Nghiên Cứu Về Phát Hiện và Ngăn Chặn Ransomware

Khóa luận nghiên cứu phương pháp phát hiện và ngăn chặn mã độc mã hóa tống tiền bằng chiến thuật giăng bẫy hiệu quả trong an toàn thông tin.

• Tác giả: Trương Đình Trọng
• Người hướng dẫn: ThS. Nguyễn Duy
• Trường học: Đại học Quốc gia Hồ Chí Minh
• Chuyên ngành: Ngành An toàn Thông tin
• Đề tài: Nghiên Cứu Phát Hiện và Ngăn Chặn Ransomware Bằng Phương Pháp Chọn Lọc và Chiến Lược Lừa Đảo Mạng
• Loại tài liệu: khóa luận
• Năm xuất bản: 2024
• Địa điểm: TP.Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Giới thiệu vấn đề
• 1.2. Tính ứng dụng
• 1.3. Những thách thức
• 1.4. Giới thiệu những nghiên cứu liên quan
• 1.4.1. Trình phát hiện mã độc
• 1.5. Mục tiêu, đối tượng, và phạm vi nghiên cứu
• 1.5.1. Mục tiêu nghiên cứu
• 1.5.2. Đối tượng nghiên cứu
• 1.5.3. Phạm vi nghiên cứu
• 1.6. Cấu trúc khóa luận tốt nghiệp
• 2. MÃ ĐỘC TỐNG TIỀN
• 2.1. Lịch sử phát triển
• 2.2. Một số loại phần mềm ransomware
• 2.3. Mục tiêu tấn công
• 2.4. Cách thức hoạt động của ransomware
• 2.5. Giai đoạn thực thi
• 3. PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC
• 3.1. Phương pháp phân tích tĩnh
• 3.2. Phương pháp phân tích động
• 3.3. Phương pháp kết hợp
• 3.4. Mô hình Honeypot
• 3.4.1. Cách thức hoạt động
• 3.5. Mô hình phát hiện và phòng thủ
• 3.5.1. Tổng quan mô hình đề xuất
• 3.5.2. Mô hình phát hiện
• 3.5.3. Kết hợp giữa VirusTotal và Kaspersky
• 3.5.4. Mô hình Honeypot nâng cao
• 4. THÍ NGHIỆM VÀ ĐÁNH GIÁ
• 4.1. Thiết lập thí nghiệm
• 4.1.1. Tập dữ liệu
• 4.1.2. Trình phát hiện mã độc
• 4.1.3. Thực nghiệm hệ thống tổng quát
• 4.2. Kết quả thí nghiệm
• 5. KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Nghiên Cứu Phát Hiện và Ngăn Chặn Ransomware

Nghiên cứu về ransomware đã trở thành một lĩnh vực quan trọng trong an ninh mạng. Các cuộc tấn công ransomware không chỉ gây thiệt hại tài chính mà còn ảnh hưởng đến hoạt động của nhiều tổ chức. Việc phát hiện và ngăn chặn ransomware là cần thiết để bảo vệ dữ liệu và duy trì hoạt động liên tục. Nghiên cứu này sẽ trình bày các phương pháp phát hiện và ngăn chặn ransomware hiệu quả.

1.1. Giới Thiệu Về Ransomware và Tác Động Của Nó

Ransomware là một loại phần mềm độc hại có khả năng mã hóa dữ liệu và yêu cầu tiền chuộc. Các cuộc tấn công này đã gia tăng đáng kể trong những năm gần đây, gây ra thiệt hại lớn cho cá nhân và tổ chức. Việc hiểu rõ về ransomware là bước đầu tiên trong việc phát triển các biện pháp phòng ngừa.

1.2. Tầm Quan Trọng Của Nghiên Cứu Trong Ngăn Chặn Ransomware

Nghiên cứu về phát hiện và ngăn chặn ransomware giúp nâng cao nhận thức và cải thiện các biện pháp bảo mật. Các phương pháp mới được phát triển có thể giúp phát hiện sớm các cuộc tấn công, từ đó giảm thiểu thiệt hại cho tổ chức.

II. Những Thách Thức Trong Việc Phát Hiện Ransomware Hiện Nay

Mặc dù có nhiều tiến bộ trong công nghệ phát hiện, nhưng việc phát hiện ransomware vẫn gặp nhiều thách thức. Các phương pháp truyền thống thường không đủ hiệu quả để phát hiện các biến thể mới của ransomware. Điều này đòi hỏi các giải pháp sáng tạo và linh hoạt hơn.

2.1. Sự Phát Triển Nhanh Chóng Của Ransomware

Ransomware ngày càng trở nên tinh vi hơn, sử dụng các kỹ thuật mã hóa phức tạp và tấn công có mục tiêu. Điều này làm cho việc phát hiện trở nên khó khăn hơn, yêu cầu các hệ thống phát hiện phải được cập nhật thường xuyên.

2.2. Khó Khăn Trong Việc Phát Hiện Sớm

Nhiều tổ chức không có khả năng phát hiện sớm các cuộc tấn công ransomware. Điều này dẫn đến việc mất dữ liệu và thiệt hại tài chính lớn. Cần có các giải pháp phát hiện hiệu quả hơn để giảm thiểu rủi ro.

III. Phương Pháp Phát Hiện Ransomware Bằng Chiến Lược Lừa Đảo Mạng

Một trong những phương pháp hiệu quả để phát hiện ransomware là sử dụng chiến lược lừa đảo mạng. Phương pháp này giúp thu hút kẻ tấn công và phân tích hành vi của chúng, từ đó phát hiện các cuộc tấn công trước khi chúng gây ra thiệt hại.

3.1. Mô Hình Honeypot Trong Phát Hiện Ransomware

Mô hình honeypot là một công cụ hữu ích trong việc phát hiện ransomware. Nó thu hút kẻ tấn công và cho phép các nhà nghiên cứu phân tích hành vi của chúng mà không làm tổn hại đến dữ liệu thực.

3.2. Kết Hợp Honeypot Với Học Máy

Kết hợp mô hình honeypot với học máy có thể cải thiện khả năng phát hiện ransomware. Hệ thống có thể học từ các cuộc tấn công trước đó và phát hiện các biến thể mới một cách hiệu quả hơn.

IV. Ứng Dụng Thực Tiễn Của Hệ Thống Phát Hiện Ransomware

Hệ thống phát hiện ransomware có thể được áp dụng trong nhiều lĩnh vực khác nhau, đặc biệt là trong các tổ chức tài chính và chăm sóc sức khỏe. Việc bảo vệ dữ liệu nhạy cảm là rất quan trọng để duy trì sự ổn định và uy tín của tổ chức.

4.1. Ứng Dụng Trong Tổ Chức Tài Chính

Các tổ chức tài chính thường là mục tiêu chính của ransomware. Hệ thống phát hiện hiệu quả giúp bảo vệ dữ liệu khách hàng và duy trì hoạt động kinh doanh liên tục.

4.2. Ứng Dụng Trong Ngành Y Tế

Ngành y tế xử lý nhiều dữ liệu nhạy cảm và cần được bảo vệ. Hệ thống phát hiện ransomware có thể giúp ngăn chặn các cuộc tấn công và bảo vệ thông tin bệnh nhân.

V. Kết Luận Về Nghiên Cứu Phát Hiện Ransomware

Nghiên cứu về phát hiện và ngăn chặn ransomware là rất cần thiết trong bối cảnh tội phạm mạng ngày càng gia tăng. Các phương pháp mới và sáng tạo cần được phát triển để bảo vệ dữ liệu và duy trì hoạt động của tổ chức.

5.1. Tương Lai Của Nghiên Cứu Ransomware

Nghiên cứu trong lĩnh vực này sẽ tiếp tục phát triển để đối phó với các mối đe dọa mới. Cần có sự hợp tác giữa các chuyên gia bảo mật và tổ chức để phát triển các giải pháp hiệu quả.

5.2. Tầm Quan Trọng Của Đào Tạo Người Dùng

Đào tạo người dùng về an ninh mạng là rất quan trọng. Nhận thức về ransomware và các biện pháp phòng ngừa có thể giúp giảm thiểu rủi ro và bảo vệ dữ liệu.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh chuyển đổi số và ứng dụng công nghệ thông tin sâu rộng vào mọi lĩnh vực kinh tế - xã hội, an toàn thông tin đang đối mặt với những thách thức chưa từng có. Trong số các mối đe dọa an ninh mạng hiện đại, mã độc tống tiền (Ransomware) nổi lên như một hiểm họa hàng đầu gây tổn thất nghiêm trọng về mặt tài chính, gián đoạn vận hành và xâm phạm tính toàn vẹn của dữ liệu. Tác giả dẫn chứng hàng loạt cuộc tấn công tiêu biểu như sự cố nhằm vào Colonial Pipeline, JBS Foods hay các cơ sở y tế trọng yếu, minh chứng cho việc ransomware không chỉ nhắm vào người dùng cá nhân mà đã chuyển dịch mạnh mẽ sang chiến lược "Săn mồi lớn" (Big Game Hunting - BGH) nhằm vào các doanh nghiệp, tổ chức tài chính, cơ quan chính phủ và cơ sở hạ tầng trọng yếu.

Sự phát triển của mô hình Ransomware-as-a-Service (RaaS) cùng các kỹ thuật mã hóa phức tạp (kết hợp mã hóa đối xứng AES-256 và bất đối xứng RSA-2048), khai thác lỗ hổng zero-day và cơ chế lẩn tránh chữ ký đã khiến các giải pháp phòng thủ truyền thống trở nên kém hiệu quả. Các phương pháp phòng thủ chủ động bằng kỹ thuật đánh lừa (Cyber Deception) sử dụng bẫy tĩnh (Static Honeypot) tồn tại hạn chế căn bản: tệp bẫy (honeyfile) cố định khó bao phủ toàn bộ không gian đĩa cứng, gây cản trở trải nghiệm người dùng thực tế và dễ bị phần mềm độc hại bỏ qua nếu không chạm đúng thư mục đặt bẫy.

Xuất phát từ thực trạng trên, khóa luận cử nhân ngành An toàn Thông tin của nhóm tác giả Trương Đình Trọng Thanh và Trần Thúy Anh (Trường Đại học Công nghệ Thông tin - ĐHQG TP.HCM, hướng dẫn bởi ThS. Nguyễn Duy và ThS. Nguyễn Công Danh, 2024) tập trung giải quyết bài toán phát hiện sớm và phòng thủ ransomware thông qua việc kết hợp cơ chế quét chọn lọc và bẫy động.

Mục tiêu nghiên cứu của khóa luận được xác định cụ thể gồm:

1. Nghiên cứu và xây dựng trình phát hiện mã độc tống tiền chọn lọc dựa trên sự kết hợp giữa hai nền tảng bảo mật VirusTotal và Kaspersky thông qua giao diện lập trình ứng dụng (API).
2. Tích hợp mô hình bẫy dữ liệu động Ranflood dựa trên nguyên lý tràn ngập dữ liệu (Data Flooding against Ransomware - DFaR) nhằm chủ động tạo các tệp giả (honeyfile), đánh lừa và phân tán tài nguyên xử lý của ransomware.
3. Thiết lập môi trường thực nghiệm cô lập trên máy ảo để kiểm thử, đánh giá hiệu năng phát hiện, thời gian phản hồi và khả năng giảm thiểu thiệt hại, phục hồi dữ liệu sau tấn công đối với các chủng ransomware thực tế.

Đối tượng nghiên cứu của đề tài bao gồm: các chủng mã độc tống tiền (Crypto Ransomware, Locker Ransomware, Scareware, Leakware); cơ chế phân tích và phát hiện mã độc qua API VirusTotal và Kaspersky; mô hình Honeypot bẫy tệp Ranflood; các phương pháp đo lường, đánh giá thời gian phát hiện và tỷ lệ phục hồi tệp.

Phạm vi nghiên cứu: Đề tài tập trung vào việc bảo vệ thiết bị người dùng cuối (End-User), triển khai kiểm thử trên môi trường máy ảo hóa an toàn với các mẫu ransomware thực tế đã và đang lưu hành (như WannaCry, LockBit 3.0, Phobos, GC/Ryuk/Vipasana).

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống luận cứ dựa trên nền tảng lý thuyết an toàn thông tin chuyên sâu và khảo cứu các công trình nghiên cứu tiền nhiệm:

• Khái niệm và vòng đời Ransomware: Tác giả hệ thống hóa lịch sử phát triển của ransomware qua 3 thời kỳ (thời kỳ ban đầu 1989–2009 từ mã độc AIDS Trojan, Gpcode; thời kỳ phát triển 2010–2016 với CryptoLocker, CryptoWall, KeRanger, mô hình RaaS; thời kỳ bùng nổ 2017 đến nay với WannaCry, NotPetya, GandCrab, Maze, LockBit). Nghiên cứu phân loại chi tiết 4 dạng ransomware chính gồm Locker Ransomware (khóa màn hình như WinLock), Crypto Ransomware (mã hóa dữ liệu như WannaCry), Scareware (dọa dẫm cài phần mềm độc hại), và Leakware/Doxware (đe dọa tống tiền tiết lộ dữ liệu như Chimera). Chu trình tấn công được chuẩn hóa thành 6 giai đoạn thực thi theo mô hình của Malik và cộng sự (2023): (1) Tìm kiếm và lựa chọn mục tiêu, (2) Khai thác và lây nhiễm, (3) Lây lan và thực thi, (4) Phá hủy bản sao lưu (Shadow Copies/Backups), (5) Mã hóa tập tin và giao tiếp máy chủ C2, (6) Thông báo người dùng và dọn dẹp dấu vết.
• Kỹ thuật phân tích và phát hiện: Khảo cứu các phương pháp phân tích tĩnh (sử dụng dịch ngược mã máy với IDA Pro, phân tích entropy Shannon, đo độ tương đồng tệp bằng sdhash, phân tích luồng mã FlowDroid, bộ phân tích CRSTATIC, GreatEatlon) và phân tích động (theo dõi I/O ổ cứng, thay đổi Windows Registry, lệnh gọi API, lưu lượng mạng SMB với REDFISH, công cụ EldeRan, DeepAMD, thuật toán phát hiện tiền mã hóa PEDA, hệ thống UNVEIL, RansomWall).
• Mô hình Honeypot và Chiến lược Đánh lừa (Cyber Deception): Khảo cứu phân loại Honeypot (vật lý/ảo; sản xuất/nghiên cứu; thuần túy, tương tác thấp, tương tác cao, Honeypot động). Khóa luận kế thừa nguyên lý phòng thủ mục tiêu di chuyển (Moving-Target Defence - MTD) và cơ chế tranh chấp tài nguyên (Resource Contention) của hệ thống Ranflood (Data Flooding against Ransomware - DFaR), khắc phục hạn chế của bẫy tĩnh được Moore (2016) và Gomez-Hernandez (R-Locker, 2018) chỉ ra.

Phương pháp nghiên cứu thực tế được triển khai bao gồm: phương pháp tổng hợp - phân tích tài liệu học thuật; phương pháp thiết kế hệ thống phần mềm đa tầng; phương pháp thực nghiệm bán tự động trong môi trường ảo hóa cách ly (Sandboxing) với tập dữ liệu mã độc thực tế.

Thành phần lý thuyết / Công nghệ	Vai trò trong nghiên cứu	Nguồn tham chiếu / Công cụ
VirusTotal API & Kaspersky API	Quét chọn lọc, đối soát chữ ký và thông tin tình báo mối đe dọa đa nguồn	Google VirusTotal, Kaspersky OpenTip API
Ranflood (DFaR Framework)	Sinh bẫy động, tràn ngập tệp giả, làm chậm tiến trình mã hóa	Nghiên cứu Data Flooding against Ransomware
Shadow & Random Honeyfiles	Đánh lừa tiến trình quét tệp của mã độc	Cơ chế nhân bản cấu trúc tệp thật và sinh tệp ngẫu nhiên
Shannon Entropy & sdhash	Cơ sở lý thuyết nhận diện trạng thái mã hóa dữ liệu	Scife et al. (2016), Mehnaz et al. (2018)
On-the-Fly Snapshooting	Sao lưu dữ liệu tức thời phục vụ khôi phục hậu tấn công	Cơ chế tích hợp trong quy trình Mitigation

Thiết kế và triển khai mô hình

Khóa luận đề xuất mô hình phòng thủ hai lớp tích hợp hướng tới bảo vệ người dùng cuối, kết hợp giữa khả năng phát hiện nhanh từ dịch vụ phân tích mã độc đám mây và cơ chế phòng thủ đánh lừa chủ động tại máy trạm:

1. Kiến trúc lớp phát hiện (Detection Layer)

Hệ thống sử dụng cơ chế phát hiện chọn lọc thông qua tích hợp API của hai nền tảng bảo mật hàng đầu là VirusTotal và Kaspersky. Khi một tệp thực thi đáng ngờ xuất hiện hoặc khởi chạy trong hệ thống, Lớp phát hiện sẽ trích xuất mã băm (MD5, SHA-256) và gửi truy vấn đồng thời qua API:

• VirusTotal API tổng hợp kết quả phân tích từ hơn 70 engine chống mã độc trên thế giới, đưa ra kết quả phân loại diện rộng.
• Kaspersky API đóng vai trò lớp kiểm chứng chuyên sâu, giảm thiểu tỷ lệ dương tính giả (False Positive) và xác thực hành vi nguy hại.
• Khi tệp bị một trong hai dịch vụ gắn cờ độc hại hoặc đạt ngưỡng cảnh báo nguy cơ, cảnh báo sẽ được kích hoạt chuyển tiếp sang Lớp phòng thủ.

2. Kiến trúc lớp phòng thủ Honeypot (Deception & Ranflood Layer)

Khác với Honeypot truyền thống đặt các tệp mồi tĩnh trong thư mục cố định, hệ thống triển khai cơ chế Ranflood theo 3 giai đoạn liên hoàn: Phát hiện (Detection) $\rightarrow$ Giảm thiểu (Mitigation) $\rightarrow$ Phục hồi (Recovery).

• Chiến lược tạo Honeyfile: Hệ thống sử dụng 2 kỹ thuật sinh tệp bẫy:
  • Shadow Honeyfiles: Tạo ra các tệp bẫy có tên, phần mở rộng và cấu trúc mô phỏng chính xác các tệp tin người dùng thực tế đang có trên hệ thống để thu hút mã độc quét trúng đầu tiên.
  • Random Honeyfiles: Sinh các tệp bẫy ngẫu nhiên trên các đường dẫn mà ransomware thường duyệt qua.
• Cơ chế tràn ngập dữ liệu (On-the-Fly Flooding): Khi phát hiện ransomware bắt đầu quét và mã hóa, Honeypot liên tục đẩy (flood) hàng loạt tệp bẫy vào tiến trình đọc/ghi của mã độc. Quá trình này gây ra sự tranh chấp tài nguyên tính toán (CPU, Disk I/O), buộc ransomware mất thời gian mã hóa các tệp vô giá trị và kéo dài thời gian lây lan.
• Cơ chế sao lưu tức thời (On-the-Fly Snapshooting): Song song với quá trình làm chậm ransomware, hệ thống tự động chụp ảnh nhanh và cô lập các tệp dữ liệu thực chưa bị chạm tới, tạo bản sao lưu an toàn phục vụ việc phục hồi dữ liệu hoàn toàn sau khi tiến trình độc hại bị tiêu diệt.

Nội dung chính theo từng chương

Chương 1. Tổng quan

Chương 1 thiết lập khung nghiên cứu tổng thể của khóa luận. Tác giả phân tích bối cảnh bùng nổ của công nghệ số đi kèm nguy cơ an ninh mạng, trong đó Crypto Ransomware đang dần thay thế Locker Ransomware trở thành mối đe dọa nguy hiểm nhất. Chương này chỉ rõ tính cấp thiết của đề tài khi áp dụng vào các ngành nhạy cảm như ngân hàng, y tế, viễn thông và chính phủ. Tác giả phân tích 4 thách thức cốt lõi: tạo honeyfile đủ tinh vi mà không làm suy giảm hiệu năng hệ thống; duy trì tính an toàn thực sự cho dữ liệu người dùng; cập nhật thích ứng trước các biến thể mới; và chi phí triển khai cho doanh nghiệp nhỏ và vừa. Chương 1 cũng tổng quan các công trình tiền nhiệm về phân tích tĩnh/động, cơ chế bẫy tệp (UNVEIL, RansomWall, R-Locker) và giới hạn của Honeypot tĩnh do Moore (2016) chứng minh, từ đó xác lập mục tiêu, đối tượng và phạm vi nghiên cứu của đề tài.

Chương 2. Cơ sở lý thuyết

Chương 2 trình bày toàn diện các nền tảng lý thuyết và công nghệ liên quan. Nội dung bao gồm:

• Lịch sử tiến hóa của ransomware từ năm 1989 đến nay qua 3 giai đoạn tiến hóa riêng biệt.
• Đặc điểm chi tiết của 4 dòng ransomware chính: Locker Ransomware, Crypto Ransomware, Scareware, và Leakware/Doxware.
• Phân tích 6 giai đoạn thực thi của một cuộc tấn công ransomware từ lúc trinh sát đến khi dọn dẹp dấu vết.
• Phân tích ưu nhược điểm của các phương pháp phát hiện mã độc: Phân tích tĩnh (CRSTATIC, GreatEatlon, IDA Pro trên WannaCry); Phân tích động (EldeRan, REDFISH với độ trễ phát hiện trong 20 giây trên mạng SMB, DeepAMD, PEDA); Phân tích kết hợp (kết hợp Cuckoo Sandbox, OllyDbg, IDA).
• Lý thuyết về Honeypot: Phân loại theo hình thức (vật lý/ảo), theo mục đích (sản xuất/nghiên cứu), theo mức độ tương tác (thuần túy, tương tác thấp, tương tác cao, Honeypot động) và nguyên lý vận hành của bẫy tệp.

Chương 3. Mô hình phát hiện mã độc và phòng thủ

Chương 3 chi tiết hóa giải pháp do nhóm tác giả đề xuất:

• Cấu trúc tổng thể mô hình hướng tới người dùng cuối (End-User) tích hợp công cụ Ranflood.
• Quy trình kết hợp đa tầng giữa VirusTotal API và Kaspersky API trong việc gửi yêu cầu kiểm tra mã băm tệp, nhận diện kết quả JSON và phân loại mối nguy.
• Thiết kế Lớp phòng thủ Honeypot Ranflood: Trình bày cơ chế tranh chấp tài nguyên và kỹ thuật phòng thủ mục tiêu di chuyển (MTD).
• Chi tiết hai phương thức sinh tệp giả (Honeyfile từ Shadow và Honeyfile từ Random).
• Luồng vận hành khép kín qua 3 giai đoạn: Phát hiện $\rightarrow$ Giảm thiểu tác động $\rightarrow$ Phục hồi dữ liệu; cùng hai kỹ thuật On-the-Fly Snapshooting và On-the-Fly Flooding.

Chương 4. Thí nghiệm và đánh giá

Chương 4 tập trung vào phần thực nghiệm kiểm chứng hệ thống:

• Thiết lập môi trường thử nghiệm trên máy ảo an toàn, cấu hình tệp cấu hình Ranflood.
• Xây dựng tập dữ liệu kiểm thử bao gồm các mẫu ransomware đại diện: WannaCry, LockBit (phiên bản 3.0), Phobos, và nhóm GC/Ryuk/Vipasana.
• Thực nghiệm kiểm thử thời gian phản hồi của trình phát hiện VirusTotal + Kaspersky.
• Đánh giá khả năng đánh lừa và ngăn chặn của cơ chế tràn ngập tệp (Ranflood) trước từng dòng ransomware thông qua việc đo lường thời gian phát hiện trung bình, tỷ lệ tệp thực bị xâm phạm và khả năng phục hồi dữ liệu thành công sau tấn công.

Chương 5. Kết luận và hướng phát triển

Chương 5 đúc kết các kết quả đạt được của khóa luận, chỉ rõ những đóng góp trong việc xây dựng hệ thống phòng thủ hai lớp cho người dùng cuối và đề xuất các định hướng nâng cấp hệ thống trong tương lai.

Kết quả và đóng góp

Khóa luận đã hoàn thành việc thiết kế, cài đặt và thực nghiệm mô hình bảo vệ tích hợp giữa công cụ quét mã băm đám mây và kỹ thuật bẫy động Ranflood:

• Kết quả thực nghiệm: Hệ thống đã được kiểm thử thực tế trên môi trường máy ảo đối với 4 nhóm mã độc tống tiền nguy hiểm bao gồm: GC/Ryuk/Vipasana, LockBit, Phobos và WannaCry. Kết quả cho thấy lớp phát hiện API VirusTotal và Kaspersky cho phép nhận diện chính xác các mẫu ransomware đã biết thông qua chữ ký và mã băm với độ trễ thấp. Cơ chế Ranflood với On-the-Fly Flooding đã làm chậm đáng kể tốc độ mã hóa của các mẫu ransomware thử nghiệm nhờ việc ép tiến trình độc hại phải xử lý liên tục các Shadow và Random Honeyfiles, tạo đủ thời gian trễ để cơ chế On-the-Fly Snapshooting sao lưu và bảo vệ an toàn cho dữ liệu thật của người dùng.

Nhóm Ransomware thử nghiệm	Đặc trưng tấn công chính	Cơ chế phòng thủ tương ứng trong mô hình
WannaCry	Khai thác SMBv1 (EternalBlue), mã hóa nhanh, yêu cầu chuộc Bitcoin	Quét chữ ký API, Flood honeyfile cản trở lan truyền mã hóa
LockBit (3.0)	Tốc độ mã hóa cực nhanh, cơ chế RaaS, vượt qua bẫy tĩnh	Shadow Honeyfile đánh lạc hướng, On-the-Fly Snapshooting
Phobos	Nhắm vào RDP, mã hóa sâu hệ thống tệp và xóa bản sao lưu	Ranflood tranh chấp tài nguyên I/O, bảo vệ snapshot dữ liệu
GC / Ryuk / Vipasana	Mã hóa có chủ đích (BGH), mã hóa khóa bất đối xứng RSA/AES	Lớp phát hiện API Kaspersky + VirusTotal cô lập tiến trình

• Đóng góp khoa học và thực tiễn:
  1. Đề xuất kiến trúc phòng thủ hai lớp linh hoạt hướng tới bảo vệ máy trạm người dùng cuối (End-User), kết hợp giữa sức mạnh cơ sở dữ liệu mối đe dọa toàn cầu (VirusTotal + Kaspersky) và kỹ thuật đánh lừa nội bộ (Cyber Deception).
  2. Khắc phục triệt để điểm yếu của Honeypot truyền thống (vốn chỉ đặt tệp tĩnh gây chiếm dụng dung lượng và dễ bị bỏ qua) bằng cách ứng dụng kỹ thuật bẫy động Ranflood, sinh tệp mồi On-the-Fly dựa trên cấu trúc tệp thực (Shadow) để chủ động dẫn dụ ransomware vào bẫy.
  3. Cung cấp quy trình khép kín không chỉ dừng lại ở phát hiện mà còn chủ động kéo dài thời gian tương tác (giảm thiểu) và tự động khôi phục dữ liệu nguyên vẹn sau tấn công.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận thẳng thắn chỉ ra các hạn chế kỹ thuật hiện tại dựa trên thiết kế và phạm vi thử nghiệm:

• Hạn chế:
  • Việc tạo ra các tệp giả mạo (honeyfile) đủ tinh vi để đánh lừa ransomware mà không gây suy giảm hiệu năng hệ thống đòi hỏi sự cân bằng tài nguyên phức tạp; nếu sinh tệp quá nhiều có thể gây nghẽn I/O ổ đĩa của chính người dùng.
  • Các honeyfile sinh ra chưa đảm bảo 100% sẽ đánh lạc hướng hoàn toàn mọi thuật toán duyệt tệp chuyên biệt của các biến thể ransomware mới, dẫn đến rủi ro một phần dữ liệu thật vẫn có thể bị mã hóa trước khi hệ thống kịp phản ứng.
  • Lớp phát hiện phụ thuộc vào kết nối mạng để truy vấn API VirusTotal và Kaspersky; khi thiết bị mất kết nối Internet, khả năng phát hiện chọn lọc qua cơ sở dữ liệu đám mây sẽ bị hạn chế.
  • Thí nghiệm mới dừng lại ở quy mô máy ảo đơn lẻ, chưa thử nghiệm trên môi trường mạng doanh nghiệp phân tán phức tạp.
• Hướng nghiên cứu tiếp:
  • Nghiên cứu tích hợp các mô hình học máy (Machine Learning) để tối ưu hóa việc phân loại hành vi bất thường của ransomware theo thời gian thực mà không phụ thuộc hoàn toàn vào API bên ngoài.
  • Cải tiến thuật toán sinh honeyfile thông minh hơn, có khả năng tự động học cấu trúc thư mục của người dùng để sinh tệp bẫy thích ứng theo ngữ cảnh.
  • Mở rộng phạm vi thử nghiệm trên nhiều hệ điều hành khác nhau (Linux, macOS) và môi trường máy chủ lưu trữ phân tán.

Giá trị tham khảo

Khóa luận là tài liệu học thuật có giá trị tham khảo thiết thực cho các nhóm đối tượng:

• Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính, Khoa học máy tính: Tài liệu cung cấp bức tranh toàn cảnh có hệ thống về lịch sử, phân loại, cơ chế hoạt động và 6 giai đoạn thực thi của mã độc tống tiền, đồng thời là mẫu tham khảo hoàn chỉnh về quy trình thiết kế và đánh giá thực nghiệm một giải pháp an ninh mạng.
• Kỹ sư bảo mật, chuyên viên phân tích mã độc (SOC/DFIR): Cung cấp cơ sở tham khảo về phương pháp kết hợp các dịch vụ Threat Intelligence qua API (VirusTotal, Kaspersky) và cách triển khai kỹ thuật đánh lừa không gian mạng (Cyber Deception / Dynamic Honeypot) để bảo vệ điểm cuối (Endpoint Protection).
• Các phần đáng tham khảo nhất trong văn bản:
  • Mục tổng quan về lịch sử ransomware qua 3 thời kỳ và chi tiết 6 giai đoạn tấn công của ransomware (Chương 2).
  • Kiến trúc và quy trình phối hợp giữa API phát hiện và cơ chế Ranflood với các kỹ thuật On-the-Fly Flooding và Snapshooting (Chương 3).
  • Phương pháp thiết lập môi trường máy ảo kiểm thử an toàn và quy trình đánh giá trên các mẫu mã độc thực tế (Chương 4).

Câu hỏi thường gặp

1. Tại sao khóa luận lại kết hợp cả hai API VirusTotal và Kaspersky trong lớp phát hiện?

VirusTotal cung cấp dữ liệu tổng hợp từ hơn 70 công cụ chống virus trên toàn cầu, giúp mở rộng diện quét và nhận diện nhanh các mối đe dọa đã biết. Tuy nhiên, để tăng cường độ tin cậy và hạn chế tối đa các cảnh báo dương tính giả (False Positive), hệ thống bổ sung lớp kiểm chứng qua Kaspersky API – một nền tảng tình báo mối đe dọa chuyên sâu. Sự kết hợp này giúp hệ thống vừa có độ bao phủ rộng, vừa đảm bảo tính chính xác cao trước khi kích hoạt các cơ chế phòng vệ nặng.

2. Mô hình bẫy động Ranflood giải quyết nhược điểm gì của Honeypot truyền thống?

Honeypot truyền thống sử dụng các tệp bẫy tĩnh được đặt cố định tại một số thư mục, dẫn đến hai hạn chế lớn: (1) Bề mặt bẫy hẹp, mã độc có thể quét và mã hóa dữ liệu ở các thư mục khác mà không chạm vào bẫy; (2) Trộn lẫn tệp bẫy vào dữ liệu thực gây cản trở và nhầm lẫn cho người dùng. Ranflood giải quyết triệt để vấn đề này bằng cách tiếp cận chủ động: giám sát tiến trình và thực hiện "tràn ngập" (Flooding) các tệp bẫy động (Shadow/Random Honeyfiles) ngay khi phát hiện hành vi quét tệp của mã độc, ép mã độc phải tương tác với bẫy và làm chậm tiến trình mã hóa.

3. Hai kỹ thuật tạo Honeyfile trong mô hình là Shadow và Random hoạt động như thế nào?

• Honeyfile tạo từ Shadow: Hệ thống nhân bản các đặc tính (tên, định dạng, cấu trúc thư mục) của các tệp tin thực tế mà người dùng đang sở hữu để tạo ra các bản sao mồi nhử có độ tương đồng cao nhất, đánh lừa bộ quét của ransomware.
• Honeyfile tạo từ Random: Hệ thống sinh ngẫu nhiên các tệp tin với cấu trúc đa dạng đặt vào các đường dẫn chiến lược mà ransomware thường duyệt qua nhằm tối đa hóa xác suất bị mã độc tấn công trước.

4. Sáu giai đoạn trong vòng đời tấn công của Ransomware được khóa luận phân tích là gì?

Dựa trên nghiên cứu của Malik và cộng sự (2023), 6 giai đoạn bao gồm: (1) Tìm kiếm và lựa chọn mục tiêu (Reconnaissance); (2) Khai thác và lây nhiễm (Exploit & Infection); (3) Lây lan và thực thi (Propagation & Execution); (4) Phá hủy bản sao lưu (Backup Destruction); (5) Mã hóa tập tin và trao đổi khóa với máy chủ C2 (File Encryption & C2 Communication); (6) Thông báo người dùng và dọn dẹp dấu vết (User Notification & Cleanup).

5. Những chủng ransomware cụ thể nào đã được sử dụng để kiểm thử trong khóa luận?

Hệ thống được kiểm thử thực nghiệm trên môi trường máy ảo với 4 nhóm ransomware thực tế: WannaCry (khai thác lỗ hổng SMBv1 EternalBlue), LockBit (phiên bản 3.0 với tốc độ mã hóa cao), Phobos (tấn công qua cổng RDP và phá hủy bản sao lưu), và nhóm GC / Ryuk / Vipasana (mã hóa có chủ đích theo chiến lược Big Game Hunting).

Kết luận

Khóa luận tốt nghiệp của sinh viên Trương Đình Trọng Thanh và Trần Thúy Anh đã giải quyết thành công bài toán phòng chống mã độc tống tiền thông qua mô hình tích hợp hai lớp: phát hiện chọn lọc bằng API đám mây (VirusTotal và Kaspersky) kết hợp bẫy động Ranflood. Nghiên cứu đóng góp giải pháp chủ động làm chậm tiến trình mã hóa và tự động sao lưu khôi phục dữ liệu dựa trên nguyên lý Data Flooding against Ransomware, khắc phục nhược điểm của các bẫy tệp tĩnh truyền thống. Kết quả thực nghiệm trên các mẫu ransomware nguy hiểm như WannaCry, LockBit, Phobos và Ryuk đã chứng minh tính khả thi và tiềm năng ứng dụng thực tiễn của mô hình trong việc bảo vệ dữ liệu cho người dùng cuối.

Trích đoạn nội dung tài liệu

Chương 1: Giới thiệu tổng quan về đề tài của Khóa luận và những nghiên cứu liên quan. e Chương 2: Trình bay cơ sở lý thuyết và kiến thức nền tang liên quan đến đề tài. e Chương 3: Trinh bày mô hình phát hiện và Honeypot tao honeyfile. e Chương 4: Trình bày thực nghiệm và đánh giá.

e Chương 5: Kết luận và hướng phát triển của đề tài. CƠ SỞ LÝ THUYẾT Chương này trình bày cơ sở lý thuyết của nghiên cứu: Bao gồm mã độc tống tiền, các kỹ thuật phân tích mã độc, mô hình phát hiện mã độc, và mô hình Honeypot. Mã độc tống tiền 1 Mã độc tống tiền (Ransomware) [44] là một dạng phần mềm độc hại có mục tiêu chính là mã hóa các tập tin trên thiết bị, khiến những tập tin đó và hệ thống sử dụng chúng trở nên vô dụng.1 mô tả dễ hiểu là chúng buộc nạn nhân trả tiền chuộc để duy trì danh tiếng của họ và lay lại toàn quyền truy cập dit liệu, máy tính của họ. Khi bị nhiễm ransomware, nạn nhân sẽ nhận được thtEps: //thanhnien.vn/giai-phap-cho-doanh-nghiep-phong-tranh-nguy-co-tan-cong- ransomware- htm 16 một thông báo yêu cầu thanh toán để khôi phục quyền truy cập vào hệ thống bị khóa hoặc mã hóa.

Ransomware hiệu quả biến máy tính thành con tin, giữ dit liệu của nạn nhân trong tình trạng không thể truy cập cho đến khi tiền chuộc được trả. Nói cách khác, đây là một dạng tống tiền số hóa. Lịch sử phát triển Cen và cộng sự (2024) [15] cho rằng cuộc tấn công ransomware đầu tiên được biết đến được phát động vào năm 1989 bởi Joseph L.Popp - một nhà khoa học tiên tiến. Kể từ đó, ransomware đã trải qua ba giai đoạn tiến hóa riêng biệt: ban đầu, phát triển và bùng nổ.

e Thời kỳ ban đầu (1989-2009): Giai đoạn từ 1989 đến 2009 là thời kỳ nay mầm của các cuộc tấn công ransomware. Trong thời kỳ này, các cuộc tấn công bằng ransomware vẫn còn ở giai đoạn sơ khai, số lượng các cuộc tấn công bằng ransomware tăng chậm và các cuộc tấn công còn nhỏ, ít gây hại. Năm 2006 hoặc hơn, Gpcode - một loại ransomware sử dụng thuật toán mã hóa bất đối xứng RSA với khóa dài hơn, được giới thiệu. AK được tạo ra dựa trên việc này khiến việc bẻ khóa ransomware trở nên khó khăn đáng kể.

Ngoài ra, các biến thé locker ransomware đầu tiên xuất hiện vào năm 2007. Theo các nhà nghiên cứu tại Đại học Kennesaw State [25], các phiên ban Locker ransomware đầu tiên này nhắm mục tiêu vào người dùng Nga bằng cách “khóa” máy trạm của nạn nhân và cấm họ thực hiện các hoạt động cơ bản của máy tính như bàn phím và chuột máy tính. e Thời kỳ phát triển (2010-2016): Kể từ năm 2010, các cuộc tấn công ransomware ngày càng trở nên sôi động với các phiên bản mới xuất hiện hầu như là hàng năm. Phạm vi tấn công đã mở rộng và phương pháp của chúng liên tục được cải tiến.

Vào tháng 9 năm 2013, phần mềm Cryptolocker xuất hiện, sử dụng nhiều phương pháp lây nhiễm khác nhau như đính kèm tệp Email, các trang web chứa lỗ hồng. Vào năm 2014, nó đã sử dụng cơ sở 17 hạ tang botnet GameOver Zeus để lan truyền. Sử dụng tiêu chuẩn mã hóa nâng cao (AES - 256), các tệp được mã hóa bằng Cryptolocker, sử dụng cặp khóa RSA 2048 bit để mã hóa và giải mã nên khiến việc giải mã trở nên cực kỳ khó khăn. Sự thành công của Cryptolocker đã dẫn đến sự xuất hiện của phiên bản nâng cao của nó, CryptoWall, phiên bản này chủ yếu lây lan qua spam email.

Đến tháng 3 năm 2014, CrytoWall đã trở thành mối đe dọa ransomware nối bật. Đồng thời sự gia tăng của Bitcoin càng thúc đẩy những kẻ tấn công ransomware theo đuổi mục tiêu an danh nâng cao, dẫn đến nhu cầu thanh toán tiền chuộc Bitcoin ngày càng tăng. Nam 2014 cũng chứng kiến sự xuất hiện lần đầu tiên của phần mềm độc hại nhắm mục tiêu vào thiết bị di động bằng các cuộc tấn công bằng mật mã, với “Spyeng” nhấm mục tiêu vào các hệ thống Android và gửi tin nhắn đến mọi người trong danh sách liên hệ của nạn nhân kèm theo liên kết tải phần mềm ransomware gây ra làn sóng tấn công ransomware nhắm mục tiêu Internet di động và các thiết bị thông minh - một xu hướng vẫn tiếp tục cho đến ngày nay. Ransomware vào hệ thống MAC cũng xuất hiện trong giai đoạn này, chang hạn KeRanger (2016), “Patcher” hay còn gọi là “filezip” (2017).

Ngoài ra, một mô hình kinh doanh mới có tên Ransomware-as-a-Service (RaaS) [60] đã xuất hiện vào năm 2015 cho phép các chi nhánh thực hiện các cuộc tấn công ransomware bằng cách sử dụng các công cụ ransomware được phát triển trước. RaaS đã góp phần đáng kể vào sự gia tăng các cuộc tấn công bằng ransomware. RaaS cho phép các tác nhân đe dọa có trình độ kỹ thuật kém hơn truy cập vào các công cụ và cơ sở hạ tầng ransomware được phát triển bởi các tác nhân tinh vi hơn. No hoạt động theo mô hình chia sẻ lợi nhuận, trong đó các nhà phát triển nhận một phần trăm khoản thanh toán tiền chuộc.

RaaS hạ thấp rào cản gia nhập đối với tội phạm mạng, cho phép phân phối và thực hiện rộng rãi các cuộc tấn công ransomware. Một số ví dụ điển hình về RaaS bao gồm DarkSide, REvil, Dharma, LockBit e Giai đoạn bùng nổ (2017 - nay): Sau năm 2017, các cuộc tấn công 18 ransomware bước vào thời kỳ xuất hiện nhiều hơn. Trong giai đoạn này, các cuộc tấn công ransomware đã phát triển thành bối cảnh công nghiệp hóa với các vai trò riêng biệt như nhà phát triển ransomware, kẻ tống tiền, nhà cung cấp kênh phân phối và tác nhân giải mã cộng tác để thực hiện các cuộc tấn công ransomware toàn diện. Phương thức phân phối ransomware đã chuyển từ khai thác lỗi của con người, chang hạn như tải xuống ngẫu nhiên và Email lừa đảo sang tận dụng các lỗ hồng hệ thống.

Một trường hợp minh họa là vụ tấn công WannaCry [45] vào năm 2017, khai thác lỗ hổng ứng dụng SMBVI của Microsoft có tên EternalBlue, dẫn đến một đợt bùng phát toàn cầu ảnh hưởng đến 230.000 máy tính trên 150 quốc gia, gây thiệt hại hơn 8 tỷ USD. Ngoài ra những kẻ tấn công ransomware cũng đã chuyển sang xâm phạm bộ điều khiển miền và phát tán payload của chúng trên mạng, đây là một phương pháp cực kỳ nguy hiểm. Một số kết quả thử nghiệm thâm nhập mạng đã chỉ ra rằng các thực thể bị định cấu hình sai trong Active Directory có thể dé bị tấn công leo thang đặc quyền hoặc tấn công chiếm toàn bộ miền. Cơ sở hạ tang ESXi và Hyper-V cũng dễ bị tổn thương trước sự tấn công dit dội của ransomware.

Trong khoảng thời gian này, một loạt phần mềm ransomware đáng kể và các nhóm liên quan của chúng đã xuất hiện, làm nổi bật những diễn biến đáng chú ý trong các lĩnh vực. Chúng bao gồm LeatherLocker vào năm 2017, GandCrab vào năm 2018, LockerGoga, PureLocker va Zeppelin vào năm 2019. Năm 2020 chứng kiến sự ra đời của Phobos, Fonix, Conti, Cer- ber, Egregor, WastedLocker và Maze trong khi LockBit 3.0 xuất hiện vào năm 2022. Không giống như ransomware truyền thống, ransomware di động LeakerLocker xuất hiện vào năm 2017, đã thực hiện một cách tiếp cận đặc biệt khi nhắm mục tiêu vào các thiết bị Android.

Thay vì mã hóa các tập tin, LeakerLock hoạt động bằng cách nhúng chính nó vào các ứng dụng độc hại trên Play Strore. Nó hiển thị dữ liệu mẫu của người dùng và đưa ra lời đe dọa chia sẻ toàn bộ nội dung của điện thoại với danh bạ của người dùng 19 nếu không trả tiền chuộc. Phương pháp ép buộc độc đáo này đánh dấu sự khác biệt so với các chiến thuật mã hóa tệp tiêu chuẩn được sử dụng bởi phần mềm ransomware truyền thống. Sự xuất hiện của GandCrab vào tháng 1 năm 2018 đã đánh dấu một bước ngoặc quan trọng trong miền ransomware.

Mặc dù lần lặp đầu tiên của nó thiếu các thuộc tính đột phá nhưng việc giới thiệu các lần lặp ngày càng phức tạp sau đó và sự kết hợp của nó với phần mềm độc hại “Vidar” đã cấp cho “GandCrab” khả năng thực hiện cả mã hóa tệp và lọc dữ liệu. Đáng chú ý, “GandCrab” duy trì sự hiện diện rất tích cực dưới dạng RaaS từ năm 2018 đến năm 2019. Nhóm Maze đã đưa ra khái niệm “tiền chuộc kép”, yêu cầu hai khoản thanh toán - một để giải mã dit liệu và một để xóa thông tin bị đánh cắp khỏi máy chủ của họ. Hơn nữa, những kẻ tấn công ransomware đã chuyển trọng tâm sang một chiến lược được gọi là “Big Game Hunting” (BGH).

BGH ưu tiên các mục tiêu có giá trị cao, chăng hạn như cơ sở hạ tầng quan trọng, các tổ chức và công ty quốc tế, nhằm mục đích tăng đáng kể số tiền hoàn trả. Cách tiếp cận này bao gồm các cuộc tấn công mạng chính xác, phức tạp, khối lượng thấp, lợi nhuận cao được thực hiện thông qua ransomware. Những kẻ tan công xâm nhập vào mạng, khám phá các chuyển động bên, lọc các tệp và sau đó triển khai phần mềm ransomware. Các ransomware đáng chú ý áp dụng chiến lược BGH bao gồm BitPaymer và SamSam.

Một sô loạt phan mém ransomware Dựa trên nghiên cứu Razaulla và cộng sự (2023) [56], ransomware được chia thành các loại sau: 20 3TO HE BYPYC, 4 PeKNaMHbI MOAyNb, KOTOpbI Hbin ycTaHOBNeH Bann Np TIICELIEHI4 Cavta Ansa B3pocnbix. Cpok Aevctena Mogyna 30 Ane Taputthhi: http:/ /www.info/ support Ecnv Bbi XOTHTe ¥AanhTb MOAYNb HeMeANeHHO, OTNpasbTe CMC C TeEKCTOM 38962939 Ha HOMep 5581. NonyyenHbin B OTBETHOM CHC KOA BBE AMTe B nONe HE Hinh 2.2: Vi du vé loại Locker Ransomware® 2. Locker Ransomware Locker Ransomware là một loại ransomware sử dung các thủ tục đơn giản hoặc phức tạp để khóa máy tính của người dùng, ngăn cẩn người dùng truy cập vào hệ thống cho đến khi tiền chuộc được trả cho kẻ tấn công [9].

Khi thiết bị bị khóa, thông báo yêu cầu tiền chuộc sẽ hiển thị trên màn hình, chỉ sau khi người dùng trả tiền chuộc, quyền truy cập vào thiết bị mới được khôi phục. Một ví dụ điển hình của loại này là WinLock. Day là một trong những ransomware khởi xướng cho phương pháp tấn công này. WinLock như Hình 2.2 như trên yêu cầu thanh toán tiền chuộc qua SMS với chi phí 10 USD để nhận mã bỏ chặn, nhằm khôi phục quyền truy cập vào thiết bị.

Mặc dù số tiền chuộc tương đối nhỏ, nhưng WinLock đã mở ra một kỷ nguyên mới cho các cuộc tấn công ransomware, tạo tiền đề cho sự phát triển của các loại ransomware phức tạp hơn sau này.com/news/the-scariest-ransomware-from-child-porn-to-doj- warnings. Crypto Ransomware Ooops, your files have been encrypted! What Happened to My Computer? Your important files are encrypted.