Nghiên cứu cơ chế lây nhiễm và cách phòng chống malware trong máy tính (tt)

1 HỌC VIỆN CƠNG NGHỆ BƯU CHÍNH VIỄN THƠNG ĐẶNG ĐỨC DŨNG NGHIÊN CỨU CƠ CHẾ LÂY NHIỄM VÀ CÁCH PHỊNG CHỐNG MAILWARE TRONG MÁY TÍNH Chun ngành: Khoa học máy tính Mã số: 60.48.01 Người hướng dẫn khoa học: TS HỒNG XN DẬU TĨM TẮT LUẬN VĂN THẠC SĨ HÀ NỘI – 2012 MỞ ĐẦU Đã từ lâu, kèm với đời phát triển mạnh mẽ phần mềm máy tính đem lại lợi ích to lớn cho người sử dụng xuất ngày nhiều chương trình độc hại gây hỏng hóc hệ thống máy tính phần mềm có ích Các chương trình hay phần mềm độc hại (thường gọi Malware tiếng Anh) xâm nhập hệ thống máy tính người dùng nhiều cách qua email hay trao đổi file sử dụng thẻ nhớ USB Có nhiều loại Malware khác tác hại chúng khác nhau, từ mức đơn giản in thông báo trêu tức người dùng đến mức tinh vi phá hoại file hệ thống ăn cắp liệu quan trọng Thông thường, người dùng nhận biết xuất Malware chúng gây hỏng hóc cho hệ thống máy tính phần mềm ứng dụng Mặc dù Malware máy tính xuất từ lâu giới nước, việc phòng, chống khắc phục hậu Malware máy tính gây vấn đề nan giải Đó phần nhận thức chưa người dùng mức độ nghiêm trọng Malware máy tính Hơn nữa, số lượng loại Malware xuất ngày nhiều, loại Malware có đặc thù riêng, cách hoạt động riêng cách phá hoại riêng, khơng cập nhật thường xun có giải pháp phịng chống tích cực hậu khơn lường Từ phân tích thấy, giải pháp hiệu để hạn chế đến tối thiểu thiệt hại Malware gây tích cực phịng ngừa sở có hiểu biết sâu rộng loại Malware chế lây nhiễm chúng Đây mục đích đề tài “Nghiên cứu chế lây nhiễm cách phòng chống Malware máy tính” luận văn, mà trọng tâm phần mềm độc hại Virus, Worm Trojan Nội dung luận văn bao gồm bốn chương:  Chương 1: Giới thiệu tổng quan Malware máy tính, đưa định nghĩa, cách phân loại lược sử loại Malware máy tính 4  Chương 2: Nghiên cứu hình thức lây nhiễm, đối tượng lây nhiễm chế lây nhiễm Virus, Worm Trojan máy tính  Chương 3: Chỉ tác hại Virus, Worm, Trojan gây cho máy tính, đồng thời cung cấp phương pháp phịng chống ngăn chặn tác hại Virus, Worm Trojan  Chương 4: Đưa chương trình mẫu minh họa Virus (mã độc hại kèm theo chương trình diệt) 5 CHƯƠNG – TỔNG QUAN VỀ MALWARE MÁY TÍNH Chương giới thiệu tổng quan loại Malware máy tính, đưa khái niệm Malware máy tính, cách phân loại Malware máy tính theo NIST Peter Szor, trình hình thành phát triển Malware từ trước đến 1.1 Định nghĩa phân loại Malware máy tính 1.1.1 Định nghĩa Phần mềm độc hại (Malware) chương trình (program) chèn cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính tồn vẹn tính sẵn sàng hệ thống 1.1.2 Phân loại Luận văn trình bày hai phương pháp phân loại phần mềm độc hại: phân loại phần mềm độc hại NIST [5] phân loại phần mềm độc hại Peter Szor [8] 1.1.2.1 Phân loại NIST 1.1.2.2 Phân loại Peter Szor 1.2 Lược sử Malware máy tính 1.3 Kết chương Thơng qua nội dung chương 1, luận văn đề cập đến kiến thức mã độc hại máy tính, cung cấp cho người sử dụng máy tính hiểu biết chung loại mã độc hại Chương cách phân biệt loại mã độc hại máy tính, tiểu sử hậu mà loại mã độc hại mang lại cho người sử dụng máy tính qua thời kỳ Từ sở này, luận văn nghiên cứu cách thức hoạt động chúng phần 7 CHƯƠNG – NGHIÊN CỨU CƠ CHẾ LÂY NHIỄM CỦA MALWARE MÁY TÍNH Chương đề cập đến phương thức lây nhiễm Malware vào máy tính, đối tượng hệ thống máy tính có khả bị Malware công chế hoạt động đặc thù loại Malware máy tính 2.1 Các hình thức đối tượng lây nhiễm Malware máy tính 2.1.1 Hình thức lây nhiễm 2.1.1.1 Malware lây nhiễm theo cách cổ điển 2.1.1.2 Malware lây nhiễm qua thư điện tử 2.1.2 Đối tượng lây nhiễm Các tập tin hệ điều hành Windows mang đuôi mở rộng sau có nhiều khả bị Malware cơng:  bat: Microsoft Batch File (tệp xử lý theo lô)  chm: Compressed HTML Help File (tệp tài liệu dạng nén HTML)  cmd: Command file for Windows NT (tệp thực thi Windows NT)  com: Command file (program) (tệp thực thi) 8  cpl: Control Panel extension (tệp Control Panel)  doc: Microsoft Word (tệp chương trình Microsoft Word)  exe: Executable File (tệp thực thi)  hlp: Help file (tệp nội dung trợ giúp người dùng)  hta: HTML Application (ứng dụng HTML)  js: JavaScript File (tệp JavaScript)  jse: JavaScript Encoded Script File (tệp mã hóa JavaScript)  lnk: Shortcut File (tệp đường dẫn)  msi: Microsoft Installer File (tệp cài đặt)  pif: Program Information File (tệp thơng tin chương trình)  reg: Registry File  scr: Screen Saver (Portable Executable File)  sct: Windows Script Component  shb: Document Shortcut File  shs: Shell Srap Object  vb: Visual Basic File  vbe: Visual Basic Encoded Script File 9  vbs: Visual Basic File  wsc: Windows Script Component  wsf: Windows Script File  wsh: Windows Script Host File  {*}: Class ID (CLSID) File Extensions 2.2 Các biến thể Malware máy tính 2.3 Các chế lây nhiễm Malware máy tính 2.3.1 Virus 2.3.1.1 Định nghĩa Virus loại mã độc hại có khả tự nhân lây nhiễm vào file, chương trình máy tính 2.3.1.2 Phân loại 2.3.1.3 Tính chất 2.3.1.4 Các công nghệ Virus 2.3.1.5 Cách thức làm việc Virus Dựa hành vi, Virus chia thành loại: Nonresident viruses Resident viruses Nonresident viruses tìm kiếm máy chủ bị nhiễm lây nhiễm sang mục tiêu cuối chuyển điều 10 khiển tới chương trình ứng dụng mà chúng lây nhiễm Resident viruses khơng tìm kiếm máy chủ mà thay vào đó, chúng tải vào nhớ để thực thi kiểm sốt chương trình chủ Virus hoạt động chế độ lây nhiễm vào máy chủ tập tin truy cập chương trình hệ điều hành máy tính khác Nonsident viruses bao gồm mơ-đun tìm kiếm mơ-đun nhân Các mơ-đun tìm kiếm chịu trách nhiệm cho việc tìm kiếm tập tin để lây nhiễm Với tập tin thực thi mà mơ-đun tìm kiếm phát hiện, gọi tới mô-đun nhân để lây nhiễm vào tệp tin Resident viruses gồm mô-đun nhân hoạt động tương tự mô-đun nhân Nonsident viruses Tuy nhiên, mô-đun nhân không gọi mơ-đun tìm kiếm Virus tải mơ-đun nhân vào nhớ kích hoạt mô-đun thực thi thời điểm hệ điều hành thực hoạt động định 11 2.3.2 Worm 2.3.2.1 Định nghĩa Là chương trình có khả tự nhân bản, tự tìm cách lan truyền qua hệ thống mạng (thường qua hệ thống thư điện tử) 2.3.2.2 Phân loại 2.3.2.3 Cách thức làm việc Worm Yếu tố ban đầu Worm đoạn mã độc hại có vai trị cơng cụ xâm nhập lỗ hổng bảo mật nằm máy tính khai thác chúng Worm truyền thông qua lỗ hổng Một đoạn mã độc hại lây nhiễm vào máy, Worm sử dụng công cụ thiết kế để dị tìm, phát máy tính khác kết nối vào mạng Từ đó, qt máy tính mạng để xác định vị trí lỗ hổng, sau Worm sử dụng cơng cụ xâm nhập để truy cập vào máy tính 2.3.3 Trojan 2.3.3.1 Định nghĩa Trojan chương trình nguy hiểm thường diện mạo chương trình hữu ích Trojan không 12 phát tán cách làm cho file khác bị nhiễm không tự nhân 2.3.3.2 Phân loại 2.3.3.3 Cách thức làm việc Trojan Trojan thường gồm hai thành phần client server, máy tính người sử dụng bị lây nhiễm Trojan chúng biến thành server cổng bị mở ra, chúng dùng client để kết nối tới IP nạn nhân Server ẩn nhớ tạo nên thay đổi hệ thống Trojan tạo thêm đường khởi động vào registry file autoexec.bat, win.ini file hệ thống khác, mà server tự khởi động Windows làm việc phiên 2.4 Kết chương Qua chương này, thấy Malware có nhiều đường để xâm nhập vào máy tính người sử dụng, chúng lây nhiễm tập tin hệ điều hành Như vậy, máy tính có nhiều nguy bị cơng từ Malware Mỗi loại Malware có đặc điểm riêng, công nghệ riêng, chế hoạt động đặc thù 13 Dựa vào đặc tính riêng biệt loại Malware dấu hiệu nhận biết loại Malware chúng xâm nhập vào máy tính mà người sử dụng áp dụng biện pháp phòng chống ngăn chặn kịp thời 14 CHƯƠNG – TÁC HẠI VÀ CÁC PHƯƠNG PHÁP PHÒNG CHỐNG MALWARE MÁY TÍNH Chương hậu mà Malware máy tính gây cho người sử dụng, đồng thời cung cấp biện pháp phòng chống Malware cách hiệu 3.1 Các tác hại Malware máy tính  Tiêu tốn tài nguyên hệ thống  Phá hủy liệu  Đánh cắp liệu  Mã hóa liệu tống tiền  Phá hủy hệ thống  Gây khó chịu khác cho người dùng 3.2 Các phương pháp phòng chống Malware máy tính 3.2.1 Phương pháp phịng chống Virus 3.2.2 Phương pháp phòng chống Worm 3.2.3 Phương pháp phòng chống Trojan 3.2.4 Phương pháp tổng hợp phòng chống loại Malware 3.2.4.1 Sử dụng phần mềm diệt Virus 15 3.2.4.2 Sử dụng tường lửa 3.2.4.3 Cập nhật sửa lỗi hệ điều hành 3.2.4.4 Vận dụng kinh nghiệm sử dụng máy tính 3.2.4.5 Bảo vệ liệu máy tính 3.3 Kết chương Qua chương này, nhận thấy hậu mà Malware máy tính gây cho người sử dụng khôn lường Chúng không đơn phá hoại máy tính, mà cịn phá hoại trực tiếp hoạt động người Chương cung cấp biện pháp phòng chống trước tác hại Malware máy tính Người sử dụng cần phải nắm rõ kiến thức phòng bị, ngăn chặn khơng cho Malware xâm nhập vào máy tính, giảm thiệt hại tới mức tối thiểu trường hợp Malware lây nhiễm vào hệ thống Ngồi cơng cụ chức diệt trừ Malware chương trình máy tính, người sử dụng cịn phải sử dụng kinh nghiệm cá nhân để bảo vệ hệ điều hành liệu 16 CHƯƠNG – CHƯƠNG TRÌNH MINH HỌA Chương đưa chương trình minh họa mơ tả cách thức hoạt động Malware máy tính Trên sở đó, xây dựng chương trình diệt trừ Malware khỏi hệ thống, giúp hệ thống hoạt động cách ổn định an tồn Sau đây, luận văn mơ tả chế hoạt động cách thức tiêu diệt Virus “Love.exe” tác giả tự viết (Virus tải lên mạng để kiểm tra phần mềm diệt Virus: Bitdefender Total Security 2012 đặt tên “Generic.Malware.SDYd!sp.03714E9C”) Chương trình lưu ổ USB chạy Windows Chương trình Virus chương trình diệt Virus xây dựng sử dụng phần mềm Microsoft Visual C++ 2010 Express 17 4.1 Chương trình Virus Hình 4.1: Các Mơđun chương trình Virus Đoạn mã độc hại Virus “Love.exe” nhằm mục đích xâm nhập Windows Registry thay đổi thông số mặc định ban đầu 18 4.1.1 Giới thiệu sơ lược Windows Registry Hình 4.2: Registry 4.1.2 Mô tả cách thức hoạt động Virus “Love.exe” Khi kích hoạt, Virus “Love.exe” vơ hiệu hóa hàng loạt thơng số mặc định sẵn có hệ điều hành Windows  Sao chép tập tin Virus “Love.exe” đổi tên thành tập tin “ducdung.exe” USB vào phân vùng ổ cứng, ổ USB, thư mục Windows ổ C (C ổ chứa hệ điều hành) Sau đó, thiết lập thuộc tính ẩn cho tập tin “ducdung.exe” để người sử dụng phát diện Virus máy tính  Cho phép Virus chạy thường trú hệ điều hành người sử dụng đăng nhập vào máy tính 19  Vơ hiệu hóa menu ngữ cảnh click phải chuột ngồi hình Desktop Explorer  Kích hoạt Virus trở lại click đúp vào phân vùng ổ cứng thư mục  Vô hiệu hóa chức làm thư mục tập tin ẩn  Vơ hiệu hóa thành phần File Type Folder Options: New, Delete, Change, Advanced  Vơ hiệu hóa cơng cụ Task Manager Windows  Không cho phép người dùng cài đặt, gỡ bỏ ứng dụng phần mềm máy tính  Thay đổi trang web mặc định trình duyệt IE thành trang web chứa mã độc hại  Không cho phép người sử dụng thay đổi trang web mặc định xổ bật trình duyệt IE  Khơng cho phép người sử dụng tải tập tin từ mạng  Vơ hiệu hóa tính cập nhật Registry 20 4.2 Chương trình diệt Virus Hình 4.3: Các Mơđun chương trình diệt Virus  Xóa tập tin Virus “Love.exe” “ducdung.exe” ổ đĩa thư mục C:\Windows máy tính  Khơng cho phép Virus chạy thường trú hệ điều hành người sử dụng đăng nhập vào máy tính  Kích hoạt lại menu ngữ cảnh click phải chuột ngồi hình Desktop Explorer 21  Cho phép người sử dụng truy xuất vào ổ cứng thư mục cách click đúp vào chúng  Cho phép hiển thị thư mục, tập tin ẩn phần đuôi mở rộng tập tin  Cho phép thành phần Folder Options\File Type (New, Delete, Change, Advanced) hoạt động trở lại bình thường  Cho phép người sử dụng sử dụng công cụ Task Manager Windows  Cho phép người sử dụng chỉnh sửa (cài đặt, gỡ bỏ) ứng dụng phần mềm máy tính  Thay đổi trang web mặc định trình duyệt IE thành trang web đáng tin cậy hãng Microsoft: http://www.microsoft.com  Cho phép người sử dụng thay đổi lại trang web mặc định trang yêu thích trình duyệt IE  Cho phép người sử dụng tải tập tin từ mạng, cập nhật vá lỗi hệ điều hành, cập nhật sở liệu cho phần mềm diệt Malware,…  Cho phép người sử dụng cập nhật Registry 22 4.3 Kết chương Chương mô tả chi tiết chế lây nhiễm tính Virus mẫu chương trình diệt Virus tác giả tự xây dựng Virus lưu ổ USB có khả lây nhiễm tự copy vào máy nạn nhân thơng qua tính autorun/autoplay hệ điều hành Microsoft Windows Virus có khả thay đổi tham số Windows Registry gây khó khăn cho người sử dụng khó khăn cho chương trình rà qt khơi phục hệ thống Chương trình diệt Virus mẫu xây dựng minh họa để loại bỏ Virus mẫu khỏi hệ thống khôi phục lại tham số làm việc hệ điều hành Microsoft Windows bị Virus sửa đổi 23 KẾT LUẬN Nghiên cứu Malware nói chung Virus nói riêng thực thời gian tương đối dài, quan tâm Malware liên tục cải tiến, cập nhật đặc biệt sức tàn phá Malware ngày lớn Với mục tiêu nghiên cứu sâu chế lây nhiễm Malware, sở đề biện pháp phịng chống hiệu quả, luận văn đạt số kết sau:  Giới thiệu khái niệm cách phân loại phần mềm độc hại máy tính  Đưa khái niệm, cách phân loại, cách thức hoạt động Virus, Worm Trojan máy tính  Đưa giải pháp phịng chống ngăn chặn tác hại Virus, Worm, Trojan gây  Xây dựng chương trình Virus mẫu chương trình diệt Virus để minh họa chế làm việc Malware 24 Trong tương lai, luận văn phát triển theo hướng sau:  Nghiên cứu sâu phần mềm độc hại, từ nâng cao khả phòng chống ngăn chặn tác hại Malware gây  Xây dựng chương trình rà quét diệt Malware dựa chữ ký tập hành vi  ... loại Malware máy tính 4  Chương 2: Nghiên cứu hình thức lây nhiễm, đối tượng lây nhiễm chế lây nhiễm Virus, Worm Trojan máy tính  Chương 3: Chỉ tác hại Virus, Worm, Trojan gây cho máy tính, ... LÂY NHIỄM CỦA MALWARE MÁY TÍNH Chương đề cập đến phương thức lây nhiễm Malware vào máy tính, đối tượng hệ thống máy tính có khả bị Malware công chế hoạt động đặc thù loại Malware máy tính 2.1 Các... hình thức đối tượng lây nhiễm Malware máy tính 2.1.1 Hình thức lây nhiễm 2.1.1.1 Malware lây nhiễm theo cách cổ điển 2.1.1.2 Malware lây nhiễm qua thư điện tử 2.1.2 Đối tượng lây nhiễm Các tập tin