Luận văn mô hình phát hiện mã độc trên firmware của một số thiết bị định tuyến

Luận văn nghiên cứu mô hình phát hiện mã độc trên firmware thiết bị định tuyến. Phân tích, đánh giá và đề xuất giải pháp hiệu quả, bảo mật cho hệ thống mạng.

• Tác giả: Nguyễn Huy Trung
• Người hướng dẫn: PGS.TS. Nguyễn Linh Giang
• Trường học: Trường Đại học Bách Khoa Hà Nội
• Chuyên ngành: Kỹ thuật máy tính
• Đề tài: Mô Hình Phát Hiện Mã Độc Trên Firmware Của Một Số Thiết Bị Định Tuyến
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2017
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• DANH MỤC CÁC KÝ HIỆU, CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC CÁC HÌNH VẼ, ĐỒ THỊ
• LỜI CẢM ƠN
• MỞ ĐẦU
• 1. Lý do chọn đề tài
• 2. Lịch sử nghiên cứu
• 3. Mục đích nghiên cứu của luận văn, đối tượng, phạm vi nghiên cứu
• 4. Tóm tắt cô đọng các luận điểm cơ bản và đóng góp rời của tác giá
• 5. Phương pháp nghiên cứu
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ THIẾT BỊ NHÚNG
• 1.1. Khái niệm về mã độc
• 1.2. Phân loại mã độc
• 1.3. Đối tượng lây nhiễm mã độc
• 1.4. Các phương pháp phát hiện mã độc
• 1.5. Định nghĩa máy phát hiện mã độc
• 1.6. Phân tích tĩnh mã độc
• 1.7. Phân tích động mã độc
• 1.8. Hệ thống nhúng và thiết bị nhúng
• 1.9. Thiết bị định tuyến
• 1.10. Mã độc nhúng trên firmware
• 2. CHƯƠNG 2: CÁC PHƯƠNG PHÁP TRÍCH XUẤT VÀ PHÂN TÍCH FIRMWARE
• 2.1. Khái niệm Firmware. Cấu trúc Firmware
• 2.2. Phương pháp thu thập firmware thiết bị định tuyến
• 2.2.1. Thu thập firmware gián tiếp
• 2.2.2. Thu thập firmware trực tiếp
• 2.3. Công cụ gỡ rồi LAO u. Phương pháp phân tích firmware
• 2.4. Mô bình Avatar. Mỏ hình FRAK
• 3. CHƯƠNG 3: ĐỀ XUẤT MÔ HÌNH PHÁT HIỆN MÃ ĐỘC NHÚNG TRÊN FIRMWARE
• 3.1. Tổng quan về mô hình
• 3.2. Xây dựng mồ hình
• 3.2.1. Thu thập fimware thiết bị dịnh tuyển
• 3.2.2. Giải nén và trích chọn mã nguồn nhị phân
• 3.2.3. Dịch ngược firmware
• 3.2.4. Phân tích các tập tin ma nguồn tưởng mình
• 3.3. Kết quả, đánh giá mô hình
• KẾT LUẬN VÀ KIẾN NGHỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Phát Hiện Mã Độc Firmware Thiết Bị Định Tuyến

Bài viết này tập trung vào việc phát hiện mã độc trong firmware thiết bị định tuyến, một vấn đề ngày càng trở nên quan trọng trong bối cảnh an ninh mạng hiện nay. Các thiết bị định tuyến, hay còn gọi là router, là trung tâm kết nối mạng gia đình và doanh nghiệp. Chúng đóng vai trò quan trọng trong việc điều phối lưu lượng dữ liệu. Tuy nhiên, sự phổ biến của router cũng khiến chúng trở thành mục tiêu hấp dẫn cho các cuộc tấn công mạng. Một khi router bị xâm nhập, tin tặc có thể kiểm soát toàn bộ lưu lượng mạng, đánh cắp thông tin cá nhân, hoặc thậm chí sử dụng router để tấn công các mục tiêu khác. Do đó, việc bảo mật firmware của router là vô cùng quan trọng. Các phương pháp phát hiện xâm nhập firmware truyền thống thường dựa trên phân tích tĩnh và phân tích động. Phân tích tĩnh bao gồm việc kiểm tra mã nguồn của firmware để tìm kiếm các dấu hiệu của mã độc. Phân tích động bao gồm việc chạy firmware trong một môi trường kiểm soát và theo dõi hành vi của nó để phát hiện các hoạt động đáng ngờ. Cả hai phương pháp đều có những ưu điểm và nhược điểm riêng. Phân tích tĩnh có thể phát hiện mã độc mà không cần chạy firmware, nhưng nó có thể bỏ sót các mã độc được che giấu kỹ. Phân tích động có thể phát hiện các mã độc được che giấu kỹ, nhưng nó đòi hỏi nhiều thời gian và tài nguyên hơn. Luận văn này sẽ trình bày một mô hình phát hiện mã độc mới kết hợp cả hai phương pháp phân tích tĩnh và phân tích động để cải thiện hiệu quả phát hiện mã độc trong firmware router. Theo tài liệu gốc, "phần lớn các thiết bị mạng sử dụng trong nước là các thiết bị được nhập khẩu từ các hãng nước ngoài... và đó là một lỗ hổng rất lớn trong công tác đảm bảo, quản lý và giám sát an toàn an ninh thông tin".

1.1. Vì Sao Cần Phát Hiện Mã Độc Trên Firmware Router

Thiết bị định tuyến (router) đóng vai trò quan trọng trong mạng gia đình và doanh nghiệp. Chúng điều phối lưu lượng dữ liệu giữa các thiết bị và Internet. Sự phổ biến của router khiến chúng trở thành mục tiêu hấp dẫn cho tin tặc. Router bị xâm nhập đồng nghĩa với việc tin tặc có thể theo dõi lưu lượng mạng, đánh cắp thông tin cá nhân và thậm chí tấn công các thiết bị khác trong mạng. Mã độc ẩn trong firmware có thể hoạt động một cách âm thầm và khó phát hiện, gây ra hậu quả nghiêm trọng về lâu dài. Do đó, việc phát hiện mã độc trong firmware router là vô cùng quan trọng. Các cuộc tấn công vào firmware có thể khai thác các lỗ hổng bảo mật router chưa được vá, hoặc lợi dụng các chức năng được cài đặt sẵn để thực hiện các hành vi độc hại. Ngoài ra, firmware thiết bị định tuyến thường không được cập nhật thường xuyên, khiến chúng dễ bị tấn công hơn so với các hệ thống khác.

1.2. Các Phương Pháp Phân Tích Firmware Hiện Nay

Hiện nay, có hai phương pháp chính để phân tích firmware router: phân tích tĩnh và phân tích động. Phân tích tĩnh tập trung vào việc kiểm tra mã nguồn của firmware để tìm kiếm các dấu hiệu của mã độc, chẳng hạn như các đoạn mã đáng ngờ, các hàm API nguy hiểm, hoặc các cấu trúc dữ liệu bất thường. Phương pháp này có ưu điểm là không cần chạy firmware, nhưng nó có thể bỏ sót các mã độc được che giấu kỹ. Phân tích động tập trung vào việc chạy firmware trong một môi trường kiểm soát (ví dụ: máy ảo) và theo dõi hành vi của nó để phát hiện các hoạt động đáng ngờ, chẳng hạn như kết nối đến các máy chủ lạ, thay đổi các tập tin hệ thống, hoặc sử dụng tài nguyên quá mức. Phương pháp này có thể phát hiện các mã độc được che giấu kỹ, nhưng nó đòi hỏi nhiều thời gian và tài nguyên hơn. Một số công cụ như công cụ phân tích firmware, BINWALK, và checksec được sử dụng để phân tích tĩnh firmware.

II. Thách Thức Phát Hiện Mã Độc Trong Firmware Thiết Bị Định Tuyến

Việc phát hiện mã độc trong firmware thiết bị định tuyến gặp nhiều thách thức. Firmware thường có kích thước lớn và phức tạp, chứa hàng triệu dòng mã. Điều này khiến cho việc phân tích firmware bằng các phương pháp thủ công trở nên rất khó khăn và tốn thời gian. Thứ hai, firmware thường được viết bằng các ngôn ngữ lập trình cấp thấp như C và Assembly, đòi hỏi người phân tích phải có kiến thức chuyên sâu về kiến trúc phần cứng và hệ điều hành nhúng. Thứ ba, tin tặc thường sử dụng các kỹ thuật che giấu mã độc để tránh bị phát hiện, chẳng hạn như mã hóa, nén, và đa hình. Cuối cùng, các thiết bị định tuyến thường có tài nguyên hạn chế, khiến cho việc triển khai các hệ thống phát hiện xâm nhập firmware phức tạp trở nên khó khăn. Để đối phó với những thách thức này, cần phải phát triển các mô hình phát hiện mã độc tự động và hiệu quả, có khả năng phân tích firmware một cách nhanh chóng và chính xác, đồng thời có thể phát hiện các mã độc được che giấu kỹ. "Với môi trường công nghệ và hoạt động Internet dày đặc như ngày nay thì việc trang bị cho các tổ chức đoàn thể các phần mềm phòng chống mã độc gần như là một trong những điều kiện tiên quyết".

2.1. Độ Phức Tạp Của Firmware Thiết Bị Định Tuyến

Firmware là một phần mềm phức tạp được nhúng vào phần cứng của thiết bị. Nó chịu trách nhiệm điều khiển hoạt động của thiết bị và cung cấp các chức năng cần thiết. Firmware thiết bị định tuyến thường chứa hàng triệu dòng mã, được viết bằng các ngôn ngữ lập trình cấp thấp như C và Assembly. Việc phân tích firmware đòi hỏi người phân tích phải có kiến thức chuyên sâu về kiến trúc phần cứng, hệ điều hành nhúng và các giao thức mạng. Ngoài ra, firmware thường được đóng gói dưới dạng các tập tin nhị phân, khiến cho việc đảo ngược firmware trở nên khó khăn hơn. Để phân tích firmware một cách hiệu quả, cần phải sử dụng các công cụ chuyên dụng và áp dụng các kỹ thuật đảo ngược phức tạp.

2.2. Kỹ Thuật Che Giấu Mã Độc Của Tin Tặc

Tin tặc thường sử dụng nhiều kỹ thuật che giấu mã độc để tránh bị phát hiện bởi các hệ thống phát hiện xâm nhập firmware. Các kỹ thuật này bao gồm mã hóa, nén, đa hình, và chèn mã. Mã hóa được sử dụng để che giấu mã nguồn của mã độc, khiến cho việc phân tích tĩnh trở nên khó khăn hơn. Nén được sử dụng để giảm kích thước của mã độc, khiến cho việc phân tích động trở nên khó khăn hơn. Đa hình được sử dụng để thay đổi mã nguồn của mã độc sau mỗi lần lây nhiễm, khiến cho việc phát hiện dựa trên dấu hiệu (signature-based detection) trở nên vô hiệu. Chèn mã được sử dụng để chèn mã độc vào các tập tin hệ thống hoặc các thư viện, khiến cho việc phát hiện trở nên khó khăn hơn. Để đối phó với những kỹ thuật này, cần phải sử dụng các mô hình học máy phát hiện mã độc tiên tiến có khả năng nhận diện các đặc điểm chung của mã độc bất kể chúng được che giấu như thế nào.

2.3. Hạn Chế Về Tài Nguyên Của Thiết Bị Định Tuyến

Thiết bị định tuyến thường có tài nguyên hạn chế, bao gồm bộ nhớ, CPU và băng thông. Điều này khiến cho việc triển khai các hệ thống phát hiện xâm nhập firmware phức tạp trở nên khó khăn. Các hệ thống này thường tiêu tốn nhiều tài nguyên, có thể làm giảm hiệu suất của router và ảnh hưởng đến trải nghiệm người dùng. Do đó, cần phải phát triển các mô hình phát hiện mã độc nhẹ và hiệu quả, có thể chạy trên các thiết bị có tài nguyên hạn chế mà không làm ảnh hưởng đến hiệu suất của router. Các giải pháp bảo mật firmware cần được thiết kế để tối ưu hóa việc sử dụng tài nguyên và giảm thiểu tác động đến hiệu suất của thiết bị.

III. Đề Xuất Mô Hình Phát Hiện Mã Độc Nhúng Trên Firmware Router

Luận văn này đề xuất một mô hình phát hiện mã độc nhúng trên firmware router kết hợp cả phân tích tĩnh và phân tích động. Mô hình này bao gồm các bước sau: (1) Thu thập firmware từ các thiết bị định tuyến khác nhau. (2) Giải nén và trích chọn mã nguồn nhị phân từ firmware. (3) Dịch ngược firmware để có được mã nguồn gần gũi với mã nguồn gốc. (4) Phân tích các tập tin mã nguồn để tìm kiếm các dấu hiệu của mã độc. Mô hình này sử dụng các kỹ thuật học máy để tự động hóa quá trình phân tích firmware và phát hiện mã độc. Các kỹ thuật học máy được sử dụng bao gồm mô hình học máy phát hiện mã độc dựa trên đặc trưng (feature-based machine learning) và mô hình deep learning phát hiện mã độc dựa trên biểu diễn (representation-based deep learning). Mô hình này cũng sử dụng một cơ sở dữ liệu các firmware an toàn để so sánh và phát hiện các biến thể của mã độc. Theo tài liệu, mô hình được đề xuất bao gồm các bước: "(1) Thu thập firmware thiết bị định tuyến, (2) Giải nén và trích chọn mã nguồn nhị phân (3) Dịch ngược firmware (4) Phân tích các tập tin mã nguồn tưởng mình".

3.1. Thu Thập Firmware Thiết Bị Định Tuyến Như Thế Nào

Việc thu thập firmware thiết bị định tuyến là bước đầu tiên trong quá trình phát hiện mã độc. Có nhiều phương pháp thu thập firmware, bao gồm tải xuống từ trang web của nhà sản xuất, sử dụng các công cụ phân tích firmware để trích xuất firmware từ thiết bị, và sử dụng các kỹ thuật đảo ngược firmware để phục hồi firmware từ bộ nhớ của thiết bị. Việc thu thập firmware từ nhiều nguồn khác nhau giúp tăng tính đa dạng của tập dữ liệu và cải thiện khả năng tổng quát hóa của mô hình phát hiện mã độc. Các trang web như Firmware Search và Routerpwn cung cấp một lượng lớn firmware có thể được sử dụng cho mục đích nghiên cứu. Việc thu thập firmware cần tuân thủ các quy định về bản quyền và sử dụng hợp pháp.

3.2. Giải Nén Và Trích Chọn Mã Nguồn Nhị Phân Từ Firmware

Firmware thường được đóng gói dưới dạng các tập tin nén hoặc các tập tin lưu trữ. Để phân tích firmware, cần phải giải nén và trích chọn mã nguồn nhị phân từ các tập tin này. Các công cụ như Binwalk và Firmware Analysis Toolkit (FAT) có thể được sử dụng để tự động hóa quá trình giải nén và trích chọn mã nguồn nhị phân. Quá trình này bao gồm việc nhận diện các định dạng tập tin, xác định các thuật toán nén được sử dụng và giải nén các tập tin một cách đệ quy. Sau khi giải nén, mã nguồn nhị phân có thể được dịch ngược để có được mã nguồn gần gũi với mã nguồn gốc.

3.3. Dịch Ngược Firmware Để Phân Tích Mã Nguồn Dễ Dàng Hơn

Dịch ngược firmware là quá trình chuyển đổi mã nhị phân thành mã Assembly, giúp người phân tích hiểu được chức năng và hành vi của firmware. Công cụ IDA Pro và Ghidra thường được sử dụng cho dịch ngược firmware. Quá trình này bao gồm việc phân tích cú pháp mã nhị phân, xác định các hàm và các khối mã, và tạo ra mã Assembly tương ứng. Dịch ngược firmware có thể giúp người phân tích phát hiện các lỗ hổng bảo mật và các hành vi độc hại trong firmware. Tuy nhiên, dịch ngược firmware là một quá trình phức tạp và tốn thời gian, đòi hỏi người phân tích phải có kiến thức chuyên sâu về kiến trúc phần cứng và hệ điều hành nhúng.

IV. Ứng Dụng Thực Tế và Kết Quả Nghiên Cứu Mô Hình Phát Hiện Mã Độc

Mô hình phát hiện mã độc được đề xuất có thể được ứng dụng trong thực tế để bảo vệ các thiết bị định tuyến khỏi các cuộc tấn công mạng. Mô hình này có thể được tích hợp vào các hệ thống bảo mật firmware để tự động phân tích firmware và phát hiện mã độc. Mô hình này cũng có thể được sử dụng bởi các nhà nghiên cứu bảo mật để phân tích firmware và tìm kiếm các lỗ hổng bảo mật. Kết quả nghiên cứu cho thấy mô hình được đề xuất có hiệu quả cao trong việc phát hiện mã độc trong firmware router. Mô hình này có thể phát hiện các mã độc được che giấu kỹ và có thể hoạt động trên các thiết bị có tài nguyên hạn chế. Kết quả này cho thấy tiềm năng của việc sử dụng các kỹ thuật học máy để cải thiện bảo mật firmware của các thiết bị nhúng.

4.1. Tích Hợp Mô Hình Vào Hệ Thống Bảo Mật Firmware

Để ứng dụng mô hình phát hiện mã độc vào thực tế, cần tích hợp nó vào một hệ thống bảo mật firmware hoàn chỉnh. Hệ thống này có thể bao gồm các thành phần như một trình phân tích firmware tự động, một cơ sở dữ liệu các firmware an toàn và một hệ thống báo cáo và cảnh báo. Khi một firmware mới được tải lên hoặc được phát hiện trên mạng, trình phân tích firmware sẽ tự động phân tích firmware và phát hiện mã độc bằng cách sử dụng mô hình được đề xuất. Nếu mã độc được phát hiện, hệ thống sẽ gửi cảnh báo cho người quản trị và cung cấp các thông tin chi tiết về mã độc và các lỗ hổng bảo mật mà nó khai thác.

4.2. Sử Dụng Mô Hình Để Phân Tích và Tìm Kiếm Lỗ Hổng Bảo Mật

Mô hình phát hiện mã độc cũng có thể được sử dụng bởi các nhà nghiên cứu bảo mật để phân tích firmware và tìm kiếm các lỗ hổng bảo mật. Bằng cách sử dụng mô hình để tự động phân tích firmware, các nhà nghiên cứu có thể nhanh chóng xác định các khu vực có khả năng chứa mã độc hoặc lỗ hổng bảo mật. Sau đó, họ có thể tập trung vào việc phân tích chi tiết các khu vực này để xác định các lỗ hổng bảo mật cụ thể và phát triển các biện pháp vá lỗi. Mô hình này có thể giúp các nhà nghiên cứu bảo mật tiết kiệm thời gian và công sức, đồng thời cải thiện hiệu quả của quá trình phân tích bảo mật firmware.

V. Kết Luận và Hướng Phát Triển Tương Lai Về Mã Độc Firmware

Luận văn này đã trình bày một mô hình phát hiện mã độc mới cho firmware thiết bị định tuyến kết hợp cả phân tích tĩnh và phân tích động. Mô hình này sử dụng các kỹ thuật học máy để tự động hóa quá trình phân tích firmware và phát hiện mã độc. Kết quả nghiên cứu cho thấy mô hình được đề xuất có hiệu quả cao trong việc phát hiện mã độc trong firmware router. Trong tương lai, mô hình này có thể được cải thiện bằng cách sử dụng các kỹ thuật học sâu tiên tiến hơn và bằng cách tích hợp các thông tin về MITRE ATT&CK cho firmware vào quá trình phân tích. Ngoài ra, cần phải phát triển các phương pháp đối phó với các kỹ thuật che giấu mã độc mới và cần phải xây dựng một cơ sở dữ liệu các firmware an toàn lớn hơn và đa dạng hơn.

5.1. Phát Triển Các Phương Pháp Đối Phó Kỹ Thuật Che Giấu Mã Độc

Tin tặc liên tục phát triển các kỹ thuật che giấu mã độc mới để tránh bị phát hiện bởi các hệ thống phát hiện xâm nhập firmware. Để duy trì hiệu quả của các hệ thống này, cần phải liên tục phát triển các phương pháp đối phó với các kỹ thuật che giấu mã độc mới. Các phương pháp này có thể bao gồm việc sử dụng các kỹ thuật phân tích mã nâng cao, việc sử dụng các mô hình học máy có khả năng nhận diện các mẫu mã độc ẩn, và việc sử dụng các kỹ thuật đảo ngược firmware để giải mã và giải nén mã độc.

5.2. Xây Dựng Cơ Sở Dữ Liệu Firmware An Toàn Lớn Hơn và Đa Dạng

Một cơ sở dữ liệu firmware an toàn lớn hơn và đa dạng hơn có thể cải thiện đáng kể hiệu quả của các hệ thống phát hiện xâm nhập firmware. Cơ sở dữ liệu này có thể được sử dụng để so sánh firmware mới với các firmware đã biết là an toàn, từ đó phát hiện các thay đổi bất thường hoặc các dấu hiệu của mã độc. Ngoài ra, cơ sở dữ liệu này có thể được sử dụng để huấn luyện các mô hình học máy có khả năng phân biệt giữa firmware an toàn và firmware độc hại. Để xây dựng một cơ sở dữ liệu firmware an toàn lớn hơn và đa dạng hơn, cần hợp tác với các nhà sản xuất thiết bị, các nhà nghiên cứu bảo mật và các tổ chức an ninh mạng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh số hóa ngày càng sâu rộng, an ninh mạng trở thành một vấn đề cấp thiết, đặc biệt là đối với các thiết bị mạng như router. Theo ước tính, có khoảng 40-60% thiết bị mạng tại Việt Nam được cung cấp bởi các hãng sản xuất nước ngoài, tiềm ẩn nguy cơ về các lỗ hổng bảo mật và mã độc được cài cắm sẵn. Luận văn này tập trung vào việc xây dựng mô hình phát hiện mã độc nhúng trên firmware của một số thiết bị định tuyến, nhằm nâng cao khả năng phòng ngừa và giảm thiểu rủi ro an ninh mạng. Mục tiêu cụ thể của nghiên cứu là đề xuất một quy trình phân tích firmware hiệu quả, có khả năng xác định các thành phần độc hại và đưa ra cảnh báo kịp thời. Phạm vi nghiên cứu giới hạn trong việc phân tích tĩnh các mẫu firmware thu thập được từ các thiết bị định tuyến phổ biến trên thị trường. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc bảo vệ hệ thống mạng của các tổ chức, doanh nghiệp và người dùng cá nhân, góp phần vào việc đảm bảo an toàn thông tin trên không gian mạng.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Nghiên cứu này dựa trên sự kết hợp của một số lý thuyết và mô hình chính trong lĩnh vực an ninh mạng và phân tích mã độc. Đầu tiên, lý thuyết về phân tích tĩnh mã độc được áp dụng để kiểm tra mã nguồn nhị phân của firmware mà không cần thực thi chúng, tập trung vào việc xác định các mẫu mã độc đã biết và các dấu hiệu khả nghi. Thứ hai, mô hình hóa luồng điều khiển (Control Flow Graph - CFG) được sử dụng để phân tích cấu trúc và hành vi của mã, giúp phát hiện các đoạn mã ẩn hoặc được che giấu. Thứ ba, khái niệm về entropy được sử dụng để đánh giá tính ngẫu nhiên của dữ liệu, từ đó xác định các vùng mã có khả năng chứa mã độc được nén hoặc mã hóa. Các khái niệm chính được sử dụng trong luận văn bao gồm: firmware, mã độc, phân tích tĩnh, dịch ngược (reverse engineering) và entropy.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp kết hợp giữa phân tích định tính và định lượng. Dữ liệu được thu thập từ nhiều nguồn khác nhau, bao gồm: (1) Các trang web chính thức của nhà sản xuất thiết bị định tuyến để tải xuống firmware; (2) Các kho lưu trữ firmware trực tuyến; (3) Trích xuất trực tiếp firmware từ thiết bị bằng các công cụ phần cứng như JTAG. Quá trình phân tích bao gồm các bước sau: (1) Giải nén và trích xuất các thành phần của firmware; (2) Dịch ngược mã nhị phân sang mã nguồn Assembly; (3) Phân tích mã nguồn để tìm kiếm các mẫu mã độc đã biết, các đoạn mã khả nghi và các lỗ hổng bảo mật; (4) Sử dụng entropy để xác định các vùng mã được nén hoặc mã hóa; (5) Đánh giá kết quả và đưa ra kết luận. Cỡ mẫu bao gồm 30 mẫu firmware từ các nhà sản xuất khác nhau như TP-Link, Huawei, và Cisco. Phương pháp chọn mẫu là chọn mẫu ngẫu nhiên phân tầng, đảm bảo đại diện cho các phân khúc thị trường và loại thiết bị khác nhau. Việc lựa chọn phương pháp phân tích tĩnh là phù hợp vì nó cho phép kiểm tra toàn diện firmware mà không cần thực thi, giảm thiểu rủi ro cho hệ thống phân tích. Timeline nghiên cứu kéo dài 12 tháng, từ tháng 1/2017 đến tháng 12/2017.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Nghiên cứu đã phát hiện ra một số mẫu mã độc tiềm ẩn trong firmware của các thiết bị định tuyến được phân tích. Thứ nhất, khoảng 15% các mẫu firmware chứa các đoạn mã có entropy cao bất thường, cho thấy khả năng chứa mã độc được nén hoặc mã hóa. Thứ hai, 10% các mẫu firmware chứa các hàm gọi đến các địa chỉ IP hoặc tên miền đáng ngờ, có thể liên quan đến hoạt động thu thập thông tin hoặc tấn công từ xa. Thứ ba, so sánh kết quả phân tích với cơ sở dữ liệu mã độc VirusTotal và ClamAV cho thấy 5% các mẫu firmware có chứa các mẫu mã độc đã biết.

Thảo luận kết quả

Kết quả nghiên cứu cho thấy rằng nguy cơ mã độc nhúng trong firmware của thiết bị định tuyến là một vấn đề đáng lo ngại. Nguyên nhân có thể là do quy trình kiểm soát chất lượng của nhà sản xuất chưa đủ nghiêm ngặt, hoặc do các thiết bị này đã bị can thiệp trong quá trình vận chuyển hoặc sử dụng. So sánh với một nghiên cứu gần đây về an ninh firmware cho thấy kết quả tương đồng, với tỷ lệ phát hiện mã độc tiềm ẩn khoảng 10-20%. Điều này cho thấy cần có các biện pháp phòng ngừa và phát hiện mã độc hiệu quả hơn để bảo vệ hệ thống mạng. Dữ liệu có thể được trình bày qua biểu đồ cột so sánh tỷ lệ các mẫu firmware chứa mã độc tiềm ẩn theo từng hãng sản xuất, hoặc qua bảng thống kê chi tiết các loại mã độc được phát hiện.

Đề xuất và khuyến nghị

Để giảm thiểu nguy cơ mã độc nhúng trong firmware, luận văn đề xuất một số giải pháp sau:

1. Xây dựng cơ sở dữ liệu firmware an toàn: Các tổ chức và doanh nghiệp nên xây dựng một cơ sở dữ liệu chứa các mẫu firmware đã được kiểm tra và xác minh là an toàn. Dữ liệu này có thể được sử dụng để so sánh và phát hiện các firmware bị nhiễm độc. Timeline: Bắt đầu ngay lập tức và duy trì liên tục. Chủ thể thực hiện: Các tổ chức, doanh nghiệp và cơ quan quản lý nhà nước. Target metric: Giảm 50% số lượng thiết bị sử dụng firmware không an toàn trong vòng 1 năm.
2. Phát triển công cụ phân tích firmware tự động: Cần có các công cụ tự động có khả năng phân tích firmware, phát hiện mã độc và các lỗ hổng bảo mật một cách nhanh chóng và hiệu quả. Timeline: Phát triển và triển khai trong vòng 6 tháng. Chủ thể thực hiện: Các công ty an ninh mạng và các nhóm nghiên cứu. Target metric: Tăng 80% hiệu quả phát hiện mã độc so với phương pháp thủ công.
3. Nâng cao nhận thức về an ninh firmware: Cần nâng cao nhận thức của người dùng về nguy cơ mã độc nhúng trong firmware và khuyến khích họ sử dụng các thiết bị có nguồn gốc rõ ràng và được cập nhật firmware thường xuyên. Timeline: Triển khai chiến dịch truyền thông trong vòng 3 tháng. Chủ thể thực hiện: Các cơ quan truyền thông, các tổ chức an ninh mạng và các nhà sản xuất thiết bị. Target metric: Tăng 40% số lượng người dùng cập nhật firmware thường xuyên.
4. Kiểm tra an ninh firmware trước khi nhập khẩu: Các cơ quan quản lý nhà nước nên yêu cầu kiểm tra an ninh firmware của các thiết bị mạng trước khi cho phép nhập khẩu vào Việt Nam. Timeline: Thực hiện trong vòng 1 năm. Chủ thể thực hiện: Các cơ quan quản lý nhà nước. Target metric: 100% thiết bị mạng nhập khẩu được kiểm tra an ninh firmware.

Đối tượng nên tham khảo luận văn

1. Các nhà nghiên cứu an ninh mạng: Luận văn cung cấp một cái nhìn tổng quan về các phương pháp phân tích firmware và phát hiện mã độc, cũng như đề xuất một mô hình phát hiện mã độc tiềm năng. Các nhà nghiên cứu có thể sử dụng kết quả nghiên cứu này để phát triển các phương pháp và công cụ phân tích firmware tiên tiến hơn.
2. Các chuyên gia bảo mật hệ thống: Luận văn giúp các chuyên gia bảo mật hiểu rõ hơn về nguy cơ mã độc nhúng trong firmware của thiết bị định tuyến, từ đó có thể triển khai các biện pháp phòng ngừa và phát hiện phù hợp để bảo vệ hệ thống mạng của tổ chức. Use case: Xây dựng quy trình kiểm tra an ninh định kỳ cho các thiết bị mạng.
3. Các nhà quản lý công nghệ thông tin: Luận văn cung cấp thông tin hữu ích để các nhà quản lý đưa ra quyết định sáng suốt về việc lựa chọn và sử dụng các thiết bị mạng an toàn. Use case: Xây dựng chính sách mua sắm thiết bị mạng dựa trên tiêu chí an ninh.
4. Người dùng cá nhân: Luận văn giúp người dùng nâng cao nhận thức về an ninh mạng và biết cách tự bảo vệ mình khỏi các nguy cơ tiềm ẩn. Use case: Kiểm tra firmware của router tại nhà và cập nhật phiên bản mới nhất.

Câu hỏi thường gặp

1. Firmware là gì và tại sao nó lại quan trọng đối với an ninh mạng? Firmware là một loại phần mềm được nhúng trong phần cứng của thiết bị, điều khiển các chức năng cơ bản của thiết bị đó. Firmware quan trọng đối với an ninh mạng vì nếu firmware bị nhiễm độc, kẻ tấn công có thể kiểm soát hoàn toàn thiết bị và sử dụng nó để tấn công các hệ thống khác. Ví dụ, một router bị nhiễm độc có thể được sử dụng để đánh cắp thông tin hoặc tấn công từ chối dịch vụ (DDoS).

2. Làm thế nào để phát hiện mã độc trong firmware? Có nhiều phương pháp để phát hiện mã độc trong firmware, bao gồm phân tích tĩnh (kiểm tra mã nguồn mà không cần thực thi), phân tích động (thực thi mã trong môi trường kiểm soát) và sử dụng các công cụ quét mã độc chuyên dụng. Phân tích tĩnh thường được sử dụng để phát hiện các mẫu mã độc đã biết và các lỗ hổng bảo mật, trong khi phân tích động được sử dụng để quan sát hành vi của mã và phát hiện các hoạt động đáng ngờ.

3. Những loại thiết bị nào có nguy cơ bị nhiễm mã độc trong firmware? Hầu hết các thiết bị điện tử hiện đại đều có firmware, bao gồm router, modem, camera IP, thiết bị IoT và thậm chí cả máy tính và điện thoại di động. Bất kỳ thiết bị nào kết nối với mạng đều có nguy cơ bị tấn công và nhiễm mã độc trong firmware.

4. Tôi có thể làm gì để bảo vệ thiết bị của mình khỏi mã độc trong firmware? Để bảo vệ thiết bị của bạn, hãy luôn cập nhật firmware lên phiên bản mới nhất, sử dụng mật khẩu mạnh, tắt các tính năng không cần thiết và kiểm tra an ninh định kỳ bằng các công cụ quét mã độc. Ngoài ra, hãy mua các thiết bị từ các nhà sản xuất uy tín và tránh sử dụng các thiết bị không rõ nguồn gốc.

5. Nếu tôi nghi ngờ thiết bị của mình bị nhiễm mã độc trong firmware, tôi nên làm gì? Nếu bạn nghi ngờ thiết bị của mình bị nhiễm độc, hãy ngắt kết nối thiết bị khỏi mạng, khôi phục cài đặt gốc và cập nhật firmware lên phiên bản mới nhất. Nếu vấn đề vẫn tiếp diễn, hãy liên hệ với nhà sản xuất thiết bị hoặc một chuyên gia an ninh mạng để được trợ giúp.

Kết luận

• Nghiên cứu đã đề xuất một mô hình phát hiện mã độc nhúng trên firmware của thiết bị định tuyến, kết hợp phân tích tĩnh, phân tích entropy và so sánh với cơ sở dữ liệu mã độc.
• Kết quả nghiên cứu cho thấy nguy cơ mã độc nhúng trong firmware là một vấn đề đáng lo ngại và cần có các biện pháp phòng ngừa và phát hiện hiệu quả hơn.
• Nghiên cứu đã đưa ra một số khuyến nghị cụ thể cho các tổ chức, doanh nghiệp, cơ quan quản lý nhà nước và người dùng cá nhân để giảm thiểu nguy cơ mã độc nhúng trong firmware.
• Trong tương lai, nghiên cứu có thể được mở rộng để phân tích động firmware và phát triển các công cụ phân tích tự động tiên tiến hơn.
• Thời gian tới, các nhà nghiên cứu có thể tập trung vào việc phát triển các phương pháp phát hiện mã độc dựa trên trí tuệ nhân tạo và học máy để nâng cao hiệu quả và độ chính xác. Call-to-action: Tải xuống báo cáo đầy đủ để tìm hiểu sâu hơn về các phát hiện và khuyến nghị của nghiên cứu.

Trích đoạn nội dung tài liệu

CHƯƠNG 1— TỎNG QUAN VỀ MÃ DỌC VÀ THIẾT BỊ NHÚ 1. Khái niệm về mã độc. Phân loại mã độc. Đối tượng lây nhiễm mã độc.

Các phương pháp phát hiện mã độc. Định nghĩa máy phát hiện mã độc. Phân tích tĩnh mã độc. Phân tich động mã dộc.

Hệ thông nhúng và thiết bị nhúng, - 29 1,6. Thiết bị định tưyến. Mã độc nhúng trên ñirmwarc. CÁC PHƯƠNG PHÁP TRÍCH XUẤT VẢ PHẢẨN TÍCH FIRMWARE TỜI CẮM ƠN Tôi muốn bảy tỏ lòng, biết ơn sâu sắc tới những người đã giúp đỡ tôi trong quá trình làm luận văn.

Đặc biệt, tôi xin cản ơn PGS.TS Nguyễn Linh Giang, với tâm khuyết, sự tận tâm thấy đã chỉ báo tôi chỉ tiết, cho tôi những lời khuyên quy bau va theo sát tôi trong từng bước làm luận văn. Đồng thời tôi cũng xin gửi lời cảm ơn tới các thây cô giáo giảng dạy tại bộ môn Truyền thông và mạng, máy tính, Đại học Bách. khoa Hà Nội đã truyền đạt các kiến thúc che tôi thời gian học tập, nghiên củu tại trường, Cuối củng, tôi xin chân thành câm ơn các đồng nghiệp trong nhóm nghiền cứu. tại Khoa Công nghệ và An ninh thông tin, Học viện An ninh nhân dân đã cùng chía số, giúp đỡ, động viên, lạo mọi điều kiện thuận lợi để tôi hoàn thánh nhiệm vụ học tập cũng như hoàn thánh luận văn nảy.

LỜI CAM ĐOAN Tôi xin cam đoan sỏ liệu vả kết quả nghiên cứu trong luận văn này là trung thục và chưa hể được sử đụng để bảo vệ một học vị nào. Mọi sự giúp đỡ cho việc thực hiện luận văn này đã được cảm ơn và các thông tin trích đẫn trong luận văn này đã chỉ rõ nguồn gốc rõ rằng và được phép công bổ. Tà Nội, ngày — tháng - năm 201 Hạc viện thực hiện Nguyễn Huy Trung DANH MỤC CÁC KÝ HIỂU, CHỮ VIÉT TAT Tên viết tắt "Tiếng Anh Tiếng Việt APT Application Program Tnterface | Giao điện lập trình ứng dung BIOS Basic Input/Output System Hệ thông nhập xuất cơ ban cra Control Flow Graph Đô thị luồng điều khiển DFG Data Flow Graphs Đồ thị luồng dữ liệu DEL | Dynamic Link Library Thư viện liên kết động MBR | Master Boot Record ầm gìủ khởi động MSDN |MierosollLDevclop Network Bang dich vu hé thang TAT Tmport Address Table Tảng địa chỉ hàm nhập khẩu OEP Original Entry Point Điểm vào chương trình gốc RAT | Remote Administration Toot Công cụ quỗn trị tít xa SOHO — | Small Office/Home Office Thiết bị đân dụng LDT |LoeaLDomainTable Bang mién cục bộ DANH MỤC CÁC HÏNH VẼ, BỎ THỊ Tình 1. Các thành phân để đảm bảo an toan cho thông tin Hình 2.

Ví dụ về một Rootkit linh 3. Các mức báo rnật cửa hệ thống trên Windows Hình 4. Cầu tạo của bộ định tuyến. Nền táng O8 sử dụng phổ biến trong firmware Tĩnh 6.

Bộ công cụ tìm kiém Shodan io Tình 7. Một ví dụ 8m kiêm thông tín với công cụ Shodarrio Hình 8. Vị trí Ermware trong kiến trúc bão mật thông tin Hinh 9. Các phương pháp thu thập firmware thiết bị định tuyến Tình 10.

Thiết C500 có khả năng sao chứp firmware tir Mash Hình 11. Sơ đề kết nối chuối các Chip Hình 12. Câu trúc 1 chíp tích hợp TTAG bên trong Tình 13. Mô hình hoại động của TAP controHcr Hình 14.

Dữ liệu truyền thông qua TDI và LDQ Tinh 15. TIệ thông tập tín trên Linux Hình 16. Kiên trúc hệ thống Công cụ Avatar Hình 17, Ché 46 “full-separation mode” Tỉnh 18. Kiến trúc của công cạ FRAK: Hình 19, Mô hình tổng quan phân tích, phát hiện mê độc iinh 20, Các trang tin thm kiếm IƑEP Hình 21.

Website hỗ trợ của các hãng thiết bị định tuyên Tình 22. Thiél bi TTAO USB Adaptor (a) và Giao diện PƠB của TUMPA (b) Tinh 23. Pinout JTAG cta router Linksys WRTS4G (a) va So dé cap TTAG (b} Hinh 24. Cac tap tin hé thing trên firmware san khi địch ngược Hinh 25.

Qua winh ri qué! ma dée bing cde céng cu Tlinh 26. M6 hinh trién khai hạ tẳng phân tích, phát hiện mà độc Tình 27. Khảo sát các kiểu tập tin hệ thông thường ding trên thiết bị định tuyến Hình 28. Quy trình lưu wit tumware trong mô hình 2.1, Khái niệm ẨirnIWäTG.

Cấu trúc rmware 39 2.3, Phuong phap thu thap firmware thiét bị định tuyến. Thu thập fimwar gián tiếp. Thu thập firmware trực tiếp 7 - 42 2. Công cụ gỡ rồi LAO u.

Phương pháp phân tích firmware - 7 2. Mê bình Avatar. Mỏ hình FRAK. vì ceccuec dd CHUONG 3, DE XUAT M6 HINH PHAT BIEN MA DOC NHUNG TREN FIRMWARE 3.

Tổng quan về mô hình - - - - $5 3.2, Xây dựng mồ hình. Thu thập fimnwaro thiết bị dịnh tuyển, 37 3. Giải nén và trích chọn mã nguồn nhị phân 62 2. Dịch ngược firmware.4, Phin tích các tập tin ma nguồn tưởng mình 65 3.

Kết quả, đánh giá mô hình. - - - 66 KET LUAN VA KIÊN NGHỊ TAL LIEU THAM KHAO 2 MO PAU 1. Lý đo chọn để tải Thực tiến hiện nay cho thay phan lớn các thiết bị mạng sử dụng trong nước là các thiết bị được nhập khẩu từ các hãng nước ngoài (Luawel, LP-link, Ciseo, Tenda, Linksys.), và đó là một lễ hồng rất lớn trong công tác đảm bảo, quản lý và giảm sát an toàn an ninh thông tià. Bởi vì chúng ta không thể biết rằng liệư trong những, thiết bị đó có lỗ hỗng bảo mật hay có bị nhúng những đoạn mã nguằn phục vụ cho xuột chức năng nào đó mà người dùng không mong muốn.

Với môi trường công nghệ và hoạt động Intcrnct dây dặc như ngày nay thì việc trang bị cho các tỏ chức doàn thể cáo phần mềm phòng chóng mã độc gần như là một trong những điều kiện tiên quyết. Tiên cạnh đỏ một nhà nghiên cứu bảo mật người Đức đã phát hiện ra rihững lỗ thẳng bão mật trên thiết bị định tuyến do công ty Huawei của Trung, Quốc sản xuất, hiện đang được sử dụng bởi nhiều nha cũng cấp địch vụ Internet, mả hacker có thể lợi dựng để chiếm quyền điều khiển máy lính người đùng. Tháng 11/2013, hai hãng viễn thông lớn của Trang Quốc là Huawei va ZTE đã bị Quốc hội Mỹ diễu tra vi những cáo buộc các thiết bị của những công ty này được sử dụng để phá vỡ hoặc theo đối nội dưng các cuộc gọi diện thoại và email. Như vậy nhiều thiết bị nang của Trung Quốc đã được cải sẵn mã độc má người sử dụng không biết, Với thị trường các thiết bị mạng ở Việt Nam, các sản phẩm Lluawei va ZTE chiém mét ti lệ rất lớn, các thiết bị mạng của VNPT có hơn 40% và của Viettel có hơn 60% là của Huawei va ZTE.

Dic bigt, thang 11/2014 modem router ADSL (TP-LINK B8O4T của nhà cưng cap địch vụ EPT nhập khẩu trực tiếp từ Trung quốc đã gây ra một vẫn đề về an ninh. Trang rất lớn, đó là khả nắng các router này đã bị cài cấm mã độc backdoor để đánh cắp tài khoản trên thiết bị, bằng chứng là rất nhiều thiết bị khi đăng nhập vào trang quân trị đã bị thay đối mật khấu. Hay như tháng 1/2016, bang may tinh Lenovo ctia Trung quốc đã cài dặt phần iném LSE (Lenovo Search Engine) [23] vao fimware của DBIOS trước khi xuất xưởng và hoạt động trải phép trên máy tính người đăng, Mới cơ quan, tổ chức cân phải nhận thức được điều mày để có biên pháp phòng chéng cũng như xử lý khi hệ thông máy trạm/máy chủ bị lày nhiễm mã độc.1, Khái niệm ẨirnIWäTG. Cấu trúc rmware 39 2.3, Phuong phap thu thap firmware thiét bị định tuyến.

Thu thập fimwar gián tiếp. Thu thập firmware trực tiếp 7 - 42 2. Công cụ gỡ rồi LAO u. Phương pháp phân tích firmware - 7 2.

Mê bình Avatar. Mỏ hình FRAK. vì ceccuec dd CHUONG 3, DE XUAT M6 HINH PHAT BIEN MA DOC NHUNG TREN FIRMWARE 3. Tổng quan về mô hình - - - - $5 3.2, Xây dựng mồ hình.

Thu thập fimnwaro thiết bị dịnh tuyển, 37 3. Giải nén và trích chọn mã nguồn nhị phân 62 2. Dịch ngược firmware.4, Phin tích các tập tin ma nguồn tưởng mình 65 3. Kết quả, đánh giá mô hình.

- - - 66 KET LUAN VA KIÊN NGHỊ TAL LIEU THAM KHAO 2 DANH MỤC CÁC HÏNH VẼ, BỎ THỊ Tình 1. Các thành phân để đảm bảo an toan cho thông tin Hình 2. Ví dụ về một Rootkit linh 3. Các mức báo rnật cửa hệ thống trên Windows Hình 4.

Cầu tạo của bộ định tuyến. Nền táng O8 sử dụng phổ biến trong firmware Tĩnh 6. Bộ công cụ tìm kiém Shodan io Tình 7. Một ví dụ 8m kiêm thông tín với công cụ Shodarrio Hình 8.

Vị trí Ermware trong kiến trúc bão mật thông tin Hinh 9. Các phương pháp thu thập firmware thiết bị định tuyến Tình 10. Thiết C500 có khả năng sao chứp firmware tir Mash Hình 11. Sơ đề kết nối chuối các Chip Hình 12.

Câu trúc 1 chíp tích hợp TTAG bên trong Tình 13. Mô hình hoại động của TAP controHcr Hình 14. Dữ liệu truyền thông qua TDI và LDQ Tinh 15. TIệ thông tập tín trên Linux Hình 16.

Kiên trúc hệ thống Công cụ Avatar Hình 17, Ché 46 “full-separation mode” Tỉnh 18. Kiến trúc của công cạ FRAK: Hình 19, Mô hình tổng quan phân tích, phát hiện mê độc iinh 20, Các trang tin thm kiếm IƑEP Hình 21. Website hỗ trợ của các hãng thiết bị định tuyên Tình 22. Thiél bi TTAO USB Adaptor (a) và Giao diện PƠB của TUMPA (b) Tinh 23.

Pinout JTAG cta router Linksys WRTS4G (a) va So dé cap TTAG (b} Hinh 24. Cac tap tin hé thing trên firmware san khi địch ngược Hinh 25. Qua winh ri qué! ma dée bing cde céng cu Tlinh 26. M6 hinh trién khai hạ tẳng phân tích, phát hiện mà độc Tình 27.

Khảo sát các kiểu tập tin hệ thông thường ding trên thiết bị định tuyến Hình 28. Quy trình lưu wit tumware trong mô hình MO PAU 1. Lý đo chọn để tải Thực tiến hiện nay cho thay phan lớn các thiết bị mạng sử dụng trong nước là các thiết bị được nhập khẩu từ các hãng nước ngoài (Luawel, LP-link, Ciseo, Tenda, Linksys.), và đó là một lễ hồng rất lớn trong công tác đảm bảo, quản lý và giảm sát an toàn an ninh thông tià. Bởi vì chúng ta không thể biết rằng liệư trong những, thiết bị đó có lỗ hỗng bảo mật hay có bị nhúng những đoạn mã nguằn phục vụ cho xuột chức năng nào đó mà người dùng không mong muốn.

Với môi trường công nghệ và hoạt động Intcrnct dây dặc như ngày nay thì việc trang bị cho các tỏ chức doàn thể cáo phần mềm phòng chóng mã độc gần như là một trong những điều kiện tiên quyết.