Chương 1: Giới thiệu tổng quan về đề tài của Khóa luận và những nghiên cứu liên quan. e Chương 2: Trình bay cơ sở lý thuyết và kiến thức nền tang liên quan đến đề tài. e Chương 3: Trinh bày mô hình phát hiện và Honeypot tao honeyfile. e Chương 4: Trình bày thực nghiệm và đánh giá.
e Chương 5: Kết luận và hướng phát triển của đề tài. CƠ SỞ LÝ THUYẾT Chương này trình bày cơ sở lý thuyết của nghiên cứu: Bao gồm mã độc tống tiền, các kỹ thuật phân tích mã độc, mô hình phát hiện mã độc, và mô hình Honeypot. Mã độc tống tiền 1 Mã độc tống tiền (Ransomware) [44] là một dạng phần mềm độc hại có mục tiêu chính là mã hóa các tập tin trên thiết bị, khiến những tập tin đó và hệ thống sử dụng chúng trở nên vô dụng.1 mô tả dễ hiểu là chúng buộc nạn nhân trả tiền chuộc để duy trì danh tiếng của họ và lay lại toàn quyền truy cập dit liệu, máy tính của họ. Khi bị nhiễm ransomware, nạn nhân sẽ nhận được thtEps: //thanhnien.vn/giai-phap-cho-doanh-nghiep-phong-tranh-nguy-co-tan-cong- ransomware- htm 16 một thông báo yêu cầu thanh toán để khôi phục quyền truy cập vào hệ thống bị khóa hoặc mã hóa.
Ransomware hiệu quả biến máy tính thành con tin, giữ dit liệu của nạn nhân trong tình trạng không thể truy cập cho đến khi tiền chuộc được trả. Nói cách khác, đây là một dạng tống tiền số hóa. Lịch sử phát triển Cen và cộng sự (2024) [15] cho rằng cuộc tấn công ransomware đầu tiên được biết đến được phát động vào năm 1989 bởi Joseph L.Popp - một nhà khoa học tiên tiến. Kể từ đó, ransomware đã trải qua ba giai đoạn tiến hóa riêng biệt: ban đầu, phát triển và bùng nổ.
e Thời kỳ ban đầu (1989-2009): Giai đoạn từ 1989 đến 2009 là thời kỳ nay mầm của các cuộc tấn công ransomware. Trong thời kỳ này, các cuộc tấn công bằng ransomware vẫn còn ở giai đoạn sơ khai, số lượng các cuộc tấn công bằng ransomware tăng chậm và các cuộc tấn công còn nhỏ, ít gây hại. Năm 2006 hoặc hơn, Gpcode - một loại ransomware sử dụng thuật toán mã hóa bất đối xứng RSA với khóa dài hơn, được giới thiệu. AK được tạo ra dựa trên việc này khiến việc bẻ khóa ransomware trở nên khó khăn đáng kể.
Ngoài ra, các biến thé locker ransomware đầu tiên xuất hiện vào năm 2007. Theo các nhà nghiên cứu tại Đại học Kennesaw State [25], các phiên ban Locker ransomware đầu tiên này nhắm mục tiêu vào người dùng Nga bằng cách “khóa” máy trạm của nạn nhân và cấm họ thực hiện các hoạt động cơ bản của máy tính như bàn phím và chuột máy tính. e Thời kỳ phát triển (2010-2016): Kể từ năm 2010, các cuộc tấn công ransomware ngày càng trở nên sôi động với các phiên bản mới xuất hiện hầu như là hàng năm. Phạm vi tấn công đã mở rộng và phương pháp của chúng liên tục được cải tiến.
Vào tháng 9 năm 2013, phần mềm Cryptolocker xuất hiện, sử dụng nhiều phương pháp lây nhiễm khác nhau như đính kèm tệp Email, các trang web chứa lỗ hồng. Vào năm 2014, nó đã sử dụng cơ sở 17 hạ tang botnet GameOver Zeus để lan truyền. Sử dụng tiêu chuẩn mã hóa nâng cao (AES - 256), các tệp được mã hóa bằng Cryptolocker, sử dụng cặp khóa RSA 2048 bit để mã hóa và giải mã nên khiến việc giải mã trở nên cực kỳ khó khăn. Sự thành công của Cryptolocker đã dẫn đến sự xuất hiện của phiên bản nâng cao của nó, CryptoWall, phiên bản này chủ yếu lây lan qua spam email.
Đến tháng 3 năm 2014, CrytoWall đã trở thành mối đe dọa ransomware nối bật. Đồng thời sự gia tăng của Bitcoin càng thúc đẩy những kẻ tấn công ransomware theo đuổi mục tiêu an danh nâng cao, dẫn đến nhu cầu thanh toán tiền chuộc Bitcoin ngày càng tăng. Nam 2014 cũng chứng kiến sự xuất hiện lần đầu tiên của phần mềm độc hại nhắm mục tiêu vào thiết bị di động bằng các cuộc tấn công bằng mật mã, với “Spyeng” nhấm mục tiêu vào các hệ thống Android và gửi tin nhắn đến mọi người trong danh sách liên hệ của nạn nhân kèm theo liên kết tải phần mềm ransomware gây ra làn sóng tấn công ransomware nhắm mục tiêu Internet di động và các thiết bị thông minh - một xu hướng vẫn tiếp tục cho đến ngày nay. Ransomware vào hệ thống MAC cũng xuất hiện trong giai đoạn này, chang hạn KeRanger (2016), “Patcher” hay còn gọi là “filezip” (2017).
Ngoài ra, một mô hình kinh doanh mới có tên Ransomware-as-a-Service (RaaS) [60] đã xuất hiện vào năm 2015 cho phép các chi nhánh thực hiện các cuộc tấn công ransomware bằng cách sử dụng các công cụ ransomware được phát triển trước. RaaS đã góp phần đáng kể vào sự gia tăng các cuộc tấn công bằng ransomware. RaaS cho phép các tác nhân đe dọa có trình độ kỹ thuật kém hơn truy cập vào các công cụ và cơ sở hạ tầng ransomware được phát triển bởi các tác nhân tinh vi hơn. No hoạt động theo mô hình chia sẻ lợi nhuận, trong đó các nhà phát triển nhận một phần trăm khoản thanh toán tiền chuộc.
RaaS hạ thấp rào cản gia nhập đối với tội phạm mạng, cho phép phân phối và thực hiện rộng rãi các cuộc tấn công ransomware. Một số ví dụ điển hình về RaaS bao gồm DarkSide, REvil, Dharma, LockBit e Giai đoạn bùng nổ (2017 - nay): Sau năm 2017, các cuộc tấn công 18 ransomware bước vào thời kỳ xuất hiện nhiều hơn. Trong giai đoạn này, các cuộc tấn công ransomware đã phát triển thành bối cảnh công nghiệp hóa với các vai trò riêng biệt như nhà phát triển ransomware, kẻ tống tiền, nhà cung cấp kênh phân phối và tác nhân giải mã cộng tác để thực hiện các cuộc tấn công ransomware toàn diện. Phương thức phân phối ransomware đã chuyển từ khai thác lỗi của con người, chang hạn như tải xuống ngẫu nhiên và Email lừa đảo sang tận dụng các lỗ hồng hệ thống.
Một trường hợp minh họa là vụ tấn công WannaCry [45] vào năm 2017, khai thác lỗ hổng ứng dụng SMBVI của Microsoft có tên EternalBlue, dẫn đến một đợt bùng phát toàn cầu ảnh hưởng đến 230.000 máy tính trên 150 quốc gia, gây thiệt hại hơn 8 tỷ USD. Ngoài ra những kẻ tấn công ransomware cũng đã chuyển sang xâm phạm bộ điều khiển miền và phát tán payload của chúng trên mạng, đây là một phương pháp cực kỳ nguy hiểm. Một số kết quả thử nghiệm thâm nhập mạng đã chỉ ra rằng các thực thể bị định cấu hình sai trong Active Directory có thể dé bị tấn công leo thang đặc quyền hoặc tấn công chiếm toàn bộ miền. Cơ sở hạ tang ESXi và Hyper-V cũng dễ bị tổn thương trước sự tấn công dit dội của ransomware.
Trong khoảng thời gian này, một loạt phần mềm ransomware đáng kể và các nhóm liên quan của chúng đã xuất hiện, làm nổi bật những diễn biến đáng chú ý trong các lĩnh vực. Chúng bao gồm LeatherLocker vào năm 2017, GandCrab vào năm 2018, LockerGoga, PureLocker va Zeppelin vào năm 2019. Năm 2020 chứng kiến sự ra đời của Phobos, Fonix, Conti, Cer- ber, Egregor, WastedLocker và Maze trong khi LockBit 3.0 xuất hiện vào năm 2022. Không giống như ransomware truyền thống, ransomware di động LeakerLocker xuất hiện vào năm 2017, đã thực hiện một cách tiếp cận đặc biệt khi nhắm mục tiêu vào các thiết bị Android.
Thay vì mã hóa các tập tin, LeakerLock hoạt động bằng cách nhúng chính nó vào các ứng dụng độc hại trên Play Strore. Nó hiển thị dữ liệu mẫu của người dùng và đưa ra lời đe dọa chia sẻ toàn bộ nội dung của điện thoại với danh bạ của người dùng 19 nếu không trả tiền chuộc. Phương pháp ép buộc độc đáo này đánh dấu sự khác biệt so với các chiến thuật mã hóa tệp tiêu chuẩn được sử dụng bởi phần mềm ransomware truyền thống. Sự xuất hiện của GandCrab vào tháng 1 năm 2018 đã đánh dấu một bước ngoặc quan trọng trong miền ransomware.
Mặc dù lần lặp đầu tiên của nó thiếu các thuộc tính đột phá nhưng việc giới thiệu các lần lặp ngày càng phức tạp sau đó và sự kết hợp của nó với phần mềm độc hại “Vidar” đã cấp cho “GandCrab” khả năng thực hiện cả mã hóa tệp và lọc dữ liệu. Đáng chú ý, “GandCrab” duy trì sự hiện diện rất tích cực dưới dạng RaaS từ năm 2018 đến năm 2019. Nhóm Maze đã đưa ra khái niệm “tiền chuộc kép”, yêu cầu hai khoản thanh toán - một để giải mã dit liệu và một để xóa thông tin bị đánh cắp khỏi máy chủ của họ. Hơn nữa, những kẻ tấn công ransomware đã chuyển trọng tâm sang một chiến lược được gọi là “Big Game Hunting” (BGH).
BGH ưu tiên các mục tiêu có giá trị cao, chăng hạn như cơ sở hạ tầng quan trọng, các tổ chức và công ty quốc tế, nhằm mục đích tăng đáng kể số tiền hoàn trả. Cách tiếp cận này bao gồm các cuộc tấn công mạng chính xác, phức tạp, khối lượng thấp, lợi nhuận cao được thực hiện thông qua ransomware. Những kẻ tan công xâm nhập vào mạng, khám phá các chuyển động bên, lọc các tệp và sau đó triển khai phần mềm ransomware. Các ransomware đáng chú ý áp dụng chiến lược BGH bao gồm BitPaymer và SamSam.
Một sô loạt phan mém ransomware Dựa trên nghiên cứu Razaulla và cộng sự (2023) [56], ransomware được chia thành các loại sau: 20 3TO HE BYPYC, 4 PeKNaMHbI MOAyNb, KOTOpbI Hbin ycTaHOBNeH Bann Np TIICELIEHI4 Cavta Ansa B3pocnbix. Cpok Aevctena Mogyna 30 Ane Taputthhi: http:/ /www.info/ support Ecnv Bbi XOTHTe ¥AanhTb MOAYNb HeMeANeHHO, OTNpasbTe CMC C TeEKCTOM 38962939 Ha HOMep 5581. NonyyenHbin B OTBETHOM CHC KOA BBE AMTe B nONe HE Hinh 2.2: Vi du vé loại Locker Ransomware® 2. Locker Ransomware Locker Ransomware là một loại ransomware sử dung các thủ tục đơn giản hoặc phức tạp để khóa máy tính của người dùng, ngăn cẩn người dùng truy cập vào hệ thống cho đến khi tiền chuộc được trả cho kẻ tấn công [9].
Khi thiết bị bị khóa, thông báo yêu cầu tiền chuộc sẽ hiển thị trên màn hình, chỉ sau khi người dùng trả tiền chuộc, quyền truy cập vào thiết bị mới được khôi phục. Một ví dụ điển hình của loại này là WinLock. Day là một trong những ransomware khởi xướng cho phương pháp tấn công này. WinLock như Hình 2.2 như trên yêu cầu thanh toán tiền chuộc qua SMS với chi phí 10 USD để nhận mã bỏ chặn, nhằm khôi phục quyền truy cập vào thiết bị.
Mặc dù số tiền chuộc tương đối nhỏ, nhưng WinLock đã mở ra một kỷ nguyên mới cho các cuộc tấn công ransomware, tạo tiền đề cho sự phát triển của các loại ransomware phức tạp hơn sau này.com/news/the-scariest-ransomware-from-child-porn-to-doj- warnings. Crypto Ransomware Ooops, your files have been encrypted! What Happened to My Computer? Your important files are encrypted.