Bài giảng an toàn và bảo mật hệ thống thông tin chuyên đề 4 phần mềm mã độc

1/28/2016 AN TOÀN THÔNG TIN CHO CÁN BỘ KỸ THUẬT Học viện Công nghệ Bưu Viễn thông CHUYÊN ĐỀ PHẦN MỀM MÃ ĐỘC 1/28/2016 TỔNG QUAN NỘI DUNG Tổng quan phần mềm mã độc Giải pháp tổng thể phòng chống phần mềm mã độc Phương pháp phát loại trừ phần mềm mã độc Tổng quan phần mềm mã độc 1/28/2016 Tổng quan phần mềm mã độc Khái quát phần mềm mã độc Phân loại phần mềm mã độc tác hại phần mềm mã độc 1.1 Khái quát phần mềm mã độc  Để công/thâm nhập mạng, hacker thường sử dụng ‘trợ thủ’ virus, worm, trojan horse, backdoor…  Mã độc (malicious code): tập mã thực thi tự chủ, không đòi hỏi can thiệp hacker  Các bước công/thâm nhập mạng:  Hacker thiết kế mã độc  Hacker gửi mã độc đến máy đích  Mã độc đánh cắp liệu máy đích, gửi cho hacker  Hacker công hệ thống đích 1/28/2016 1.2 Phân loại phần mềm mã độc – Tác hại  Phân loại mã độc theo đặc trưng thi hành:  Lệ thuộc ứng dụng chủ (need to host)  Thực thi độc lập (standalone)  Phân loại mã độc theo khả tự sao:  Tự  Không tự 1/28/2016 Cửa sập (Trap door)  “Cửa vào” bí mật chương trình  Cho phép người biết “cửa vào” truy cập, bỏ qua thủ tục an ninh thông thường  Đã sử dụng phổ biến nhà phát triển  Là mối đe dọa chương trình, cho phép khai thác kẻ công  Rất khó để chặn HĐH  Đòi hỏi phát triển & cập nhật phần mềm tốt Bom hẹn (Logic bomb)  Mã nhúng chương trình hợp lệ  Đoạn mã tự kích hoạt thỏa điều kiện hẹn trước (ngày tháng, thời gian…)  Trước thoát khỏi hệ thống, hacker thường cài lại bom hẹn nhằm xóa chứng cứ, dấu vết thâm nhập  Khi kích hoạt, thường gây thiệt hại cho hệ thống: sửa đổi / xóa file / đĩa  Kỹ thuật bom hẹn virus máy tính khai thác phổ biến: virus Friday, Chernobyl (24/04), Michelangelo (06/03), Valentine 10 1/28/2016 Ngựa thành Troa (Trojan)  Chương trình có ẩn tác dụng phụ, thường bề hấp dẫn trò chơi, nâng cấp phần mềm  Khi chạy thực số tác vụ bổ sung:  Cho phép kẻ công truy cập gián tiếp  Thường sử dụng để truyền bá virus/sâu cài đặt backdoor  Hoặc đơn giản để phá hủy liệu 11 Ngựa thành Troa cổng  Mỗi Ngựa thành Troa sử dụng cổng Port(s) làm dấu hiệu nhận dạng liên lạc với hacker  Quét cổng (0-65535) máy đích để thu thập thông tin: danh sách cổng chuẩn, dịch vụ sử dụng, hệ điều hành sử dụng, ứng dụng sử dụng, tình trạng an ninh hệ thống…  Ví dụ: Nếu cổng 80 mở, máy tính kết nối vào dịch vụ HTTP 12 1/28/2016 Ngựa thành Troa - hacker  Báo cáo tình hình, thông tin hệ thống cho hacker  Nhận nhiệm vụ từ hacker thông qua cổng trjPort(s)  Các trojan tiêu biểu: Back Orifice, NetBus, QAZ 13 Virus máy tính  Đoạn mã thực thi ghép vào chương trình chủ giành quyền điều khiển chương trình chủ thực thi  Virus thiết kế nhằm nhân bản, tránh né phát hiện, phá hỏng/thay đổi liệu, hiển thị thông điệp làm cho hệ điều hành hoạt động sai lệch 14 1/28/2016 Hoạt động virus  Các pha:  Không hoạt động - chờ đợi kiện kích hoạt  Lan truyền - chép tới chương trình/đĩa  Kích hoạt – theo kiện để thực thi payload  Thực thi – theo payload  Chi tiết phụ thuộc máy/HĐH cụ thể  Khai thác đặc trưng/điểm yếu 15 Cấu trúc virus program V := {goto main; 1234567; subroutine infect-executable := {loop: file := get-random-executable-file; if (first-line-of-file = 1234567) then goto loop else prepend V to file; } subroutine do-damage := {whatever damage is to be done} subroutine trigger-pulled := {return true if some condition holds} main: main-program := {infect-executable; if trigger-pulled then do-damage; goto next;} next: } 16 1/28/2016 Các kiểu virus  Có thể phân loại theo cách công chúng  Virus ký sinh  Virus thường trú nhớ  Virus boot sector  Lén lút  Virus đa hình  Virus macro 17 Virus ký sinh  Loại virus ký sinh vào tập tin thi hành (com, exe, pif, scr, dll ) hệ thống đích  Ứng dụng chủ (host application) bị nhiễm virus vào đầu file, file cuối file  Khi hệ thống thi hành ứng dụng chủ nhiễm:  Pay-load nắm quyền sử dụng CPU  Vir-code thực thi thủ tục phá hoại, sử dụng liệu Vir-data  Trả quyền sử dụng CPU cho ứng dụng chủ 18 1/28/2016 Boot virus  Boot-virus: loại virus nhiễm vào mẫu tin khởi động (boot record - 512 byte) tổ chức đĩa  Multi-partite: loại virus tổ hợp tính virus ký sinh boot virus, nhiễm file lẫn boot sector Đĩa cứng có master boot record side 0, track 0, sector partition boot record sector phân khu luận lý Đĩa mềm có boot record side 0, track 0, sector 19 Macro virus  Đính vào tập tin liệu có sử dụng macro, data virus tự động thực tập liệu nhiễm mở ứng dụng chủ  Các data virus quen thuộc:  Microsoft Word Document: doc macro virus  Microsoft Excel Worksheet: xls macro virus  Microsoft Power Point: ppt macro virus  Adobe Reader: pdf script virus  Visual Basic: vb script virus  Java: java script virus  Startup file: bat virus… 20 10 1/28/2016 2.4 Loại bỏ nguy  Sử dụng phần mềm diệt virus  Sử dụng công cụ phát loại bỏ phần mềm mã độc  Hệ thống IPS  Tường lửa định tuyến  Cấu hình ứng dụng 45 Sử dụng phần mềm diệt virus  Các phần mềm diệt virus phương pháp phổ biến để đảm bảo loại bỏ nguy từ phần mềm mã độc  Các tính bao gồm  Quét thành phần quan trọng hệ thống boot sector, file khởi động  Theo dõi hệ thống thời gian thực  Theo dõi hành vi phần mềm phổ dụng Web, email, chat  Quét file để kiểm tra virus phần mềm mã độc phổ biến  Thực hành động loại bỏ, cô lập, ngăn ngừa phần mềm mã độc  Các công cụ: Windows Defender, Kaspersky AV, Avira, … 46 23 1/28/2016 Sử dụng công cụ phát loại bỏ phần mềm mã độc  Các công cụ xây dựng nhằm vào loại mã độc cụ thể mà phần mềm diệt virus không phát loại trừ Spyware, rootkit,… 47 Hệ thống IPS  Các hệ thống IPS sử dụng chữ ký loại công với phân tích mạng giao thức để phát hành vi độc hại  Các hệ thống IPS giúp ngăn chặn phần mềm mã độc thông qua việc phát chặn mối đe dọa chưa biết  IPS giúp bảo vệ thành phần không phần mềm diệt virus bảo vệ DNS  IPS giúp chặn lưu lượng lớn phát sinh từ phần mềm mã độc (ví dụ, worm) 48 24 1/28/2016 Tường lửa định tuyến  Tường lửa dùng để bảo vệ mạng hệ thống khỏi mối đe dọa từ bên  Tường lửa giúp bảo vệ mục tiêu không phần mềm diệt virus IPS theo dõi bảo vệ  Tường lửa giúp chặn phần mềm mã độc với địa IP cụ thể, ví dụ worm muốn download Trojan hệ thống  Các tường lửa host ngăn phần mềm mã độc phát tán, ví dụ ngăn chặn việc gửi nhiều email đồng thời worm hay virus tạo 49 Tường lửa định tuyến (tiếp)  Bộ định tuyến thường đứng trước tường lửa để thực hoạt động kết nối Internet  Bộ định tuyến thực kiểm tra đơn giản cho hoạt động mạng, lọc đầu vào, đầu ra, giúp ngăn chặn vài phần mềm mã độc  Hoặc cấu hình để ngăn chặn số hành vi phát tán worm qua dịch vụ mạng cụ thể 50 25 1/28/2016 Cấu hình ứng dụng  Nhiều phần mềm mã độc sử dụng tính ứng dụng phổ biến email client, trình duyệt Web, hay soạn thảo văn để lây nhiễm phát tán  Người dùng cần vô hiệu hóa tính không cần thiết để hạn chế khả phát tán phần mềm mã độc  Một số hành động như:  Chặn file đính kèm đáng ngờ từ email  Lọc spam  Lọc nội dung Web  Hạn chế Web cookie  Chặn Web pop-up  … 51 Phương pháp phát loại trừ phần mềm mã độc 26 1/28/2016 Phương pháp phát loại trừ phần mềm mã độc Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc Phương pháp loại trừ phần mềm mã độc 53 3.1 Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc Quét cổng mở đáng ngờ Quét tiến trình chạy đáng ngờ Quét registry đáng ngờ Quét trình điều khiển thiết bị đáng ngờ Quét dịch vụ chạy hệ thống đáng ngờ 54 27 1/28/2016 3.1 Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc (tiếp) Quét chương trình khởi động đáng ngờ Quét tập tin thư mục đáng ngờ Quét hoạt động mạng đáng ngờ Quét file hệ điều hành có thay đổi đáng ngờ 10 Quét trojan chương trình phát trojan 11 Quét virus chương trình diệt virus 55 Quét cổng đáng ngờ  Trojan sử dụng cổng rảnh rỗi để kẻ công trì kết nối  Cần kiểm tra kết nối đến địa IP đáng ngờ  Công cụ: netstat, currport, TCPView 56 28 1/28/2016 Quét tiến trình chạy đáng ngờ  Trojan ngụy trang thân dịch vụ giấu tiến trình hoạt động  Trojan đưa mã vào tiến trình khác để sinh tiến trình nhìn thấy  Sử dụng công cụ giám sát tiến trình để phát hiện: Tast manager, What is running? 57 Quét registry đáng ngờ  Windows thực tự động chạy lệnh số mục registry khởi động  Quét giá trị registry cho mục đáng ngờ liên quan đến Trojan chúng chèn liệu để dẫn thực hoạt động  Sử dụng công cụ quét registry: regshot 58 29 1/28/2016 Quét trình điều khiển thiết bị đáng ngờ  Trojan cài đặt với trình điều khiển thiết bị tải từ nguồn không tin cậy  Quét xác minh trình điều khiển đáng ngờ xem có phải hãng không  Công cụ: Driverview, Driverscanner 59 Quét dịch vụ đáng ngờ chạy hệ thống  Trojan sinh dịch vụ Windows cho phép kẻ công truy cập điều khiển trái phép hệ thống từ xa  Thông thường dịch vụ bị đổi tên giống dịch vụ bình thường hệ thống  Sử dụng kỹ thuật rootkit để khóa registry để ẩn tiến trình độc hại  Giám sát phát công cụ: SrvMan, Process Hacker 60 30 1/28/2016 Các hoạt động quét khác  Quét chương trình khởi động đáng ngờ  Với công cụ Autorun, Starter  Quét tập tin thư mục đáng ngờ  Các công cụ kiểm tra tính toàn vẹn file thư mục Tripwire, Sigverif, WinMD5  Quét hoạt động mạng đáng ngờ  Theo dõi hoạt động mạng đến địa đáng ngờ  Theo dõi lưu lượng mạng đáng ngờ  Các công cụ: Capsa Network Analyzer, 61 3.2 Phương pháp xử lý, loại trừ phần mềm mã độc  Các pha xử lý phần mềm mã độc 62 31 1/28/2016 Chuẩn bị  Các tổ chức nên thực biện pháp chuẩn bị để đảm bảo họ có khả ứng phó hiệu với cố phần mềm độc hại Gồm công việc sau:  Phát triển sách xử lý cố phần mềm độc hại cụ thể thủ tục xác định vai trò trách nhiệm tất cá nhân tập thể tham gia vào việc xử lý cố phần mềm độc hại  Thường xuyên tổ chức đào tạo thực hành vấn đề liên quan đến phần mềm độc hại  Xây dựng trì kỹ liên quan đến việc xử lý phần mềm độc hại, hiểu biết phương pháp lây nhiễm phần mềm độc hại công cụ phát phần mềm độc hại 63 Chuẩn bị (tiếp)  Tạo điều kiện thông tin liên lạc phối hợp cách định trước vài cá nhân hay nhóm nhỏ chịu trách nhiệm điều phối phản ứng tổ chức cố phần mềm độc hại  Thành lập số chế truyền thông để phối hợp xử lý cố, cán kỹ thuật, quản lý, người dùng trì kiện bất lợi  Thiết lập điểm liên lạc để trả lời câu hỏi tính hợp pháp cảnh báo phần mềm độc hại  Chuẩn bị công cụ phần cứng phần mềm cần thiết để hỗ trợ việc xử lý cố phần mềm độc hại 64 32 1/28/2016 Phát phân tích  Web server bị đánh sập  Người dùng phàn nàn việc chậm truy cập vào máy chủ Internet, cạn kiệt tài nguyên hệ thống, truy cập đĩa chậm, hệ thống khởi động chậm  Phần mềm diệt virus phát host bị nhiễm sâu tạo cảnh báo  Quản trị viên hệ thống nhìn thấy tên tập tin với ký tự khác thường  Host ghi lại thay đổi cấu hình kiểm tra nhật ký 65 Phát phân tích (tiếp)  Bất người dùng cố gắng chạy trình duyệt Web, máy tính xách tay người dùng tự khởi động lại  Người quản trị e-mail thấy số lượng lớn e-mail bị trả với nội dung đáng ngờ  Các kiểm soát an toàn phần mềm chống virus tường lửa cá nhân bị vô hiệu hóa host  Quản trị mạng thấy có độ lệch bất thường từ lưu lượng mạng điển hình 66 33 1/28/2016 Phát phân tích (tiếp)  Giám sát phần mềm có hại công cụ cảnh báo an toàn (ví dụ, phần mềm chống virus, IPS) để phát tiền thân cố phần mềm độc hại, cung cấp cho tổ chức hội ngăn chặn cố cách thay đổi biện pháp an ninh  Xem xét liệu từ nguồn dẫn cố phần mềm độc hại, bao gồm báo cáo người dùng, báo cáo nhân viên IT, công cụ bảo mật (ví dụ, phần mềm chống virus, IDS), tương quan liệu nguồn để xác định hoạt động có hại liên quan 67 Phát phân tích (tiếp)  Phân tích cố phần mềm độc hại nghi ngờ xác nhận phần mềm độc hại nguyên nhân vụ việc, báo hoàn toàn tin cậy Sử dụng nguồn liệu thứ cấp cần để xem xét hoạt động thu thập thêm thông tin  Xây dựng công cụ tin cậy cập nhật thường xuyên để xác định phần mềm độc hại, danh sách tiến trình chạy thực hoạt động phân tích khác  Thiết lập tập tiêu chí ưu tiên để xác định mức độ đáp ứng thích hợp với loại cố liên quan đến phần mềm độc hại khác 68 34 1/28/2016 Ngăn chặn (Containment)  Có hai thành phần chính: ngăn chặn lây lan phần mềm độc hại ngăn chặn thiệt hại thêm cho hệ thống  Người sử dụng tham gia Việc cung cấp cho người dùng hướng dẫn cách xác định lây nhiễm biện pháp nhận biết máy bị nhiễm hữu ích; Tuy nhiên, tổ chức không phụ thuộc nhiều vào người dùng để xác định cố phần mềm độc hại  Tự động phát Các công nghệ tự động, phần mềm chống virus, lọc e-mail, phần mềm phòng chống xâm nhập, thường chứa cố phần mềm độc hại Trong cố lớn, phần mềm độc hại xác định cập nhật phần mềm chống virus, tổ chức cần phải chuẩn bị để sử dụng công cụ bảo mật khác 69 Ngăn chặn (Containment)  Vô hiệu hóa dịch vụ Các tổ chức nên chuẩn bị để đóng khóa dịch vụ sử dụng phần mềm độc hại có chứa cố cần phải hiểu hậu việc làm Đồng thời cần chuẩn bị để đối phó với vấn đề gây tổ chức khác họ vô hiệu hóa dịch vụ họ để ứng phó với cố phần mềm độc hại  Vô hiệu hóa kết nối Các tổ chức nên chuẩn bị để đặt hạn chế bổ sung kết nối mạng chứa cố phần mềm độc hại, nhận ảnh hưởng mà hạn chế có hoạt động tổ chức 70 35 1/28/2016 Loại bỏ (Eradication)  Mục tiêu xóa bỏ phần mềm mã độc khỏi hệ thống bị nhiễm  Chuẩn bị biện pháp, kế hoạch loại bỏ khoảng thời gian hàng tuần với biện pháp khôi phục liệu, hệ thống hoạt động  Sử dụng nhiều biện pháp đồng thời cho việc xóa bỏ  Chuẩn bị cấu hình lại hệ thống: hệ điều hành, ứng dụng khôi phục liệu từ nguồn lưu trữ 71 Và khôi phục  Hai khía cạnh việc khôi phục từ cố phần mềm độc hại khôi phục chức liệu hệ thống bị lây nhiễm; loại bỏ biện pháp ngăn chặn tạm thời  Các tổ chức nên xem xét kịch xấu xác định phương pháp khôi phục nên thực  Xác định loại bỏ biện pháp ngăn chặn tạm thời, chẳng hạn dịch vụ kết nối bị đình chỉ, thường định khó khăn cố phần mềm độc hại lớn  Đội ứng phó cố nên cố gắng trì biện pháp ngăn chặn chỗ ước tính hệ thống bị lây nhiễm hệ thống dễ bị lây nhiễm đủ thấp mà cố không nghiêm trọng 72 36 1/28/2016 Hoạt động sau cố  Do việc xử lý cố phần mềm độc hại tốn nên việc tổ chức xem xét học cố phần mềm độc hại lớn đặc biệt quan trọng  Nắm học sau việc xử lý cố phần mềm độc hại giúp cải thiện khả xử lý cố phòng chống phần mềm độc hại  Thay đổi sách bảo mật  Thay đổi cấu hình phần mềm  Thay đổi việc phát phần mềm độc hại triển khai phần mềm phòng chống 73 37 [...]... cá nhân và tập thể có thể được tham gia vào việc xử lý sự cố phần mềm độc hại  Thường xuyên tổ chức đào tạo và thực hành về các vấn đề liên quan đến phần mềm độc hại  Xây dựng và duy trì các kỹ năng liên quan đến việc xử lý phần mềm độc hại, như hiểu biết về phương pháp lây nhiễm phần mềm độc hại và các công cụ phát hiện phần mềm độc hại 63 Chuẩn bị (tiếp)  Tạo điều kiện thông tin liên lạc và phối... và các giao thức để phát hiện ra các hành vi độc hại  Các hệ thống IPS giúp ngăn chặn phần mềm mã độc thông qua việc phát hiện và chặn các mối đe dọa chưa biết  IPS giúp bảo vệ các thành phần không được phần mềm diệt virus bảo vệ như DNS  IPS giúp chặn các lưu lượng lớn phát sinh từ phần mềm mã độc (ví dụ, worm) 48 24 1/28/2016 Tường lửa và bộ định tuyến  Tường lửa được dùng để bảo vệ mạng và hệ. .. phát tán của phần mềm mã độc  Một số hành động như:  Chặn các file đính kèm đáng ngờ từ email  Lọc spam  Lọc nội dung Web  Hạn chế Web cookie  Chặn Web pop-up  … 51 3 Phương pháp phát hiện và loại trừ phần mềm mã độc 26 1/28/2016 Phương pháp phát hiện và loại trừ phần mềm mã độc 1 Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc 2 Phương pháp loại trừ phần mềm mã độc 53 3.1 Phương... dụng 45 Sử dụng phần mềm diệt virus  Các phần mềm diệt virus là phương pháp phổ biến nhất để đảm bảo loại bỏ các nguy cơ từ phần mềm mã độc  Các tính năng bao gồm  Quét các thành phần quan trọng của hệ thống như boot sector, các file khởi động  Theo dõi hệ thống trong thời gian thực  Theo dõi hành vi của các phần mềm phổ dụng như Web, email, chat  Quét các file để kiểm tra virus và các phần mềm mã. .. mềm mã độc phổ biến  Thực hiện các hành động loại bỏ, cô lập, ngăn ngừa phần mềm mã độc  Các công cụ: Windows Defender, Kaspersky AV, Avira, … 46 23 1/28/2016 Sử dụng công cụ phát hiện và loại bỏ phần mềm mã độc  Các công cụ này được xây dựng nhằm vào một hoặc một số loại mã độc cụ thể mà phần mềm diệt virus không phát hiện và loại trừ được như các Spyware, rootkit,… 47 Hệ thống IPS  Các hệ thống. .. chặn phần mềm mã độc do chúng cần các quyền quản trị hệ thống  Các phương pháp bảo vệ hệ thống khác     Loại bỏ các dịch vụ không cần thiết Bỏ các chia sẻ file Bỏ các tài khoản mặc định Xác thực trước khi truy cập dịch vụ, tài nguyên 44 22 1/28/2016 2 .4 Loại bỏ các nguy cơ  Sử dụng phần mềm diệt virus  Sử dụng các công cụ phát hiện và loại bỏ phần mềm mã độc  Hệ thống IPS  Tường lửa và bộ định... nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc 1 Quét các cổng mở đáng ngờ 2 Quét các tiến trình chạy đáng ngờ 3 Quét các registry đáng ngờ 4 Quét các trình điều khiển thiết bị đáng ngờ 5 Quét các dịch vụ đang chạy trên hệ thống đáng ngờ 54 27 1/28/2016 3.1 Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc (tiếp) 6 Quét các chương trình khởi động đáng ngờ 7 Quét tập tin và thư mục... hệ thống khỏi các mối đe dọa từ bên ngoài  Tường lửa giúp bảo vệ các mục tiêu không được phần mềm diệt virus và IPS theo dõi bảo vệ  Tường lửa giúp chặn các phần mềm mã độc với các địa chỉ IP cụ thể, ví dụ worm muốn download các Trojan về hệ thống  Các tường lửa trên host có thể ngăn phần mềm mã độc phát tán, ví dụ ngăn chặn việc gửi nhiều email đồng thời do worm hay virus tạo ra 49 Tường lửa và. .. công cụ bảo mật (ví dụ, phần mềm chống virus, IDS), và tương quan dữ liệu giữa các nguồn để xác định hoạt động có hại liên quan 67 Phát hiện và phân tích (tiếp)  Phân tích sự cố phần mềm độc hại nghi ngờ và xác nhận phần mềm độc hại là nguyên nhân của từng vụ việc, vì không có chỉ báo nào là hoàn toàn tin cậy Sử dụng nguồn dữ liệu thứ cấp khi cần để xem xét các hoạt động hoặc thu thập thêm thông tin ... phần cứng và phần mềm cần thiết để hỗ trợ trong việc xử lý sự cố phần mềm độc hại 64 32 1/28/2016 Phát hiện và phân tích  Web server bị đánh sập  Người dùng phàn nàn về việc chậm truy cập vào máy chủ trên Internet, cạn kiệt tài nguyên hệ thống, truy cập đĩa chậm, hoặc hệ thống khởi động chậm  Phần mềm diệt virus phát hiện một host bị nhiễm sâu và tạo ra một cảnh báo  Quản trị viên hệ thống nhìn ... TỔNG QUAN NỘI DUNG Tổng quan phần mềm mã độc Giải pháp tổng thể phòng chống phần mềm mã độc Phương pháp phát loại trừ phần mềm mã độc Tổng quan phần mềm mã độc 1/28/2016 Tổng quan phần mềm mã độc. .. Khái quát phần mềm mã độc Phân loại phần mềm mã độc tác hại phần mềm mã độc 1.1 Khái quát phần mềm mã độc  Để công/thâm nhập mạng, hacker thường sử dụng ‘trợ thủ’ virus, worm, trojan horse,... độc 26 1/28/2016 Phương pháp phát loại trừ phần mềm mã độc Phương pháp nhận biết hệ thống máy tính bị nhiễm phần mềm mã độc Phương pháp loại trừ phần mềm mã độc 53 3.1 Phương pháp nhận biết hệ