CHƯƠNG 1: TỔNG QUAN VẤN ĐỀ NGHIÊN CỨU 1. THỰC TRẠNG VỀ VẤN ĐỀ MÃ ĐỘC VÀ CÁC CÔNG CỤ DIỆT MÃ ĐỘC HIỆN NAY 1. Thực trạng về vấn đề mã độc Mã độc mà điển hình nhất là Virus và Trojan hay gần đây là Ransomware, Stealer đang trở thành một trong những mối hiểm họa lớn nhất đối với các hệ thống thông tin. Các mã độc hiện nay thường tập trung vào đánh cắp dữ liệu, mã hóa dữ liệu nhằm tống tiền, theo dõi, gián điệp các cơ quan, tổ chức lớn.
Mục đích của kẻ tấn công sử dụng phần mềm độc hại thường nhắm đến mục đích lợi ích kinh tế hoặc mục tiêu chính trị. Mã độc thường có các mục đích sau: + Bot Net : Là loại mã độc có khả năng tự nhân bản và lây nhiễm lên các máy tính trong cùng hệ thống mạng, nhằm kiểm soát càng nhiều thiết bị càng tốt, tạo lập hệ thống mạng các thiết bị do tin tặc kiểm soát. + Phần mềm gián điệp: Là dạng phần mềm thu thập thông tin cá nhân, tài liệu, theo dõi các hoạt động trên mạng Internet của nạn nhân. + Trojan: Loại mã độc ngụy trang dưới vỏ bọc phần mềm vô hại và thậm chí có thể hoạt động, như một chương trình hợp pháp trong hệ thống trước khi thực hiện các hành vi độc hại được chỉ định.
+ Stealer: là phần mềm độc hại sửa đổi trình duyệt web và chuyển hướng dữ liệu nhằm thu thập thông tin người dùng thông qua trình duyệt. + Rootkit: là các mã độc hoạt động dưới quyền quản trị, driver điều khiển phần cứng, ẩn sâu trong hệ điều hành và thực hiện các hành vi độc hại. + Malvertising là các dạng phần mềm độc hại sử dụng cho mục đích quảng cáo trực tuyến. + Mã độc tống tiền (Ransomware): Là loại mã độc mã hóa tệp tin của người dùng và đòi tiền chuộc nhằm giải mã nó.
+ Mã độc APT: Là mã độc được sử dụng trong các chiến dịch tấn công APT (tấn công có chủ đích, thường nhắm đến mục tiêu có giá trị kinh tế, chính trị cao), được 5 thiết kế với mục đích cụ thể của kẻ tấn công (đánh cắp tài liệu, đánh cắp tài khoản thư điện tử, phá hoại thiết bị, rà quét lỗ hổng bảo mật trong mạng nội bộ. Có nhiều loại chương trình hoặc các phần của chương trình khác, có thể được coi là độc hại do chúng mang theo các chức năng gây hại khác, tuy nhiên ở trên là những loại mã độc phổ biến và được biết đến nhiều nhất. Trong năm 2022, Theo thống kê của Bkav, thiệt hại do virus máy tính gây ra đối với người dùng Việt Nam ở mức 21,2 nghìn tỷ (883 triệu USD) năm 2022. Các máy tính tại Việt Nam bị nhiễm 5 mã độc phổ biến: + Macro, lây lan trên hơn 1,5 triệu máy tính.
Đây là loại mã độc “mở đường”, thường được phát tán thông qua các định dạng file tài liệu Microsoft Office. Sau khi được kích hoạt trên máy tính nạn nhân, các đoạn mã độc sẽ tìm cách thu thập dữ liệu trong thiết bị, cài cắm các mã độc khác tùy theo mục đích khác nhau của kẻ tấn công, đồng thời “đính” sang những tệp tin tài liệu khác để lây lan, phát tán ra nhiều thiết bị, người dùng khác. + Thứ hai, mã độc Stealer, với khả năng thu thập, giải mã các tài khoản mạng được lưu trong trình duyệt, tài liệu cũng như các hoạt động trên mạng Internet của nạn, đã nhân xâm nhập 750. Các chương trình này thường có icon giả mạo các phần mềm phổ biến như Chorme, Microsoft, Explorer.
+ Loại phổ biến còn lại là mã độc tống tiền Ransomware và APT, lần lượt nhiễm trên 180 nghìn máy tính tại Việt Nam. Con đường phát tán chính của APT là thông qua email và được kích hoạt ngay khi người dùng mở file, từ đó âm thầm hoạt động trên máy tính nạn nhân, như đánh cắp dữ liệu, leo thang đặc quyền, mở rộng sâu hơn vào hệ thống của cơ quan, tổ chức. Trong khi đó, ransomware hướng tới mục đích tống tiến, nhắm vào các doanh nghiệp lớn, cơ quan, tổ chức có nhiều thông tin quan trọng, các chuyên gia, nhà nghiên cứu, doanh nhân. Một số kĩ thuật thường sử dụng trong mã độc - Kĩ thuật lây nhiễm, ẩn náu: + Lây nhiễm trên file thực thi - Pefile.
Có 3 kĩ thuật chính trong chèn code vào file PE: Chèn vào Section sẵn có của file và không thay đổi kích thước section đó; Mở 6 rộng section để lưu các đoạn mã của malware; Chèn thêm section mới chứa mã độc và đặt quyền thực thi. + Lây nhiễm qua macro của file tài liệu. Macro được thiết kế với mục đích bổ sung các tính năng xử lý dữ liệu cho các tệp tin Office. Có thể hiểu, Macro giống như các đoạn mã nhằm thực hiện các thao tác lặp lại nhiều lần, biến đổi dữ liệu gần giống các đoạn mã dạng script.
Các loại mã độc dạng macro được viết bằng ngôn ngữ visual basic script thường lây vào những tệp tin văn phòng như Microsoft Word, Microsoft Excel, Microsoft Power Point, qua việc khởi chạy các đoạn mã nhằm thực thi lệnh điều khiển của Windows (cmd, powershell), hoặc tải các file mã độc khác và thiết lập các lệnh kích hoạt mã độc phức tạp. + Lây nhiễm qua công cụ mở rộng trình duyệt: Là phương thức cài mã độc thông qua tính năng cài đặt công cụ mở rộng của trình duyệt. Công cụ mở rộng của trình duyệt (Plugin, Extension, Adds On.), là phần mềm thường được viết bằng javascript, nhằm bổ sung tính năng xử lý dữ liệu web cho trình duyệt; tùy chỉnh nội dung được cung cấp bởi các website. Khi được cài đặt, mã độc sẽ yêu cầu người dùng cho phép hoạt động cùng trình duyệt, qua đó thu thập và gửi ra ngoài các thông tin của người dùng trên trình duyệt như Cookies, lịch sử duyệt web, các biểu mẫu điều tự động, có thể bao gồm thông tin tài khoản được trình duyệt lưu tự động.+ Ẩn náu trong registry.
Thời gian gần đây, một loại mã độc mới trên Windows có tên Poweliks sử dụng kĩ thuật ẩn náu khá mới là: ẩn trong registry. Để lây nhiễm, Poweliks lây lan qua email thông qua một tài liệu Microsoft Word và sau đó, nó tạo một cơ chế tự khởi động mà bị phát hiện. Để tạo ra một cơ chế tự khởi động, các phần mềm độc hại sẽ tạo ra registry ở dạng non-ASCII, khi đó Windows Regedit không thể đọc hoặc mở các mục thanh ghi non-ASCII này. Mã độc này sẽ tiếp tục tấn công vào PowerShell của Windows.
Khi đã xâm nhập thành công, Poweliks có thể tự cài đặt các phần mềm gián điệp trên máy tính bị nhiễm để thu thập thông tin, tài liệu cá nhân của người sử dụng. Các biến thể của mã độc này và phát hiện mã độc đang được sử dụng trong trong rất nhiều cuộc tấn công bằng cách phát tán các tập tin .doc với những lời mời chào, dụ dỗ qua email để người 7 dùng tải về và mở bằng Microsoft Office. Poweliks đã khai thác lỗ hổng CVE-2012- 0158, một lỗ hổng nguy hiểm ảnh hưởng đến các sản phẩm của Microsoft như Microsoft Office. - Kĩ thuật phát tán, lây lan: + Phát tán qua email lừa đảo: Trong những năm gần đây, đa người dùng đều có email trong liên lạc công việc, gia đình, bạn bè.
Do đó, tấn công lừa đảo quả email là một trong những phương pháp được tin tặc sử dụng thường xuyên nhất. Chúng dễ dàng lừa nạn nhân chỉ bằng một số chi tiết hình ảnh quen thuộc, tên người thân, thông tin sát với công việc, hoạt động của gia đình, các quảng cáo liên quan đến sở thích các nhân, các lợi ích kinh tế lớn., khiến nạn nhân quan tâm và dễ dàng tải về, mở đọc trên máy của mình, dẫn đến kích hoạt mã độc, hoặc nhập các thông tin cá nhân vào đường dẫn đến trang web giả mạo gây lộ lọt thông tin. Khi đã lây nhiễm vào máy nạn nhân, một số mã độc có thể rà soát phát hiện địa chỉ email thường xuyên liên lạc với nhạn nhân, tự động gửi đi hàng loạt các email đính kèm tài liệu độc hại hay đường dẫn giả mạo. Từ đó phát tán lây lan trên diện rộng, hâu quả trong một thời gian ngắn có thể có tới hàng ngàn máy tính cá nhân bị lây nhiễm.
+ Phát tán qua internet, đường link lạ: Theo đó, kẻ tấn công thông qua các dịch vụ chia sẻ file trên Internet, hoặc giả mạo các đường dẫn, website, dịch vụ lưu trữ phổ biến, có úy tín trên Internet, để phát tán phần mềm, tài liệu chữa mã độc do chúng thiết kế sẵn. Bên cạnh đó, một số nhóm tin tặc trình độ cao có thể thiết kế các trang web, các đoạn mã java script có khả năng khai thác lỗ hổng trình duyệt của người dùng, từ đó tự động kích hoạt, tải về các chương trình mã độc khác. + Qua các thiết bị lưu trữ USB. Mã độc lợi dụng tính năng tự động mở folder USB, Disk của Windows (thông qua tệp autorun.
Khi phát hiện có thiết bị lưu trữ mới được cắm vào (USB, CD, Floppy Disk… ), Window mặc nhiên sẽ kiểm tra tệp autorun.inf nằm trong đó, nếu có nó sẽ tự động thực hiện các dòng lệnh theo cấu trúc được sắp xếp trước.inf do tin tặc thiết kế thường sẽ gồm các 8 đoạn mã tải về, giải mã, kích hoạt chương trình mã độc trên máy nạn nhận. Ngoài ra một số loại mã độc lây lan qua USB còn được thiết kế icon giống với icon của Folder, icon USB, khiến người dùng dễ dàng mở nhầm: Hình 1.1: Mã độc tạo icon giả mạo icon của USB 1. MỘT SỐ GIẢI PHÁP PHÒNG CHỐNG MÃ ĐỘC HIỆN NAY 1. Xây dựng chính sách về phòng chống mã độc Trước những nguy cơ và hậu quả của mã độc gây ra, các doanh nghiệp cơ quan, tổ chức phải có chính sách ngăn chặn các sự cố liên quan đến mã độc.
Chính sách này cần rõ ràng, cho phép khả năng thực hiện một cách nhất quán và hiệu quả. Các chính sách phòng chống mã độc nên càng tổng quát càng tốt để cung cấp sự linh hoạt trong việc thực hiện, bên cạnh đó cũng làm giảm việc phải cập nhật chính sách thường xuyên. Hiện nay có nhiều cơ quan, tổ chức có chính sách về xử lý mã độc riêng biệt, tuy nhiên một số cơ quan, tổ chức có thể có chính sách phòng chống mã độc trùng lặp với các chính sách khác.