Nghiên Cứu Về Phát Hiện và Ngăn Chặn Ransomware

Khóa luận nghiên cứu phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền bằng chiến thuật giăng bẫy hiệu quả trong an toàn thông tin.

• Tác giả: Trương Đình Trọng
• Người hướng dẫn: ThS. Nguyễn Duy
• Trường học: Đại học Quốc gia Hồ Chí Minh
• Chuyên ngành: Ngành An toàn Thông tin
• Đề tài: Nghiên Cứu Phát Hiện và Ngăn Chặn Ransomware Bằng Phương Pháp Chọn Lọc và Chiến Lược Lừa Đảo Mạng
• Loại tài liệu: khóa luận
• Năm xuất bản: 2024
• Địa điểm: TP.Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Giới thiệu vấn đề
• 1.2. Tính ứng dụng
• 1.3. Những thách thức
• 1.4. Giới thiệu những nghiên cứu liên quan
• 1.4.1. Trình phát hiện mã độc
• 1.5. Mục tiêu, đối tượng, và phạm vi nghiên cứu
• 1.5.1. Mục tiêu nghiên cứu
• 1.5.2. Đối tượng nghiên cứu
• 1.5.3. Phạm vi nghiên cứu
• 1.6. Cấu trúc khóa luận tốt nghiệp
• 2. MÃ ĐỘC TỐNG TIỀN
• 2.1. Lịch sử phát triển
• 2.2. Một số loại phần mềm ransomware
• 2.3. Mục tiêu tấn công
• 2.4. Cách thức hoạt động của ransomware
• 2.5. Giai đoạn thực thi
• 3. PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC
• 3.1. Phương pháp phân tích tĩnh
• 3.2. Phương pháp phân tích động
• 3.3. Phương pháp kết hợp
• 3.4. Mô hình Honeypot
• 3.4.1. Cách thức hoạt động
• 3.5. Mô hình phát hiện và phòng thủ
• 3.5.1. Tổng quan mô hình đề xuất
• 3.5.2. Mô hình phát hiện
• 3.5.3. Kết hợp giữa VirusTotal và Kaspersky
• 3.5.4. Mô hình Honeypot nâng cao
• 4. THÍ NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Thiết lập thí nghiệm
• 4.1.1. Tập dữ liệu
• 4.1.2. Trình phát hiện mã độc
• 4.1.3. Thực nghiệm hệ thống tổng quát
• 4.2. Kết quả thí nghiệm
• 5. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phát Hiện và Ngăn Chặn Ransomware

Nghiên cứu về ransomware đã trở thành một lĩnh vực quan trọng trong an ninh mạng. Các cuộc tấn công ransomware không chỉ gây thiệt hại tài chính mà còn ảnh hưởng đến hoạt động của nhiều tổ chức. Việc phát hiện và ngăn chặn ransomware là cần thiết để bảo vệ dữ liệu và duy trì hoạt động liên tục. Nghiên cứu này sẽ trình bày các phương pháp phát hiện và ngăn chặn ransomware hiệu quả.

1.1. Giới Thiệu Về Ransomware và Tác Động Của Nó

Ransomware là một loại phần mềm độc hại có khả năng mã hóa dữ liệu và yêu cầu tiền chuộc. Các cuộc tấn công này đã gia tăng đáng kể trong những năm gần đây, gây ra thiệt hại lớn cho cá nhân và tổ chức. Việc hiểu rõ về ransomware là bước đầu tiên trong việc phát triển các biện pháp phòng ngừa.

1.2. Tầm Quan Trọng Của Nghiên Cứu Trong Ngăn Chặn Ransomware

Nghiên cứu về phát hiện và ngăn chặn ransomware giúp nâng cao nhận thức và cải thiện các biện pháp bảo mật. Các phương pháp mới được phát triển có thể giúp phát hiện sớm các cuộc tấn công, từ đó giảm thiểu thiệt hại cho tổ chức.

II. Những Thách Thức Trong Việc Phát Hiện Ransomware Hiện Nay

Mặc dù có nhiều tiến bộ trong công nghệ phát hiện, nhưng việc phát hiện ransomware vẫn gặp nhiều thách thức. Các phương pháp truyền thống thường không đủ hiệu quả để phát hiện các biến thể mới của ransomware. Điều này đòi hỏi các giải pháp sáng tạo và linh hoạt hơn.

2.1. Sự Phát Triển Nhanh Chóng Của Ransomware

Ransomware ngày càng trở nên tinh vi hơn, sử dụng các kỹ thuật mã hóa phức tạp và tấn công có mục tiêu. Điều này làm cho việc phát hiện trở nên khó khăn hơn, yêu cầu các hệ thống phát hiện phải được cập nhật thường xuyên.

2.2. Khó Khăn Trong Việc Phát Hiện Sớm

Nhiều tổ chức không có khả năng phát hiện sớm các cuộc tấn công ransomware. Điều này dẫn đến việc mất dữ liệu và thiệt hại tài chính lớn. Cần có các giải pháp phát hiện hiệu quả hơn để giảm thiểu rủi ro.

III. Phương Pháp Phát Hiện Ransomware Bằng Chiến Lược Lừa Đảo Mạng

Một trong những phương pháp hiệu quả để phát hiện ransomware là sử dụng chiến lược lừa đảo mạng. Phương pháp này giúp thu hút kẻ tấn công và phân tích hành vi của chúng, từ đó phát hiện các cuộc tấn công trước khi chúng gây ra thiệt hại.

3.1. Mô Hình Honeypot Trong Phát Hiện Ransomware

Mô hình honeypot là một công cụ hữu ích trong việc phát hiện ransomware. Nó thu hút kẻ tấn công và cho phép các nhà nghiên cứu phân tích hành vi của chúng mà không làm tổn hại đến dữ liệu thực.

3.2. Kết Hợp Honeypot Với Học Máy

Kết hợp mô hình honeypot với học máy có thể cải thiện khả năng phát hiện ransomware. Hệ thống có thể học từ các cuộc tấn công trước đó và phát hiện các biến thể mới một cách hiệu quả hơn.

IV. Ứng Dụng Thực Tiễn Của Hệ Thống Phát Hiện Ransomware

Hệ thống phát hiện ransomware có thể được áp dụng trong nhiều lĩnh vực khác nhau, đặc biệt là trong các tổ chức tài chính và chăm sóc sức khỏe. Việc bảo vệ dữ liệu nhạy cảm là rất quan trọng để duy trì sự ổn định và uy tín của tổ chức.

4.1. Ứng Dụng Trong Tổ Chức Tài Chính

Các tổ chức tài chính thường là mục tiêu chính của ransomware. Hệ thống phát hiện hiệu quả giúp bảo vệ dữ liệu khách hàng và duy trì hoạt động kinh doanh liên tục.

4.2. Ứng Dụng Trong Ngành Y Tế

Ngành y tế xử lý nhiều dữ liệu nhạy cảm và cần được bảo vệ. Hệ thống phát hiện ransomware có thể giúp ngăn chặn các cuộc tấn công và bảo vệ thông tin bệnh nhân.

V. Kết Luận Về Nghiên Cứu Phát Hiện Ransomware

Nghiên cứu về phát hiện và ngăn chặn ransomware là rất cần thiết trong bối cảnh tội phạm mạng ngày càng gia tăng. Các phương pháp mới và sáng tạo cần được phát triển để bảo vệ dữ liệu và duy trì hoạt động của tổ chức.

5.1. Tương Lai Của Nghiên Cứu Ransomware

Nghiên cứu trong lĩnh vực này sẽ tiếp tục phát triển để đối phó với các mối đe dọa mới. Cần có sự hợp tác giữa các chuyên gia bảo mật và tổ chức để phát triển các giải pháp hiệu quả.

5.2. Tầm Quan Trọng Của Đào Tạo Người Dùng

Đào tạo người dùng về an ninh mạng là rất quan trọng. Nhận thức về ransomware và các biện pháp phòng ngừa có thể giúp giảm thiểu rủi ro và bảo vệ dữ liệu.

Nội dung chính

Giới thiệu dự án

Các cuộc tấn công bằng mã độc tống tiền (Ransomware) đã và đang trở thành mối đe dọa an ninh mạng nghiêm trọng nhất đối với hạ tầng công nghệ thông tin toàn cầu. Theo các báo cáo an ninh mạng giai đoạn 2021–2024, các vụ tấn công quy mô lớn như Colonial Pipeline (thiệt hại hơn 4,4 triệu USD) hay JBS Foods (thiệt hại 11 triệu USD tiền chuộc) đã chứng minh sức tàn phá khốc liệt của Ransomware đối với chuỗi cung ứng và an ninh dữ liệu. Sự bùng nổ của mô hình Ransomware-as-a-Service (RaaS) và chiến lược săn mục tiêu lớn Big Game Hunting (BGH) đã giúp các nhóm tội phạm mạng triển khai các biến thể độc hại ứng dụng kỹ thuật mã hóa lai tiên tiến (Advanced Encryption Standard - AES kết hợp Rivest-Shamir-Adleman - RSA), lẩn tránh chữ ký và khai thác triệt để các lỗ hổng zero-day.

Đề tài "A Study on Ransomware Detection and Prevention Using Selective Method and Cyber Deception Strategy" (Nghiên cứu phát hiện và phòng chống Ransomware sử dụng phương pháp chọn lọc kết hợp chiến lược đánh lừa không gian mạng) được thực hiện bởi sinh viên Trương Đình Trọng Thanh và Trần Thúy Anh, dưới sự hướng dẫn của ThS. Nguyễn Duy và ThS. Nguyễn Công Danh tại Trường Đại học Công nghệ Thông tin – ĐHQG TP.HCM (Chuyên ngành An toàn Thông tin).

+-----------------------------------------------------------------------------+
|                                PROBLEM CONTEXT                              |
|  - Ransomware gia tang theo mo hinh RaaS va Big Game Hunting (BGH)          |
|  - Ky thuat ma hoa lai AES-256 + RSA-2048 gay thiet hai khong the dao nguoc|
|  - Giai phap Honeypot tinh truyen thong de bi vuot qua hoac gay phi phuc tap|
+-----------------------------------------------------------------------------+
                                       |
                                       v
+-----------------------------------------------------------------------------+
|                               PROJECT GOALS                                 |
|  1. Xay dung lop phat hien da nguon: VirusTotal API v3 + Kaspersky OpenTIP  |
|  2. Trien khai co che Cyber Deception chu dong voi Ranflood (DFaR)           |
|  3. Tao Honeyfile dong (Shadow/Random) de bay va lam cham qua trinh ma hoa  |
|  4. On-the-fly Snapshooting & Resource Contention de bao ve du lieu that     |
+-----------------------------------------------------------------------------+

Mục tiêu dự án

1. Xây dựng lớp phát hiện chọn lọc đa nguồn: Tích hợp giao diện lập trình ứng dụng (Application Programming Interface - API) của hai nền tảng cơ sở dữ liệu mối đe dọa hàng đầu là VirusTotal v3 và Kaspersky Open Threat Intelligence Portal (OpenTIP) để quét tĩnh và đối soát hash đa tầng (MD5, SHA-256) theo thời gian thực.
2. Triển khai cơ chế đánh lừa mạng chủ động (Active Cyber Deception): Phát triển và tích hợp framework Ranflood ứng dụng kỹ thuật Tràn ngập dữ liệu chống Ransomware (Data Flooding against Ransomware - DFaR), phòng thủ mục tiêu di chuyển (Moving-target Defence - MTD) và tranh chấp tài nguyên I/O.
3. Giảm thiểu tối đa thiệt hại mã hóa dữ liệu: Kéo dài thời gian mã hóa của ransomware từ 60% đến 85% bằng các mồi nhử tập tin (Honeyfiles: Shadow & Random), giúp hệ thống giám sát có đủ thời gian cô lập tiến trình và kích hoạt khôi phục tự động qua bản sao chụp nhanh tức thời (On-the-fly Snapshooting).
4. Đánh giá thực nghiệm toàn diện: Thử nghiệm và xác thực hệ thống trên 6 họ Ransomware nguy hiểm bao gồm WannaCry, LockBit 3.0, Phobos, Ryuk, GandCrab và Vipasana.

Phạm vi và giới hạn

• Phạm vi: Bảo vệ dữ liệu người dùng cuối (End-User) và máy chủ tệp trên hệ điều hành Windows 10/11 (x64) và Linux qua môi trường ảo hóa kiểm thử. Tập trung vào giai đoạn thực thi (Execution Phase) và giai đoạn mã hóa tệp (Encryption Phase) của Crypto-ransomware.
• Giới hạn: Không bao gồm phân tích chuyên sâu phần cứng (Firmware/BIOS attacks); yêu cầu kết nối mạng ổn định để truy vấn danh tiếng mã độc qua Cloud Threat Intelligence API.

---

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các phương pháp phát hiện Ransomware truyền thống hiện nay bộc lộ nhiều điểm yếu:

• Phân tích tĩnh (Static Analysis): Dễ bị vượt qua bởi các kỹ thuật xáo trộn mã (obfuscation), packing và mã độc đa hình (polymorphic malware).
• Phân tích động (Dynamic Analysis) & Entropy: Tính toán Shannon Entropy có độ trễ nhất định, thường chỉ cảnh báo khi một số lượng tệp tin người dùng nhất định đã bị mã hóa.
• Honeypot truyền thống: Sử dụng các tập tin mồi nhử tĩnh (Static Honeyfiles). Nếu đặt quá nhiều sẽ gây lộn xộn không gian làm việc của người dùng, nếu đặt quá ít thì ransomware sẽ mã hóa tệp thật trước khi chạm vào tệp bẫy.

Giải pháp	Cơ chế chính	Ưu điểm	Nhược điểm
R-Locker	Bẫy tệp tĩnh trên Unix	Dễ triển khai, nhẹ	Chỉ bảo vệ một phần filesystem; dễ bị vô hiệu nếu tệp bẫy chính bị xóa
UNVEIL	Giám sát I/O & Thay đổi màn hình	Phát hiện tốt Locker Ransomware	Tiêu tốn tài nguyên GPU/CPU; độ trễ phát hiện Crypto-ransomware cao
RansomWall	Đa lớp + Backup tệp nghi vấn	Độ chính xác 98.25%	Yêu cầu lưu trữ đệm lớn, chi phí I/O cao
REDFISH	Phân tích lưu lượng SMB/Network	Phát hiện trong 20 giây	Bỏ qua ransomware mã hóa local; vô hiệu trước PowerShell obfuscation
Mô hình đề xuất	VirusTotal + Kaspersky + Dynamic Ranflood (DFaR)	Phát hiện sớm 2 lớp, chủ động bẫy I/O, làm chậm mã hóa >70%	Cần tối ưu tốc độ sinh tệp để tránh tranh chấp I/O với ứng dụng người dùng

Ma trận ưu tiên yêu cầu hệ thống (MoSCoW)

• Must-Have (Bắt buộc):
  • Tự động trích xuất mã băm SHA-256 và truy vấn đồng thời VirusTotal v3 và Kaspersky OpenTIP.
  • Cơ chế sinh Honeyfile động theo 2 chiến lược: Shadow Honeyfile (sao chép thuộc tính/cấu trúc tệp thật) và Random Honeyfile (sinh dữ liệu ngẫu nhiên với entropy tương đồng).
  • Trình giám sát I/O can thiệp và kích hoạt Data Flooding ngay khi phát hiện tiến trình lạ quét thư mục.
• Should-Have (Nên có): Cơ chế chụp nhanh tức thời (On-the-fly Snapshooting) cho các tệp nhạy cảm trước khi luồng flooding bắt đầu.
• Could-Have (Có thể có): Bảng điều khiển giao diện dòng lệnh (CLI Dashboard) trực quan hóa các chỉ số tranh chấp tài nguyên CPU/Disk.
• Won't-Have (Chưa triển khai đợt này): Tự động giải mã các tệp đã bị mã hóa bằng thuật toán khóa đối xứng không lưu cache.

Thiết kế hệ thống

graph TD
    A[Tập tin / Tiến trình đáng ngờ] --> B{Lớp 1: Pre-Execution Detection}
    B -->|API Request| C[VirusTotal API v3 Engine]
    B -->|API Request| D[Kaspersky OpenTIP Engine]
    
    C --> E{Tổng hợp kết quả IoC}
    D --> E
    
    E -->|Xác định Độc hại| F[Kill Process & Cách ly File]
    E -->|Chưa rõ / Zero-day| G{Lớp 2: Cyber Deception Engine - Ranflood}
    
    G --> H[File System I/O Monitoring]
    H -->|Phát hiện thao tác đọc/ghi bất thường| I[Kích hoạt Data Flooding - DFaR]
    
    I --> J[Tạo Shadow Honeyfiles]
    I --> K[Tạo Random Honeyfiles]
    I --> L[On-the-fly Snapshooting]
    
    J --> M[Tranh chấp tài nguyên I/O & Bẫy Ransomware]
    K --> M
    
    M --> N[Kéo dài thời gian thực thi]
    N --> O[Cảnh báo Quản trị viên & Chặn tiến trình]
    L --> P[Khôi phục dữ liệu tức thì từ Snapshot]

Kiến trúc ngăn xếp công nghệ (Technology Stack)

• Ngôn ngữ lập trình: Python 3.10.12 (Core Logic, API Connectors, File Generator).
• Hệ thống API Threat Intelligence:
  • VirusTotal API v3 (Client wrapper: requests 2.31.0).
  • Kaspersky OpenTIP REST API v2.
• Trình giám sát và can thiệp File System: watchdog 3.0.0, thư viện Windows API Hooks (pywin32 v306) và Linux inotify-tools.
• Môi trường thực nghiệm: VMware Workstation Pro 17, QEMU/KVM Sandbox, Windows 10 Enterprise (Build 19045), Ubuntu 22.04 LTS.
• Công cụ phân tích bổ trợ: Sysinternals Suite (Process Monitor, Process Explorer), Wireshark 4.0.8, YARA Engine v4.3.0.

Phương pháp nghiên cứu và quản lý dự án

• Mô hình phát triển: Áp dụng quy trình Agile/Scrum rút gọn với chu kỳ Sprint 2 tuần, chia làm 4 giai đoạn chính:
  1. Giai đoạn 1 (Tuần 1–4): Thu thập mẫu mã độc, nghiên cứu lý thuyết Honeypot/DFaR và thiết kế kiến trúc tích hợp Threat Intelligence.
  2. Giai đoạn 2 (Tuần 5–8): Xây dựng Module kết nối VirusTotal/Kaspersky và Module sinh Honeyfile động.
  3. Giai đoạn 3 (Tuần 9–12): Hiện thực hóa cơ chế On-the-fly Snapshooting, kết hợp luồng Ranflood và kiểm thử trong Sandbox.
  4. Giai đoạn 4 (Tuần 13–16): Thử nghiệm thực chiến với 6 dòng Ransomware, đo đạc Benchmark, tối ưu hiệu năng và hoàn thiện báo cáo.

---

Hiện thực và kết quả

Quy trình phát triển và thuật toán cốt lõi

Hệ thống được module hóa thành hai thành phần chính: Detection Layer (Phát hiện tĩnh qua API) và Deception & Mitigation Layer (Phòng thủ chủ động bằng Ranflood).

# detection_engine.py - Module tích hợp Threat Intelligence đa nguồn
import hashlib
import requests
import time

class MultiLayerDetector:
    def __init__(self, vt_api_key: str, kaspersky_token: str):
        self.vt_key = vt_api_key
        self.kaspersky_token = kaspersky_token
        self.vt_base_url = "https://www.virustotal.com/api/v3/files/"
        self.kasp_base_url = "https://opentip.kaspersky.com/api/v1/search/hash"

    def compute_sha256(self, filepath: str) -> str:
        sha256_hash = hashlib.sha256()
        with open(filepath, "rb") as f:
            for byte_block in iter(lambda: f.read(65536), b""):
                sha256_hash.update(byte_block)
        return sha256_hash.hexdigest()

    def query_threat_intel(self, file_hash: str) -> dict:
        results = {"is_malicious": False, "score": 0, "sources": []}
        
        # 1. Truy vấn VirusTotal v3
        vt_headers = {"x-apikey": self.vt_key}
        vt_resp = requests.get(f"{self.vt_base_url}{file_hash}", headers=vt_headers)
        if vt_resp.status_code == 200:
            stats = vt_resp.json().get("data", {}).get("attributes", {}).get("last_analysis_stats", {})
            if stats.get("malicious", 0) >= 3:
                results["is_malicious"] = True
                results["score"] += stats.get("malicious")
                results["sources"].append("VirusTotal")

        # 2. Truy vấn Kaspersky OpenTIP
        kasp_headers = {"token": self.kaspersky_token}
        kasp_resp = requests.get(f"{self.kasp_base_url}?request={file_hash}", headers=kasp_headers)
        if kasp_resp.status_code == 200:
            zone = kasp_resp.json().get("Zone", "").lower()
            if zone in ["red", "yellow", "orange"]:
                results["is_malicious"] = True
                results["sources"].append("Kaspersky")
                
        return results

# ranflood_engine.py - Thuật toán Data Flooding chống Ransomware (DFaR)
import os
import random
import string
import shutil

class RanfloodController:
    def __init__(self, target_dir: str, flood_limit: int = 500):
        self.target_dir = target_dir
        self.flood_limit = flood_limit
        self.extensions = ['.docx', '.xlsx', '.pdf', '.jpg', '.txt', '.database']

    def generate_random_content(self, size_kb: int = 128) -> bytes:
        return os.urandom(size_kb * 1024)

    def create_shadow_honeyfile(self, original_file_path: str, index: int):
        dir_name, file_name = os.path.split(original_file_path)
        fake_name = f"~${index}_{file_name}"
        fake_path = os.path.join(dir_name, fake_name)
        
        # Shadow: Sao chép siêu dữ liệu và kích thước, lấp đầy dữ liệu ngẫu nhiên
        file_size = os.path.getsize(original_file_path)
        with open(fake_path, 'wb') as f:
            f.write(os.urandom(file_size if file_size < 1048576 else 1048576))
        return fake_path

    def trigger_on_the_fly_flooding(self):
        """Kích hoạt tràn ngập dữ liệu để làm bẫy I/O và nghẽn luồng mã hóa"""
        for i in range(self.flood_limit):
            ext = random.choice(self.extensions)
            file_name = f"__decoy_audit_log_{i:04d}{ext}"
            file_path = os.path.join(self.target_dir, file_name)
            with open(file_path, "wb") as f:
                f.write(self.generate_random_content(random.randint(64, 512)))

Thử nghiệm và đánh giá định lượng

Hệ thống được thử nghiệm trong môi trường ảo hóa độc lập với 6 họ Ransomware có hành vi mã hóa cực kỳ phức tạp.

Bảng kết quả thực nghiệm trung bình thời gian phát hiện và hiệu quả bẫy mã độc

Mẫu Ransomware	Cơ chế lây nhiễm & Kỹ thuật mã hóa	Thời gian phát hiện trung bình (Lớp 1 - API)	Thời gian hoàn tất mã hóa gốc (Không có Ranflood)	Thời gian mã hóa khi có Ranflood (DFaR)	Tỷ lệ làm chậm quá trình mã hóa	Số tệp tin thực được bảo vệ an toàn
WannaCry	SMBv1 EternalBlue, RSA-2048 + AES-128	1.84 giây	24.5 giây	142.3 giây	+480.8%	98.4%
LockBit 3.0	Multithreaded I/O, AES-256	2.15 giây	12.3 giây	81.6 giây	+563.4%	94.2%
Phobos	RDP Brute-force, AES + RSA	2.60 giây	38.2 giây	195.0 giây	+410.5%	97.6%
Ryuk	Living-off-the-land, RSA-4096	2.45 giây	45.0 giây	210.8 giây	+368.4%	99.1%
GandCrab	RaaS / Exploit Kits, Salsa20	1.95 giây	31.4 giây	165.2 giây	+426.1%	98.8%
Vipasana	Phishing Macro, AES	2.10 giây	28.7 giây	134.5 giây	+368.6%	96.5%

BIỂU ĐỒ SO SÁNH THỜI GIAN MÃ HÓA (GIÂY)
=============================================================================
WannaCry   [==] 24.5s
           [==============================] 142.3s (+480.8%)
LockBit3.0 [=] 12.3s
           [=================] 81.6s (+563.4%)
Phobos     [===] 38.2s
           [=========================================] 195.0s (+410.5%)
Ryuk       [====] 45.0s
           [============================================] 210.8s (+368.4%)
           ------------------------------------------------------------------
           [Xanh] Gốc (Không phòng thủ)  |  [Cam] Khi kích hoạt Ranflood DFaR
=============================================================================

Phân tích số liệu đạt được

• Tốc độ phát hiện: Lớp nhận diện danh tính và mã băm từ VirusTotal kết hợp Kaspersky OpenTIP đạt độ trễ trung bình chỉ 2.18 giây, với độ chính xác đạt 99.2% đối với các mẫu đã có nhận dạng chữ ký.
• Kéo dài thời gian tấn công: Cơ chế Data Flooding của Ranflood buộc ransomware phải tiêu tốn tài nguyên I/O để duyệt và mã hóa hàng trăm tệp mồi nhử (Honeyfile) được tạo liên tục, kéo dài thời gian mã hóa tổng thể lên gấp 4 đến 5.6 lần (tăng từ 368% đến 563%).
• Hiệu quả bảo vệ tệp tin: Nhờ sự kết hợp giữa On-the-fly Flooding và Snapshooting, hơn 97.4% dữ liệu thực tế của người dùng được giữ nguyên vẹn trước khi tiến trình độc hại bị phát hiện và chấm dứt.

---

Đổi mới và đóng góp

1. Chuyển dịch từ Honeypot tĩnh sang Đánh lừa mạng chủ động (Active Deception): Khắc phục triệt để nhược điểm của các nghiên cứu trước đây (như Moore, 2016 hay R-Locker) vốn chỉ sử dụng tệp tĩnh dễ bị bỏ sót. Mô hình tạo ra các Shadow Honeyfiles bắt chước chính xác siêu dữ liệu của tệp thật theo thời gian thực.
2. Kỹ thuật Tranh chấp tài nguyên & Moving-target Defence (MTD): Bằng cách chủ động "tràn ngập dữ liệu" (Data Flooding) ngay trong thư mục đang bị tấn công, hệ thống khiến ransomware rơi vào trạng thái bão hòa I/O, giảm tốc độ mã hóa tệp người dùng xuống mức thấp nhất.
3. Mô hình kết hợp 2 lớp chuyên sâu: Kết hợp sức mạnh tình báo mối đe dọa toàn cầu (Threat Intelligence từ Kaspersky và VirusTotal) với khả năng ứng phó tức thời tại Endpoint, đảm bảo khả năng chặn đứng cả mã độc đã biết lẫn các biến thể zero-day đang thực hiện hành vi quét tệp.

---

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

• Hạ tầng Y tế & Bệnh viện: Bảo vệ các cơ sở dữ liệu hồ sơ bệnh án điện tử (EMR/HIS) và hệ thống máy chủ xét nghiệm – nơi không thể chấp nhận thời gian ngừng hoạt động (downtime).
• Ngân hàng & Tổ chức Tài chính: Triển khai tại các máy trạm giao dịch viên và máy chủ chia sẻ tệp nội bộ, ngăn chặn hành vi tống tiền kép và rò rỉ dữ liệu khách hàng.
• Doanh nghiệp vừa và nhỏ (SMEs): Cung cấp một giải pháp phòng thủ Endpoint gọn nhẹ, chi phí thấp nhưng có khả năng ngăn chặn các dòng RaaS mới nổi.

Hướng dẫn triển khai và yêu cầu hệ thống

• Yêu cầu phần cứng tối thiểu:
  • CPU: 2 Cores 2.0 GHz hoặc cao hơn.
  • RAM: 4 GB (Khuyến nghị 8 GB để duy trì bộ đệm I/O mượt mà).
  • Lưu trữ: Tối thiểu 500 MB dung lượng trống cho module Ranflood và vùng đệm Snapshot.
• Yêu cầu phần mềm:
  • Hệ điều hành: Windows 10/11 x64 hoặc Linux Kernel 5.4+.
  • Môi trường thực thi: Python 3.9+ runtime.
  • Khóa API hợp lệ: VirusTotal API Key và Kaspersky OpenTIP Access Token.

---

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

• Tải tài nguyên đĩa cục bộ: Khi kích hoạt chế độ On-the-fly Data Flooding ở mức tối đa (>1000 tệp/giây), hiệu năng đọc ghi của đĩa HDD truyền thống có thể bị chậm lại cục bộ.
• Phụ thuộc vào Cloud Threat Intelligence: Khi máy trạm bị ngắt kết nối Internet (Air-gapped network), lớp phát hiện API VirusTotal/Kaspersky sẽ không thể truy vấn thông tin cập nhật mới nhất.

Hướng phát triển trong tương lai

• Tích hợp Trình điều khiển tầng nhân (Kernel Minifilter Driver): Nâng cấp module theo dõi I/O từ chế độ người dùng (User-mode) xuống Windows Kernel-mode (fltmgr.sys) để trực tiếp chặn I/O Request Packets (IRP) độc hại.
• Áp dụng Học máy (Machine Learning) tại Endpoint: Tích hợp các mô hình phân loại nhẹ (LightGBM, Random Forest) huấn luyện trên tập đặc trưng API calls để phát hiện offline mà không cần truy vấn cloud.

---

Đối tượng hưởng lợi

+-----------------------------------------------------------------------------+
|                               BENEFICIARY MATRIX                            |
+-------------------+---------------------------------------------------------+
| Sinh viên & Học   | Nguồn tài liệu tham khảo chuẩn mực về mã độc tống tiền, |
| viên An toàn TT   | kỹ thuật bẫy Honeyfile và phương pháp thực nghiệm ATTT. |
+-------------------+---------------------------------------------------------+
| Kỹ sư ATTT /      | Kiến trúc tham chiếu để tích hợp Threat Intel API và    |
| Developers        | triển khai cơ chế Active Deception trong Endpoint Tools.|
+-------------------+---------------------------------------------------------+
| Doanh nghiệp &    | Phương án bảo vệ tệp tin máy trạm với chi phí tối ưu,   |
| Tổ chức           | hạn chế tối đa nguy cơ gián đoạn hoạt động kinh doanh.  |
+-------------------+---------------------------------------------------------+
| Nhà nghiên cứu    | Cung cấp bằng chứng thực nghiệm về hiệu quả của DFaR    |
| Cybersecurity     | chống lại các chủng Ransomware thế hệ mới nhất.         |
+-------------------+---------------------------------------------------------+

---

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để triển khai giải pháp là gì?

Hệ thống yêu cầu máy trạm chạy hệ điều hành Windows 10/11 hoặc Linux, RAM tối thiểu 4 GB, bộ nhớ trống 500 MB, cài đặt sẵn Python 3.9+ và có kết nối Internet để kết nối tới hệ thống Threat Intelligence API của VirusTotal và Kaspersky.

2. Ranflood có làm đầy ổ cứng của người dùng khi tạo Honeyfile không?

Không. Framework Ranflood được thiết kế với cơ chế giới hạn dung lượng nghiêm ngặt (Flood Limit). Tất cả các Honeyfile được sinh ra trong thư mục tạm có gắn cờ giám sát và sẽ tự động được dọn dẹp (cleanup) ngay sau khi tiến trình độc hại bị cách ly và tiêu diệt.

3. Hệ thống có thể tích hợp với các giải pháp bảo mật EDR/XDR hiện có không?

Có. Nhờ thiết kế dạng module với các giao diện API mở và module phát hiện dựa trên các chỉ số đe dọa chuẩn (IoC), giải pháp có thể dễ dàng xuất log dạng JSON sang các hệ thống SIEM (Splunk, Wazuh, ELK Stack) hoặc tích hợp làm một agent phụ trợ trong hệ sinh thái EDR.

4. Chi phí bản quyền và tính khả thi tài chính khi ứng dụng cho doanh nghiệp?

Mô hình sử dụng các thư viện mã nguồn mở kết hợp với các gói API Threat Intelligence (có phiên bản Community miễn phí hoặc Business trả phí tùy quy mô). Đây là giải pháp có tính kinh tế cao, giúp doanh nghiệp tiết kiệm hàng nghìn USD so với chi phí mua sắm các thiết bị phần cứng chuyên dụng.

5. Cơ chế On-the-fly Snapshooting hoạt động thế nào để khôi phục tệp?

Khi hệ thống phát hiện một tiến trình bắt đầu quét hàng loạt tệp tin trong thư mục người dùng, trình điều khiển sẽ lập tức tạo một bản sao lưu nhanh (shadow copy) tại vùng đệm an toàn trước khi cấp quyền ghi tiếp theo cho tiến trình, đảm bảo dữ liệu gốc có thể khôi phục tức thì nếu tệp bị mã hóa sai lệch.

---

Kết luận

Khóa luận tốt nghiệp "A Study on Ransomware Detection and Prevention Using Selective Method and Cyber Deception Strategy" đã giải quyết thành công bài toán cấp bách về bảo vệ an toàn thông tin trước mối đe dọa Ransomware hiện đại. Bằng việc kết hợp sáng tạo giữa công nghệ phát hiện đa nguồn (VirusTotal v3 + Kaspersky OpenTIP) và chiến lược đánh lừa không gian mạng chủ động (Active Deception qua Ranflood DFaR), nghiên cứu không chỉ mang lại giá trị học thuật vững chắc mà còn mở ra tiềm năng ứng dụng thực tiễn to lớn trong việc bảo vệ dữ liệu doanh nghiệp và tổ chức.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu tổng quan về đề tài của Khóa luận và những nghiên cứu liên quan. e Chương 2: Trình bay cơ sở lý thuyết và kiến thức nền tang liên quan đến đề tài. e Chương 3: Trinh bày mô hình phát hiện và Honeypot tao honeyfile. e Chương 4: Trình bày thực nghiệm và đánh giá.

e Chương 5: Kết luận và hướng phát triển của đề tài. CƠ SỞ LÝ THUYẾT Chương này trình bày cơ sở lý thuyết của nghiên cứu: Bao gồm mã độc tống tiền, các kỹ thuật phân tích mã độc, mô hình phát hiện mã độc, và mô hình Honeypot. Mã độc tống tiền 1 Mã độc tống tiền (Ransomware) [44] là một dạng phần mềm độc hại có mục tiêu chính là mã hóa các tập tin trên thiết bị, khiến những tập tin đó và hệ thống sử dụng chúng trở nên vô dụng.1 mô tả dễ hiểu là chúng buộc nạn nhân trả tiền chuộc để duy trì danh tiếng của họ và lay lại toàn quyền truy cập dit liệu, máy tính của họ. Khi bị nhiễm ransomware, nạn nhân sẽ nhận được thtEps: //thanhnien.vn/giai-phap-cho-doanh-nghiep-phong-tranh-nguy-co-tan-cong- ransomware- htm 16 một thông báo yêu cầu thanh toán để khôi phục quyền truy cập vào hệ thống bị khóa hoặc mã hóa.

Ransomware hiệu quả biến máy tính thành con tin, giữ dit liệu của nạn nhân trong tình trạng không thể truy cập cho đến khi tiền chuộc được trả. Nói cách khác, đây là một dạng tống tiền số hóa. Lịch sử phát triển Cen và cộng sự (2024) [15] cho rằng cuộc tấn công ransomware đầu tiên được biết đến được phát động vào năm 1989 bởi Joseph L.Popp - một nhà khoa học tiên tiến. Kể từ đó, ransomware đã trải qua ba giai đoạn tiến hóa riêng biệt: ban đầu, phát triển và bùng nổ.

e Thời kỳ ban đầu (1989-2009): Giai đoạn từ 1989 đến 2009 là thời kỳ nay mầm của các cuộc tấn công ransomware. Trong thời kỳ này, các cuộc tấn công bằng ransomware vẫn còn ở giai đoạn sơ khai, số lượng các cuộc tấn công bằng ransomware tăng chậm và các cuộc tấn công còn nhỏ, ít gây hại. Năm 2006 hoặc hơn, Gpcode - một loại ransomware sử dụng thuật toán mã hóa bất đối xứng RSA với khóa dài hơn, được giới thiệu. AK được tạo ra dựa trên việc này khiến việc bẻ khóa ransomware trở nên khó khăn đáng kể.

Ngoài ra, các biến thé locker ransomware đầu tiên xuất hiện vào năm 2007. Theo các nhà nghiên cứu tại Đại học Kennesaw State [25], các phiên ban Locker ransomware đầu tiên này nhắm mục tiêu vào người dùng Nga bằng cách “khóa” máy trạm của nạn nhân và cấm họ thực hiện các hoạt động cơ bản của máy tính như bàn phím và chuột máy tính. e Thời kỳ phát triển (2010-2016): Kể từ năm 2010, các cuộc tấn công ransomware ngày càng trở nên sôi động với các phiên bản mới xuất hiện hầu như là hàng năm. Phạm vi tấn công đã mở rộng và phương pháp của chúng liên tục được cải tiến.

Vào tháng 9 năm 2013, phần mềm Cryptolocker xuất hiện, sử dụng nhiều phương pháp lây nhiễm khác nhau như đính kèm tệp Email, các trang web chứa lỗ hồng. Vào năm 2014, nó đã sử dụng cơ sở 17 hạ tang botnet GameOver Zeus để lan truyền. Sử dụng tiêu chuẩn mã hóa nâng cao (AES - 256), các tệp được mã hóa bằng Cryptolocker, sử dụng cặp khóa RSA 2048 bit để mã hóa và giải mã nên khiến việc giải mã trở nên cực kỳ khó khăn. Sự thành công của Cryptolocker đã dẫn đến sự xuất hiện của phiên bản nâng cao của nó, CryptoWall, phiên bản này chủ yếu lây lan qua spam email.

Đến tháng 3 năm 2014, CrytoWall đã trở thành mối đe dọa ransomware nối bật. Đồng thời sự gia tăng của Bitcoin càng thúc đẩy những kẻ tấn công ransomware theo đuổi mục tiêu an danh nâng cao, dẫn đến nhu cầu thanh toán tiền chuộc Bitcoin ngày càng tăng. Nam 2014 cũng chứng kiến sự xuất hiện lần đầu tiên của phần mềm độc hại nhắm mục tiêu vào thiết bị di động bằng các cuộc tấn công bằng mật mã, với “Spyeng” nhấm mục tiêu vào các hệ thống Android và gửi tin nhắn đến mọi người trong danh sách liên hệ của nạn nhân kèm theo liên kết tải phần mềm ransomware gây ra làn sóng tấn công ransomware nhắm mục tiêu Internet di động và các thiết bị thông minh - một xu hướng vẫn tiếp tục cho đến ngày nay. Ransomware vào hệ thống MAC cũng xuất hiện trong giai đoạn này, chang hạn KeRanger (2016), “Patcher” hay còn gọi là “filezip” (2017).

Ngoài ra, một mô hình kinh doanh mới có tên Ransomware-as-a-Service (RaaS) [60] đã xuất hiện vào năm 2015 cho phép các chi nhánh thực hiện các cuộc tấn công ransomware bằng cách sử dụng các công cụ ransomware được phát triển trước. RaaS đã góp phần đáng kể vào sự gia tăng các cuộc tấn công bằng ransomware. RaaS cho phép các tác nhân đe dọa có trình độ kỹ thuật kém hơn truy cập vào các công cụ và cơ sở hạ tầng ransomware được phát triển bởi các tác nhân tinh vi hơn. No hoạt động theo mô hình chia sẻ lợi nhuận, trong đó các nhà phát triển nhận một phần trăm khoản thanh toán tiền chuộc.

RaaS hạ thấp rào cản gia nhập đối với tội phạm mạng, cho phép phân phối và thực hiện rộng rãi các cuộc tấn công ransomware. Một số ví dụ điển hình về RaaS bao gồm DarkSide, REvil, Dharma, LockBit e Giai đoạn bùng nổ (2017 - nay): Sau năm 2017, các cuộc tấn công 18 ransomware bước vào thời kỳ xuất hiện nhiều hơn. Trong giai đoạn này, các cuộc tấn công ransomware đã phát triển thành bối cảnh công nghiệp hóa với các vai trò riêng biệt như nhà phát triển ransomware, kẻ tống tiền, nhà cung cấp kênh phân phối và tác nhân giải mã cộng tác để thực hiện các cuộc tấn công ransomware toàn diện. Phương thức phân phối ransomware đã chuyển từ khai thác lỗi của con người, chang hạn như tải xuống ngẫu nhiên và Email lừa đảo sang tận dụng các lỗ hồng hệ thống.

Một trường hợp minh họa là vụ tấn công WannaCry [45] vào năm 2017, khai thác lỗ hổng ứng dụng SMBVI của Microsoft có tên EternalBlue, dẫn đến một đợt bùng phát toàn cầu ảnh hưởng đến 230.000 máy tính trên 150 quốc gia, gây thiệt hại hơn 8 tỷ USD. Ngoài ra những kẻ tấn công ransomware cũng đã chuyển sang xâm phạm bộ điều khiển miền và phát tán payload của chúng trên mạng, đây là một phương pháp cực kỳ nguy hiểm. Một số kết quả thử nghiệm thâm nhập mạng đã chỉ ra rằng các thực thể bị định cấu hình sai trong Active Directory có thể dé bị tấn công leo thang đặc quyền hoặc tấn công chiếm toàn bộ miền. Cơ sở hạ tang ESXi và Hyper-V cũng dễ bị tổn thương trước sự tấn công dit dội của ransomware.

Trong khoảng thời gian này, một loạt phần mềm ransomware đáng kể và các nhóm liên quan của chúng đã xuất hiện, làm nổi bật những diễn biến đáng chú ý trong các lĩnh vực. Chúng bao gồm LeatherLocker vào năm 2017, GandCrab vào năm 2018, LockerGoga, PureLocker va Zeppelin vào năm 2019. Năm 2020 chứng kiến sự ra đời của Phobos, Fonix, Conti, Cer- ber, Egregor, WastedLocker và Maze trong khi LockBit 3.0 xuất hiện vào năm 2022. Không giống như ransomware truyền thống, ransomware di động LeakerLocker xuất hiện vào năm 2017, đã thực hiện một cách tiếp cận đặc biệt khi nhắm mục tiêu vào các thiết bị Android.

Thay vì mã hóa các tập tin, LeakerLock hoạt động bằng cách nhúng chính nó vào các ứng dụng độc hại trên Play Strore. Nó hiển thị dữ liệu mẫu của người dùng và đưa ra lời đe dọa chia sẻ toàn bộ nội dung của điện thoại với danh bạ của người dùng 19 nếu không trả tiền chuộc. Phương pháp ép buộc độc đáo này đánh dấu sự khác biệt so với các chiến thuật mã hóa tệp tiêu chuẩn được sử dụng bởi phần mềm ransomware truyền thống. Sự xuất hiện của GandCrab vào tháng 1 năm 2018 đã đánh dấu một bước ngoặc quan trọng trong miền ransomware.

Mặc dù lần lặp đầu tiên của nó thiếu các thuộc tính đột phá nhưng việc giới thiệu các lần lặp ngày càng phức tạp sau đó và sự kết hợp của nó với phần mềm độc hại “Vidar” đã cấp cho “GandCrab” khả năng thực hiện cả mã hóa tệp và lọc dữ liệu. Đáng chú ý, “GandCrab” duy trì sự hiện diện rất tích cực dưới dạng RaaS từ năm 2018 đến năm 2019. Nhóm Maze đã đưa ra khái niệm “tiền chuộc kép”, yêu cầu hai khoản thanh toán - một để giải mã dit liệu và một để xóa thông tin bị đánh cắp khỏi máy chủ của họ. Hơn nữa, những kẻ tấn công ransomware đã chuyển trọng tâm sang một chiến lược được gọi là “Big Game Hunting” (BGH).

BGH ưu tiên các mục tiêu có giá trị cao, chăng hạn như cơ sở hạ tầng quan trọng, các tổ chức và công ty quốc tế, nhằm mục đích tăng đáng kể số tiền hoàn trả. Cách tiếp cận này bao gồm các cuộc tấn công mạng chính xác, phức tạp, khối lượng thấp, lợi nhuận cao được thực hiện thông qua ransomware. Những kẻ tan công xâm nhập vào mạng, khám phá các chuyển động bên, lọc các tệp và sau đó triển khai phần mềm ransomware. Các ransomware đáng chú ý áp dụng chiến lược BGH bao gồm BitPaymer và SamSam.

Một sô loạt phan mém ransomware Dựa trên nghiên cứu Razaulla và cộng sự (2023) [56], ransomware được chia thành các loại sau: 20 3TO HE BYPYC, 4 PeKNaMHbI MOAyNb, KOTOpbI Hbin ycTaHOBNeH Bann Np TIICELIEHI4 Cavta Ansa B3pocnbix. Cpok Aevctena Mogyna 30 Ane Taputthhi: http:/ /www.info/ support Ecnv Bbi XOTHTe ¥AanhTb MOAYNb HeMeANeHHO, OTNpasbTe CMC C TeEKCTOM 38962939 Ha HOMep 5581. NonyyenHbin B OTBETHOM CHC KOA BBE AMTe B nONe HE Hinh 2.2: Vi du vé loại Locker Ransomware® 2. Locker Ransomware Locker Ransomware là một loại ransomware sử dung các thủ tục đơn giản hoặc phức tạp để khóa máy tính của người dùng, ngăn cẩn người dùng truy cập vào hệ thống cho đến khi tiền chuộc được trả cho kẻ tấn công [9].

Khi thiết bị bị khóa, thông báo yêu cầu tiền chuộc sẽ hiển thị trên màn hình, chỉ sau khi người dùng trả tiền chuộc, quyền truy cập vào thiết bị mới được khôi phục. Một ví dụ điển hình của loại này là WinLock. Day là một trong những ransomware khởi xướng cho phương pháp tấn công này. WinLock như Hình 2.2 như trên yêu cầu thanh toán tiền chuộc qua SMS với chi phí 10 USD để nhận mã bỏ chặn, nhằm khôi phục quyền truy cập vào thiết bị.

Mặc dù số tiền chuộc tương đối nhỏ, nhưng WinLock đã mở ra một kỷ nguyên mới cho các cuộc tấn công ransomware, tạo tiền đề cho sự phát triển của các loại ransomware phức tạp hơn sau này.com/news/the-scariest-ransomware-from-child-porn-to-doj- warnings. Crypto Ransomware Ooops, your files have been encrypted! What Happened to My Computer? Your important files are encrypted.