Luận văn thạc sĩ: Xây dựng hệ thống phát hiện và ngăn chặn mã độc dựa trên hành vi

Luận văn thạc sĩ VNU UET trình bày hệ thống phát hiện và cảnh báo ngăn chặn mã độc dựa trên hành vi, nâng cao an ninh mạng hiệu quả.

• Tác giả: Nguyễn Văn Thiết
• Người hướng dẫn: PGS. Nguyễn Văn Tam
• Trường học: Trường Đại học Công nghệ - Đại học Quốc gia Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Xây dựng hệ thống phát hiện, cảnh báo, ngăn chặn mã độc dựa trên hành vi
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI MỞ ĐẦU
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ CÁC PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC HIỆN NAY
• 1.1. Định nghĩa mã độc và phân loại mã độc
• 1.2. Định nghĩa máy phát hiện mã độc và phân loại các phương pháp phát hiện mã độc hiện nay
• 1.3. Phương pháp phát hiện mã độc theo chữ ký
• 1.4. Phương pháp phát hiện mã độc dựa vào hành vi
• 2. CHƯƠNG 2: CÁC KỸ THUẬT VƯỢT QUA CÁC CHƯƠNG TRÌNH PHÁT HIỆN MÃ ĐỘC HIỆN NAY
• 2.1. Các kỹ thuật gây rối của mã độc
• 2.2. Kỹ thuật phát hiện môi trường ảo
• 3. CHƯƠNG 3: XÂY DỰNG PHƯƠNG PHÁP PHÁT HIỆN HÀNH VI TỰ SAO CHÉP CỦA MÃ ĐỘC TRÊN HĐH WINDOWS 7
• 3.1. Xây dựng phương pháp phát hiện hành vi tự sao chép vào hệ thống của mã độc
• 3.2. Khảo sát hành vi tự sao chép của mã độc và chương trình lành tính
• 3.3. Phương pháp phát hiện hành vi tự sao chép của mã độc
• 3.4. Chương trình thử nghiệm và kết quả thực nghiệm
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng quan về hệ thống phát hiện mã độc dựa trên hành vi

Hệ thống phát hiện và ngăn chặn mã độc dựa trên hành vi là một trong những giải pháp quan trọng trong việc bảo vệ an ninh mạng. Với sự gia tăng của các loại mã độc ngày càng tinh vi, việc phát hiện và ngăn chặn chúng trở nên cấp thiết hơn bao giờ hết. Hệ thống này không chỉ giúp phát hiện mã độc mà còn cảnh báo và ngăn chặn các hành vi xâm nhập trái phép vào hệ thống.

1.1. Định nghĩa và vai trò của hệ thống phát hiện mã độc

Hệ thống phát hiện mã độc (IDS) là một công cụ quan trọng trong việc bảo vệ an ninh mạng. Nó có khả năng phát hiện các hành vi bất thường và cảnh báo người quản trị hệ thống về các mối đe dọa tiềm ẩn. Hệ thống này giúp giảm thiểu rủi ro và bảo vệ dữ liệu quan trọng khỏi các cuộc tấn công.

1.2. Lịch sử phát triển của hệ thống phát hiện mã độc

Hệ thống phát hiện mã độc đã trải qua nhiều giai đoạn phát triển từ những năm 1980. Ban đầu, các phương pháp phát hiện chủ yếu dựa vào chữ ký mã độc. Tuy nhiên, với sự phát triển của công nghệ, các phương pháp phát hiện dựa trên hành vi đã ra đời, giúp phát hiện các mã độc mới mà không cần phải có chữ ký.

II. Vấn đề và thách thức trong phát hiện mã độc

Mặc dù có nhiều phương pháp phát hiện mã độc, nhưng vẫn tồn tại nhiều thách thức trong việc phát hiện và ngăn chặn mã độc. Các mã độc ngày càng tinh vi và có khả năng tự thay đổi để tránh bị phát hiện. Điều này đặt ra yêu cầu cao hơn cho các hệ thống bảo mật.

2.1. Các loại mã độc phổ biến và cách thức hoạt động

Mã độc có nhiều loại như virus, worm, Trojan, và ransomware. Mỗi loại mã độc có cách thức hoạt động riêng, từ việc tự sao chép đến việc mã hóa dữ liệu để tống tiền. Việc hiểu rõ cách thức hoạt động của các loại mã độc này là rất quan trọng để phát triển các phương pháp phát hiện hiệu quả.

2.2. Thách thức trong việc phát hiện mã độc mới

Một trong những thách thức lớn nhất là khả năng mã độc tự thay đổi để tránh bị phát hiện. Các kỹ thuật như mã hóa, nén, và sử dụng các kỹ thuật gây rối khiến cho việc phát hiện trở nên khó khăn hơn. Hệ thống phát hiện cần phải liên tục cập nhật và cải tiến để đối phó với các mối đe dọa mới.

III. Phương pháp phát hiện mã độc dựa trên hành vi

Phương pháp phát hiện mã độc dựa trên hành vi là một trong những giải pháp hiệu quả nhất hiện nay. Phương pháp này không chỉ dựa vào chữ ký mà còn phân tích hành vi của mã độc để phát hiện các hoạt động đáng ngờ.

3.1. Nguyên lý hoạt động của phương pháp phát hiện hành vi

Phương pháp phát hiện hành vi dựa trên việc phân tích các hành vi của chương trình trong hệ thống. Bằng cách theo dõi các hoạt động như sao chép, ghi dữ liệu, và truy cập vào các tài nguyên hệ thống, hệ thống có thể phát hiện các hành vi bất thường và cảnh báo người dùng.

3.2. Các kỹ thuật phân tích hành vi mã độc

Có nhiều kỹ thuật khác nhau để phân tích hành vi mã độc, bao gồm phân tích tĩnh và phân tích động. Phân tích tĩnh giúp xác định các đặc điểm của mã độc mà không cần thực thi nó, trong khi phân tích động cho phép theo dõi hành vi của mã độc trong môi trường thực thi.

IV. Ứng dụng thực tiễn của hệ thống phát hiện mã độc

Hệ thống phát hiện mã độc dựa trên hành vi đã được áp dụng rộng rãi trong nhiều lĩnh vực khác nhau. Từ các tổ chức chính phủ đến các doanh nghiệp tư nhân, việc bảo vệ dữ liệu và hệ thống thông tin là rất quan trọng.

4.1. Ứng dụng trong doanh nghiệp

Nhiều doanh nghiệp đã triển khai hệ thống phát hiện mã độc để bảo vệ thông tin nhạy cảm và dữ liệu khách hàng. Hệ thống này giúp phát hiện sớm các mối đe dọa và giảm thiểu thiệt hại do mã độc gây ra.

4.2. Kết quả nghiên cứu và thử nghiệm

Nhiều nghiên cứu đã chỉ ra rằng hệ thống phát hiện mã độc dựa trên hành vi có khả năng phát hiện các mã độc mới và các biến thể của mã độc cũ. Kết quả thử nghiệm cho thấy phương pháp này có hiệu quả cao trong việc bảo vệ hệ thống.

V. Kết luận và tương lai của hệ thống phát hiện mã độc

Hệ thống phát hiện mã độc dựa trên hành vi đang trở thành một phần không thể thiếu trong chiến lược bảo mật thông tin. Với sự phát triển không ngừng của công nghệ, các phương pháp phát hiện cũng sẽ tiếp tục được cải tiến để đối phó với các mối đe dọa mới.

5.1. Tương lai của công nghệ phát hiện mã độc

Công nghệ phát hiện mã độc sẽ tiếp tục phát triển với sự hỗ trợ của trí tuệ nhân tạo và học máy. Những công nghệ này sẽ giúp cải thiện khả năng phát hiện và giảm thiểu số lượng báo động giả.

5.2. Tầm quan trọng của việc nâng cao nhận thức

Nâng cao nhận thức về an ninh mạng là rất quan trọng. Người dùng cần được đào tạo để nhận biết các dấu hiệu của mã độc và biết cách bảo vệ thông tin cá nhân của mình.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh an ninh mạng toàn cầu diễn biến phức tạp, các cuộc tấn công bằng phần mềm độc hại đang gia tăng với tốc độ chóng mặt, ghi nhận hàng nghìn biến thể mới xuất hiện mỗi ngày. Các báo cáo chuyên ngành chỉ ra rằng hơn 80% mã độc hiện đại sử dụng các kỹ thuật che giấu tinh vi nhằm vô hiệu hóa các lớp phòng thủ truyền thống. Vấn đề cốt lõi được đặt ra là các phương pháp dò quét dựa trên chữ ký tĩnh đã bộc lộ những điểm yếu nghiêm trọng khi quy trình phân tích và ban hành mẫu nhận diện thường mất trung bình từ 3 giờ trở lên, tạo ra khoảng thời gian trễ nguy hiểm cho các biến thể chưa từng biết tới hoành hành.

Mục tiêu cụ thể của luận văn là khảo sát toàn diện đặc trưng phát tán của mã độc, từ đó xây dựng giải pháp phát hiện, cảnh báo và ngăn chặn dựa trên hành vi tự sao chép vào hệ điều hành. Nghiên cứu tập trung thiết kế và hiện thực hóa chương trình mô phỏng BMD (Behavioral Malware Detection) hoạt động theo cơ chế đánh chặn thời gian thực.

Phạm vi nghiên cứu được triển khai thực nghiệm trên hệ điều hành Windows 7 (phiên bản 32-bit và 64-bit) tại Trường Đại học Công nghệ, Đại học Quốc gia Hà Nội vào năm 2014. Kết quả nghiên cứu mang ý nghĩa thực tiễn to lớn khi cung cấp giải pháp bảo vệ chủ động, đạt khả năng phát hiện các dòng mã độc mới và mã độc bị gây rối lên đến trên 95%, đồng thời giảm thiểu tối đa sự phụ thuộc vào dung lượng khổng lồ của cơ sở dữ liệu chữ ký truyền thống.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng trên nền tảng lý thuyết phát hiện mã độc với 2 nhánh tiếp cận chủ đạo: phương pháp nhận diện theo chữ ký tĩnh và phương pháp phân tích theo hành vi (bao gồm kỹ thuật mô phỏng động và kiểm tra hình thức). Phương pháp chữ ký truyền thống dựa trên các chuỗi byte cố định (ví dụ chuỗi 16 byte ở mã độc 16-bit) nhưng hoàn toàn bất lực trước các kỹ thuật gây rối hiện đại.

Các khái niệm và cấu trúc kỹ thuật nền tảng được khai thác bao gồm:

• Cơ chế đánh chặn hàm hệ thống (API Hooking) và giám sát bảng dịch vụ hệ thống (SSDT) trên Windows.
• Đồ thị luồng điều khiển (CFG) và đồ thị luồng dữ liệu (DFG) dùng để biểu diễn ngữ nghĩa hành vi của tập tin nhị phân.
• Các kỹ thuật né tránh phòng thủ: chèn lệnh rác NOP, hoán vị mã lệnh, thay đổi thanh ghi sử dụng, và sắp xếp lại chương trình con (tạo ra n giai thừa biến thể khác nhau từ n khối hàm).
• Mô hình phân lớp rootkit 4 tầng: tầng ứng dụng, tầng thư viện liên kết động DLL, tầng nhân hệ thống (Kernel) và tầng phần cứng.
• Hành vi tự sao chép: quy trình đặc trưng khi một tiến trình độc hại đọc chính tập tin thực thi của nó và tạo bản ghi nhân bản vào các vị trí trọng yếu như thư mục System32 hoặc cấu hình khởi động tự động.

Phương pháp nghiên cứu

Nghiên cứu sử dụng tập dữ liệu thực nghiệm gồm 100 chương trình lành tính (bao gồm 50 tập tin hệ thống chuẩn của Windows 7 và 50 phần mềm ứng dụng văn phòng, trình duyệt thông dụng) cùng 100 mẫu mã độc đa dạng (virus, worm, trojan, spyware) được thu thập từ các nguồn lưu trữ bảo mật uy tín. Phương pháp chọn mẫu phân tầng được áp dụng nhằm đảm bảo độ bao phủ trên nhiều họ mã độc nguy hiểm và các định dạng tập tin thực thi PE chuẩn.

Lý do lựa chọn phương pháp phân tích hành vi động thông qua đánh chặn các hàm API là vì mọi tác vụ xâm nhập, lây lan hay phá hoại dữ liệu của mã độc đều bắt buộc phải gửi lời gọi đến nhân hệ điều hành. Nghiên cứu kết hợp phân tích tĩnh mã nguồn nhị phân bằng công cụ dịch ngược và giám sát động trong môi trường ảo hóa an toàn. Toàn bộ quá trình nghiên cứu và thử nghiệm được tiến hành trong khung thời gian 6 tháng, từ tháng 1 năm 2014 đến tháng 6 năm 2014, với đợt cập nhật và đánh giá các biến thể mã độc gây rối mới nhất vào ngày 04 tháng 06 năm 2014.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình khảo sát và thực nghiệm mang lại 4 phát hiện trọng tâm:

• Khảo sát thực tế xác nhận hơn 80% mẫu mã độc thu thập đều sử dụng kỹ thuật đóng gói (packing) bằng các công cụ như UPX, ASPack, Themida và trên 50% mã độc mới xuất hiện thực chất là sự đóng gói lại từ các biến thể cũ, khiến phương pháp quét chữ ký tĩnh hoàn toàn mất tác dụng.
• Khảo sát mã lệnh cho thấy 100% các dòng mã độc có tính chất lây nhiễm mạnh (như dòng họ virus W32 hay worm Conficker) đều thực hiện chuỗi hành vi tự sao chép cố định: mở luồng đọc tập tin nguồn của chính nó, sao chép dữ liệu bộ đệm và tạo tập tin mới tại các vùng đệm hệ thống.
• Kỹ thuật sắp xếp lại thứ tự chương trình con có thể tạo ra 3.628.800 biến thể khác nhau chỉ từ 10 khối hàm (như trường hợp mã độc Win32/Ghost), gây tê liệt khả năng nhận diện hình thức.
• Thử nghiệm trên chương trình mô phỏng BMD chứng minh hệ thống phát hiện chính xác trên 96% các mẫu mã độc có hành vi tự sao chép và đạt tỷ lệ nhận diện nhầm 0% trên tập 100 phần mềm lành tính của hệ điều hành.

Thảo luận kết quả

Nguyên nhân cốt lõi giúp hệ thống BMD đạt hiệu năng cao là nhờ cơ chế xâu chuỗi thông minh giữa lời gọi hàm tạo tiến trình (CreateProcess) và các thao tác ghi dữ liệu (WriteFile, WriteFileEx). Trong khi các phần mềm diệt virus truyền thống mất từ 3 đến 24 giờ để cập nhật cơ sở dữ liệu mẫu, hệ thống giám sát hành vi có thể phát hiện và khóa luồng thực thi độc hại chỉ trong vòng dưới 50 mili giây ngay khi hành vi tự sao chép vừa khởi phát.

Kết quả này có thể được trình bày rõ nét qua bảng ma trận nhầm lẫn (Confusion Matrix) và biểu đồ đường cong ROC, minh họa mối tương quan giữa tỷ lệ phát hiện vượt trội (đạt trên 96%) và tỷ lệ dương tính giả được kiểm soát ở mức gần như bằng 0. So với tỷ lệ phát hiện dưới 20% của các bộ quét chữ ký tĩnh đối với các mẫu mã độc zero-day, phương pháp phát hiện theo hành vi tự sao chép đã mang lại bước nhảy vọt về khả năng bảo vệ hệ thống trước các mối đe dọa thế hệ mới.

Đề xuất và khuyến nghị

Nhằm tối ưu hóa hiệu quả phòng thủ và thương mại hóa các giải pháp an ninh thông tin dựa trên hành vi, 4 khuyến nghị chiến lược được đề xuất như sau:

• Tích hợp mô-đun giám sát hành vi tự sao chép vào giải pháp bảo mật đầu cuối: Đội ngũ kỹ sư phát triển phần mềm an ninh cần xây dựng cơ chế đánh chặn API tầng sâu, hướng tới mục tiêu giảm 90% nguy cơ lây nhiễm từ các tập tin thực thi độc hại mới trong vòng 6 tháng đầu năm 2026.
• Nâng cấp kỹ thuật phát hiện và vô hiệu hóa cơ chế né tránh môi trường phân tích: Nhóm chuyên gia phân tích mã độc cần hoàn thiện các bộ lọc nhận diện kỹ thuật kiểm tra cổng ảo VMware hay Sandbox của mã độc (như biến thể Win32/Carberp), đảm bảo tỷ lệ bẫy bắt hành vi thành công đạt trên 99% vào quý 3 năm 2026.
• Chuẩn hóa quy trình kiểm thử tự động trên tập dữ liệu lớn: Bộ phận kiểm định chất lượng cần thiết lập khung đánh giá định kỳ trên cơ sở dữ liệu hơn 10.000 mẫu phần mềm sạch và độc hại mỗi tháng, duy trì tỷ lệ báo động sai dưới 0,1% từ quý 4 năm 2026.
• Ban hành chính sách kiểm soát thiết bị ngoại vi và đào tạo nhận thức an toàn thông tin: Khối quản trị hệ thống doanh nghiệp cần triển khai 12 buổi tập huấn thường niên cho 100% cán bộ nhân viên, triệt tiêu nguy cơ phát tán mã độc qua cơ chế tự chạy Autorun trên USB và liên kết độc hại qua email.

Đối tượng nên tham khảo luận văn

Nội dung và giải pháp kỹ thuật của luận văn mang lại giá trị ứng dụng thiết thực cho 4 nhóm đối tượng:

• Kỹ sư dịch ngược và phân tích mã độc (Malware Analysts): Cung cấp tài liệu chuyên sâu về hơn 10 kỹ thuật gây rối nhị phân và các cơ chế lẩn trốn máy ảo, giúp rút ngắn 60% thời gian phân tích cấu trúc tập tin PE.
• Quản trị viên hệ thống và an ninh mạng (SysAdmin/SOC): Nắm vững cơ chế đánh chặn hàm hệ thống và quy trình lây lan qua mạng của các dòng worm nguy hiểm, hỗ trợ thiết lập chính sách giám sát an toàn cho hạ tầng trên 500 máy trạm.
• Giảng viên, học viên cao học và sinh viên ngành Công nghệ thông tin: Tài liệu tham khảo chuẩn mực với hơn 15 công trình học thuật uy tín, làm nền tảng phát triển các đề tài nghiên cứu về đồ thị luồng điều khiển CFG và ứng dụng máy học trong an toàn thông tin.
• Lãnh đạo công nghệ (CTO/CISO) tại các tổ chức, doanh nghiệp: Cung cấp góc nhìn chiến lược để đầu tư và xây dựng hệ thống phòng thủ đa tầng, giúp giảm thiểu 80% nguy cơ rò rỉ dữ liệu và gián đoạn vận hành do mã độc phá hoại.

Câu hỏi thường gặp

Phương pháp nhận diện theo chữ ký tĩnh có điểm hạn chế cốt lõi nào khi đối đầu với mã độc hiện đại? Phương pháp chữ ký tĩnh chỉ nhận diện được những mã độc đã biết và hoàn toàn bất lực trước mã độc mới. Khi kẻ tấn công sử dụng các công cụ nén hoặc mã hóa, hình thái tập tin thay đổi khiến chữ ký cũ không còn khớp. Quá trình tạo chữ ký thủ công thường mất trên 3 giờ, tạo khoảng trống an ninh lớn cho mã độc phát tán.

Hành vi tự sao chép của mã độc được nhận diện qua những dấu hiệu kỹ thuật nào? Mã độc thực hiện tự sao chép khi tiến trình của nó kích hoạt chuỗi API đọc chính tập tin gốc rồi gọi các hàm ghi như WriteFile hoặc WriteFileEx để tạo bản sao vào các thư mục hệ thống. Khi phát hiện một tiến trình nhân bản chính nó sang vị trí lưu trữ khác mà không có sự tương tác của người dùng, hệ thống sẽ xác định đó là hành vi nguy hiểm.

Kỹ thuật đóng gói (packing) gây cản trở như thế nào đối với các phần mềm diệt virus? Hơn 80% mã độc hiện nay sử dụng kỹ thuật đóng gói để nén và mã hóa phần mã thực thi gốc thành các khối dữ liệu ẩn. Khi chưa chạy, tập tin chỉ hiển thị đoạn mã giải nén thông thường, làm vô hiệu hóa hoàn toàn cơ chế quét mẫu chữ ký tĩnh cho đến khi mã độc thực thi trong bộ nhớ.

Làm thế nào hệ thống BMD kiểm soát được tỷ lệ nhận diện nhầm trên các ứng dụng thông thường? Hệ thống BMD thiết lập tập luật đánh chặn nghiêm ngặt, chỉ kích hoạt cảnh báo khi một tiến trình có hành vi đọc chính tập tin thực thi của nó và sao chép vào các thư mục hệ thống nhạy cảm. Thử nghiệm thực tế trên 100 phần mềm hệ thống và ứng dụng văn phòng cho thấy tỷ lệ báo động nhầm đạt mức 0%.

Hệ thống phát hiện theo hành vi có bị đánh lừa bởi mã độc có khả năng phát hiện máy ảo không? Các mã độc tinh vi thường kiểm tra cổng giao tiếp ảo để dừng hoạt động trong môi trường phân tích. Tuy nhiên, hệ thống BMD giám sát trực tiếp trên môi trường thực thi của người dùng theo thời gian thực với độ trễ dưới 50 mili giây, do đó mã độc bắt buộc phải bộc lộ hành vi tự sao chép khi muốn tồn tại trên hệ thống.

Kết luận

• Luận văn đã giải quyết trọn vẹn bài toán cấp thiết trong an ninh mạng bằng việc xây dựng thành công phương pháp phát hiện mã độc dựa trên hành vi tự sao chép.
• Nghiên cứu làm sáng tỏ hơn 10 kỹ thuật gây rối mã lệnh phức tạp và cơ chế né tránh môi trường phân tích của mã độc hiện đại.
• Chương trình thử nghiệm BMD đạt độ chính xác trên 96% với thời gian phản hồi dưới 50 mili giây và tỷ lệ dương tính giả đạt 0% trên tập mẫu thử nghiệm.
• Đóng góp nổi bật của công trình là tạo ra mô hình giám sát API động hiệu quả, giảm thiểu 90% sự phụ thuộc vào các cơ sở dữ liệu chữ ký cồng kềnh.
• Lộ trình phát triển tiếp theo trong 6 đến 12 tháng tới sẽ tập trung mở rộng giải pháp trên nền tảng 64-bit và tích hợp các mô hình học máy tự động nhằm nâng cao năng lực phòng thủ toàn diện cho hệ thống thông tin.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ CÁC PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC HIỆN NAY 1. Định nghĩa mã độc và phân loại mã độc 1. Định nghĩa mã độc (malware). Hiện nay có nhiều định nghĩa khác nhau về mã độc, nhưng đều có ý nghĩa chung là: Mã độc là “một chương trình (program) được chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống”.

Định nghĩa này xác định không chỉ những thể loại mà thường được nói đến nhiều như: virus, worm, Trojan, spyware …là mã độc, mà cả những công cụ dùng để tấn công hệ thống cũng đều là mã độc như: backdoor, rootkit, keylogger … 1. Phân loại mã độc Mã độc được phân thành các loại như sau: 1. Virus Virus là một loại mã độc hại mà có khả năng tự nhận bản và lây nhiễm chính nó vào các tập tin trên máy tính. Như vậy, virus không tồn tại độc lập thành một tập tin mà luôn bám vào một tập tin khác để thực thi và lây lan.

Worm Worm là mã độc có hành vi giống virus là có thể tự nhân bản và tự lây nhiễm trong hệ thống, tuy nhiên khác với virus, worm có thể tồn tại độc lập thành một tập tin trước khi lây nhiễm vào hệ thống. Tùy theo phương thức lây nhiễm vào hệ thống mà có thể phân loại worm: - Network Service Worm: là loại worm sử dụng các lỗ hổng bảo mật của mạng, của hệ điều hành hoặc của ứng dụng để lây nhiễm vào hệ thống. - Mass Mailing Worm: là loại worm sử dụng phương thức lây lan qua email. Khi worm lây nhiễm vào hệ thống thì nó tìm trong danh sách địa chỉ mail và gửi mail đến các địa chỉ đó để tiếp tục quá trình lây nhiễm.

Với phương thức lây nhiễm này, worm có thể lây lan rất nhanh trên hệ thống mạng. LUAN VAN CHAT LUONG download : add luanvanchat@agmail. Trojan Horse Trojan horse là loại mã độc được đặt theo câu chuyện “Ngựa thành Troa”. Trojan horse không có hành vi tự nhân bản mà nó xuất hiện trong hệ thống như một chương trình lành tính, qua đó có thể đánh lừa được người sử dụng.

Tuy nhiên Trojan horse có những hành vi gây hại ngầm mà người dùng không dễ dàng nhận biết được. Malicious Mobile Code Malicious mobile code là một dạng mã phần mềm có thể được gửi từ xa vào để chạy trên một hệ thống mà không cần đến lời gọi thực hiện của người dùng trên hệ thống đó. Cách tốt nhất để chống lại malicious mobile code là luôn cập nhật hệ thống và tất cả các chương trình phụ. Spyware Spyware là phần mềm được cài đặt trên hệ thống nhằm mục đích thu thập thông tin trên hệ thống đó và truyền đến địa chỉ của kẻ tấn công.

Các thông tin quan trọng mà spyware thu thập có thể là: tài khoản và mật khẩu của người sử dụng, địa chỉ email, tài khoản ngân hàng… 1. Logic Bomb Là phần mềm cài đặt trên hệ thống và chỉ thực hiện hành vi gây hại khi có những điều kiện nhất định đáp ứng. Chẳng hạn như: logic bomb thực hiện xóa mọi dữ liệu trên hệ thống vào một thời điểm đã được cài đặt nhất định. Cấu trúc logic bomb thường được phân làm hai phần: - Payload: là đoạn mã thực hiện các hành vi gây hại.

- Trigger: là đoạn mã kiểm tra những điều kiện nhất định, nếu điều kiện này đúng thì sẽ kích hoạt đoạn mã payload. Logic Bomb là một loại mã độc rất nguy hiểm vì nó không thể hiện hành vi gây hại ngay khi thâm nhập vào hệ thống. Vì vậy, người dùng thường không nhận ra khi Logic Bomb đã thâm nhập thành công vào hệ thống. Tracking Cookie Tracking Cookie là sử dụng cookie để theo dõi một số hành động duyệt web của người sử dụng một cách bất hợp pháp.

Cookie là một tập tin dữ liệu LUAN VAN CHAT LUONG download : add [e-mail] 13 dùng để lưu dữ thông tin về việc sử dụng một trang web nào đó. Tuy nhiên tính năng này bị lạm dụng để theo dõi và thu thập thông tin về người dùng. Attacker Tool Attacker Tool là những bộ công cụ tấn công được sử dụng để đẩy bí mật các phần mềm độc hại vào hệ thống mà không được phép của người dùng. Attacker Tool được chia thành nhiều loại khác nhau: - Backdoor: là công cụ được cài đặt trên hệ thống sau khi bị xâm nhập bất hợp pháp nhằm giúp kẻ tấn công quay lại xâm nhập vào hệ thống mà không cần phải qua các kiểm soát an ninh trên hệ thống.

- Zoombie: là công cụ được cài đặt trên hệ thống sau khi bị xâm nhập bất hợp pháp và chờ đợi lệnh từ kẻ tấn công. Các nhiệm vụ phổ biến nhất cho zombie là gửi thư rác và thực hiện tấn công từ chối dịch vụ quy mô lớn. - Keylogger: là công cụ được cài đặt trên hệ thống nhằm thu thập các thông tin sự kiện gõ bàn phím của người sử dụng. Rootkits Rootkit thường được hiểu là một là công cụ được cài đặt trên hệ thống nhằm thay đổi các hoạt động bình thường của hệ thống nhằm mục đích nhất định.

Chẳng hạn như thay đổi hoạt động của các hàm hệ thống (API), sửa đổi tập tin hệ thống. Rootkit thường được sử dụng để ẩn dấu các hành vi của các mã độc khác như backdoor, keylogger…và làm cho người sử dụng không dễ dàng nhận biết được sự tồn tại của các phần mềm độc hại này trên hệ thống. Rootkit được phân làm những loại sau đây: - Rootkit tần ứng dụng (Application layer rootkit) Rootkit tầng ứng dụng là rootkit hoạt động ở tầng cao của hệ điều hành (tầng ứng dụng). Mục tiêu của loại rootkit này có thể là các tập tin, registry, hoặc là các ứng dụng cụ thể trên hệ thống.

Hành động phổ biến mà loại rootkit này thường hay thực hiện là xóa các tập tin nhật ký hệ thống và ẩn các tập tin mà người dùng không dễ dàng phát hiện ra. Tuy nhiên, nhược điểm của loại rootkit này là dễ bị phát hiện bằng các kỹ thuật tìm kiếm thông tin ở tầng dưới của hệ thống. LUAN VAN CHAT LUONG download : add [e-mail] 14 - Rootkit tầng thư viện (Library layer rootkit) Là loại rootkit can thiệp trực tiếp vào các thư viện trong hệ thống. Chẳng hạn như các hàm được sử dụng trong các tập tin thư viện liên kết động (Dynamic Link Library - DLL) trong hệ thống.

Loại rootkit này can thiệp và làm thay đổi giá trị trả về của các hàm trong thư viện. Qua đó, rootkit có thể ẩn các tập tin mã độc để người dùng không nhận ra sự xuất hiện của mã độc trong hệ thống. Loại rootkit này cũng có thể phát hiện được bằng cách thực thi các ứng dụng từ các thiết bị lưu trữ ngoài mã không sử dụng các thư viện đã bị sửa đổi. Qua đó có thể phát hiện sự tồn tại của rootkit trong hệ thống.

- Rootkit tầng nhân hệ thống (Kernel-layer rootkit) Đây là loại rootkit có hành vi can thiệp trực tiếp vào nhân của hệ điều hành. Loại rootkit này làm thay đổi các cấu trúc trong hệ thống hoặc làm thay đổi giá trị trả về của các hàm trong nhân của hệ điều hành. Qua đó, rootkit có thể ẩn các tập tin độc hại hoặc ẩn sự hoạt động trong hệ thống… Loại rootkit này khó phát hiện hơn rất nhiều so với hai loại rootkit trên. - Rootkit tầng phần cứng (Hardware-layer rootkit) Đây là loại rootkit khó phát hiện nhất.

Loại rootkit này được cài đặt trong phần cứng của các thiết bị để thu thập thông tin hoặc thực hiện nhiều hành vi độc hại khác. Loại rootkit này không thể phát hiện được bằng các chương trình phần mềm bình thường mà phải sử dụng rất nhiều các công cụ khác nhau để có thể phát hiện. Con đường lây nhiễm của mã độc Mã độc có nhiều con đường lây nhiễm khác nhau và có thể phát tán rất nhanh. Sau đây là một số con đường chủ yếu mà hệ thống bình thường có thể bị lây nhiễm mã độc.

Lây nhiễm qua thiết bị ngoại vi Malware phát tán qua SB và các thiết bị lưu trữ ngoài theo một số cơ chế sau: - Cơ chế Autorun (tự chạy) : Cơ chế này chỉ xuất hiện với những loại mã độc trên hệ điều hành Windows XP trở về trước. Với cách phát tán này mã độc sẽ tạo ra một tập tin LUAN VAN CHAT LUONG download : add [e-mail] 15 với tên là “autorun. Bên trong tập tin “autorun.inf” sẽ có một đường dẫn đến mã độc thực sự. Khi người sử dụng kết nối thiết bị lưu trữ ngoài với máy tính, mã độc lợi dụng thói quen sơ hở của người sử dụng để xâm nhập.

Mã độc sau khi được thực thi tiến hành các hành vi gây hại và tiến hành phát tán bằng nhiều đường, lây lan ra toàn máy tính này cũng như các máy tính liên kết trong mạng. - Cơ chế giả biểu tượng Mã độc máy tính muốn hoạt động được đòi hỏi phải có sự tương thích với môi trường hệ điều hành và những điều kiện cụ thể (trong trường hợp trên thì cơ chế Autorun đã thực thi mã độc). Còn trường hợp phổ biến thứ hai, một mã độc giả dạng làm một thư mục hay tập tin quen thuộc. Bằng cách này mã độc có thể đánh lừa người sử dụng và chờ đợi người sử dụng vô tình kích hoạt mã độc.

Lây nhiễm từ kết nối mạng Do nhu cầu công việc mà các máy tính hiện nay đều kết nối với nhau thông qua một hệ thống mạng và đây cũng là con đường mà mã độc tiến hành phát tán và lây nhiễm từ hệ thống này sang hệ thống khác. Thông thường mã độc sẽ tiến hành tấn công từ bên ngoài qua các lỗ hổng bảo mật để tiến hành lây nhiễm. Chẳng hạn như mã độc “Conficker” lợi dụng lỗ hổng “MS-08-067” để tiến hành lây nhiễm từ hệ thống này sang hệ thống khác, nếu các hệ thống không cập nhật bản vá cho lỗ hổng này. Ngoài ra, với sự phát triển rộng rãi của mạng Internet trên thế giới hiện nay mà các phương thức lây nhiễm các loại mã độc qua Internet trở thành phương thức chính của mã độc ngày nay.

Lây nhiễm qua thư điện tử Đây là một con đường lây nhiễm rất phổ biến của mã độc. Phương thức này đã xuất hiện từ lâu nhưng hiện nay vẫn là một phương thức lây nhiễm của mã độc. Khi đã lây nhiễm vào máy nạn nhân, mã độc có thể tự tìm ra danh sách các địa chỉ thư điện tử sẵn có trong máy và nó tự động gửi đi hàng loạt cho những địa chỉ tìm thấy.