Luận Văn Tìm Hiểu Phương Pháp Phát Hiện Phần Mềm Cài Cắm Để Chặn Thu Tin Bí Mật Qua Mạng Internet

Chuyên khảo kỹ thuật phân tích Luận văn tìm hiểu và xây dựng một phương pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua, đánh giá các khía cạnh quan trọng, đề xuất

• Tác giả: Lê Đức Phú
• Người hướng dẫn: T.S Hồ Văn Canh
• Trường học: Trường Đại Học Quản Lý Và Công Nghệ Hải Phòng
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Tìm Hiểu Và Xây Dựng Một Phương Pháp Phát Hiện Phần Mềm Cài Cắm Để Chặn Thu Tin Bí Mật Qua Mạng Internet
• Loại tài liệu: Đồ Án Tốt Nghiệp
• Năm xuất bản: 2021
• Địa điểm: Hải Phòng

Mục lục chi tiết

• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Máy tính và hoạt động của máy tính
• 1.2. Quá trình khởi động Windows và hoạt động của chương trình trên nền Windows
• 1.3. Giao diện lập trình ứng dụng Windows (Win32 Application Programming Interface)
• 1.4. Định dạng file thực thi khả chuyển (Portable Executable file format) và quá trình thực thi PE file
• 1.5. Registry của hệ điều hành Windows
• 1.6. Tổng quan về mạng Internet và phần mềm gián điệp (Spyware)
• 1.6.1. Tổng quan về mạng Internet
• 1.6.2. Phần mềm gián điệp (Spyware)
• 1.7. Hợp ngữ (Assembly Language) và Reverse Engine
• 1.8. Vấn đề thu tin trên mạng Internet
• 1.8.1. Vấn đề thu tin công khai
• 1.8.2. Vấn đề thu tin bí mật
• 1.8.3. Hack để thu tin
• 1.8.4. Cài cắm phần mềm thu tin
• 2. PHÂN TÍCH MỘT TRƯỜNG HỢP CỤ THỂ
• 2.1. Phân tích hiện trường
• 2.2. Bảo vệ hiện trường
• 2.3. Tìm kiếm module gây nên hiện tượng nghi vấn
• 2.4. Đánh giá, kết luận
• 3. KINH NGHIỆM RÚT RA VÀ ĐỀ XUẤT
• 3.1. Kinh nghiệm rút ra
• 4. XÂY DỰNG MÔI TRƯỜNG PHÂN TÍCH
• 4.1. Quy trình phân tích
• 4.2. Giải pháp khắc phục hậu quả và bịt kín sơ hở
• 4.3. Các phương án xử lý phần mềm cài cắm
• LỜI CẢM ƠN
• MỞ ĐẦU
• 0.1. Tính cấp thiết của đề tài
• 0.2. Mục đích và nhiệm vụ nghiên cứu
• 0.3. Phạm vi nghiên cứu

Tóm tắt

I. Tổng Quan Về Phần Mềm Cài Cắm và Thu Thập Thông Tin

Internet đã mang lại nhiều lợi ích cho Việt Nam, nhưng cũng đi kèm với những nguy cơ tiềm ẩn. Các chương trình độc hại như virus, trojan, keylogger, và phần mềm gián điệp ngày càng tinh vi, thường được cài cắm để thu thập thông tin bí mật. Các cơ quan đặc biệt của nhiều quốc gia lợi dụng điều này để thực hiện các hoạt động thu tin bí mật một cách khó phát hiện. Việc nghiên cứu và ứng dụng các phương pháp phát hiện và xử lý phần mềm cài cắm vào công tác nghiệp vụ an ninh mạng là vô cùng cần thiết. Đề tài này tập trung vào việc phát hiện và ngăn chặn các phần mềm này, áp dụng kiến thức đã học vào thực tiễn.

1.1. Khái niệm và mục đích của phần mềm cài cắm

Phần mềm cài cắm là các chương trình độc hại được cài đặt trái phép vào hệ thống với mục đích thu thập thông tin, theo dõi hoạt động người dùng, hoặc kiểm soát hệ thống từ xa. Mục đích chính của chúng là đánh cắp dữ liệu bí mật, thông tin cá nhân, hoặc gây tổn hại cho hệ thống. Chúng thường hoạt động ẩn danh, khó bị phát hiện bởi người dùng thông thường. Theo tài liệu, các chương trình độc hại thường được tạo ra với nhiều mục đích như đùa nghịch, phá hoại… và nhiều khi được cài cắm vào mất tính để thu thập những thông tin.

1.2. Các loại thông tin bí mật thường bị nhắm mục tiêu

Các loại thông tin bí mật thường bị nhắm mục tiêu bao gồm thông tin tài chính (số tài khoản ngân hàng, thông tin thẻ tín dụng), thông tin cá nhân (tên, địa chỉ, số điện thoại, email), thông tin đăng nhập (tên người dùng, mật khẩu), và các tài liệu nhạy cảm (bí mật kinh doanh, thông tin chính phủ). Việc bảo vệ những thông tin này là vô cùng quan trọng để tránh lộ thông tin và mất dữ liệu.

II. Thách Thức An Ninh Mạng Phần Mềm Độc Hại và Xâm Nhập Mạng

Việc phát hiện phần mềm độc hại và ngăn chặn xâm nhập mạng là một thách thức lớn đối với an ninh mạng. Các kỹ thuật tấn công ngày càng tinh vi, sử dụng các zero-day exploit và lỗ hổng bảo mật để vượt qua các biện pháp phòng thủ truyền thống. Các phần mềm cài cắm thường được thiết kế để tránh bị phát hiện bởi các phần mềm diệt virus và tường lửa. Do đó, cần có các phương pháp phát hiện và phòng chống tiên tiến hơn.

2.1. Các phương thức xâm nhập mạng phổ biến hiện nay

Các phương thức xâm nhập mạng phổ biến bao gồm khai thác lỗ hổng bảo mật trong phần mềm, sử dụng email lừa đảo để lừa người dùng cài đặt phần mềm độc hại, tấn công vào các website độc hại, và lợi dụng các phần mềm miễn phí độc hại hoặc phần mềm crack. Kẻ tấn công thường sử dụng các kỹ thuật social engineering để đánh lừa người dùng và vượt qua các biện pháp bảo mật.

2.2. Khó khăn trong việc phát hiện phần mềm cài cắm

Việc phát hiện phần mềm cài cắm gặp nhiều khó khăn do chúng thường hoạt động ẩn danh, sử dụng các kỹ thuật che giấu tinh vi, và liên tục thay đổi để tránh bị phát hiện. Các phần mềm diệt virus truyền thống thường dựa vào chữ ký số để phát hiện mã độc, nhưng các phần mềm cài cắm mới thường không có chữ ký số hoặc sử dụng các kỹ thuật mã hóa để che giấu mã độc.

2.3. Ảnh hưởng của phần mềm cài cắm đến bảo mật thông tin

Phần mềm cài cắm có thể gây ra những ảnh hưởng nghiêm trọng đến bảo mật thông tin, bao gồm lộ thông tin cá nhân, mất dữ liệu bí mật, gián đoạn hoạt động của hệ thống, và gây thiệt hại về tài chính. Việc bị xâm nhập mạng có thể dẫn đến mất uy tín và lòng tin của khách hàng.

III. Phương Pháp Phát Hiện Phần Mềm Cài Cắm Phân Tích Hành Vi

Một trong những phương pháp phát hiện hiệu quả nhất là phân tích hành vi của phần mềm. Phương pháp này tập trung vào việc theo dõi và phân tích các hoạt động của phần mềm trên hệ thống, như truy cập file, kết nối mạng, thay đổi registry, và sử dụng tài nguyên hệ thống. Bất kỳ hành vi nào bất thường hoặc đáng ngờ đều có thể là dấu hiệu của phần mềm cài cắm.

3.1. Giám sát và phân tích hành vi hệ thống thời gian thực

Việc giám sát và phân tích hành vi hệ thống thời gian thực cho phép phát hiện các hoạt động đáng ngờ ngay khi chúng xảy ra. Các công cụ hệ thống phát hiện xâm nhập (IDS) và hệ thống ngăn chặn xâm nhập (IPS) có thể được sử dụng để theo dõi và phân tích lưu lượng mạng, hoạt động của hệ thống, và nhật ký sự kiện.

3.2. Sử dụng Sandbox để phân tích phần mềm độc hại

Sandbox là một môi trường ảo an toàn, nơi phần mềm có thể được thực thi và phân tích mà không gây ảnh hưởng đến hệ thống thực. Phân tích mã độc trong sandbox cho phép quan sát hành vi của phần mềm, xác định các hoạt động độc hại, và trích xuất thông tin về mã độc.

3.3. Ứng dụng Machine Learning trong phát hiện phần mềm độc hại

Machine learning có thể được sử dụng để xây dựng các mô hình phát hiện phần mềm độc hại dựa trên phân tích hành vi. Các mô hình này có thể học từ dữ liệu lịch sử và nhận diện các mẫu hành vi bất thường, giúp phát hiện các phần mềm cài cắm mới và chưa được biết đến.

IV. Kỹ Thuật Phát Hiện Phần Mềm Cài Cắm Phân Tích Mã Độc Tĩnh

Phân tích mã độc tĩnh là một kỹ thuật phát hiện dựa trên việc phân tích mã nguồn của phần mềm mà không cần thực thi nó. Kỹ thuật này cho phép xác định các đoạn mã đáng ngờ, các hàm API được sử dụng, và các thông tin cấu hình quan trọng. Phân tích mã độc tĩnh có thể giúp phát hiện các phần mềm cài cắm dựa trên các đặc điểm của mã độc.

4.1. Giải mã và phân tích mã nguồn hợp ngữ Assembly

Việc giải mã và phân tích mã nguồn hợp ngữ (Assembly) cho phép hiểu rõ cách thức hoạt động của phần mềm ở cấp độ thấp. Kỹ thuật này đòi hỏi kiến thức chuyên sâu về kiến trúc máy tính và ngôn ngữ Assembly. Các công cụ như IDA Pro và OllyDbg có thể được sử dụng để giải mã và phân tích mã nguồn.

4.2. Phân tích cấu trúc PE file và Import Tables

PE file (Portable Executable) là định dạng file thực thi phổ biến trên hệ điều hành Windows. Phân tích cấu trúc PE file và Import Tables cho phép xác định các thư viện và hàm API mà phần mềm sử dụng. Bất kỳ sự thay đổi nào bất thường trong cấu trúc PE file hoặc Import Tables có thể là dấu hiệu của phần mềm cài cắm.

4.3. Tìm kiếm các chuỗi ký tự và mẫu mã độc đã biết

Việc tìm kiếm các chuỗi ký tự và mẫu mã độc đã biết trong mã nguồn của phần mềm có thể giúp phát hiện các phần mềm cài cắm dựa trên các đặc điểm của mã độc. Các công cụ như Yara có thể được sử dụng để tìm kiếm các mẫu mã độc trong file.

V. Ứng Dụng Thực Tiễn Xây Dựng Môi Trường Phân Tích và Quy Trình

Để phát hiện phần mềm cài cắm hiệu quả, cần xây dựng một môi trường phân tích an toàn và tuân thủ một quy trình phân tích rõ ràng. Môi trường phân tích nên bao gồm các công cụ cần thiết để phân tích hành vi và phân tích mã độc. Quy trình phân tích nên bao gồm các bước thu thập mẫu, phân tích tĩnh, phân tích động, và báo cáo kết quả.

5.1. Thiết lập môi trường phân tích an toàn và cô lập

Việc thiết lập một môi trường phân tích an toàn và cô lập là rất quan trọng để tránh lây nhiễm mã độc sang hệ thống thực. Môi trường phân tích nên được đặt trong một mạng riêng biệt và sử dụng các công nghệ ảo hóa để cô lập các máy ảo.

5.2. Xây dựng quy trình phân tích phần mềm cài cắm chi tiết

Quy trình phân tích nên bao gồm các bước thu thập mẫu, phân tích tĩnh, phân tích động, và báo cáo kết quả. Mỗi bước nên được thực hiện một cách cẩn thận và ghi lại đầy đủ thông tin.

5.3. Các công cụ hỗ trợ phân tích phần mềm độc hại hiệu quả

Có nhiều công cụ hỗ trợ phân tích phần mềm độc hại hiệu quả, bao gồm IDA Pro, OllyDbg, Wireshark, Process Monitor, và các công cụ sandbox. Việc lựa chọn công cụ phù hợp phụ thuộc vào mục tiêu và kỹ năng của người phân tích.

VI. Giải Pháp Bảo Mật và Phòng Chống Phần Mềm Cài Cắm Hiệu Quả

Để bảo vệ thông tin bí mật và ngăn chặn phần mềm cài cắm, cần triển khai các giải pháp bảo mật toàn diện, bao gồm phần mềm diệt virus, tường lửa, hệ thống phát hiện xâm nhập (IDS), hệ thống ngăn chặn xâm nhập (IPS), và các biện pháp đánh giá rủi ro và tuân thủ quy định.

6.1. Cập nhật phần mềm và vá lỗ hổng bảo mật thường xuyên

Việc cập nhật phần mềm và vá lỗ hổng bảo mật thường xuyên là rất quan trọng để ngăn chặn các cuộc tấn công khai thác lỗ hổng bảo mật. Các nhà cung cấp phần mềm thường phát hành các bản vá lỗi bảo mật để khắc phục các lỗ hổng đã được phát hiện.

6.2. Nâng cao nhận thức về an ninh mạng cho người dùng

Việc nâng cao nhận thức về an ninh mạng cho người dùng là rất quan trọng để giảm thiểu rủi ro bị tấn công. Người dùng cần được đào tạo về các mối đe dọa an ninh mạng, cách nhận biết email lừa đảo, và cách sử dụng mật khẩu an toàn.

6.3. Tuân thủ các tiêu chuẩn và quy định về bảo mật thông tin

Việc tuân thủ các tiêu chuẩn và quy định về bảo mật thông tin, như GDPR, CCPA, và ISO 27001, là rất quan trọng để đảm bảo bảo mật thông tin và tránh các hình phạt pháp lý.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN 1. Máy tính và hoạt động của máy tính Máy tính hay máy vi tính là một thiết bị độc lập được trang bị các phần mềm, tiện ích cùng với các thiết bị vào ra, các thiết bị ngoại vi khác để thực hiện tính toán hay kiểm soát các hoạt động mà có thể biểu diễn dưới dạng số hay quy luật logic. Máy tính được lắp ghép bởi các thành phần có thể thực hiện các chức năng đơn giản đã định nghĩa trước (Chia ra làm 2 loại là phần cứng và phần mềm). Quá trình tác động tương hỗ phức tạp của các thành phần này tạo cho máy tính một khả năng xử lý thông tin.

Nếu được thiết lập chính xác (thông thường bởi các chương trình máy tính) máy tính có thể mô phỏng lại một số khía cạnh của một vấn đề hay của một hệ thống. Trong trường hợp này, khi được cung cấp một bộ dữ liệu thích hợp nó có thể tự động giải quyết vấn đề hay dự đoán trước sự thay đổi của hệ thống. Hoạt động của máy tính có thể được mô tả như sau: “ Khi nguồn điện được khởi động, BIOS (Basic Input/ Output System) của máy tính sẽ đọc thông tin được ghi ở bộ nhớ ROM trên mainboard để thực hiện các thao tác kiểm tra phần cứng, đọc ngày giờ… sau đó trao quyền điều khuyển cho hệ điều hành. Hệ điều hành nạp các chương trình từ ổ đĩa cứng lên bộ nhớ RAM để thực thi.

Các kết quả của chương trình được lưu trữ vào ổ cứng. Khi tắt nguồn điện, chỉ có ổ cứng lưu giữ được dữ liệu và trạng thái của hệ thống. Hiểu được hoạt động của máy tính giúp chúng ta xác định được hiện trường vụ việc. Khi xử lý vụ việc, yêu cầu sao lưu hệ thống được đặt ra đầu tiên, tuy nhiên không cần thiết phải tịch thu toàn bộ hệ thống mà chỉ cần sao lưu ổ đĩa cứng của máy tính để thao tác.

Điều này là hợp lý, nhất là trong trường hợp phải giữ nguyên hiện trường, không để đối tượng phát hiện máy tính của mình đã bị tiếp cận. 11 Phượng pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng internet 1. Quá trình khởi động Windows và hoạt động của chương trình trên nền Windows Dưới đây mô tả quá trình hoạt động của các hệ điều hành Windows dựa trên nhân NT. Sau khi BIOS khởi động xong, nó sẽ trao quyền điều khiển lại cho hệ điều hành.

Windows đọc sector đầu tiên của phân vùng này, gọi là boot sector, và thực thi lệnh ở đó. Đoạn mã lệnh này sẽ đọc thư mục gốc của phân vùng, tìm kiếm một file được gọi là ntldr (NT Loader). Nếu tìm được file này, nó sẽ đọc file đó vào bộ nhớ và thực thi. Ntldr sẽ tải hệ điều hành vào bộ nhớ.

Tiếp theo, ntldr sẽ đọc 1 file gọi là boot.ini, là thông tin cấu hình duy nhất không chứa trong registry. Nó liệt kê tất cả các phiên bản của hal.dll và ntoskrnl.exe có sẵn để khởi động trong phân vùng này. Các file này cung cấp nhiều tham số, như số lượng CPU, dung lượng RAM sử dụng, có cho phép người dung xử lý 2 GB hoặc 3 GB dữ liệu hay không và tần số xung (rate) được thiết lập cho đồng hồ thời gian thực. Ntldr tiếp tục lựa chọn và tải các hal.dll và ntoskrnl.dll cũng như fule bootvid.dll, chương trình điểu khiển (driver) video mặc định để hiển thị thông tin quá trình khởi động.dll đọc registry để tìm ra những trình điều khiển cần thiết để hoàn tất việc khởi động (ví dụ, chương trình điểu khiển bàn phím và chuột, và hàng tá các trình điều khiển cho các chip ở trên mainboard).

Cuối cùng, nó đọc tất cả các driver và trao quyền lại cho ntoskrnl. Khi khởi động, hệ điều hành sẽ gọi các thành phần thực thi để thực hiện một vài thiết lập thông thường nào đó. Ví dụ, trình điều khiển đối tượng (object manager) chuẩn bị không gian tên (name space) của nó để cho phép các thành phần khác gọi nó và thêm đối tượng vào không gian tên. Nhiều thành phần cũng có thể thực hiện được công việc riêng biệt liên quan đến chức năng của chúng, ví dụ như trình điều 12 Phượng pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng internet khiển bộ nhớ có thể thiết lập bảng phân trang ban đầu trình điều khiển cắm-chạy (plug-and-play) có thể biết được những thiết bị nhập/xuất hiện tại và tải trình điều khiển cho chúng.

Nói chung, có hàng loạt bước xảy ra. Bước cuối cùng là tạo ra tiến trình người sử dụng thực sự đầu tiên, trình điều khiển phiên (session manager), smss. Một khi tiến trình này được gọi và thực thi có nghĩa là quá trình khởi động đã kết thúc. Trình điều khiển phiên là tiến trình nguyên sơ của Windows.

Nó thực hiện các lời gọi hệ thống thực sự và không sử dụng môi trường hệ thống phụ Win32, là môi trường mà lúc này vẫn chưa hoạt động. Thực ra, một trong những nhiệm vụ đầu tiên của nó là tạo ra chính nó (csrss. Nó cũng đọc các nhánh registry từ đĩa và nhận biết các nhiệm vụ của nó. Thông thường công việc của nó bao gồm việc đưa các đối tượng vào không gian tên của trình điều khiển đối tượng, tạo ra các phân trang tập tin mở rộng và mở các DLL quan trọng để sử dụng chúng thường xuyên.

Sau khi đã hoàn tất các công việc này, nó tạo ra chương trình đăng nhập (login daemon), winlogon. Như vậy, hệ điều hành đã hoạt động. Bây giờ là thời điểm thực thi các tiến trình dịch vụ (không gian chương trình người sử dụng) và cho phép người sử dụng đăng nhập.exe trước tiên tạo ra trình xác thực (Isass.exe), và sau đó là tiến trình chủ của tất cả các dịch vụ (services. Tiến trình chủ này sẽ tìm kiếm trong registry những tiến trình cần thiết trong không gian tiến trình người dùng và các file chứa chúng, rồi tạo ra chúng.

Thực tế, đĩa thường hoạt động rất nặng sau khi người dùng đầu tiên đăng nhập, nhưng đó không phải là lỗi của người dùng. Thủ phạm là services.exe đã tạo ra tất cả các dịch vụ. Thêm vào đó, nó còn tải thêm các trình điều khiển thiết bị còn thiếu. Quá trình đó có thể được mô tả dưới đây như sau: Tiến trình Mô tả Idle Không thực sự là 1 tiến trình,mà là 1 tiểu trình chờ đợi 13 Phượng pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng internet System Tạo ra smss.exe và phân trang tập tin, đọc registry, mở DLL smss.exe Tiến trình đầu tiên, tiếp tục khởi tạo; tạo ra csrss và winlogon csrss.exe Tiến trình hệ thống con Win32 winlogon.exe Chương trình đăng nhập Isass.exe Chương trình quản lý xác thực service.exe Tìm kiếm trong registry và khởi động các dịch vụ Bảng 1.

Cây phân cấp quá trình khởi động của Windows dựa trên nhân NT Các dịch vụ ở đây có thể là máy phục vụ in ấn, máy phục vụ file, trình Telnet, điều khiển mail đến, điều khiển fax đến, giải pháp DNS, nhật ký sự kiện, trình điều khiển cắm- chạy… Winlogon.exe đáp ứng cho mọi người sử dụng. Hộp thoại đăng nhập thực sự được điều khiển bởi 1 chương trình riêng biệt trong msgina.dll nhằm đảm bảo cho nó có thể thay thế cách đăng nhập chuẩn (bằng tên mật khẩu) bằng nhận dạng vân tay hoặc cách xác thực khác. Sau khi đăng nhập thành công, winlogon.exe lấy thông tin cá nhân của người dùng trong registry và chính nó để quyết định thực thi những shell nào. Nhiều người không nhận ra điều đó, nhưng màn hình desktop của Windows chuẩn chỉ có explorer.exe với một tùy chọn nào đó.

Nếu muốn, người sử dụng có thể chọn bất cứ chương trình nào như các shell, bao gồm command.exe hoặc ngay cả Word, bằng các chỉnh sửa registry. Tuy nhiên, việc chỉnh sửa registry không dành cho người thiếu hiểu biết; một lỗi lầm có thể khiến cho hệ thống không thể sử dụng được. Quá trình khởi động của các hệ điều hành Windows dựa trên nhân NT về sau về cơ bản cũng giống như trên. Trên đây ta đã nắm được quá trình khởi động của hệ điều hành Windows, vậy một chương trình phần mềm hoạt động ra sao trên nền hệ điều hành đó ? Chương trình là một dãy các mệnh lệnh có thể được thực thi bởi máy tính.

Các chương trình được tạo ra bằng các ngôn ngữ lập trình, mỗi chương trình có thể có 14 Phượng pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng internet nhiều module, trong đó các module có thể gọi module khác trong cùng chương trình, và cũng có thể gọi đến các module của chương trình khác. Sau đó chương trình được dịch thành PE file dưới dạng nhị phân (*.dll…) để có thể thực thi. Chương trình chỉ hoạt động được khi có tác nhân kích hoạt nó. Đó có thể là: - Do người dùng kích hoạt (cố ý hoặc vô ý) - Do hệ điều hành kích hoạt.

Hệ điều hành có thể kích hoạt các chương trình theo 2 cách: + Đọc thông tin từ các file cấu hình của Windows và registry (sẽ nói rõ ở phần sau). Các phiên bản Windows từ Windows 98 trở về trước đọc thông tin thiết lập trong các file cấu hình như win.ini và autoexec.bat để kích hoạt các chương trình khởi động. Từ phiên bản Windows 2000 trở đi, tuy các file này vẫn có trong cấu trúc hệ điều hành nhưng không còn được sử dụng nữa. Các chương trình cũng có thể được thực thi bằng cách tạo các khóa ở trong registry, thường ở những khóa sau: • Registry Shell open [HKEY _CLASSES_ ROOT\exefile\shell\open\command] [HKEY _LOCAL_ MACHINE\SOFTW ARE\Classes\exefile\shell\open \command] Một khóa có giá trị “%1 %*’’, sẽ tự động được thực thi mỗi khi thi hành một file.exe %1 %*” • Alternate Registry Keys [HKEY _CLASSES_ ROOT\.exe] @="myexefile"] [HKEY _LOCAL_ MACHINE\Software\CLASSES\myexefile\shell\open \command\ @="program.exe %1 %*"] • Main Registry 15 Phượng pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng internet [HKEY _LOCAL_ MACHINE\Software\Microsoft\ Windows\Current Version\RunServices] [HKEY _LOCAL_ MACHINE\Software\Microsoft\ Windows\Current Version\RunServicesOnce] [HKEY _LOCAL_ MACHINE\Software\Microsoft\ Windows\Current Version \Run] [HKEY _LOCAL_ MACHINE\Software\Microsoft\ Windows\Current Version\RunOnce] [HKEY _CURRENT_ USER\Software\Microsoft\ Windows\CurrentVersion \Run] [HKEY _CURRENT_ USER\Software\Microsoft\ Windows\CurrentVersion\RunOnce] [HKEY _CURRENT_ USER\Software\Microsoft\ Windows\CurrentVersion \RunServices] + Các chương trình/module của Windows gọi đến.

- Do chương trình/ module khác (không phải của Windows) kích hoạt bằng mã lệnh. Khi đã được kích hoạt, chương trình sẽ thực hiện nhiệm vụ của nó dưới dạng tường minh hoặc ẩn (background) mà người sử dụng khó nhận biết. Trong quá trình đó, nó cũng có thể gọi thêm các chương trình/module khác.