Luận Văn Thạc Sĩ: Xây Dựng Chương Trình Diệt Mã Độc Dựa Trên Bộ Luật YARA

Luận văn thạc sĩ trình bày xây dựng chương trình diệt mã độc dựa trên bộ luật Yara, góp phần nâng cao an ninh mạng và bảo vệ dữ liệu.

• Tác giả: Phùng Anh Tuấn
• Người hướng dẫn: TS. Đào Ngọc Phong
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Chương Trình Diệt Mã Độc Dựa Trên Bộ Luật YARA
• Loại tài liệu: Đề án thạc sĩ kỹ thuật
• Năm xuất bản: 2023
• Địa điểm: Hà Nội

Mục lục chi tiết

• MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU
• 1.1. Thực trạng về vấn đề mã độc và các công cụ diệt mã độc hiện nay
• 1.2. Một số giải pháp phòng chống mã độc hiện nay
• 1.3. Nguy cơ an ninh từ các phần mềm phòng chống mã độc
• 1.4. Tổng kết chương
• 2. CHƯƠNG 2: XÂY DỰNG CHƯƠNG TRÌNH DIỆT MÃ ĐỘC DỰA TRÊN BỘ LUẬT YARA
• 2.1. Kĩ thuật phát hiện mã độc
• 2.2. Ứng dụng bộ luật YARA trong định dạng đặc trưng mã độc
• 2.3. Mô hình chương trình diệt mã độc dựa trên bộ luật YARA
• 2.4. Tổng kết chương
• 3. CHƯƠNG 3: CÁC KỊCH BẢN THỬ NGHIỆM, ĐÁNH GIÁ
• 3.1. Mô hình thử nghiệm
• 3.2. Hạn chế và hướng phát triển
• 3.3. Tổng kết chương
• TÀI LIỆU THAM KHẢO
• BẢN CAM ĐOAN

Tóm tắt

I. Tổng Quan Về Chương Trình Diệt Mã Độc Dựa Trên Bộ Luật YARA

Chương trình diệt mã độc dựa trên bộ luật YARA là một giải pháp hiệu quả trong việc phát hiện và ngăn chặn mã độc. YARA cho phép người dùng định nghĩa các quy tắc để nhận diện mã độc dựa trên các đặc điểm cụ thể. Điều này giúp tăng cường khả năng bảo mật cho hệ thống thông tin, đặc biệt trong bối cảnh các cuộc tấn công mạng ngày càng gia tăng.

1.1. Khái Niệm Về Bộ Luật YARA Trong Diệt Mã Độc

Bộ luật YARA là một công cụ mạnh mẽ giúp phát hiện mã độc thông qua việc sử dụng các quy tắc định nghĩa. Nó cho phép người dùng tạo ra các mẫu nhận diện mã độc dựa trên các đặc điểm cụ thể của mã độc.

1.2. Lợi Ích Của Việc Sử Dụng YARA Trong An Ninh Mạng

Việc sử dụng YARA trong an ninh mạng giúp tăng cường khả năng phát hiện mã độc, giảm thiểu rủi ro lây nhiễm và bảo vệ thông tin nhạy cảm. YARA cũng hỗ trợ trong việc phân tích mã độc và quản lý các mối đe dọa.

II. Vấn Đề Mã Độc Hiện Nay Và Thách Thức Đối Với An Ninh Mạng

Mã độc đang trở thành một trong những mối đe dọa lớn nhất đối với an ninh mạng. Các loại mã độc như virus, ransomware, và trojan ngày càng tinh vi hơn, gây ra thiệt hại lớn cho các tổ chức và cá nhân. Việc phát hiện và ngăn chặn mã độc là một thách thức lớn trong bối cảnh công nghệ thông tin phát triển nhanh chóng.

2.1. Các Loại Mã Độc Phổ Biến Hiện Nay

Các loại mã độc phổ biến hiện nay bao gồm virus, trojan, ransomware, và spyware. Mỗi loại mã độc có cách thức lây nhiễm và mục đích khác nhau, gây ra nhiều thiệt hại cho người dùng.

2.2. Thách Thức Trong Việc Phát Hiện Mã Độc

Thách thức lớn nhất trong việc phát hiện mã độc là sự phát triển không ngừng của các kỹ thuật tấn công. Các mã độc ngày càng tinh vi, khó phát hiện và có khả năng ẩn náu trong hệ thống.

III. Phương Pháp Phát Hiện Mã Độc Dựa Trên Bộ Luật YARA

Phương pháp phát hiện mã độc dựa trên bộ luật YARA sử dụng các quy tắc định nghĩa để nhận diện mã độc. Các quy tắc này có thể được tùy chỉnh để phù hợp với từng loại mã độc cụ thể, giúp tăng cường khả năng phát hiện và ngăn chặn mã độc hiệu quả.

3.1. Nguyên Tắc Hoạt Động Của YARA

YARA hoạt động dựa trên việc so sánh các mẫu mã độc với các tệp tin trong hệ thống. Khi phát hiện sự trùng khớp, YARA sẽ cảnh báo người dùng về sự hiện diện của mã độc.

3.2. Cách Tạo Quy Tắc YARA Để Phát Hiện Mã Độc

Người dùng có thể tạo quy tắc YARA bằng cách xác định các đặc điểm của mã độc, như chuỗi ký tự, kích thước tệp, và các thuộc tính khác. Quy tắc này sẽ giúp YARA nhận diện mã độc một cách chính xác.

IV. Ứng Dụng Thực Tiễn Của Chương Trình Diệt Mã Độc Dựa Trên YARA

Chương trình diệt mã độc dựa trên YARA đã được áp dụng thành công trong nhiều tổ chức và doanh nghiệp. Việc sử dụng YARA giúp tăng cường khả năng bảo mật, phát hiện mã độc nhanh chóng và hiệu quả, từ đó bảo vệ thông tin nhạy cảm của tổ chức.

4.1. Kết Quả Thực Tế Từ Việc Ứng Dụng YARA

Nhiều tổ chức đã ghi nhận sự cải thiện đáng kể trong khả năng phát hiện mã độc sau khi triển khai YARA. Điều này giúp giảm thiểu thiệt hại do mã độc gây ra.

4.2. Các Tình Huống Thực Tế Khi Sử Dụng YARA

YARA đã được sử dụng trong nhiều tình huống thực tế, từ việc phát hiện mã độc trong các tệp tin đến việc ngăn chặn các cuộc tấn công mạng. Điều này chứng tỏ tính hiệu quả của YARA trong việc bảo vệ an ninh mạng.

V. Kết Luận Về Chương Trình Diệt Mã Độc Dựa Trên YARA

Chương trình diệt mã độc dựa trên bộ luật YARA là một giải pháp hiệu quả trong việc bảo vệ an ninh mạng. Việc áp dụng YARA không chỉ giúp phát hiện mã độc mà còn nâng cao nhận thức về an ninh thông tin trong tổ chức. Tương lai của YARA hứa hẹn sẽ còn phát triển hơn nữa với sự cải tiến trong công nghệ.

5.1. Tương Lai Của YARA Trong An Ninh Mạng

YARA sẽ tiếp tục phát triển và cải tiến để đáp ứng nhu cầu ngày càng cao trong việc bảo vệ an ninh mạng. Các tính năng mới sẽ giúp YARA trở thành công cụ không thể thiếu trong việc phát hiện mã độc.

5.2. Khuyến Nghị Đối Với Các Tổ Chức

Các tổ chức nên xem xét việc triển khai YARA như một phần trong chiến lược bảo mật của mình. Việc đào tạo nhân viên về YARA cũng là một yếu tố quan trọng để nâng cao khả năng bảo vệ an ninh mạng.

Nội dung chính

Tổng quan nghiên cứu

Không gian mạng Việt Nam đang chứng kiến sự gia tăng mạnh mẽ của các cuộc tấn công mạng có chủ đích và sự bùng phát của nhiều dòng mã độc tinh vi. Theo thống kê từ Cục An toàn thông tin (Bộ Thông tin và Truyền thông), chỉ trong tháng 8/2022 đã ghi nhận và cảnh báo 907 cuộc tấn công mạng gây ra sự cố vào các hệ thống thông tin tại Việt Nam. Đồng thời, ghi nhận tới 619.610 địa chỉ IP nằm trong các mạng máy tính ma (botnet) và chặn thành công 163 website lừa đảo. Báo cáo tổng kết an ninh mạng của Bkav cũng chỉ ra rằng thiệt hại do virus máy tính gây ra cho người dùng trong nước lên tới 21,2 nghìn tỷ đồng (tương đương 883 triệu USD). Các loại mã độc nguy hiểm như Macro lây nhiễm trên 1,5 triệu máy tính, Stealer xâm nhập hơn 750.000 thiết bị, trong khi Ransomware và APT ảnh hưởng đến 180.000 hệ thống quan trọng.

Thực trạng này đặt ra thách thức lớn khi các phần mềm diệt virus ngoại lai thường can thiệp quá sâu vào quyền quản trị hệ thống, tiêu tốn trên 10% tài nguyên CPU và tiềm ẩn nguy cơ lộ lọt dữ liệu bí mật khi liên tục trao đổi dữ liệu về máy chủ quốc tế. Đề án thạc sĩ kỹ thuật chuyên ngành Hệ thống thông tin của tác giả Phùng Anh Tuấn, dưới sự hướng dẫn khoa học của TS. Đào Ngọc Phong tại Học viện Công nghệ Bưu chính Viễn thông (2023), tập trung giải quyết bài toán cấp thiết: Xây dựng chương trình tìm kiếm và diệt mã độc tự chủ, hoạt động ổn định trên hệ điều hành Windows dựa trên chuẩn nhận dạng bộ luật YARA. Nghiên cứu hướng đến mục tiêu thiết kế giải pháp bảo vệ dữ liệu độc lập, không gửi thông tin ra bên ngoài, đáp ứng yêu cầu an ninh thông tin nghiêm ngặt của các cơ quan trọng yếu, lực lượng vũ trang và doanh nghiệp lớn.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu được xây dựng trên nền tảng vững chắc của hai hướng tiếp cận phân tích mã độc kinh điển: phát hiện theo dấu hiệu đặc trưng (Signature-based) và phát hiện dựa trên điểm bất thường (Anomaly-based). Trong phân tích tĩnh, nghiên cứu khai thác sâu cấu trúc tệp thực thi di động (PE Header), bảng xuất nhập hàm API, chuỗi trích xuất và các đoạn mã nhị phân đặc trưng. Để khắc phục nhược điểm của phương pháp kiểm tra mã băm đơn thuần (MD5, SHA-256), tác giả ứng dụng kỹ thuật Fuzzy Hashing (Context Triggered Piecewise Hashing - CTPH) kết hợp giữa Piecewise Hashing và Rolling Hash nhằm nhận diện các biến thể mã độc cùng họ.

Trọng tâm lý thuyết của đề án là công nghệ nhận dạng mẫu chuẩn YARA. Bộ luật YARA cho phép định nghĩa các quy tắc (rules) linh hoạt bao gồm khối thông tin mô tả (meta), tập hợp chuỗi mẫu (strings dạng văn bản, mã thập lục phân hex, biểu thức chính quy Regex) và điều kiện logic Boolean (conditions). Nghiên cứu ứng dụng các module mở rộng như Module PE và Module ELF để phân tích chuyên sâu các thuộc tính tệp thực thi. Bên cạnh đó, các nguyên lý phân tích động, kỹ thuật chặn hành vi (Behavior Blocking) và cơ chế can thiệp tiến trình bộ nhớ trong Windows cũng được tích hợp vào khung giải pháp lý thuyết.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp thực nghiệm kết hợp phân tích đối sánh kỹ thuật. Nguồn dữ liệu thực nghiệm bao gồm cỡ mẫu 1.200 mẫu mã độc thực tế (bao gồm các dòng nguy hiểm như njRAT, DarkComet, virus Stoned với 16 bytes opcode mẫu, CryptoBot, Ransomware) được thu thập từ các nguồn uy tín như VirusTotal, FireEye, ElasticSearch Security và Trellix. Bên cạnh đó, tập dữ liệu kiểm chuẩn chứa 3.000 tệp tin hệ thống sạch (clean files) nhằm đánh giá khả năng phân loại chính xác.

Phương pháp chọn mẫu có chủ đích (purposive sampling) được áp dụng nhằm bao phủ toàn diện các họ mã độc phổ biến nhất đang tấn công người dùng tại Việt Nam. Lý do lựa chọn phương pháp phân tích tĩnh kết hợp quét tiến trình bộ nhớ qua dịch vụ ngầm (Windows Service) là nhằm tối ưu hóa tốc độ xử lý, giảm thiểu độ trễ I/O và đảm bảo an toàn tuyệt đối cho hệ thống máy chủ mà không cần thực thi trực tiếp mã độc. Toàn bộ chương trình được lập trình bằng ngôn ngữ C# và C++ trên nền tảng Visual Studio và .NET Framework 4.7, hoàn thành thử nghiệm trong giai đoạn 2022-2023 trên môi trường hệ điều hành Windows 10.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình thử nghiệm thực tế chương trình diệt mã độc dựa trên bộ luật YARA đã mang lại những kết quả kỹ thuật nổi bật:

• Khả năng phát hiện và cô lập tiến trình độc hại: Chương trình nhận diện chính xác 100% các tiến trình nguy hiểm đang chạy ngầm trong bộ nhớ RAM từ các công cụ điều khiển từ xa khét tiếng như njRAT và DarkComet. Hệ thống tự động phân tách tiến trình cha - con, vô hiệu hóa và chấm dứt tiến trình độc hại ngay lập tức mà không gây xung đột hệ thống.
• Tốc độ và độ chính xác quét tệp tin: Trên tập dữ liệu kiểm thử 1.200 mẫu mã độc, hệ thống đạt tốc độ quét trung bình từ 45 đến 60 tệp/giây. Tỷ lệ phát hiện chính xác đạt mức 98,5%, trong khi tỷ lệ cảnh báo sai (false positive) trên 3.000 tệp tin sạch được kiểm soát ở mức cực thấp, chỉ dưới 0,8%.
• Tối ưu hóa hiệu năng phần cứng: Trái ngược với các phần mềm thương mại chiếm từ 10% đến 25% tài nguyên máy, chương trình chỉ sử dụng trung bình dưới 3,5% CPU và khoảng 45MB RAM ở trạng thái giám sát nền.
• Cơ chế xử lý tệp cứng đầu: Với các tệp tin mã độc bị khóa hoặc kháng xóa, chương trình ghi nhận vào tệp nhật ký Delete_list.dat và tự động thực thi lệnh xóa an toàn ngay tại chu kỳ khởi động tiếp theo của hệ điều hành.

Thảo luận kết quả

Các kết quả thực nghiệm chứng minh tính ưu việt của kiến trúc phân tách 4 module: Module giao diện người dùng, Module tiếp nhận yêu cầu, Module nhận dạng mã độc (YARA Engine Service) và Module quản lý hệ thống. Việc biên dịch sẵn tập luật YARA vào bộ nhớ RAM thông qua một dịch vụ nền độc lập giúp tăng tốc độ so khớp mẫu chuỗi byte nhanh gấp 3 lần so với cơ chế đọc tệp tuần tự truyền thống.

Dữ liệu thử nghiệm có thể được biểu diễn trực quan thông qua biểu đồ cột so sánh hiệu năng, thể hiện rõ mức độ chiếm dụng CPU vượt trội của chương trình (3,5%) so với các phần mềm diệt virus thông thường (10% - 15%). Đồng thời, một bảng ma trận nhầm lẫn (Confusion Matrix) có thể minh họa chi tiết tỷ lệ 98,5% phát hiện đúng (True Positive) và 0,8% báo động giả (False Positive). So với các phần mềm diệt virus thương mại thường xuyên gửi báo cáo về máy chủ đám mây quốc tế, mô hình này đảm bảo tính đóng gói cục bộ 100%, loại trừ hoàn toàn nguy cơ rò rỉ dữ liệu mật hoặc bị lợi dụng như một kênh gián điệp mạng.

Đề xuất và khuyến nghị

Dựa trên kết quả nghiên cứu thực nghiệm, tác giả đề xuất 4 giải pháp trọng tâm nhằm nâng cao năng lực phòng chống mã độc:

1. Chuẩn hóa quy trình cập nhật luật YARA tự động: Thiết lập hệ thống tự động tổng hợp, kiểm tra xung đột và đóng gói các tập luật YARA mới từ các trung tâm an ninh mạng định kỳ 24 giờ/lần, nâng quy mô cơ sở dữ liệu lên hơn 10.000 quy tắc nhận dạng.
2. Tích hợp mô hình học máy phân tích hành vi: Nghiên cứu bổ sung thuật toán cây quyết định (Random Forest) kết hợp phân tích Heuristic trong vòng 6 tháng tới để nâng tỷ lệ nhận diện các dòng mã độc Zero-day chưa từng biết lên trên 95%.
3. Ban hành chính sách an ninh thông tin đồng bộ: Các tổ chức cần thiết lập quy định bắt buộc rà quét 100% thiết bị lưu trữ ngoài (USB, ổ cứng di động), đồng thời áp dụng chính sách chặn toàn bộ tệp tin thực thi (.exe) đính kèm trong hệ thống thư điện tử nội bộ.
4. Triển khai ứng dụng tự chủ trong cơ quan trọng yếu: Khuyến nghị các đơn vị Cơ yếu, lực lượng vũ trang và các tập đoàn nhà nước chủ động triển khai phần mềm diệt mã độc nội bộ, đảm bảo 100% dữ liệu không bị chuyển hướng sang máy chủ bên ngoài.

Đối tượng nên tham khảo luận văn

• Kỹ sư an toàn thông tin và Chuyên viên SOC: Nắm vững phương pháp biên soạn và tối ưu hóa bộ luật YARA để chủ động săn lùng mối đe dọa (Threat Hunting), phát hiện các chiến dịch APT và mã độc RAT.
• Cán bộ quản trị hệ thống tại các cơ quan nhà nước: Có thêm tài liệu tham khảo thực tiễn để xây dựng công cụ rà soát mã độc nội bộ, giảm 70% rủi ro phụ thuộc vào phần mềm thương mại nước ngoài.
• Học viên cao học và Sinh viên ngành Công nghệ thông tin: Nguồn tài liệu học thuật giá trị về kỹ thuật can thiệp sâu hệ điều hành Windows API, cấu trúc tệp tin PE và lập trình hệ thống an toàn bằng C#/C++.
• Lãnh đạo doanh nghiệp và Giám đốc công nghệ (CTO): Cơ sở định hướng chiến lược để xây dựng hệ thống phòng thủ đa tầng với chi phí tối ưu và tính bảo mật dữ liệu tuyệt đối.

Câu hỏi thường gặp

Bộ luật YARA có ưu thế gì vượt trội so với việc sử dụng mã băm MD5 hay SHA-256 truyền thống?
Mã băm truyền thống chỉ nhận diện được chính xác một tệp tin duy nhất; kẻ tấn công chỉ cần thay đổi 1 byte là mã băm thay đổi hoàn toàn. Trong khi đó, luật YARA mô tả các chuỗi đặc trưng, biểu thức chính quy và thuộc tính logic, giúp nhận diện chính xác cả một họ mã độc cùng các biến thể phái sinh.

Chương trình xử lý như thế nào đối với các tiến trình mã độc đang chạy ẩn trong bộ nhớ RAM?
Hệ thống quét toàn bộ không gian địa chỉ của các tiến trình đang chạy thông qua Windows API, so khớp trực tiếp với tập luật YARA đã nạp. Khi phát hiện mã độc (như njRAT hay DarkComet), module quản lý hệ thống sẽ lập tức can thiệp quyền System để dừng tiến trình và xóa tệp tin gốc.

Phần mềm tự xây dựng này có làm giảm hiệu năng máy tính như các phần mềm diệt virus thông thường không?
Không. Thử nghiệm thực tế cho thấy chương trình chỉ chiếm dụng dưới 3,5% tài nguyên CPU và 45MB RAM ở trạng thái giám sát, thấp hơn rất nhiều so với mức chiếm dụng tối thiểu 10% của các phần mềm Antivirus thương mại nặng nề.

Làm cách nào để bổ sung các dấu hiệu nhận dạng khi xuất hiện một loại mã độc mới?
Người quản trị chỉ cần viết thêm một tệp quy tắc YARA mới với cú pháp chuẩn (gồm khối meta, strings và condition) và nạp vào thư mục luật của chương trình. Dịch vụ quét sẽ tự động biên dịch lại tập luật trong vòng chưa đầy 2 giây mà không cần khởi động lại toàn bộ phần mềm.

Chương trình có khả năng hoạt động trên những phiên bản hệ điều hành nào?
Chương trình được tối ưu hóa để hoạt động mượt mà trên hệ điều hành Windows 10 và các phiên bản Windows cập nhật tiếp theo, yêu cầu môi trường cài đặt sẵn nền tảng .NET Framework phiên bản 4.7 trở lên.

Kết luận

• Đề tài đã nghiên cứu toàn diện và làm chủ công nghệ nhận dạng mã độc hiện đại dựa trên chuẩn bộ luật YARA.
• Xây dựng thành công phần mềm diệt mã độc hoàn chỉnh trên Windows với 4 module chức năng, đạt tỷ lệ phát hiện chính xác 98,5%.
• Giải quyết triệt để bài toán tự chủ công nghệ an ninh thông tin, loại bỏ nguy cơ lộ lọt dữ liệu bí mật ra máy chủ nước ngoài.
• Tối ưu hóa hiệu năng hệ thống vượt trội với mức chiếm dụng CPU chỉ dưới 3,5% và RAM khoảng 45MB.
• Hướng phát triển tiếp theo trong giai đoạn 2024-2025 là tích hợp trí tuệ nhân tạo Heuristic và mở rộng hỗ trợ trên hệ điều hành Linux.

Quý độc giả, chuyên gia an ninh mạng và học viên quan tâm có thể khai thác chi tiết các mô hình kiến trúc và tập luật YARA mẫu trong toàn văn đề án để ứng dụng hiệu quả vào công tác bảo đảm an toàn thông tin thực tế.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU 1. THỰC TRẠNG VỀ VẤN ĐỀ MÃ ĐỘC VÀ CÁC CÔNG CỤ DIỆT MÃ ĐỘC HIỆN NAY 1. Thực trạng về vấn đề mã độc Mã độc mà điển hình nhất là Virus và Trojan hay gần đây là Ransomware, Stealer đang trở thành một trong những mối hiểm họa lớn nhất đối với các hệ thống thông tin. Các mã độc hiện nay thường tập trung vào đánh cắp dữ liệu, mã hóa dữ liệu nhằm tống tiền, theo dõi, gián điệp các cơ quan, tổ chức lớn.

Mục đích của kẻ tấn công sử dụng phần mềm độc hại thường nhắm đến mục đích lợi ích kinh tế hoặc mục tiêu chính trị. Mã độc thường có các mục đích sau: + Bot Net : Là loại mã độc có khả năng tự nhân bản và lây nhiễm lên các máy tính trong cùng hệ thống mạng, nhằm kiểm soát càng nhiều thiết bị càng tốt, tạo lập hệ thống mạng các thiết bị do tin tặc kiểm soát. + Phần mềm gián điệp: Là dạng phần mềm thu thập thông tin cá nhân, tài liệu, theo dõi các hoạt động trên mạng Internet của nạn nhân. + Trojan: Loại mã độc ngụy trang dưới vỏ bọc phần mềm vô hại và thậm chí có thể hoạt động, như một chương trình hợp pháp trong hệ thống trước khi thực hiện các hành vi độc hại được chỉ định.

+ Stealer: là phần mềm độc hại sửa đổi trình duyệt web và chuyển hướng dữ liệu nhằm thu thập thông tin người dùng thông qua trình duyệt. + Rootkit: là các mã độc hoạt động dưới quyền quản trị, driver điều khiển phần cứng, ẩn sâu trong hệ điều hành và thực hiện các hành vi độc hại. + Malvertising là các dạng phần mềm độc hại sử dụng cho mục đích quảng cáo trực tuyến. + Mã độc tống tiền (Ransomware): Là loại mã độc mã hóa tệp tin của người dùng và đòi tiền chuộc nhằm giải mã nó.

+ Mã độc APT: Là mã độc được sử dụng trong các chiến dịch tấn công APT (tấn công có chủ đích, thường nhắm đến mục tiêu có giá trị kinh tế, chính trị cao), được 5 thiết kế với mục đích cụ thể của kẻ tấn công (đánh cắp tài liệu, đánh cắp tài khoản thư điện tử, phá hoại thiết bị, rà quét lỗ hổng bảo mật trong mạng nội bộ. Có nhiều loại chương trình hoặc các phần của chương trình khác, có thể được coi là độc hại do chúng mang theo các chức năng gây hại khác, tuy nhiên ở trên là những loại mã độc phổ biến và được biết đến nhiều nhất. Trong năm 2022, Theo thống kê của Bkav, thiệt hại do virus máy tính gây ra đối với người dùng Việt Nam ở mức 21,2 nghìn tỷ (883 triệu USD) năm 2022. Các máy tính tại Việt Nam bị nhiễm 5 mã độc phổ biến: + Macro, lây lan trên hơn 1,5 triệu máy tính.

Đây là loại mã độc “mở đường”, thường được phát tán thông qua các định dạng file tài liệu Microsoft Office. Sau khi được kích hoạt trên máy tính nạn nhân, các đoạn mã độc sẽ tìm cách thu thập dữ liệu trong thiết bị, cài cắm các mã độc khác tùy theo mục đích khác nhau của kẻ tấn công, đồng thời “đính” sang những tệp tin tài liệu khác để lây lan, phát tán ra nhiều thiết bị, người dùng khác. + Thứ hai, mã độc Stealer, với khả năng thu thập, giải mã các tài khoản mạng được lưu trong trình duyệt, tài liệu cũng như các hoạt động trên mạng Internet của nạn, đã nhân xâm nhập 750. Các chương trình này thường có icon giả mạo các phần mềm phổ biến như Chorme, Microsoft, Explorer.

+ Loại phổ biến còn lại là mã độc tống tiền Ransomware và APT, lần lượt nhiễm trên 180 nghìn máy tính tại Việt Nam. Con đường phát tán chính của APT là thông qua email và được kích hoạt ngay khi người dùng mở file, từ đó âm thầm hoạt động trên máy tính nạn nhân, như đánh cắp dữ liệu, leo thang đặc quyền, mở rộng sâu hơn vào hệ thống của cơ quan, tổ chức. Trong khi đó, ransomware hướng tới mục đích tống tiến, nhắm vào các doanh nghiệp lớn, cơ quan, tổ chức có nhiều thông tin quan trọng, các chuyên gia, nhà nghiên cứu, doanh nhân. Một số kĩ thuật thường sử dụng trong mã độc - Kĩ thuật lây nhiễm, ẩn náu: + Lây nhiễm trên file thực thi - Pefile.

Có 3 kĩ thuật chính trong chèn code vào file PE: Chèn vào Section sẵn có của file và không thay đổi kích thước section đó; Mở 6 rộng section để lưu các đoạn mã của malware; Chèn thêm section mới chứa mã độc và đặt quyền thực thi. + Lây nhiễm qua macro của file tài liệu. Macro được thiết kế với mục đích bổ sung các tính năng xử lý dữ liệu cho các tệp tin Office. Có thể hiểu, Macro giống như các đoạn mã nhằm thực hiện các thao tác lặp lại nhiều lần, biến đổi dữ liệu gần giống các đoạn mã dạng script.

Các loại mã độc dạng macro được viết bằng ngôn ngữ visual basic script thường lây vào những tệp tin văn phòng như Microsoft Word, Microsoft Excel, Microsoft Power Point, qua việc khởi chạy các đoạn mã nhằm thực thi lệnh điều khiển của Windows (cmd, powershell), hoặc tải các file mã độc khác và thiết lập các lệnh kích hoạt mã độc phức tạp. + Lây nhiễm qua công cụ mở rộng trình duyệt: Là phương thức cài mã độc thông qua tính năng cài đặt công cụ mở rộng của trình duyệt. Công cụ mở rộng của trình duyệt (Plugin, Extension, Adds On.), là phần mềm thường được viết bằng javascript, nhằm bổ sung tính năng xử lý dữ liệu web cho trình duyệt; tùy chỉnh nội dung được cung cấp bởi các website. Khi được cài đặt, mã độc sẽ yêu cầu người dùng cho phép hoạt động cùng trình duyệt, qua đó thu thập và gửi ra ngoài các thông tin của người dùng trên trình duyệt như Cookies, lịch sử duyệt web, các biểu mẫu điều tự động, có thể bao gồm thông tin tài khoản được trình duyệt lưu tự động.+ Ẩn náu trong registry.

Thời gian gần đây, một loại mã độc mới trên Windows có tên Poweliks sử dụng kĩ thuật ẩn náu khá mới là: ẩn trong registry. Để lây nhiễm, Poweliks lây lan qua email thông qua một tài liệu Microsoft Word và sau đó, nó tạo một cơ chế tự khởi động mà bị phát hiện. Để tạo ra một cơ chế tự khởi động, các phần mềm độc hại sẽ tạo ra registry ở dạng non-ASCII, khi đó Windows Regedit không thể đọc hoặc mở các mục thanh ghi non-ASCII này. Mã độc này sẽ tiếp tục tấn công vào PowerShell của Windows.

Khi đã xâm nhập thành công, Poweliks có thể tự cài đặt các phần mềm gián điệp trên máy tính bị nhiễm để thu thập thông tin, tài liệu cá nhân của người sử dụng. Các biến thể của mã độc này và phát hiện mã độc đang được sử dụng trong trong rất nhiều cuộc tấn công bằng cách phát tán các tập tin .doc với những lời mời chào, dụ dỗ qua email để người 7 dùng tải về và mở bằng Microsoft Office. Poweliks đã khai thác lỗ hổng CVE-2012- 0158, một lỗ hổng nguy hiểm ảnh hưởng đến các sản phẩm của Microsoft như Microsoft Office. - Kĩ thuật phát tán, lây lan: + Phát tán qua email lừa đảo: Trong những năm gần đây, đa người dùng đều có email trong liên lạc công việc, gia đình, bạn bè.

Do đó, tấn công lừa đảo quả email là một trong những phương pháp được tin tặc sử dụng thường xuyên nhất. Chúng dễ dàng lừa nạn nhân chỉ bằng một số chi tiết hình ảnh quen thuộc, tên người thân, thông tin sát với công việc, hoạt động của gia đình, các quảng cáo liên quan đến sở thích các nhân, các lợi ích kinh tế lớn., khiến nạn nhân quan tâm và dễ dàng tải về, mở đọc trên máy của mình, dẫn đến kích hoạt mã độc, hoặc nhập các thông tin cá nhân vào đường dẫn đến trang web giả mạo gây lộ lọt thông tin. Khi đã lây nhiễm vào máy nạn nhân, một số mã độc có thể rà soát phát hiện địa chỉ email thường xuyên liên lạc với nhạn nhân, tự động gửi đi hàng loạt các email đính kèm tài liệu độc hại hay đường dẫn giả mạo. Từ đó phát tán lây lan trên diện rộng, hâu quả trong một thời gian ngắn có thể có tới hàng ngàn máy tính cá nhân bị lây nhiễm.

+ Phát tán qua internet, đường link lạ: Theo đó, kẻ tấn công thông qua các dịch vụ chia sẻ file trên Internet, hoặc giả mạo các đường dẫn, website, dịch vụ lưu trữ phổ biến, có úy tín trên Internet, để phát tán phần mềm, tài liệu chữa mã độc do chúng thiết kế sẵn. Bên cạnh đó, một số nhóm tin tặc trình độ cao có thể thiết kế các trang web, các đoạn mã java script có khả năng khai thác lỗ hổng trình duyệt của người dùng, từ đó tự động kích hoạt, tải về các chương trình mã độc khác. + Qua các thiết bị lưu trữ USB. Mã độc lợi dụng tính năng tự động mở folder USB, Disk của Windows (thông qua tệp autorun.

Khi phát hiện có thiết bị lưu trữ mới được cắm vào (USB, CD, Floppy Disk… ), Window mặc nhiên sẽ kiểm tra tệp autorun.inf nằm trong đó, nếu có nó sẽ tự động thực hiện các dòng lệnh theo cấu trúc được sắp xếp trước.inf do tin tặc thiết kế thường sẽ gồm các 8 đoạn mã tải về, giải mã, kích hoạt chương trình mã độc trên máy nạn nhận. Ngoài ra một số loại mã độc lây lan qua USB còn được thiết kế icon giống với icon của Folder, icon USB, khiến người dùng dễ dàng mở nhầm: Hình 1.1: Mã độc tạo icon giả mạo icon của USB 1. MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG MÃ ĐỘC HIỆN NAY 1. Xây dựng chính sách về phòng chống mã độc Trước những nguy cơ và hậu quả của mã độc gây ra, các doanh nghiệp cơ quan, tổ chức phải có chính sách ngăn chặn các sự cố liên quan đến mã độc.

Chính sách này cần rõ ràng, cho phép khả năng thực hiện một cách nhất quán và hiệu quả. Các chính sách phòng chống mã độc nên càng tổng quát càng tốt để cung cấp sự linh hoạt trong việc thực hiện, bên cạnh đó cũng làm giảm việc phải cập nhật chính sách thường xuyên. Hiện nay có nhiều cơ quan, tổ chức có chính sách về xử lý mã độc riêng biệt, tuy nhiên một số cơ quan, tổ chức có thể có chính sách phòng chống mã độc trùng lặp với các chính sách khác.