Chương 1: TỔNG QUAN VỀ KIỂU TẤN CÔNG 1. Giới thiệu về mã độc 160000000 140000000 120000000 100000000 80000000 60000000 40000000 20000000 0 Hình 1. Sự xuất hiện của các loại mã độc mới theo từng năm. – Thống kê của AV-TEST Mã độc hại (Malware hay Maliciuos code) là một chương trình được chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống.
Theo định nghĩa này mã độc hại bao hàm rất nhiều thể loại mà ở Việt Nam vẫn quen gọi chung là virus máy tính như: worm, trojan, spy-ware, … thậm chí là virus hoặc các bộ công cụ để tấn công hệ thống mà các hacker thường sử dụng như: backdoor, rootkit, key-logger. Như vậy chính xác thì virus máy tính chỉ là một dạng của mã độc hại.[4] Mã độc còn được định nghĩa là loại mã máy tính có hại hay kịch bản web được thiết kế để tạo ra các lỗ hổng hệ thống hàng đầu để trở lại cửa ra vào, vi phạm an ninh, thông tin và đánh cắp dữ liệu, và thiệt hại tiềm năng khác của các tập tin và hệ thống máy tính. Mục đích chính của mã độc: Lây nhiễm qua các hệ thống, che giấu mục đích, thu lợi. 3 United States Vietnam Brazil India Japan Philippines Chile Turkey Indonesia Malaysia Others Hình 1.2 Việt Nam đứng thứ 2 về lượng lây nhiễm mã độc tấn công các giao dịch ngân hàng trực tuyến (2013) - Theo TrendMicro.
Tình hình mã độc tại việt nam và trên thế giới. Mã độc xuất hiện đầu tiên vào năm 1984 đến 2013, theo viện nghiên cứu độc lập về an toàn thông tin AV-TEST, đã có khoảng hơn 120.000 mã độc được phát tán. Đặc biệt, trong vòng năm năm gần đây, số lượng mã độc phát triển nhanh chóng trên toàn thế giới đã đặt ra nhiều vấn đề về an ninh thông tin cho người sử dụng Internet trên toàn cầu 4 40000000 30000000 20000000 10000000 0 2009 2010 2011 2012 2013 Hình 1.3 Số lượng mã độc từ năm 2009 đến tháng 3/2013 theo AV-TEST Các mã độc cũng đa dạng và phong phú về cả hành vi và mục đích phát tán. Các lĩnh vực mà mã độc nhắm đến bao gồm kinh tế, chính trị, tôn giáo và nhiều lĩnh vực quan trọng khác.
Trong năm 2012, thế giới bị rúng động bởi sự hoành hành của Flame và Duqu, những Virus đánh cắp thông tin mật của các hệ thống điện Trung Đông. Tại Việt Nam, xu hướng tấn công, phát tán phần mềm có mã độc vào các cơ quan, doanh nghiệp là hình thái mới của giới tội phạm mạng mang tính chất quốc gia và đã xuất hiện tại Việt Nam. Bên cạnh các loại mã độc phổ biến thì cũng xuất hiện các dạng mã độc mới, như mã độc đính kèm trong tập tin văn bản. Hầu hết người nhận được mail đã mở tập tin văn bản đính kèm và bị nhiễm mã độc khái thác lỗ hổng của phần mềm Microsoft Office.
Khi xâm nhập vào máy tính, mã độc này âm thầm kiểm soát toàn bộ máy tính nạn nhân, mở cổng hậu (Backdoor), cho phép tin tặc điều khiển máy tính nạn nhân từ xa. Chúng cũng nhận lệnh tin tặc tải các mã độc khác về máy tính để ghi lại thao tác bàn phím, chụp màn hình, lấy cắp tài liệu.[1] Từ 21/12/2014 đến 21/12/2015, Trung tâm VNCERT đã ghi nhận được 5898 sự cố Phishing (tăng gần 4 lần so với năm ngoái), gửi yêu cầu điều phối và xử lý được 5104 sự cố (tăng 4,5 lần so với năm ngoái); 8850 sự cố Deface (tăng 1,06 lần so với năm ngoái), gửi yêu cầu điều phối và đã xử lý được 6188 sự cố (trong đó có 252 sự cố liên quan đến các tên miền “gov.837 sự cố Malware (tăng 1,7 lần so với năm ngoái), đã cảnh báo và khắc phục được 3885 sự cố (trong đó có 87 sự cố liên quan đến các tên miền “gov. Nhìn chung mã độc đa số là các liên kết ẩn được nhúng vào website thực hiện các thao tác không mong muốn. Ví dụ: Like fanpage facebook, ẩn link.997 lượt địa chỉ IP cả nước bị nhiễm mã độc và nằm trong các 5 mạng Botnet (tăng 1,6 lần so với năm ngoái) trong đó gửi cảnh báo cho 3779 lượt địa chỉ IP của các cơ quan nhà nước; điều phối, yêu cầu ngăn chặn 7.540 địa chỉ máy chủ C&C server điều khiển mạng Botnet và bóc gỡ mã độc tại 1.000 địa chỉ IP tại các máy bị nhiễm thuộc quản lý của các doanh nghiệp ISP.
Phối hợp với Cert quốc tế xử lý và ngăn chặn 200 website giả mạo (giả mạo giấy phép do Bộ TTTT cấp, giả mạo webmail của VNN, VDC,. Nguyên lý phát hiện mã độc Phát hiện mã độc Dựa vào dấu hiệu Dựa vào các điểm đặc trưng bất thường Tĩnh Động Lai Tĩnh Động Lai Hình 1. Sự phân chia về các kỹ thuật phát hiện mã độc Như vậy, có thể thấy các kỹ thuật phát hiện mã độc được chia thành 2 nhóm chính là: - Signature-based: dựa vào dấu hiệu đặc trưng - Anomaly-based: dựa vào các điểm bất thường Các kỹ thuật phân tích được sử dụng trong các kỹ thuật phát hiện mã độc là: Stactic: phân tích tĩnh Dynamic: phân tích động Hybrid: phân tích lai, là sử kết hợp giữa phân tích động và tĩnh. Phát hiện mã độc dựa vào dấu hiệu đặc trưng Là việc sử dụng một tập các mẫu nhận dạng được gọi là signature để làm căn cứ xác định mã độc.
Tập các signature sẽ được xây dựng bằng việc cập nhật các mẫu mã độc đã được kiểm chứng, bằng việc sử dụng những mẫu được xây dựng chuyên biệt bởi các nhà nghiên cứu. 6 Ưu thế: Phát hiện chính xác các mã độc nếu như có các signature trùng khớp với các mẫu trong tập mẫu nhận dạng Hạn chế: Vậy xây dựng tập các signature hoàn chỉnh là vô cùng khó khăn. Tập mẫu nhận dạng sẽ chạy theo sau sự phát triển của mã độc, và sẽ không phát hiện được các mã độc mới, các zero-days. Khi số lượng signature lớn thì việc lưu trữ và đối chiếu cũng sẽ gặp khó khăn.
Phát hiện mã độc dựa vào dấu hiệu đặc trưng Bảng 1. Kỹ thuật phát hiện mã độc dựa vào dấu hiệu đặt trưng Kỹ thuật Nội dung Dynamic Xác định chính xác mã độc bằng việc chỉ sử dụng các thông tin thu thập được từ các chương trình có quyền kiểm tra (Program Under Inspection – PUI) và được đối chiếu với các tập mẫu. Static Bằng cách kiểm tra chương trình dưới các mã, các đoạn code hoặc kiểm tra hành vi bằng các chuỗi mã. Từ đó đối chiếu với tập mẫu để phân loại chương trình có chứa mã độc hay có phải là mã độc hay không.
Điều này giúp việc xác định mã độc có xác suất rất cao, gần như là tuyệt đối mà không cần thực thi chương trình. Bù lại, cách thức này mất nhiều công sức, thời gian. Hybrid Cách thức xác định sử dụng cả 2 hình thức Dynamic và Static. Phát hiện mã độc dựa vào đặc điểm bất thường Cách phát hiện dựa vào các điểm bất thường được chia thành 2 giai đoạn: Giai đoạn Training Learning: các detector sẽ cố gắng học những trạng thái bình thường.
Có thể học các trạng thái từ các host,… Giai đoạn Detection Monitoring: dựa vào các trạng thái bình thường đã được học, các detector sẽ xác định được trạng thái bất thường và đưa ra cảnh báo. Phân loại hành vi dựa vào đặc điểm bất thường Ưu điểm: Là chìa khóa để có thể phát hiện ra các khai thác zero-day hay zero-attack. Hạn chế: Sai số giữa trạng thái bình thường và bất thường - Sự phức tạp, rắc rối khi xác định những trạng thái được phép học. Kỹ thuật phát hiện mã độc dựa vào đặc điểm bất thường Kỹ thuật Nội dung Dynamic Các thông tin thu được từ việc thực thi chương trình sẽ được sử dụng để phát hiện mã độc.
Ở giai đoạn Detection, các detector thực hiện liên tục việc đối chiếu giữa các trạng thái mới với các trạng thái đã học được. Và giai đoạn Detection được triển khai trong suốt quá trình chương trình được thực thi. Static Các đặc trưng về cấu trúc tệp tin của chương trình sẽ được dùng để kiểm tra và xác định có phải là mã độc hay không. Đặc điểm nổi bật của cách này là có thể phát hiện mã độc nhưng không 8 cho chương trình mã độc thực thi.
Hybrid Sử dụng một môi trường giả lập có cấu trúc giống với máy thật, có thể gọi đó là máy ảo để sử dụng phối hợp 2 kỹ thuật phân tích trên mà không làm ảnh hưởng đến máy thật. Phân loại và hoạt động của mã độc 1. Phân loại các mã độc Malware (hay còn gọi là phần mềm độc hại) là bất kỳ loại phần mềm nào có thể làm hại máy tính của bạn, bao gồm tất cả những phần mềm độc hại được đề cập đến là: Hình 1. Các mã độc tấn công mạng Virus Virus là một loại mã độc hại (Maliciuos code) có khả năng tự nhân bản và lây nhiễm chính nó vào các file, chương trình hoặc máy tính.
Như vậy virus máy tính phải luôn luôn bám vào một vật chủ (đó là file dữ liệu hoặc file ứng dụng) để lây lan. Các chương trình diệt virus dựa vào đặc tính này để thực thi việc phòng chống và diệt virus, để quét các file trên thiết bị lưu, quét các file trước khi lưu xuống ổ cứng, … Điều này cũng giải thích vì sao đôi khi các phần mềm diệt virus tại PC đưa ra thông báo “phát hiện ra virus nhưng không diệt được” khi thấy có dấu hiệu hoạt động của virus trên PC, bởi vì “vật mang virus” lại nằm ở máy khác nên không thể thực thi việc xoá đoạn mã độc hại đó. Virus thường cần phải được thực hiện thông qua tính năng Autorun, hệ thống khởi động hoặc bằng tay bởi người sử dụng. Các nguồn phổ biến nhất để lây nhiễm virus là ổ đĩa USB, Internet và file đính kèm trong email.
Để ngăn 9 chặn virus lây lan từ USB, bạn nên làm cho nó an toàn bằng cách quét virus trước khi sử dụng trên máy tính. Compiled Virus là virus mà mã thực thi của nó đã được dịch hoàn chỉnh bởi một trình biên dịch để nó có thể thực thi trực tiếp từ hệ điều hành. Các loại boot virus như (Michelangelo và Stoned), file virus (như Jerusalem) rất phổ biến trong những năm 80 là virus thuộc nhóm này, compiled virus cũng có thể là pha trộn bởi cả boot virus và file virus trong cùng một phiên bản. Interpreted Virus là một tổ hợp của mã nguồn mã chỉ thực thi được dưới sự hỗ trợ của một ứng dụng cụ thể hoặc một dịch vụ cụ thể trong hệ thống.