Giáo trình Mã độc (Phần 1)
GIÁO TRÌNH MÃ ĐỘC
1
MỤC LỤC
Danh mục từ viết tắt .......................................................................................... 5
Danh mục hình vẽ.............................................................................................. 6
Lời nói đầu.......................................................................................................11
Chương 1 .........................................................................................................13
1.1.2 Quy ước đặt tên ..............................................................................13
1.1.3 Lịch sử phát triển............................................................................14
1.2 Phân loại mã độc ................................................................................... 19
Chương 2 .........................................................................................................39
2.1.3 Tập tin Office .................................................................................47
2.1.4 Tập tin khởi động ...........................................................................48
2.2.2 Cấu trúc PE file ..............................................................................59
2
2.4.3. Phát tán qua USB ..........................................................................84
2.5 Câu hỏi ôn tập........................................................................................ 85
Chương 3:........................................................................................................86
3.3 Câu hỏi và bài tập................................................................................ 124
Chương 4 .......................................................................................................125
CÁC KỸ THUẬT PHÂN TÍCH TĨNH ........................................................ 125
4.1 Xây dựng môi trường phân tích tĩnh................................................... 125
4.1.1 Xây dựng môi trường ảo. ............................................................. 125
4.1.1 Công cụ Peid ................................................................................ 128
4.1.2 Dependency Walker .....................................................................128
4.1.3 Công cụ PE.................................................................................. 129
4.1.4 Công cụ HexEditor......................................................................130
4.1.5 IDA pro......................................................................................... 130
4.1.6 Công cụ Reflector........................................................................140
4.1.7 Công cụ VB Decomplier............................................................ 141
4.1.8 Công cụ Ollydebug.......................................................................142
3
4.2 Kỹ thuật phân tích sơ bộ......................................................................148
4.3 Phân tích giải nén các mẫu..................................................................151
4.3.1 Bảo vệ mã độc bằng phương pháp nén mẫu ................................ 151
4.3.2 Giải nén mẫu mã độc....................................................................152
4.5 Phân tích sử dụng kỹ thuật dịch ngược...............................................154
4.6 Viết báo cáo với mẫu vừa phân tích.................................................... 174
4.6 Câu hỏi và bài tập................................................................................ 176
Chương 5 .......................................................................................................177
CÁC KỸ THUẬT PHÂN TÍCH ĐỘNG ...................................................... 177
5.1
Kỹ thuật phân tích động sử dụng Sandbox....................................177
5.1.1 Công nghệ Sanbox của Joebox .................................................... 177
5.1.2 Công nghệ Sandbox của Threatexpert ........................................181
5.2 Kỹ thuật phân tích hành vi sử dụng môi trường máy ảo................... 183
5.2.1 Sysanalyzer.................................................................................. 185
5.2.2 Process Explorer..........................................................................186
5.2.3 Regshot........................................................................................ 187
5.2.4 HijackThis ................................................................................... 188
5.2.5 TCPView...................................................................................... 189
5.2.6 Wireshark ..................................................................................... 190
5.2.7 Svchost Process Analyzer ............................................................ 191
5.2.8 Autoruns....................................................................................... 192
5.3 Các bước phân tích trong kỹ thuật quan sát hành vi........................... 193
5.4 Phân tích một trường hợp cụ thể......................................................... 194
TÀI LIỆU THAM KHẢO.............................................................................199
PHỤ LỤC......................................................................................................200
4
DANH MỤC TỪ VIẾT TẮT
API
Aplication Programming Interface
BP
Break Point
Ddos
DLL
DNS
LSASS
Distributed Denial of Service
Dynamic Link Library
Domain Name Service
Local Security Authority Subsystem
Service
IRC
Internet Replay Chat
Malware
PE
Malicious Sofware
Portable Executable
DHCP
NAT
OEP
RVA
IAT
Dynamic Host Configuaration Protocol
Network Address Transaltion
Original Entry Point
Relative Virtual Address
Import Address Table
Virus Creation Laboratory
Visual Basic
VCL
VB
URL
MZ
Uniform Resource Lacator
Mark Zbiknowsky
ASM
Assembly
5
DANH MỤC HÌNH VẼ
Hình 1-1 Các nguy cơ mất an toàn..................................................................17
Hình 1-4 Phân loại mã độc hại.......................................................................20
Hình 1-6 Phân loại virus.................................................................................24
Hình 1-7 Mô tả virus lây file..........................................................................24
Hình 1-8 Mô tả về Phishing ............................................................................33
Hình 2-2 : Các loại tập tin văn bản..................................................................40
Hình 2-3: Các loại tệp tin chương trình .......................................................... 42
Hình 2-22: Cấu trúc PE file.............................................................................59
Hình 2-25 Cấu trúc Export Table...................................................................64
6
Hình 2-26: Cấu trúc Import Table..................................................................66
Hình 2-29 Lây với file .EXE..........................................................................76
Hình 2-31 : Tấn công qua email......................................................................81
Hinh 2-34: Phát tán qua USB..........................................................................84
Hình 3-1 Kiến trúc CPU.................................................................................. 87
Hình 3-2: Mô hình trừu tượng.........................................................................88
Hình 3-4: Cấp phát bộ nhớ động....................................................................93
Hình 3-5: Cấu trúc lưu biến toàn cục............................................................. 94
Hình 3-6: Cấu trúc lưu biến cục bộ.................................................................95
Hình 3-6: Hiển thị vòng lặp trên IDA ............................................................. 96
Hình 3-9 Giao diện chương trình ..................................................................106
Hình 3-10 : Giao diện kết quả.......................................................................107
Hinh 3-11: Giao diện ghi nhật ký..................................................................108
Hinh 2-12: VirusTotal .................................................................................. 112
Hình 3- 13: Chương trình 7-zip.....................................................................113
Hình 3-15 : Giao diện gửi email....................................................................115
Hình 3-21: Tạo autorun...............................................................................123
Hình 4-1: Chọn cấu hình mạng ....................................................................126
7
Hình 4-2: Host- only Networking ................................................................ 127
Hình 4-3: Tạo snapshot ................................................................................ 127
Hình 4-4: Phần mềm Peid .............................................................................128
Hình 4-5: Dependency Walker......................................................................129
Hình 4-6 ImportREC.................................................................................... 129
Hình 4-7 PE Tools........................................................................................ 130
Hình 4-8 HexEditor...................................................................................... 130
Hình 4-9: IDA pro........................................................................................ 131
Hình 4-10 Giao diện làm việc IDA pro......................................................... 132
Hình 4-11: Cửa sổ IDA view .......................................................................133
Hình 4-12: Cửa sổ Function.........................................................................134
Hình 4-13: Cửa sổ Import ............................................................................134
Hình 4-14: Cửa sổ tham chiếu Cross- references.........................................135
Hình 4-15: Cửa sổ Function calls..................................................................135
Hình4-16: Menu Jump................................................................................... 136
Hình 4-17: Menu Search ...............................................................................137
Hình 4-18: Tìm kiếm chuỗi cụ thể ................................................................ 138
Hình 4-19: Menu View.................................................................................. 138
Hình 4-20: Cửa sổ tùy chọn về complier ...................................................... 139
Hình 4-21: Menu Edit.................................................................................... 140
Hình 4-22: Giao diện phần mềm Reflector................................................... 141
Hình 4-23: VB Decomplier...........................................................................142
Hình 4-24 Giao diện làm việc Ollydbg......................................................... 143
Hình 4-25:Menu View................................................................................... 144
Hình 4-26: Menu Debug ..............................................................................145
Hình 4-27: Tùy chọn đáng chú ý trong cửa sổ Disassembler ....................... 147
Hình 96 File PE khi bị pack ..........................................................................151
Hình 4-28: Khi được giải nén.......................................................................152
Hình 4-30 Xem memorymap các section..................................................... 155
Hình 4-32: Xuất hiện các hàm giải mã......................................................... 156
Hình 4- 33: Danh sách các chuỗi được giải mã tìm được bằng Debug ........157
Hình 4-34 Sử dụng hàm có chức năng tương tự hàm GetProcAddress.......158
Hình 4-35: Viết lại tên hàng loạt các địa chỉ................................................. 158
8
Hình 4-36: Gọi Hàm check debug.................................................................159
Hình 4-37: Gọi hàm NOP.............................................................................159
Hình 4-38: Xác định được vùng buffer......................................................... 160
Hình 4-39: Lưu file cần lấy bắt đầu từ offset 184260...................................160
Hình 4-40: Sửa lại file với hexeditor............................................................. 161
Hình 4-41: Kiểm tra với file vừa sửa ........................................................... 161
Hình 4-42: Xem các section của file............................................................. 162
Hình 4-43: Dừng lại ở hàm Main..................................................................162
Hình 4-44: Lưu các địa chỉ...........................................................................163
Hình 4-45: Registry search............................................................................164
Hình 4-46: Kiểm tra môi trường ảo............................................................... 164
Hình 4-47: Openfile host...............................................................................165
Hình 4-48: In thêm các chuỗi........................................................................165
Hình 4-49: Xuất hiện hàm giải mã để lấy khóa registry .............................. 166
Hình 4-50: Hàm giải mã có địa chỉ 4048f9.................................................. 166
Hình 4- 51: Kiểm tra hàm giả mã để lấy chuỗi cần giải mã ......................... 167
Hình 4-52: Giải mã tên file dùng tên đăng kí Registry.................................167
Hình 4-53: Các đường dẫn ...........................................................................168
Hình 4-54: Lấy tên ổ đĩa và kiểu ổ đĩa......................................................... 168
Hình 4-55: Copy file virus tạo mới các file .................................................. 169
Hình 4-56: Tạo file autorun...........................................................................169
Hình 4-57: Tạo thread và các hoạt động chính .............................................170
Hình 4-59: Tạo conect tới C&C server ........................................................ 171
Hình 4-60: Dùng các socket API...................................................................171
Hình 4-61: Case Function với các lệnh của IRC như KICK,PRIVMSG .....172
Hình 4-62: Tìm được chức năng tự hủy – hủy các registry key. .................. 173
Hình 4-63 Lây lan file crack.exe...................................................................173
Hình 4-64: Đưa file lây lan vào mạng P2P ................................................... 174
Hình 4-65: Kiểm tra môi trường phân tích ................................................... 175
Hình 4-66: Tạo autorun................................................................................. 175
Hình 4-67 Lây lan file crack vào cacsi file .rar.............................................176
Hình 4-68 Lây nhiễm vào mạng P2P torrent ................................................ 176
9
Hình 5-1: Thiết kế tổng thể Sandbox – JoeBox............................................178
Hình 5-2 Thiết kế chi tiết Sandbox- Joebox.................................................. 179
Hình 5-3: Kỹ thuật hooking and logging ...................................................... 180
Hình 5-4: Quy trình khôi phục lại hệ thống .................................................. 180
Hình 5-5: Người dùng gửi yêu cầu tới nơi cung cấp phần mềm diệt virus..182
Hình 5-6: Người dùng gửi mẫu tới TheatExpert...........................................182
Hình 5-7: ThreatExpet trả về kết quả............................................................ 183
Hình 5-8: Mô hình thực nghiệm....................................................................185
Hình 5-9: Sysanalyzer ................................................................................... 185
Hình 5-10: Process Explorer .........................................................................186
Hình 5-11: Regshot ...................................................................................... 188
Hình 5-12: HijackThis.................................................................................. 189
Hình 5-13: TCPView.................................................................................... 190
Hình 5-14: Wireshark................................................................................... 191
Hình 5-15: Svchost Process Analyzer........................................................... 192
Hình 5-16 Autoruns...................................................................................... 193
10
LỜI NÓI ĐẦU
Ngày nay công nghệ thông tin, mạng Internet ngày càng phát triển. Khi
nhu cầu của việc sử dụng Internet của con người ngày càng tăng thì cũng
là lúc những nguy cơ mất an toàn thông tin xuất hiện càng nhiều, nổi bật
là các nguy cơ từ mã độc. Mã độc xuất hiện bất kỳ ở đâu trên môi trường
của các thiết bị điện tử như các đĩa mềm, thiết bị ngoại vi USB, máy tính
đến môi trường Internet trong các website, trong các tin nhắn, trong hòm
thư điện tử của người dùng, trong các phần mềm miễn phí….Mã độc đã
lây lan vào một máy tính hoặc hệ thống mạng sẽ gây những thiệt hại
khó lường. Hiện nay càng ngày càng nhiều loại mã độc xuất hiện ở các
thể hiện khác nhau, chạy trên nhiều môi trường khác nhau như Windows,
Linux, MacOS, Android, IOS... Giáo trình Mã độc sẽ giúp sinh viên có
những kiến thức cơ bản về mã độc, những hoạt động, những cách thức
để nhận dạng, phân tích xử lý mã độc, giảm thiểu thiệt hại cho các hệ
thống máy tính. Giáo trình gồm những chương như sau:
Chương 1. Tổng quan về mã độc
Nội dung trình bày các dạng mã độc, nguy cơ, các phương pháp phát
hiện và phòng chống mã độc.
Chương 2. Cơ chế hoạt động của mã độc
Nội dung trình bày các định dạng phổ biến của mã độc, cơ chế hoạt
động của mã độc.
Chương 3. Cơ bản về phân tích mã độc
Nội dung trình bày các kiến thức cơ bản về phân tích mã độc, quy trình
phân tích.
Chương 4. Các kỹ thuật phân tích tĩnh
Nội dung trình bày kỹ thuật phân tích tĩnh ứng dụng vào việc phân tích
mã độc.
Chương 5. Các kỹ thuật phân tích động
Nội dung trình bày kỹ thuật phân tích động ứng dụng vào việc phân tích
mã độc.
Hà nội, ngày 4 tháng 10 năm 2013
11
12
Chương 1
TỔNG QUAN VỀ MÃ ĐỘC
1.1 Lịch sử phát triển của mã độc hại
1.1.1. Khái niệm mã độc
Malware (Malicious software) hay còn gọi là mã độc (Malicious code)
là tên gọi chung cho các phần mềm được thiết kế, lập trình đặc biệt để
gây hại cho máy tính hoặc làm gián đoạn môi trường hoạt động mạng.
Mã độc thâm nhập vào một hệ thống máy tính mà không có sự đồng ý
của nạn nhân.
Mã độc hại còn được định nghĩa là “một chương trình (program) được
chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí
mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống”
Nhiều người sử dụng máy tính vẫn thường dùng thuật ngữ Virus để chỉ
chung cho các loại mã độc hại nhưng thực chất mã độc hại bao gồm
nhiều loại khác nhau.
1.1.2 Quy ước đặt tên
Hiện nay có rất nhiều loại mã độc khác nhau được các hãng phần mềm
diệt Virus thu thập tại các thời điểm khác nhau, điều này dẫn đến việc
thống nhất đặt tên mã độc theo một quy ước tên nhất định rất khó thực
hiện được. Vào năm 1991, các thành viên sáng lập CARO (Computer
Antivirus Reseachers Organization) đã thiết kế một chương trình đặt tên
cho mã độc ứng dụng cho các sản phẩm AntiVirus, tuy nhiên các chương
trình của tổ chức CARO này đã lạc hậu so với xu thế phát triển và tốc độ
phát trển của mã độc hiện giờ. Các nhà nghiên cứu, các hãng sản phẩm
không có thời gian để thỏa thuận với nhau tên chung cho một mẫu mã
độc mới. Mặc dù như vậy nhưng về cơ bản các hãng đều đặt tên các mẫu
mã độc theo quy ước như sau:
Type.Flatform.FamilyName.Variant
Trong đó:
Type chỉ ra kiểu mã độc: trojan, dropper, virus, adware, backdoor,
rootkit, worm...
Flatform chỉ ra môi trường họa động của mã độc :
13
Win32 : Hệ điều hành windows 32 bits
Win64 : Hệ điều hành windows 64 bits
Linux : Hệ điều hành Linux
OSX : Hệ điều hành Mac OSX
SymbOS : Symbian OS
Android : Hệ điều hành android
FamilyName: Tên dòng mã độc, với các đặc điểm, phương thức hoạt
động giống nhau.
Variant: đại diện cho các biến thể trong một dòng mã độc.
Ví dụ: Virus.Win32.XdocCrypt.1
Type: Virus, Flatform: Win32, Family: XdocCrypt, Variant:1.
1.1.3 Lịch sử phát triển
Hiện nay Internet ngày càng phát triển song song đó là sự phát triển lớn
mạnh của mã độc. Mỗi ngày có hàng trăm mẫu mã độc xuất hiện, dưới
nhiều hình thức khác nhau, mục tiêu khác nhau. Phần dưới đây liệt kê
một số mốc quan trọng sự phát triển của mã độc.
tự nhân bản của một chương trình cho máy tính.
Năm 1981 các virus đầu tiên xuất hiện trong hệ điều hành của máy tính
Apple II.
Năm 1983 Fred Cohen, một sinh viên đại học Mỹ, đã đưa ra định nghĩa
đầu tiên về virus: “Là một chương trình máy tính có thể tác động những
chương trình máy tính khác bằng cách sửa đổi chúng bằng phương pháp
đưa vào một bản sao của nó”. Fred Cohen luôn là cái tên được nhắc đến
khi nói về lịch sử virus.
Năm 1986 hai anh em lập trình viên người Pakistan là Basit và Amjad
thay thế mã thực hiện (executable code) trong rãnh ghi khởi động của
một đĩa mềm bằng mã riêng của họ, được thiết kế với mục đích phát tán
từ một đĩa mềm 360K khi cho vào bất cứ ổ đĩa nào. Loại đĩa mềm mang
virus này có mác “© Brain”. Đây chính là những virus MS-DOS xuất
hiện sớm nhất.
Năm 1987 Lehigh, một trong những virus file đầu tiên xâm nhập các
tệp lệnh command.com (virus này sau đó tiến hoá thành virus Jerusalem).
14
Một virus khác có tên IBM Christmas, với tốc độ phát tán cực nhanh
(500.000 bản sao/tiếng), là cơn ác mộng đối với các máy tính lớn
(mainframe) của Big Blue trong suốt năm đó. đồng hồ của máy tính
(giống bom nổ chậm cài hàng loạt cho cùng một thời điểm).
Tháng 11 cùng năm, Robert Morris chế ra worm chiếm cứ các máy tính
của ARPANET làm liệt khoảng 6.000 máy.
Năm 1991 virus đa hình (polymorphic virus) ra đời đầu tiên là Tequilla.
Loại này biết tự thay đổi hình thức của nó, gây ra sự khó khăn cho các
chương trình chống virus.
Năm 1994 Trò lừa qua e-mail đầu tiên xuất hiện trong cộng đồng tin
học. Trò này cảnh báo người sử dụng về một loại virus có thể xoá toàn
bộ ổ cứng ngay khi mở e-mail có dòng chủ đề “Good Times”. Mặc dù
không gây thiệt hại gì mà chỉ có tính chất doạ dẫm, trò lừa này vẫn tiếp
tục xuất hiện trong chu kỳ từ 6 đến 12 tháng/lần.
Năm 1995 macro virus đầu tiên xuất hiện trong các mã macro trong các
tệp của Word và lan truyền qua rất nhiều máy. Loại virus này có thể làm
hư hệ điều hành chủ.
Năm 1999 Bubble Boy sâu máy tính đầu tiên không dựa vào việc người
nhận email có mở file đính kèm hay không. Chỉ cần thư được mở ra, nó
vẫn sẽ tự hoạt động.
Năm 2003 Slammer một loại worm lan truyền với vận tốc kỉ lục, truyền
cho khoảng 75 ngàn máy trong 10 phút.
Năm 2004 đánh dấu một thế hệ mới của mã độc hại là worm Sasser. Với
loại worm này thì người ta không cần phải mở đính kèm của điện thư mà
chỉ cần mở lá thư là đủ cho nó xâm nhập vào máy. Sasser không hoàn
toàn hủy hoại máy mà chỉ làm cho máy chủ trở nên chậm hơn và đôi khi
nó làm máy tự khởi động trở lại. Ở Việt Nam mã độc hại cũng gây ra
những thiệt hại đáng kể.
Năm 2005 Sự xuất hiện của các Virus lây qua các dịch vụ chatting. Các
dịch vụ chatting trực tuyến như Yahoo!, MSN bắt đầu được Virus lợi
dụng như một công cụ phát tán trên mạng. Theo thống kê của BKAV thì
trong vòng 6 tháng đầu năm có tới 7 dòng Virus lây lan qua các dịch vụ
chatting xuất hiện ở Việt Nam. Trong thời gian tới những Virus tấn công
15
thông qua các dịch vụ chatting sẽ còn xuất hiện nhiều hơn nữa khi mà số
người sử dụng dịch vụ ngày càng tăng.
Cũng trong năm này đã ghi nhận loại mã độc phát tán qua mail cực kỳ
nguy hiểm. MyTob là loại Virus tạo ra một mạng lưới “Botnet”, các máy
tính bị kiểm soát có thể bị lợi dụng để phát tán thư rác, cài đặt các phần
mềm SpyWare và gây ra các cuộc tấn công giả mạo. Mặc dù vào thời
điểm này Botnet và các cuộc tấn công vào email không hề mới nhưng
MyTob là loại Virus đầu tiên đã kết hợp mạng lưới Botnet với một
chương trình gửi email hàng loạt. Giúp kẻ tấn công đánh cắp thông tin,
tiền… của người của nạn nhân chứ không phải chỉ là nghịch ngợm, quấy
rối như trước đây.
Tháng 6/2010 đánh dấu một bước ngoặt về mã độc hại. Đó là sự xuất
hiện của “Sâu máy tính chiến tranh mạng Stuxnet”. Stuxnet lây lan qua
các thiết bị USB và các phương pháp khác, Stuxnet được tạo ra để phá
hoại một mục tiêu cụ thể: Nhà máy lọc dầu, nhà máy điện, hay nhà máy
hạt nhân(điển hình là cuộc tấn công vào nhà máy hạt nhân làm giàu
Uranium của Iran gây ra thiệt hại vô cùng lớn của nước này khi tạo ra sự
ngưng trệ mất hai năm của nhà máy).
Tháng 3/2011 là sự “lên ngôi” của các loại mã độc trong môi trường
mobile. Kẻ tấn công phát tán mã độc lên những chiếc điện thoại thông
mình nhằm thu thập thông tin người dùng. Điển hình là hơn 3000 điện
thoại Vodafone bị phơi nhiễm mã độc.
1.1.4 Xu hướng phát triển
Hiện nay ngày càng nhiều phần mềm độc hại nhằm đến các nền tảng
di động, đặc biệt nhằm vào các điện thoại thông minh. Theo báo cáo của
hãng AntiVirus Kaspersky quý 2/2013 thì đã có hơn 100 000 phần mềm
độc hại trên di động được phát hiện.
Các dữ liệu được thu thập bằng cách sử dụng Kaspersky Security
Network dựa trên công nghệ đám mây (KSN). Tất cả các số liệu được
thực hiện với sự đồng ý của người sử dụng tham gia KSN.
Những phần mềm này chủ yếu đến từ các quốc gia có số người sử dụng
Internet cao, đặc biệt là Trung Quốc. Số liệu của Kaspersky cho thấy
tổng số website phát tán malware có tới 26% site nằm tại Trung Quốc.
16
Tiếp theo đó là Mỹ (18%) và Nga (12%). Các chương trình mã độc hại
ngày càng phức tạp và nguy hiểm, nhưng cũng có chương trình lại rất
đơn giản xét từ góc độ kỹ thuật, và lại rất phổ biến. Tuy nhiên, các
chương trình phức tạp và nguy hiểm lại tăng lên nhiều so với 2 năm
trước đây, trong đó nguy hiểm nhất là những chương trình có khả năng
tự nhân bản, giữ nguyên các tính năng phá hoại và đồng thời sử dụng
những cách thức che dấu sự hiện diện của mình trong hệ thống. Bản thân
công nghệ được sử dụng để lẩn tránh của mã độc hại là rất mới và tinh vi.
Cách đây 3-4 năm, công nghệ tự che dấu như vậy vẫn còn trong giai
đoạn nghiên cứu, nhưng hiện nay chúng đã trở thành phổ biến toàn cầu.
Công nghệ tự nhân bản thì tuy đã có cách đây 20 năm và về nguyên lý
thì công nghệ này không có gì thay đổi cho đến nay. Tuy nhiên, khả
năng tự nhân bản hiện nay thường kết hợp với những công nghệ khác để
tạo ra khả năng lây lan và phá hoại hiệu quả hơn rất nhiều.
Hình 1-1 Các nguy cơ mất an toàn
Ngay trong năm 2013 đã có tới 15 triệu mã độc hại, số lượng người
dùng Internet ở Trung Quốc tăng rất nhanh, cao hơn cả Mỹ, chiếm tỷ lệ
lớn nhất về lượng người sử dụng Internet trên toàn cầu. Đồng thời, có
mức tăng cao các hình thức tội phạm không gian ảo (cyber crime), sử
dụng các chương trình độc hại như một công cụ hiệu quả để đánh cắp tài
sản. Trung Quốc là nơi có nhiều người dùng Internet nhất và cũng là nơi
xuất phát nhiều tội phạm nhất là như vậy.
17
Hiện nay sự phát triển của các mạng xã hội sẽ tạo ra môi trường tốt cho
các chương trình độc hại. Điều này dễ hiểu vì người dùng thường tin
tưởng các thành viên trong mạng xã hội, và do đó cũng không e ngại
hoặc ít đề phòng hơn so với những cách thức giao tiếp khác. Mặt khác,
mạng xã hội quy tụ rất nhiều thành phần, và trình độ nhận thức, hiểu biết
về an toàn, bảo mật của người dùng trong mạng cũng rất thấp. Từ đó, có
thể thấy rằng các chương trình độc hại tìm được môi trường rất phù hợp
trong mạng xã hội ảo. Bên cạnh đó, hiện giờ các điện thoại thông minh
( smartphone) rất phổ biến. Những điện thoại này đều sử dụng các hệ
điều hành và thường đều có các kho ứng dụng trên mạng. Những kho
ứng dụng này cho phép các lập trình viên gửi phần mềm để kiếm thu
nhập, hoặc miễn phí. Tuy nhiên có rất nhiều phần mềm đã bị cài mã độc
mà bên phía quản trị các kho ứng dụng không kiểm soát được hết vấn đề
này. Theo thống kê Bộ An ninh nội địa và Bộ Tư pháp Mỹ đã công bố
báo cáo về các mối đe dọa trên các hệ điều hành di động mà người tiêu
dùng Mỹ phải đối mặt trong năm 2012. Kết quả là 79% các loại mã độc
di động tập trung tấn công Android, hệ điều hành di động phổ biến nhất
thế giới. Điều đáng ngạc nhiên là hệ điều hành bị tấn công nhiều thứ hai
sau Android không phải là iOS của Apple mà là Symbian của Nokia,
một hệ điều hành đang chết dần. Khoảng 19% mã độc nhắm vào hệ điều
hành này. Nokia hiện đã chuyển hẳn sang hệ điều hành Window Phone
do Microsoft phát triển, do đó số lượng điện thoại chạy Symbian hiện
không còn nhiều. iOS chỉ hứng chịu sự tấn công của 0,7% mã độc, trong
khi hệ điều hành Window Phone và BlackBerry cùng lĩnh 0,3% mã độc.
Các chuyên gia cho biết các con số trên không phản ánh sự an toàn của
các hệ điều hành. Số lượng mã độc tấn công một hệ điều hành không
tương đương với số người sử dụng tải và chạy các mã độc đó.
18
Hình 1-2 Điện thoại sử dụng hệ điều hành Android, IOS, Symbian
Tuy nhiên, con số 79% của Android vẫn cao gấp bốn lần so với hệ điều
hành đứng sau. Do số người sử dụng Android quá lớn, đây có thể là một
mối đe dọa an ninh nghiêm trọng. Báo cáo của Chính phủ Mỹ cho biết
mối đe dọa mã độc đối với Android đến từ ba hướng: tin nhắn chứa mã
độc Trojan, mã độc rootkit và các ứng dụng độc hại trên các cửa hàng
Google Play giả.
Tin nhắn Trojan chiếm 50% các vụ tấn công nhắm vào Android và có
thể
khiến
người
sử
dụng
thiệt
hại
nhiều
tiền.
\
Hình 1-3 Biểu độ sự phát triển mã độc
1.2 Phân loại mã độc
Có nhiều tiêu chí để phân loại mã độc hại, dưới đây là hai cách
phân loại dựa vào hình thức lây nhiễm và của NIST-National Institute of
19
Standart and Technology (Viện tiêu chuẩn – công nghệ quốc gia Hoa kỳ).
Sự chỉ phân loại mang tính chất tương đối.
1.2.1.Theo hình thức lây nhiễm
Hình 1-4 Phân loại mã độc hại
Theo hình trên mã độc hại gồm 2 loại chính: một loại cần vật chủ
để tồn tại và lây nhiễm, vật chủ ở đây có thể là các file dữ liệu, các file
ứng dung, hay các file chương trình thực thi… và một loại là tồn tại độc
lập.
Độc lập nghĩa là đó là chương trình độc hại mà có thể được lập
lịch và chạy trên hệ điều hành.
Không độc lập (needs host program) là 1 đoạn chương trình đặc
biệt thuộc 1 chương trình nào đó không thể thực thi độc lập như một
chương trình thông thường hay tiện ích nào đó mà bắt buộc phải có
bước kích hoạt chương trình chủ trước đó thì chương trình đó mới chạy.
1.2.1.1.Trap Door
Trap Door còn được gọi là Back Door.
Trong đời sống thường Trap Door mang ý nghĩa “cánh cửa” để
vào một tòa nhà.
Trap door là một điểm bí mật trong một chương trình, cho phép
một ai đó có thể truy cập lại hệ thống mà không phải vượt qua các hàng
rào an ninh như thông thường. Trap door được sử dụng bởi những nhà
lập trình với mục đích dò lỗi, kiểm tra chương trình.
20
Tải về để xem bản đầy đủ
124 trang
35241
Free
Bạn đang xem 20 trang mẫu của tài liệu "Giáo trình Mã độc (Phần 1)", để tải tài liệu gốc về máy hãy click vào nút Download ở trên
File đính kèm:
- giao_trinh_ma_doc_phan_1.pdf
