(Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay

(Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay (Bài thảo luận) Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động của các loại mã độc và cách phòng chống các loại mã độc hiện nay

ĐẠI HỌC THƯƠNG MẠI KHOA: HTTTKT VÀ TMĐT - - BÀI TIỂU LUẬN Đề tài: Trình bày khái niệm, đặc điểm, cách phân loại, nguyên tắc hoạt động loại mã độc cách phòng chống loại mã độc HỌC PHẦN : AN TỒN VÀ BẢO MẬT THƠNG TIN MÃ HỌC PHẦN : 2056eCIT0921 GIẢNG VIÊN : NGUYỄN THỊ HỘI NHÓM THỰC HIỆN : 22 Hà Nội, ngày 22 tháng 10 năm 2020 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI DANH SÁCH THÀNH VIÊN NHÓM 22 STT HỌ VÀ TÊN Nguyễn Thị Quỳnh Trang Lưu Thị Thùy Trang Vũ Thu Trang Trần Thị Thu Trang Đoàn Thị Vi MÃ SINH VIÊN 18D140049 18D140048 18D140050 18D140109 18D140053 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI MỤC LỤC TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI MỞ ĐẦU Việc sử dụng cơng nghệ thơng tin làm thay đổi hồn toàn cách thức vận hành xã hội Mọi việc tiến hành trơn tru, nhanh chóng, thuận tiện Thời đại số thay đổi cách sống, cách việc mang lại giá trị tích cực, tạo hiệu cho sống công việc Tuy nhiên, với thay đổi to lớn cách mạng số đòi hỏi phải thay đổi cách thức bảo vệ liệu Thời gian qua, tình hình an tồn thơng tin nước ta diễn biến phức tạp Việt Nam xếp top quốc gia bị lây nhiễm mã độc nhiều giới Theo thống kê Spamhaus Project mối đe dọa công mạng, năm 2019, Việt Nam đứng thứ số quốc gia có số lượng máy tính bị nhiễm mã độc cao giới, với 905.500 máy tính bị tin tặc điều khiển Thiệt hại virus gây người dùng Việt Nam lên tới gần 15 nghìn đồng ( ̣ tương đương 640 triệu USD) Theo Cybersecurity Ventures, vụ công mã độc tống tiền gia tăng liên tục, 11 giây lại có cơng gây tổn thất lên tới 20 tỷ USD vào năm 2021 Tại Việt Nam, từ tháng đến tháng năm 2020 có 4,2 triệu địa IP bị lây nhiễm mã độc Trong tình hình ấy, bảo mật liệu vấn đề ưu tiên xu hướng chuyển đổi số, hiểu biết mã độc giải pháp chống mã độc nhận nhiều quan tâm từ doanh nghiệp, tổ chức, cá nhân TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI I Khái quát mã độc I.1 Khái niệm mã độc Mã độc hay “Malicious software” loại phần mềm tạo chèn vào hệ thống cách bí mật với mục đích thâm nhập, phá hoại hệ thống lấy cắp thông tin, làm gián đoạn, tổn hại tới tính bí mật, tính tồn vẹn tính sẵn sàng máy tính nạn nhân I.2 Đặc điểm mã độc • Các chương trình độc hại thực nhiều chức như: ăn cắp, mã hóa, xóa liệu nhạy cảm, thay đổi chiếm đoạt chức tính tốn lỗi giám sát hoạt động máy mà không cần cho phép người dùng • Mã độc gây thiệt hại sau cấy đưa vào máy tính mục tiêu dạng mã lệnh thực thi, tập lệnh, nội dung hoạt động phần mềm khác Mã độc có mục đích xấu, hoạt động trái phép với người dùng máy tính bình thường mã độc không bao gồm phần mềm gây tác hại vơ ý số thiếu sót liên quan đến lỗi phần mềm • Các chương trình cung cấp thức cơng ty coi phần mềm độc hại họ bí mật hành động chống lại lợi ích người dùng máy tính Ví dụ, thời điểm, đĩa nhạc Compact hãng Sony bí mật cài đặt rootkit máy tính người mua với đích ngăn chặn chép bất hợp pháp đồng thời thu thập thơng tin thói quen nghe nhạc người dùng vơ tình tạo lỗ hổng bảo mật Các giải pháp phần mềm antivirus, tường lửa…thường sử dụng để kiểm tra tồn tại, hoạt động độc hại ngăn chặn phần mềm độc hại truy cập vào máy tính • Con đường lây nhiễm: TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI +) Qua thiết bị lưu trữ di động (USB, đĩa DVD, CD, thẻ nhớ, ổ cứng di động, điện thoại…) +) Qua thư điện tử +) Qua Email, Outlook Express +) Lây nhiễm vào tệp tin thực thi +) Lây nhiễm từ smartphone sang máy tính I.3 Cách phân loại nguyên tắc hoặt động loại mã độc Có nhiều cách tiếp cận khác để phân loại mã độc thành số loại nhật định với đặc điểm cụ thể như: tính nhân bản, nhiễm độc, tàng hình, lệnh điều khiển (C&C), kỹ thuật che dấu, tập hợp hành vi thể trình chạy hệ điều hành Hơn nữa, ngày khó xác định phần mềm độc hại ngày tác giả phần mềm độc hại dễ dàng tiếp cận mã nguồn số mẫu phần mềm độc hại kết hợp chức chúng để tạo mẫu có chế tự mở rộng khả nhỏ gọn Mặc dù khơng có thống chung việc phân loại phần mềm độc hại, loại phần mềm độc hại dựa mục đích hành vi chúng phân loại sau: I.3.1 Boot virus Boot virus hay gọi virus boot, loại virus lây vào boot sector master boot record ổ đĩa cứng Đây khu vực đặc biệt chứa liệu để khởi động hệ thống, nạp phân vùng Boot virus thực thi trước hệ điều hành nạp lên Vì vậy, hồn tồn độc lập với hệ điều hành B-virus có nhược điểm khó viết khơng thể sử dụng dịch vụ, chức có sẵn hệ điều hành kích thước virus bị hạn chế kích thước sector (mỗi sector có 512 byte) TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Ngày gần khơng cịn thấy xuất Boot Virus đặc điểm lây lan chậm không phù hợp với thời đại Internet Khi máy tính bạn khởi động, đoạn chương trình nhỏ ổ đĩa khởi động bạn thực thi Đoạn chương trình có nhiệm vụ nạp hệ điều hành (Windows, Linux hay Unix ) Sau nạp xong hệ điều hành, bạn bắt đầu sử dụng máy Đoạn mã nói thường để vùng ổ đĩa khởi động, chúng gọi "Boot sector" Các Viruss lây vào Boot sector gọi Virus Boot Các Virus Boot thi hành máy bị nhiễm khởi động, trước thời điểm hệ điều hành nạp lên I.3.2 Macro virus Đây loại virus đặc biệt cơng vào chương trình Microsoft Office Microsoft: Word, Excel, Powerpoint Macro tính hỗ trợ cơng cụ văn phịng Microsoft Office cho phép người sử dụng lưu lại công việc cần thực lại nhiều lần Thực tế cho thấy virus macro gần “tuyệt chủng” Marcro virus lây vào file văn (Microsoft Word), file bảng tính (Microsoft Excel) hay file trình diễn (Microsoft Power Point) Microsoft Office Macro tên gọi chung đoạn mã thiết kế để bổ sung tính cho file Office Chúng ta cài đặt sẵn số thao tác vào macro, lần gọi macro phần cài sẵn thực hiện, giúp người sử dụng giảm bớt công lặp lặp lại thao tác giống Có thể hiểu nơm na việc dùng Macro giống việc ta ghi lại thao tác, để sau cho tự động lặp lại thao tác yêu cầu Ngày nay, thực tế loại virus Macro gần "tuyệt chủng" khơng cịn sử dụng đến macro I.3.3 Scripting virus TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Scripting virus loại virus viết ngôn ngữ script (kịch bản) VBScript, JavaScript, Batch script Những loại virus thường có đặc điểm dễ viết, dễ cài đặt Chúng thường tự lây lan sang file script khác, thay đổi nội dung file html để thêm thông tin quảng cáo, chèn banner … Đây loại virus phát triển nhanh chóng nhờ phổ biến Internet I.3.4 File Virus Virus chuyên lây vào file thực thi (ví dụ file có phần mở rộng com, exe, dll) đoạn mã để file thực thi, đoạn mã virus kích hoạt trước tiếp tục thực hành vi phá hoại, lây nhiễm Loại virus có đặc điểm lây lan nhanh khó diệt loại virus khác phải xử lý cắt bỏ, chỉnh sửa file bị nhiễm File Virus có nhược điểm lây vào số định dạng file định phụ thuộc vào hệ điều hành F-Virus tồn tới ngày với biến thể ngày trở nên nguy hiểm, phức tạp I.3.5 Trojan horse – ngựa thành Tơ roa Tên loại virus lấy theo điển tích cổ Trong chiến với người Tơ-roa, chiến binh Hy Lạp sau nhiều ngày chiếm thành nghĩ kế, giảng hòa tặng người dân thành Tơ-roa ngựa gỗ khổng lồ Sau ngựa gỗ đưa vào thành, đêm đến chiến binh Hy Lạp từ ngựa gỗ chui đánh chiếm thành Đây cách mà Trojan horse (gọi tắt Trojan) áp dụng: đoạn mã Trojan “che giấu” loại virus khác phần mềm máy tính thơng thường để bí mật xâm nhập vào máy nạn nhân Khi tới thời điểm thuận lợi chúng tiến hành hoạt động ăn cắp thông tin cá nhân, mật khẩu, điều khiển máy tính nạn nhân … Bản chất Trojan không tự lây lan mà phải sử dụng phần mềm khác để phát tán TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Dựa vào cách hoạt động ta phân chia Trojan thành loại sau: BackDoor, Adware Spyware Đầu tiên, kẻ viết Trojan cách lừa đối phương sử dụng chương trình ghép Trojan kèm với virus (đặc biệt virus dạng Worm) để xâm nhập, cài đặt lên máy nạn nhân Đến thời điểm thuận lợi, Trojan ăn cắp thông tin quan trọng máy tính nạn nhân số thẻ tín dụng, mật để gửi cho chủ nhân mạng tay xố liệu lập trình trước Bên cạnh Trojan ăn cắp thông tin truyền thống, số khái niệm sử dụng để đặt tên cho Trojan mang tính chất riêng biệt sau: Backdoor: Loại Trojan thâm nhập vào máy tính nạn nhân mở cổng dịch vụ cho phép kẻ công điều khiển hoạt động máy nạn nhân Kẻ cơng cài phần mềm BackDoor lên nhiều máy tính khác thành mạng lưới máy bị điều khiển – Bot Net – thực vụ công từ chối dịch vụ (DoS – Denial of Service) Phần mềm quảng cáo bất hợp pháp - Adware phần mềm gián điệp Spyware: Gây khó chịu cho người sử dụng chúng cố tình thay đổi trang web mặc định (home page), trang tìm kiếm mặc định (search page)… hay liên tục tự động (popup) trang web quảng cáo bạn duyệt web Chúng thường bí mật xâm nhập vào máy bạn bạn vô tình “ghé thăm” trang web có nội dung khơng lành mạnh, trang web bẻ khóa phần mềm… chúng theo phần mềm miễn phí khơng đáng tin cậy hay phần mềm bẻ khóa (crack, keygen) I.3.6 Worm – sâu máy tính Cùng với loại mã độc máy tính Trojan, WannaCry, Worm (sâu máy tính) loại virus phát triển lây lan mạnh mẽ nhờ mạng Internet TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Vào thời điểm ban đầu, Worm tạo với mục đích phát tán qua thư điện tử – email Khi lây vào máy tính, chúng thực tìm kiếm sổ địa chỉ, danh sách email máy nạn nhân giả mạo email để gửi thân chúng tới địa thu thập Các email worm tạo thường có nội dung “giật gân”, “hấp dẫn”, trích dẫn email máy nạn nhân để ngụy trang Điều khiến email giả mạo trở nên “thật” người nhận dễ bị đánh lừa Nhờ email giả mạo mà Worm lây lan mạnh mẽ mạng Internet theo cấp số nhân Bên cạnh Worm lây lan theo cách truyền thống sử dụng email, Worm sử dụng phương pháp lân lan qua ổ USB Thiết bị nhớ USB trở nên phổ biến tồn giới lợi kích thước nhỏ, động trở thành phương tiện lây lan lý tưởng cho Worm Dựa đặc điểm lây lan mạnh mẽ Worm, kẻ viết virus đưa thêm vào Worm tính phá hoại, ăn cắp thơng tin…, Worm trở thành “bạn đồng hành” phần mềm độc hại khác BackDoor, Adware… Sâu Internet –Worm loại virus có sức lây lan rộng, nhanh phổ biến Worm kết hợp sức phá hoại virus, đặc tính âm thầm Trojan hết lây lan đáng sợ mà kẻ viết virus trang bị cho để trở thành kẻ phá hoại với vũ khí tối tân Tiêu biểu Mellisa hay Love Letter Với lây lan đáng sợ chúng làm tê liệt hàng loạt hệ thống máy chủ, làm ách tắc đường truyền Internet Thời điểm ban đầu, Worm dùng để virus phát tán cách tìm địa sổ địa (Address book) máy mà lây nhiễm tự gửi qua email tới địa tìm Những địa mà virus tìm thấy thường địa bạn bè, người thân, khách hàng chủ sở hữu 10 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI hơn) Ransomware mã hóa tồn file văn (thường file Office *.doc, *.xls file email file *.pdf), file bị đổi đuôi thành định dạng định đó, có mật bảo vệ, bạn thực thao tác copy, paste, đổi tên, đổi đuôi xóa II Cách nhận biết phịng chống loại mã độc II.1 Cách nhận biết loại mã độc phổ biến Để nhận biết xem máy tính nhiễm phần mềm độc hại chưa, bạn cần hiểu phân biệt rõ loại mã độc bên rõ Hiện tượng máy tính, điện thoại dính phần mềm độc hại gây rị rỉ thơng tin cá nhân, liệu nỗi lo nhiều người Tuy nhiên, tất vấn đề virus gây Mọi người thường hiểu lầm biết có virus máy tính, nhiên virus coi nhóm malware chuyên biệt với khả nhân phát tán nhanh (tương tự virus sinh học) Virus có tính chất Một tự xen vào hoạt động hành máy tính cách hợp lệ, để thực tự nhân cơng việc theo chủ ý người lập trình Sau kết thúc thực thi mã virus điều khiển trả cho trình thực thi mà máy khơng bị "treo", trừ trường hợp virus cố ý treo máy Hai virus tự chép nó, tức tự nhân bản, cách hợp lệ lây nhiễm vào tập tin (file) hay vùng xác định (boot, FAT sector) thiết bị lưu trữ đĩa cứng, đĩa mềm, thiết bị nhớ flash (phổ biến USB) chí EPROM máy Nhiều người hiểu nhầm virus worm (sâu máy tính) worm nhân Điểm khác biệt worm tự nhân nhiễm vào máy mà không cần tác động người điều khiển chương trình độc lập khơng phải phụ thuộc vào chương trình khác virus 16 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Tóm lại, virus máy tính cần chương trình chủ để chạy đoạn mã virus chạy phần chương trình chủ Sâu máy tính phát tán khơng cần chương trình chủ Việc có kiến thức nhận biết loại phần mềm độc hại quan trọng khơng với người dùng mà cịn người làm ngành công nghệ thông tin Đối với người dùng, nắm dạng mã độc này, bạn tự bảo mật thông tin cá nhân, đồng thời biết cách phòng chống tránh loại mã độc Đối với kỹ sư phần mềm, việc nhận biết phần mềm độc hại giúp hỗ trợ công tác thiết kế hệ thống, đảm bảo an toàn với mã độc cập nhật lỗ hỏng phần mềm để tránh mã độc xâm nhập vào phần mềm làm gây ảnh hưởng đến uy tính doanh nghiệp II.2 Một số dấu hiệu nhận biết máy tính bị nhiễm mã độc Máy tính chạy chậm nhiều so với bình thường Đây kết malware với mã độc bắt đầu làm cạn kiệt nguồn xử lý máy tính bạn Nếu bạn không chạy ứng dụng nặng mà máy tính chạy chậm, bạn dính virus máy tính Ngồi ra, thơng báo bạn truy cập số ổ đĩa máy tính dấu hiệu Cùng phương thức, ứng dụng không chạy file mở kết lây nhiễm virus Một số dấu hiệu khác bao gồm phần cứng khác máy in không trả lời với lệnh Nếu bạn thấy dung lượng file không ổn định, bạn không truy cập file này, dấu hiệu khác virus máy tính Cuối cùng, bạn truy cập menu giao diện khác thường bị xấu đi, cân nhắc tới khả bạn nạn nhân malware Ổ cứng hết dung lượng trống Bạn cần kiểm tra xem không gian lưu trữ vật lý ổ cứng gần có tăng lên khơng có file biến mất, bị đổi tên 17 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI không Đây dấu hiệu hoạt động khác phần mềm độc hại Rất nhiều phần mềm độc hại sử dụng phương pháp khác để "lấp đầy" ổ cứng bạn gây cố máy tính nhằm mục đích phá hoại Các trang quảng cáo tự động (pop up), hình Desktop bị thay đổi Góc phải hình bạn có biểu tượng nhỏ thơng báo: "Your computer is infected" hay "Virus Alert"… Trình duyệt web bạn tự lên trang web lạ Các file lạ (Autorun.inf, New Folder.exe…) tự động sinh bạn mở ổ đĩa USB Xuất file có phần mở rộng exe có tên trùng với tên thư mục II.3 Cách phòng chống loại mã độc II.3.1.Virus máy tính Virus máy tính phần mềm ngụy trang có khả tự chép (giống virus) lây lan thông qua thiết bị lưu trữ thẻ nhớ, USB qua email Dấu hiệu dễ nhận thấy virus máy tính bị chậm dù khơng làm tác vụ q nặng file lạ tự nhiên xuất máy Virus làm file tài liệu bị lỗi, khơng thể mở lên mở tồn ký tự lạ Nguy hiểm hơn, virus ‘ăn’ vào hệ thống, gây lỗi hệ điều hành buộc người dùng phải cài lại Do virus chạy lệnh, người dùng nên hạn chế sử dụng tính autoplay cấp quyền admin chạy phần mềm Cách diệt virus đơn giản sử dụng phần mềm diệt virus, điện thoại thiết bị thơng minh khác có Để phịng tránh, người dùng khơng nên tải file lạ mạng, thận trọng sử dụng USB, thẻ nhớ 18 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI II.3.2.Sâu máy tính Ở mức độ nguy hiểm virus máy tính sâu máy tính (worms), chúng có khả lây lan nhanh, khơng phụ thuộc vào hệ thống tự phát tán qua môi trường Internet Để dễ hình dung, virus máy tính hoạt động vật chủ chạy cịn sâu máy tính tự tìm lỗ hổng tự lây lan Các loại sâu máy tính nguy hiểm lây lan, tìm lỗ hổng máy nạn nhân, mở cửa hậu (backdoor) tiếp tục phát tán rộng Đến sâu máy tính thực thi hành động thao túng tin tặc, mức độ ảnh hưởng vô lớn không đong đếm Nhìn chung, loại sâu máy tính thường gắn với hoạt động tống tiền (ransomware) để nhân rộng mức độ quy mô thiệt hại Chẳng hạn, sâu máy tính kinh điển WannaCry hồi năm 2017 thời gian ngắn gây thiệt hại ước chừng lên tới tỷ USD toàn cầu, theo cơng ty bảo hiểm Cyence Cịn theo thống kê BKAV, khoảng 41,04% máy tính Việt Nam tồn lỗ hổng mà sâu WannyCry khai thác Vì sâu máy tính khai thác lỗ hổng bảo mật, người dùng nên thường xuyên cập nhật phần mềm, hệ điều hành, trình diệt virus để đảm bảo an toàn trước xâm nhập từ xa sâu máy tính II.3.3.Trojan Trojan lây nhiễm vào máy tính mở cửa hậu để mã độc tràn vào Mặc dù không tự nhân để lây nhiễm cho máy khác, Trojan nguy hiểm nhiều so với loại chúng đóng giả thành phần mềm trơng giống thật Sau chúng lấy cắp liệu người dùng (keyloggers), tự động nhắn tin trừ tiền, tự tải cài đặt Trojan phiên mới, điều hướng công từ chối dịch 19 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI vụ (DDoS), tự đào tiền ảo cho tin tặc… Tổng số máy tính bị liệu năm 2019 1,8 triệu lượt, theo BKAV Vì đặc tính Trojan ngụy trang che dấu, người dùng khơng nên cài đặt phần mềm, ứng dụng lạ Cũng không tải phần mềm chủ website lạ II.3.4.Spyware Spyware dạng phần mềm không mong muốn cài đặt máy người dùng Nó khơng gây tác hại tức mà âm thầm thu thập thông tin, hành vi người dùng để chuyển đến cho tin tặc Những kẻ sử dụng trực tiếp bán lại thông tin cho nhà quảng cáo, công ty thu thập liệu người dùng Spyware mức độ nhẹ nhàng adware liên tục hiển thị quảng cáo rác thiết bị người dùng Mục tiêu thu tiền quảng cáo làm chậm máy tính người sử dụng Chẳng hạn, người dùng đồng ý sử dụng chương trình miễn phí, ví dụ trình nghe nhạc, xem phim, ép buộc người dùng xem quảng cáo, thu thập thông tin cá nhân để sử dụng vào mục đích khác Đây dạng spyware mà mục đích chúng tăng lượng cài đặt máy tính cá nhân, tối ưu hóa tiền kiếm từ quảng cáo Các loại spyware khác tinh vi cịn có Trojan, keylogger với khả ăn cắp thông tin nhạy cảm tài khoản ngân hàng, mật dịch vụ trả tiền… Để phòng tránh spyware, cách đơn giản khơng đồng ý cài đặt thứ trơi mạng II.3.5.Backdoor 20 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Thông qua Backdoor, hacker khai thác thơng tin người dùng (thơng tin cá nhân, sở thích truy cập Internet, tài khoản, mật khẩu, mã số thẻ,…, nói chung thứ có giá trị với bọn chúng) Hoặc phức tạp hơn, chúng dùng Backdoor làm bàn đạp để đưa phần mềm độc hại khác vào (như Ransomware, Spyware, Cryptojacking,…) Để ngăn chặn Backdoor người dùng cần: • Thay đổi mật mặc định, kích hoạt xác thực đa yếu tố sử dụng mật khác cho ứng dụng thiết bị • Giám sát hoạt động mạng, sử dụng tường lửa để theo dõi hoạt động từ ứng dụng cài đặt • Cẩn thận cài đặt ứng dụng plugin – hai nguồn phổ biến mà Backdoor trà trộm vào Người dùng Android Chromebook nên tải ứng dụng từ cửa hàng Google Play, người dùng Mac iOS nên sử dụng App Store Apple • Sử dụng cơng cụ bảo mật chất lượng • Thường xun theo dõi tin tức công nghệ để cập nhật thông tin Backdoor an ninh mạng để chủ động phịng tránh kịp thời II.3.6.Rootkit Thường rootkit tồn lâu máy gây nhiều ảnh hưởng nghiêm trọng tới tính bảo mật thiết bị đến độ an toàn thơng tin người dùng Ngồi ra, rootkit cịn trở nên nguy hiểm giấu thêm malware đó, cách cơng thường tin tặc tận dụng để lấy thông tin người dùng Để phịng tránh Rootkit trước tiên người dùng không nên cài Rootkit nên sử dụng phần mềm tiêu diệt mã độc Rootkit II.3.7.Phòng chống botnet 21 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI • Thay đổi tất mật mặc định hầu hết thiết bị bạn router Internet, Webcams, máy In, thiết bị gia dụng thông minh thiết bị kết nối Internet khác • Thường xuyên cập nhật phần cứng cổng bảo mật cho hệ điều hành phần mềm • Khơng dùng tài khoản admin máy tính laptop Tắt quyền root điện thoại thiết bị di động hầu hết thời gian • Hết sức cẩn thận tải tập tin từ Website khác (đặc biệt tập tin bẻ khóa trị chơi crack) Tội phạm thường lợi dụng trò chơi ứng dụng crack để lây lan phần mềm độc hại • Nếu bạn tải tập tin torrent từ trang lạ, kiểm tra kỹ với chương trình diệt virus trước mở • Ngay bạn không tương tác với trang web nguy hiểm hay tập tin lạ, bạn nên cài đặt giải pháp bảo mật đáng tin cậy ý dấu hiệu lạ thiết bị bạn 22 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI II.4 Những ý để tránh phần mềm độc hại Để khơng bị lây nhiễm virus giải pháp triệt để ngăn chặn kết nối thơng tin vào thiết bị máy tính bao gồm ngắt kết nối mạng chia sẻ, không sử dụng ổ mềm, ổ USB copy file vào máy tính, đặc biệt dạng file có nguy cao Điều thực hiệu mà tăng trưởng số lượng virus hàng năm giới lớn Tuy nhiên, thời đại "bùng nổ thơng tin", đa số người có nhu cầu truy cập vào"không gian số", khẳng định chắn bảo vệ an toàn 100% cho máy tính trước hiểm hoạ virus phần mềm khơng mong muốn, hạn chế đến tối đa với biện pháp bảo vệ liệu mình: Cập nhật máy tính thường xun, chương trình diệt virus phần mềm diệt spyware, malware Bảo vệ cách trang bị thêm phần mềm diệt virus có khả nhận biết nhiều loại Virus máy tính liên tục cập nhật liệu để phần mềm ln nhận biết virus • Cài đặt nhiều chương trình diệt spyware lên máy, tất chương trình khơng hồn hảo bù trừ cho Sự kết hợp chương trình phát dải malware rộng • Khi cài chương trình diệt virus cài loại, cài nhiều chương trình diệt vius lúc dễ xung đột dẫn tới máy bị hỏng hệ điều hành Xây dựng sách với thiết bị PnP Với thiết bị loại này: USB, CD/DVD, … virus lợi dụng để thực thi mà không cần cho phép người dùng Do đó, cần thiết lập lại chế độ cho thiết bị chương trình để hạn chế thực thi khơng kiểm sốt mã độc Ngồi ra, trình sử dụng thiết bị USB, không nên mở trực tiếp cách chọn ổ đĩa nhấn phím Enter, nhấp đơi chuột vào biểu tượng mà nên bấm chuột phải click vào explore 23 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Thiết lập quy tắc đối xử với file Không nên mở tải file không rõ nguồn gốc, đăc biệt file thực thi (các file có exe, dll, …) Với file không rõ nguồn gốc này, tốt nên tiến hành quét phần mềm diệt virus thực kiểm tra trực tiếp website: https://www.virustotal.com Khi có nghi ngờ cảnh báo cần dừng việc thực thi file lại để đảm bảo an toàn Sử dụng tường lửa Tường lửa (Firewall) khơng phải xa vời dành cho nhà cung cấp dịch vụ internet (ISP) mà máy tính cá nhân cần phải sử dụng tường lửa để bảo vệ trước virus phần mềm độc hại Khi sử dụng tường lửa, thông tin vào máy tính kiểm sốt cách vơ thức có chủ ý Nếu phần mềm độc hại cài vào máy tính có hành động kết nối Internet tường lửa cảnh báo giúp người sử dụng loại bỏ vô hiệu hoá chúng Tường lửa giúp ngăn chặn kết nối đến không mong muốn để giảm nguy bị kiểm sốt máy tính ngồi ý muốn cài đặt vào chương trình độc hại hay virus máy tính Tường lửa chia loại: • Sử dụng tường lửa phần cứng: Nếu người sử dụng kết nối với mạng Internet thông qua modem card chun dụng có chức Thơng thường chế Tải độ mặc định nhà sản xuất chức "tường lửa" bị tắt, người sử dụng truy cập vào modem phép hiệu lực (bật) Sử dụng tường lửa phần cứng tuyệt đối an toàn chúng thường ngăn chặn kết nối đến trái phép, kết hợp sử dụng tường lửa phần mềm • Sử dụng tường lửa phần mềm: Ngay hệ điều hành họ Windows ngày tích hợp sẵn tính tường lửa phần mềm, nhiên thông thường phần mềm hãng thứ ba làm việc tốt tích hợp nhiều cơng cụ so với tường lửa phần mềm sẵn có Windows Ví dụ phần 24 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI mềm ZoneAlarm Security Suite hãng ZoneLab công cụ bảo vệ hữu hiệu trước virus, phần mềm độc hại, chống spam, tường lửa Cập nhật lỗi hệ điều hành Hệ điều hành Windows (chiếm đa số) ln ln bị phát lỗi bảo mật thơng dụng nó, tin tặc lợi dụng lỗi bảo mật để chiếm quyền điều khiển phát tán virus phần mềm độc hại Người sử dụng cần cập nhật vá lỗi Windows thông qua trang web Microsoft Update (cho việc nâng cấp tất phần mềm hãng Microsoft) Windows Update (chỉ cập nhật riêng cho Windows) Cách tốt đặt chế độ nâng cấp (sửa chữa) tự động (Automatic Updates) Windows Tính hỗ trợ Windows mà Microsoft nhận thấy chúng hợp pháp Tải cài đặt phần mềm từ website tin cậy, Khơng kích vào link hay tệp đính kèm email chắn nội dung chúng Quá trình truy cập web nguyên nhân khiến máy tính dễ dàng bị nhiễm mã độc người dùng khơng có nhận thực đắn Khi truy cập web cần ý: Không nên truy cập vào trang web đen, trang web độc hại, có nội dung khơng lành mạnh, không tiện click vào url từ email từ nội dung chat, website, … Các website url thường xuyên ẩn chứa mã độc đợi người dùng click, tự động tải về, thiết lập cài đặt để thực thi hợp pháp máy tính người dùng Một ví dụ tiêu biểu phân tích theo dõi máy nhân viên văn phịng, máy tính hầu hết bị cài đặt addon phần mềm quản cáo q trình duyệt web thân người sử dụng cho phép addon phần mềm thực thi Sử dụng chương trình chặn pop-up khơng kích vào đường link pop-up Bảo vệ liệu máy tính 25 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Nếu không chắn 100% khơng bị lây nhiễm virus máy tính phần mềm hiểm độc khác bạn nên tự bảo vệ toàn vẹn liệu trước liệu bị hư hỏng virus (hoặc nguy tiềm tàng khác hư hỏng thiết bị lưu trữ liệu máy tính) Trong phạm vi viết virus máy tính, bạn tham khảo ý tưởng sau: Sao lưu liệu theo chu kỳ biện pháp đắn để bảo vệ liệu Bạn thường xuyên lưu liệu theo chu kỳ đến nơi an toàn như: thiết bị nhớ mở rộng (ổ USB, ổ cứng di động, ghi đĩa quang ), hình thức thực theo chu kỳ hàng tuần khác tuỳ theo mức độ cập nhật, thay đổi liệu bạn Tạo liệu phục hồi cho tồn hệ thống khơng dừng lại tiện ích sẵn có hệ điều hành (ví dụ System Restore Windows Me, XP ) mà cần đến phần mềm hãng thứ ba, ví dụ bạn tạo lưu hệ thống phần mềm ghost, phần mềm tạo ảnh ổ đĩa phân vùng khác Thực chất hành động không chắn liệu lưu không bị lây nhiễm virus, có virus phiên cập nhật phần mềm diệt virus tương lai loại bỏ chúng Nhờ chuyên gia can thiệp Khi thấy máy tính có dấu hiệu bị lây nhiễm cần tiến hành quét phần mềm diệt virus, khơng có tiến triển tốt, cần nhờ giúp đỡ chuyên gia để kiểm tra máy tính, phát tiêu diệt mã độc Có thể việc làm tốn thời gian tiền bạc thật cần thiết tác hại việc để ngun máy tính cịn tốn thiệt hại nhiều lần III Câu chuyện thực tế mã độc III.1 Mã độc Gandcrab ransomware 26 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Từ đầu tháng 3/2019, hàng loạt doanh nghiệp, cá nhân Việt Nam bất ngờ nhận mail với tiêu đề “Goi Cong an Nhan dan Viet Nam”, có đính kèm tệp “documents.rar” Nếu người dùng giải nén mở tệp tin đính kèm, mã độc kích hoạt tồn liệu người dùng bị mã hóa, đồng thời sinh tệp nhằm yêu cầu hướng dẫn người dùng trả tiền chuộc từ 400 đến 1.000 USD cách toán qua đồng tiền điện tử để giải mã liệu Theo Tập đồn cơng nghệ Bkav, GandCrab 5.2 phiên họ mã độc tống tiền GandCrab lan rộng toàn cầu từ tháng 1/2018 Cách thức thực mã độc tống tiền GandCard Việt Nam: • Phiên GandCrab v2.3 có MD5: 4302AAC62E41F4355206D49257C3AAAE phát tán khai thác Flash RIG.Tệp thực thi đóng gói tùy chỉnh, giải nén dạng DLL với tên “encryption.dll” Việc thực thi bắt đầu DLLEntryPoint Hệ thống tự động thực thi sau tệp DLL tải • Lúc GandCrab bắt đầu với hoạt động thu thập thơng tin máy tính nạn nhân bao gồm: Tên máy tính, tên người dùng, tên vi xử lý, tên hệ điều hành, địa IP public … Trong suốt q trình thu thập thơng tin này, GandCrab xác định bố cục bàn phím (keyboard layout) RUSSIAN tạo Ransom-ID cho nạn nhân cách tính hàm băm CRC32 chuỗi hình thành cách ghép số serial khối, tên xử lý mã định danh xử lý • Tên miền máy tính (domain name) Ransom-ID sử dụng để tạo mutex đảm bảo có phiên ransomware chạy thời điểm • Sau thu thập thơng tin, GandCrab tự chép vào vị trí “%APPDATA %/Microsoft” với tên ngẫu nhiên Ngồi ra, thêm mục nhập đường dẫn tệp chép để GandCrab thực thi vào khóa RunOne HKEY_CURRENT_USER dạng chế trì lần 27 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI • Bước chấm dứt tất tiến trình chặn việc xử lý tệp định mà GandCrab muốn mã hóa Hầu hết quy trình thuộc loại sau: Trình chỉnh sửa/xem tài liệu (tệp PDF, tệp ảnh …), trình duyệt web … Sau đó, GandCrab giải mã ghi tiền chuộc lưu trữ tệp nhị phân mã hóa XOR đơn giản Khóa XOR đặt thành 0x5, khơng thay đổi kể từ phiên trước phần mềm ransomware Lúc này, máy tính nạn nhân xuất thơng báo địi tiền chuộc để giải mã tệp liệu Để trả tiền chuộc người dùng phải dùng trình duyệt Tor, tốn tiền điện tử theo yêu cầu Mã độc GandCrab tạo tệp tin CRAB-DECRYPT.txt, hướng dẫn người dùng trả tiền chuộc tiền điện tử DASH để đổi lấy giải mã liệu Cách phòng chống mã độc GandCrab 5.2  Theo dõi, ngăn chặn kết nối đến máy chủ máy chủ điều khiển mã độc tống tiền GandCrab cập nhật vào hệ thống bảo vệ như: IDS/IPS, Firewall,… theo thông tin nhận dạng VNCERT gửi  Nếu phát cần nhanh chóng lập vùng/máy phát  Người sử dụng nâng cao cảnh giác, không mở click vào liên kết tập tin đính kèm email có chứa tập tin dạng doc, pdf, zip, rar,… gửi từ người lạ email gửi từ người quen, cách đặt tiêu đề ngôn ngữ khác thường Thông báo cho phận chuyên trách quản trị hệ thống đảm bảo an tồn thơng tin gặp nghi ngờ Người dùng cá nhân doanh nghiệp, tổ chức cần thực lưu liệu Chẳng hạn, thư mục làm việc người dùng nên đồng với hệ thống lưu liệu Cloud Nhờ đó, máy bị lây nhiễm mã độc, liệu bị mã hóa, người dùng lấy lại liệu lưu trữ hệ thống Cloud tiền chuộc cho hacker III.2 Câu chuyện mã độc Stuxnet 28 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Được nhận diện nguy bảo mật bùng nổ vào tháng năm 2010, sâu máy tính/mã độc Stuxnet lây nhiễm vào 14 sở cơng nghiệp Iran, có nhà máy làm giàu uranium Mã độc Stuxnet gây nên mối lo ngại lớn sâu máy tính sử dụng để phá hoại sản xuất không dùng cho mục đích thăm dị hay đánh cắp thơng tin Điều đáng ý Stuxnet có chế hoạt động phức tạp, kèm theo số đặc tính riêng, nguy hiểm, chí khai thác thành cơng số lỗi mà người ta chưa biết đến để thực mục đích mình, có biến thể là: Gauss, Flame, Duqu Stuxnet worm hoạt động theo giai đoạn Đầu tiên, nhắm đến máy tính sử dụng Windows để lây nhiễm tiếp tục lan truyền qua mạng biện pháp tự chép Sau đó, Stuxnet nhắm vào Step7, phần mềm chạy Windows Siemens phát triển để kiểm sốt thiết bị cơng nghiệp, ví dụ van, lò nung… Cuối cùng, sâu tìm cách phá hỏng lập trình logic (programmable logic controller – PLC, dùng để kiểm soát hệ thống, máy móc cơng cụ dùng cơng nghiệp) Quy trình chi tiết sau: Bước 1: Lây nhiễm Stuxnet thâm nhập vào hệ thống thông qua USB lây vào tất máy chạy windows Bằng cách sử dụng chứng thực số, sâu vượt qua hệ thống bảo mật tự động Bước 2: Tìm kiếm Stuxnet kiểm tra xem liệu máy tính có phải phần hệ thống công nghiệp phát triển Siemens hay không (các máy dùng để vận hành máy li tâm dùng chương trình làm giàu hạt nhân Iran) Bước 3: Nâng cấp Nếu máy tính khơng phải mục tiêu Stuxnet khơng làm cả, cịn mục tiêu, sâu sử dụng kết nối Internet để tải phiên 29 TRƯỜNG ĐẠI HỌC THƯƠNG MẠI HỌC PHẦN: AN TỒN VÀ BẢO MẬT THƠNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI Bước 4: Can thiệp Sau tải về, Stuxnet can thiệp vào PLC, khai thác lỗ hổng zero day mà người ta chưa biết Bước 5: Kiểm soát Ở thời gian đầu, Stuxnet âm thầm thu thập liệu hệ thống mà lây nhiễm Kế tiếp, dùng liệu thu thập để chiếm quyền kiểm soát máy li tâm Những máy bị làm cho xoay đến hỏng thơi Bước 6: Giả mạo phá hủy Trong lúc làm cho máy li tâm quay, Stuxnet gửi thông tin ngược lại người kiểm soát để báo chuyện ổn Cho đến họ phát chuyện trễ để khắc phục 30 ... TOÀN VÀ BẢO MẬT THÔNG TIN GIẢNG VIÊN HƯỚNG DẪN: NGUYỄN THỊ HỘI KẾT LUẬN Trên đây, thảo luận nhóm 22 nghiên cứu đưa mã độc với đặc điểm, cách phân loại, nguyên tắc hoạt động loại mã độc cách phòng. .. vào tệp tin thực thi +) Lây nhiễm từ smartphone sang máy tính I.3 Cách phân loại nguyên tắc hoặt động loại mã độc Có nhiều cách tiếp cận khác để phân loại mã độc thành số loại nhật định với đặc. .. xóa II Cách nhận biết phòng chống loại mã độc II.1 Cách nhận biết loại mã độc phổ biến Để nhận biết xem máy tính nhiễm phần mềm độc hại chưa, bạn cần hiểu phân biệt rõ loại mã độc bên rõ Hiện tượng