8E+$LYR5HN s5<.+8H`[C67[...MNK9 GHCCIZER5HNAe[9 012p2{%|124o'12q3}+8@Td%eU> $TEH6KL+,9 012~1+%5X%A)%-FF5@%.E+,9 012~o=HA5NBGh=5R565IJ5X%A@ %Qk&.H6KL+,<8+5H/6KL+,+ $_+Z5Vj$_6K+56.H$TE<l9 %a.+A567`5e<@IZ%9 012~•YLA6u.€.eR UF|)%$}R?5HEH5J@$_RA EB=567ee[P5,++;H5J@o•4:.$-MV 5J.9&N5J@%.<+k•€l9m>,./%G#' !"#)%-F[-9 0 12~3 &=H/%‚5X%A)>Y+FF 9|%.%5<e+.%{%}9GH%+<A €G=[C5H++U|q449444$Tƒe}=.K+H 5C[++,[|}E€€%%C05<95ggE+ ,|C$VY..NiHu58}9 Trang 7 +11i0=$GeeM++,E .FT•9444+9 01221%5L|%}5u5X%A.]%9&N. $eU5VLME<=>U<0+6KLC%9 0122pf;]%'5X%A)%-FH5gB9f. T$+6uZP@HN%<8)+.$HVM?' <fE5@k l9Gyia>FNL.c<,-Nv= f;.veP)%-F%„;•5e1n+ƒX9 0122q%5X%A)%-F+R+FE ….%@]%-@%+9&N%.<8.6F5@%.E9 01222€%$$€>%+,5X%AaU.F6uY <?‚5,wa9cX6567?=<v†UN5H9 0n44o#HN%@[YCcP=%@ T3q.+14j9 0n44p5+-%HeF[ER5HN. #9*[N .L6uaXT?5,wE5F6.cX?+6. 5E<)>Y.+9#a..EN+.c.+ E?AYK.5a<.+U?5H?N9‡*FR5HN s>/FN5+89 1.1.3 Tình hình phát triển mã độc hại trong những năm gần đây. #U05H$eE+R5HN|}n0X5>.-% F%-5+N+VM=6ui+,9c,n0n44~= n4426u5R+FKo4F%6KL+N9 0n414=[$TY5RYU05+8E+ NX@5HN.+8%-aˆˆ|%' ]%T+5HN=7P+8%]%T+U%e58wR5H-a 6uZP}9 GPA%.y`5e.+N)RH5567ZPHR9 a$TY$!5R56CAQˆ2q‰6ui<T 0yTH$OR5H%o+6[N9ˆGHAM% EY5.aFsYM5H0+X@5HN a9€++]%dpE5R-67X@+ Trang 8 N5R0[1o2‰0n4149GH/P6,FE .+N)RHT9 (R$TYVe#=B5RYF567%$L< 1q49444v%X@5HN|}W.Z5X%0n411=0 •4‰[i„0+96e=#<_C1294445Ic$ |Š&}5HN567YFW.=<[~4‰5<./%HF C$5+Y=/$.$Iy-a.$IwR5H9*. N)RHeP.K567+-awR5HN.i[U +8E+5FNa=AR5H5R6[[I6u.9 +6KLR5HN..MN.%8=6s< 6KLN-5KT)z;<5Hh%Y=.N-V$e9%A=+ 6KLMN.%8N0A@%[p06[5>=5< %8-./6KL<T0U>$T=/%A+, 0+N.5guZP/+M-%UFFEL FC9€T>aF567ZP58b+ER5HN.-[ .9+5>p'q0=aFU-%6Yvf5N AM%=6Fj5R?.I.X%9aFU>$T L%5R<+5>n40.@%AdLaF.<L5V 5e9%A=T0U>$TF6ue7[/aF +58NT0>.+NF%]%TK-@%9 #C676ui?%r%C0-=KTGh=e ‹F[-@676uZPA.X%9mgu=<M0 +LMHNaT|$}=ZP+6KL5HN 6HaPF%]%T585+`.T9,LY%r%C.K<@% 6ui-.s.K)%-+@%HN-9%r%C= Š=+&.(g:a.$C5I$I-aN†-9/]%C 6Gh=+Y<CN>A6[p4‰6CAE #%9 #U+8E+N)RH†Na6uC+6KL 5HN9m@%.<8,T5KTQ6ui^6?+.A N)RHK=.5<saNy,5@fK[/+ Me+9Gy+=N)RH]%P-@%.X=.L5HY M=8%$e@.=$TYE6uiNs--9;5<=< 8-_+6KL5HNL567a6u-i7N)R H9 Trang 9 #U+8E+f5FNas.a6u+ ++R5HN[P5,Ee%_0`a6ui9 m8L.o4445FN*$IKO%.+o0n411=R5H N567%@a]%+\[$+w5FN(GR. >C.+R+9I6u5FN5H..567+ jd5e9 1.2 Phân loại mã độc hại. <@%A%,58>NR5HN=6[5>.+>NU. LM>O.E#'%#|*FA% %btaF]%C(„}9#U>Nc,-6K5C9 1.2.1 Theo hình thức lây nhiễm. (L191>NR5HN LAR5HNgnN,QHNXYE58gN.> O=YE?5><8.+‚/F%=+‚M%=+‚6KL US.HN.gN5HY9 mHYJ.5<.6KL5HN.<8567YI.NA F5@%.9 :a5HY|}.15N6KL5y$F %H1 6KL.5<a8U5HY6H6KLa6u F,.5<.$`$%HT<$6[,N6KLE6[5<L 6KL5<[N9 Trang 10 [...]... 35 2.3 Giới thiệu về virus siêu đa hình 2.3.1 Khái niệm và đặc điểm virus siêu đa hình Virus siêu đa hình (super-polymorphic virus) là thế hệ mới của họ virus đa hình Thế hệ virus mới này đã “nâng cấp” khả năng đa hình bằng cách lai tạo và kết hợp nhiều kiểu đa hình khác nhau trong cùng một virus Virus siêu đa hình khi lây nhiễm sẽ tự động biến đổi, lai tạp, hình thành các thế hệ virus F1, F2, F3 Fn,... phát hiện của các phần mềm diệt virus đối với loại virus này càng giảm đi Chính vì thế, virus siêu đa hình có thể qua mặt được hầu hết các phần mềm diệt virus không có cơ chế quét sâu Nếu phần mềm chỉ sử dụng các bộ mẫu nhận diện cố định để tìm các virus đa hình hoặc siêu đa hình thì sẽ không thể tìm đủ các "hình" của virus, dẫn tới diệt không triệt để Không giống như virus đa hình, virus siêu đa hình. .. sử dụng trong virus đa hình, một loại virus nguy hiểm và phổ biến hiện nay Trang 23 Chương 2 GIỚI THIỆU VỀ VIRUS ĐA HÌNH VÀ SIÊU ĐA HÌNH 2.1 Giới thiệu về virus đa hình 2.1.1 Khái niệm virus đa hình Virus đa hình cũng giống như những loại virus khác là một chương trình máy tính có mục đích gây thiệt hại cho máy tính Tuy nhiên virus đa hình có khả năng tự động biến đổi sau mỗi lần lây nhiễm Nó thường... nhau Kết quả là biến thể có chức năng tương tự như virus gốc 2.1.2 Đặc điểm và cấu trúc virus đa hình Virus đa hình đầu tiên xuất hiện vào năm 1990 được viết bơi Mark Washburn được biết đến với tên gọi 1260 Thành phần chính gồm có mã độc hại đã được mã hóa và một đoạn giải mã được hiển thị trong hình 1: Hình 2.1 Thành phần của một virus đa hình Virus đa hình sinh ra những biến thể khác nhau sau mỗi lần... hưởng mỗi khi chương trình được thực thi Program file virus: Gây ảnh hưởng đến các file chương trình như exe/com/sys Hình 1.4 Mô tả virus lây file Polymorphic virus( virut đa hình) : Loại virut này tự thay đổi hình thức của nó, gây khó khăn cho các chương trình anti -virus Virus “Tequilla” là loại virus đa hình đầu tiên xuất hiện năm 1991 Boot Sector virus: Là loại virut đầu tiên trên thế giới được phổ... chắc nhiệm qua mặt phần mềm diệt virus Phần thân của virus siêu đa hình gồm 2 phần như hình 2.3: Hình 2.3: Thành phần của virus siêu đa hình Virus siêu đa hình đơn giản, đầu tiên ra đời vào tháng 12 năm 1998 có tên là Win95/Regswap Với Regswap, nó sử dụng kỹ thuật thay đổi thanh ghi Do đó, những biến thể của Regswap có cùng mã lệnh nhưng thanh ghi sử dụng khác nhau Hình 2.4 cho thấy biến sự thay đổi... 25 2.2 Những kỹ thuật sử dụng trong virus đa hình 2.2.1 Kỹ thuật mã hóa Kỹ thuật mã hóa gần như được sử dụng trong hầu hết virus đa hình hiện nay Mã hóa cơ bản: Cơ bản, đơn giản và hay được sử dụng nhất trong trong kỹ thuật mã hóa của virus đa hình là sử dụng phép toán XOR, AND, SUB với một khóa ngẫu nhiên được tạo ra trong mỗi lần lây nhiễm được lưu trữ dữ liệu của virus hoặc trực tiếp trong các phương... nhiễm Ví dụ: virus Baza, Laroux và một số virus Staog xuất hiện năm 1996 tấn công các file trong hệ điều hành Windows 95, chương trình bảng tính Excel và cả Linux Virus Melisa cũng là một trong những Macro virus nổi tiếng Email virus: Là những virus được phát tán qua thư điện tử Ví dụ virus Melissa được đính kèm trong thư điện tử Nếu người dùng mở file đính kèm Macro được kích hoạt sau đó email virus này... và diệt virus, để quét các file trên thiết bị lưu, quét các file trước khi lưu xuống ổ cứng… Điều này cũng giải thích vì sao đôi khi các phần mềm diệt virus tại PC đưa ra thông báo phát hiện ra virus nhưng không diệt được” khi thấy có dấu hiệu hoạt động của virus trên PC, bởi vì “vật mang virus lại nằm ở máy khác nên không thể thực thi việc xoá đoạn mã độc hại đó Trang 16 Compiled Virus là virus mà... phổ biến là thay đổi điểm đầu vào của ứng dụng bị nhiễm và làm cho nó thành một điểm vào của thân virus Một ví dụ: Trang 33 Hình 2.3 Kỹ thuật che dấu điểm đầu vào Hoạt động của virus này thường dễ bị phát hiện vì nó đã thay đổi điểm đầu vào của mã lệnh do đó nó dễ dàng bị phát hiện bởi những phần mềm diệt virus Ví dụ: // - snip of scanner code - (snip) sections= pPE->FileHeader.NumberOfSections; . ThuF.<. at(B*F:h%YGYGR6u5R<a-[]%+Lj .5@.9X5R6[vFL.N5@%F58j<8B^ A@%eM$V,9 j)ZuTK5e5L.$N$w5REH.5HA %C]%+LBY..Fs6u.5@.9 j-Y567+de5<<EXa.+$N585@ .Ej567.FK9 j)>.TKx (.H=.3+ 11 0n41o Nhómsinh viên thực hiện 1: Lê Quang Long 2: Phạm Văn Đông 3: Lê Tiến Anh Trang 6 Chương 1 TỔNG. &=H/%‚5X%A)>Y+FF 9|%.%5<e+.%{%}9GH%+<A €G=[C5H++U|q449444$Tƒe}=.K+H 5C[++,[|}E€€%%C05<95ggE+ ,|C$VY..NiHu58}9 Trang 7 + 11 i0=$GeeM++,E .FT•9444+9 01221%5L|%}5u5X%A.]%9&N. $eU5VLME<=>U<0+6KLC%9 0122pf;]%'5X%A)%-FH5gB9f. T$+6uZP@HN%<8)+.$HVM?' <fE5@k. 8 N5R0[1o2‰0n4149GH/P6,FE .+N)RHT9 (R$TYVe#=B5RYF567%$L< 1q49444v%X@5HN|}W.Z5X%0n 411= 0 •4‰[i„0+96e=#<_C1294445Ic$ |Š&}5HN567YFW.=<[~4‰5<./%HF C$5+Y=/$.$Iy-a.$IwR5H9*. N)RHeP.K567+-awR5HN.i[U +8E+5FNa=AR5H5R6[[I6u.9 +6KLR5HN..MN.%8=6s< 6KLN-5KT)z;<5Hh%Y=.N-V$e9%A=+ 6KLMN.%8N0A@%[p06[5>=5< %8-./6KL<T0U>$T=/%A+, 0+N.5guZP/+M-%UFFEL FC9€T>aF567ZP58b+ER5HN.-[ .9+5>p'q0=aFU-%6Yvf5N AM%=6Fj5R?.I.X%9aFU>$T L%5R<+5>n40.@%AdLaF.<L5V 5e9%A=T0U>$TF6ue7[/aF +58NT0>.+NF%]%TK-@%9 #C676ui?%r%C0-=KTGh=e ‹F[-@676uZPA.X%9mgu=<M0 +LMHNaT|$}=ZP+6KL5HN 6HaPF%]%T585+`.T9,LY%r%C.K<@% 6ui-.s.K)%-+@%HN-9%r%C= Š=+&.(g:a.$C5I$I-aN†-9/]%C 6Gh=+Y<CN>A6[p4‰6CAE #%9 #U+8E+N)RH†Na6uC+6KL 5HN9m@%.<8,T5KTQ6ui^6?+.A N)RHK=.5<saNy,5@fK[/+ Me+9Gy+=N)RH]%P-@%.X=.L5HY M=8%$e@.=$TYE6uiNs--9;5<=< 8-_+6KL5HNL567a6u-i7N)R H9 Trang