Chương 1 TỔNG QUAN VỀ MÃ ĐỘC 1.1 Lịch sử phát triển của mã độc hại 1. Khái niệm mã độc Malware (Malicious software) hay còn gọi là mã độc (Malicious code) là tên gọi chung cho các phần mềm được thiết kế, lập trình đặc biệt để gây hại cho máy tính hoặc làm gián đoạn môi trường hoạt động mạng. Mã độc thâm nhập vào một hệ thống máy tính mà không có sự đồng ý của nạn nhân. Mã độc hại còn được định nghĩa là “một chương trình (program) được chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống” Nhiều người sử dụng máy tính vẫn thường dùng thuật ngữ Virus để chỉ chung cho các loại mã độc hại nhưng thực chất mã độc hại bao gồm nhiều loại khác nhau.2 Quy ước đặt tên Hiện nay có rất nhiều loại mã độc khác nhau được các hãng phần mềm diệt Virus thu thập tại các thời điểm khác nhau, điều này dẫn đến việc thống nhất đặt tên mã độc theo một quy ước tên nhất định rất khó thực hiện được.
Vào năm 1991, các thành viên sáng lập CARO (Computer Antivirus Reseachers Organization) đã thiết kế một chương trình đặt tên cho mã độc ứng dụng cho các sản phẩm AntiVirus, tuy nhiên các chương trình của tổ chức CARO này đã lạc hậu so với xu thế phát triển và tốc độ phát trển của mã độc hiện giờ. Các nhà nghiên cứu, các hãng sản phẩm không có thời gian để thỏa thuận với nhau tên chung cho một mẫu mã độc mới. Mặc dù như vậy nhưng về cơ bản các hãng đều đặt tên các mẫu mã độc theo quy ước như sau: Type.Variant Trong đó: Type chỉ ra kiểu mã độc: trojan, dropper, virus, adware, backdoor, rootkit, worm. Flatform chỉ ra môi trường họa động của mã độc : 13 Win32 : Hệ điều hành windows 32 bits Win64 : Hệ điều hành windows 64 bits Linux : Hệ điều hành Linux OSX : Hệ điều hành Mac OSX SymbOS : Symbian OS Android : Hệ điều hành android FamilyName: Tên dòng mã độc, với các đặc điểm, phương thức hoạt động giống nhau.
Variant: đại diện cho các biến thể trong một dòng mã độc.1 Type: Virus, Flatform: Win32, Family: XdocCrypt, Variant:1.3 Lịch sử phát triển Hiện nay Internet ngày càng phát triển song song đó là sự phát triển lớn mạnh của mã độc. Mỗi ngày có hàng trăm mẫu mã độc xuất hiện, dưới nhiều hình thức khác nhau, mục tiêu khác nhau. Phần dưới đây liệt kê một số mốc quan trọng sự phát triển của mã độc. Năm 1949 John von Neuman (1903-1957) phát triển nền tảng lý thuyết tự nhân bản của một chương trình cho máy tính.
Năm 1981 các virus đầu tiên xuất hiện trong hệ điều hành của máy tính Apple II. Năm 1983 Fred Cohen, một sinh viên đại học Mỹ, đã đưa ra định nghĩa đầu tiên về virus: “Là một chương trình máy tính có thể tác động những chương trình máy tính khác bằng cách sửa đổi chúng bằng phương pháp đưa vào một bản sao của nó”. Fred Cohen luôn là cái tên được nhắc đến khi nói về lịch sử virus. Năm 1986 hai anh em lập trình viên người Pakistan là Basit và Amjad thay thế mã thực hiện (executable code) trong rãnh ghi khởi động của một đĩa mềm bằng mã riêng của họ, được thiết kế với mục đích phát tán từ một đĩa mềm 360K khi cho vào bất cứ ổ đĩa nào.
Loại đĩa mềm mang virus này có mác “© Brain”. Đây chính là những virus MS-DOS xuất hiện sớm nhất. Năm 1987 Lehigh, một trong những virus file đầu tiên xâm nhập các tệp lệnh command. 14 Một virus khác có tên IBM Christmas, với tốc độ phát tán cực nhanh (500.000 bản sao/tiếng), là cơn ác mộng đối với các máy tính lớn (mainframe) của Big Blue trong suốt năm đó.
đồng hồ của máy tính (giống bom nổ chậm cài hàng loạt cho cùng một thời điểm). Tháng 11 cùng năm, Robert Morris chế ra worm chiếm cứ các máy tính của ARPANET làm liệt khoảng 6. Năm 1991 virus đa hình (polymorphic virus) ra đời đầu tiên là Tequilla. Loại này biết tự thay đổi hình thức của nó, gây ra sự khó khăn cho các chương trình chống virus.
Năm 1994 Trò lừa qua e-mail đầu tiên xuất hiện trong cộng đồng tin học. Trò này cảnh báo người sử dụng về một loại virus có thể xoá toàn bộ ổ cứng ngay khi mở e-mail có dòng chủ đề “Good Times”. Mặc dù không gây thiệt hại gì mà chỉ có tính chất doạ dẫm, trò lừa này vẫn tiếp tục xuất hiện trong chu kỳ từ 6 đến 12 tháng/lần. Năm 1995 macro virus đầu tiên xuất hiện trong các mã macro trong các tệp của Word và lan truyền qua rất nhiều máy.
Loại virus này có thể làm hư hệ điều hành chủ. Năm 1999 Bubble Boy sâu máy tính đầu tiên không dựa vào việc người nhận email có mở file đính kèm hay không. Chỉ cần thư được mở ra, nó vẫn sẽ tự hoạt động. Năm 2003 Slammer một loại worm lan truyền với vận tốc kỉ lục, truyền cho khoảng 75 ngàn máy trong 10 phút.
Năm 2004 đánh dấu một thế hệ mới của mã độc hại là worm Sasser. Với loại worm này thì người ta không cần phải mở đính kèm của điện thư mà chỉ cần mở lá thư là đủ cho nó xâm nhập vào máy. Sasser không hoàn toàn hủy hoại máy mà chỉ làm cho máy chủ trở nên chậm hơn và đôi khi nó làm máy tự khởi động trở lại. Ở Việt Nam mã độc hại cũng gây ra những thiệt hại đáng kể.
Năm 2005 Sự xuất hiện của các Virus lây qua các dịch vụ chatting. Các dịch vụ chatting trực tuyến như Yahoo!, MSN bắt đầu được Virus lợi dụng như một công cụ phát tán trên mạng. Theo thống kê của BKAV thì trong vòng 6 tháng đầu năm có tới 7 dòng Virus lây lan qua các dịch vụ chatting xuất hiện ở Việt Nam. Trong thời gian tới những Virus tấn công 15 thông qua các dịch vụ chatting sẽ còn xuất hiện nhiều hơn nữa khi mà số người sử dụng dịch vụ ngày càng tăng.
Cũng trong năm này đã ghi nhận loại mã độc phát tán qua mail cực kỳ nguy hiểm. MyTob là loại Virus tạo ra một mạng lưới “Botnet”, các máy tính bị kiểm soát có thể bị lợi dụng để phát tán thư rác, cài đặt các phần mềm SpyWare và gây ra các cuộc tấn công giả mạo. Mặc dù vào thời điểm này Botnet và các cuộc tấn công vào email không hề mới nhưng MyTob là loại Virus đầu tiên đã kết hợp mạng lưới Botnet với một chương trình gửi email hàng loạt. Giúp kẻ tấn công đánh cắp thông tin, tiền… của người của nạn nhân chứ không phải chỉ là nghịch ngợm, quấy rối như trước đây.
Tháng 6/2010 đánh dấu một bước ngoặt về mã độc hại. Đó là sự xuất hiện của “Sâu máy tính chiến tranh mạng Stuxnet”. Stuxnet lây lan qua các thiết bị USB và các phương pháp khác, Stuxnet được tạo ra để phá hoại một mục tiêu cụ thể: Nhà máy lọc dầu, nhà máy điện, hay nhà máy hạt nhân(điển hình là cuộc tấn công vào nhà máy hạt nhân làm giàu Uranium của Iran gây ra thiệt hại vô cùng lớn của nước này khi tạo ra sự ngưng trệ mất hai năm của nhà máy). Tháng 3/2011 là sự “lên ngôi” của các loại mã độc trong môi trường mobile.
Kẻ tấn công phát tán mã độc lên những chiếc điện thoại thông mình nhằm thu thập thông tin người dùng. Điển hình là hơn 3000 điện thoại Vodafone bị phơi nhiễm mã độc.4 Xu hướng phát triển Hiện nay ngày càng nhiều phần mềm độc hại nhằm đến các nền tảng di động, đặc biệt nhằm vào các điện thoại thông minh. Theo báo cáo của hãng AntiVirus Kaspersky quý 2/2013 thì đã có hơn 100 000 phần mềm độc hại trên di động được phát hiện. Các dữ liệu được thu thập bằng cách sử dụng Kaspersky Security Network dựa trên công nghệ đám mây (KSN).
Tất cả các số liệu được thực hiện với sự đồng ý của người sử dụng tham gia KSN. Những phần mềm này chủ yếu đến từ các quốc gia có số người sử dụng Internet cao, đặc biệt là Trung Quốc. Số liệu của Kaspersky cho thấy tổng số website phát tán malware có tới 26% site nằm tại Trung Quốc. 16 Tiếp theo đó là Mỹ (18%) và Nga (12%).
Các chương trình mã độc hại ngày càng phức tạp và nguy hiểm, nhưng cũng có chương trình lại rất đơn giản xét từ góc độ kỹ thuật, và lại rất phổ biến. Tuy nhiên, các chương trình phức tạp và nguy hiểm lại tăng lên nhiều so với 2 năm trước đây, trong đó nguy hiểm nhất là những chương trình có khả năng tự nhân bản, giữ nguyên các tính năng phá hoại và đồng thời sử dụng những cách thức che dấu sự hiện diện của mình trong hệ thống. Bản thân công nghệ được sử dụng để lẩn tránh của mã độc hại là rất mới và tinh vi. Cách đây 3-4 năm, công nghệ tự che dấu như vậy vẫn còn trong giai đoạn nghiên cứu, nhưng hiện nay chúng đã trở thành phổ biến toàn cầu.
Công nghệ tự nhân bản thì tuy đã có cách đây 20 năm và về nguyên lý thì công nghệ này không có gì thay đổi cho đến nay. Tuy nhiên, khả năng tự nhân bản hiện nay thường kết hợp với những công nghệ khác để tạo ra khả năng lây lan và phá hoại hiệu quả hơn rất nhiều. Hình 1-1 Các nguy cơ mất an toàn Ngay trong năm 2013 đã có tới 15 triệu mã độc hại, số lượng người dùng Internet ở Trung Quốc tăng rất nhanh, cao hơn cả Mỹ, chiếm tỷ lệ lớn nhất về lượng người sử dụng Internet trên toàn cầu. Đồng thời, có mức tăng cao các hình thức tội phạm không gian ảo (cyber crime), sử dụng các chương trình độc hại như một công cụ hiệu quả để đánh cắp tài sản.
Trung Quốc là nơi có nhiều người dùng Internet nhất và cũng là nơi xuất phát nhiều tội phạm nhất là như vậy. 17 Hiện nay sự phát triển của các mạng xã hội sẽ tạo ra môi trường tốt cho các chương trình độc hại. Điều này dễ hiểu vì người dùng thường tin tưởng các thành viên trong mạng xã hội, và do đó cũng không e ngại hoặc ít đề phòng hơn so với những cách thức giao tiếp khác. Mặt khác, mạng xã hội quy tụ rất nhiều thành phần, và trình độ nhận thức, hiểu biết về an toàn, bảo mật của người dùng trong mạng cũng rất thấp.
Từ đó, có thể thấy rằng các chương trình độc hại tìm được môi trường rất phù hợp trong mạng xã hội ảo. Bên cạnh đó, hiện giờ các điện thoại thông minh ( smartphone) rất phổ biến.