Nghiên Cứu Phương Pháp Chống Lại Kỹ Thuật Né Tránh Máy Ảo Của Mã Độc Trong Phân Tích Động

Luận văn thạc sĩ kỹ thuật nghiên cứu công nghệ thông tin nghiên cứu phương pháp chống lại kỹ thuật né tránh máy ảo của mã độc trong phân, khảo sát thực trạng, phân tích nguyên

• Tác giả: Phạm Ri Nép
• Người hướng dẫn: TS. Nguyễn Tấn Cầm
• Trường học: Đại Học Quốc Gia TP. HCM Trường Đại Học Công Nghệ Thông Tin
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Nghiên Cứu Phương Pháp Chống Lại Kỹ Thuật Né Tránh Máy Ảo Của Mã Độc
• Loại tài liệu: Luận Văn
• Năm xuất bản: 2023
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Kỹ thuật phân tích tĩnh
• 1.2. Kỹ thuật phân tích động
• 1.3. Kỹ thuật phân tích kết hợp
• 1.4. Các loại mã độc phổ biến
• 1.5. Phát biểu bài toán
• 2. CHƯƠNG 2: CÁC NGHIÊN CỨU LIÊN QUAN
• 2.1. Sơ lược các nghiên cứu phân tích liên quan
• 2.2. Phương pháp chống phân tích máy ảo của mã độc trong debug
• 2.3. Phương pháp phân tích động mã độc trong Sandbox
• 2.4. Các phương pháp phân tích động mã độc khác
• 3. CHƯƠNG 3: HỆ THỐNG ĐỀ XUẤT
• 3.1. Mô đun VM Creator
• 3.2. Mô đun VM Customizer
• 3.3. File and Process Customizer
• 3.4. Memory Customizer
• 3.5. Communication Channel Customizer
• 3.6. Mô đun Checker
• 4. CHƯƠNG 4: THỬ NGHIỆM
• 4.1. Xây dựng hệ thống đề xuất
• 4.2. Thông tin cấu hình máy vật lý
• 4.3. Xây dựng máy ảo đã được chỉnh sửa
• 4.4. Thử nghiệm với mẫu thử malware
• 4.4.1. Mẫu thử Agent Tesla
• 4.4.2. Mẫu thử Zloader
• 4.4.3. Mẫu thử Trickbot
• 4.5. Kết quả thử nghiệm với các mẫu malware
• 5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN
• 5.1. Kết quả đạt được
• 5.2. Một số thách thức khi thực hiện đề tài
• 5.3. Hướng phát triển tương lai
• TÀI LIỆU THAM KHẢO
• PHỤ LỤC
• DANH MỤC CÁC CÔNG BỐ KHOA HỌC
• DANH MỤC CÁC CHỮ VIẾT TẮT
• DANH MỤC CÁC HÌNH ẢNH
• DANH MỤC CÁC BẢNG

Tóm tắt

I. Tổng Quan Về Kỹ Thuật Né Tránh Máy Ảo Của Mã Độc

Trong bối cảnh cybersecurity ngày càng phức tạp, mã độc không ngừng phát triển các kỹ thuật tinh vi để ẩn mình và tránh bị phát hiện. Một trong những kỹ thuật phổ biến là chống né tránh máy ảo (anti-VM), cho phép mã độc nhận biết và thay đổi hành vi khi chạy trong môi trường ảo hóa như VMware, VirtualBox, hay Hyper-V. Điều này gây khó khăn cho các nhà nghiên cứu malware trong việc phân tích động mã độc để hiểu rõ cách thức hoạt động và đưa ra các biện pháp phòng ngừa hiệu quả. Kỹ thuật anti-VM cản trở quá trình reverse engineering malware và làm chậm trễ việc phát triển các giải pháp chống anti-VM. Do đó, việc nghiên cứu và phát triển các phương pháp chống né tránh máy ảo là vô cùng quan trọng để nâng cao khả năng phòng thủ cybersecurity. Các anti-analysis techniques cần được vô hiệu hóa để phân tích mã độc một cách chính xác và hiệu quả.

1.1. Tại Sao Kỹ Thuật Anti VM Gây Khó Khăn Cho Phân Tích

Kỹ thuật anti-VM gây khó khăn cho phân tích mã độc vì nó làm thay đổi hành vi của malware khi chạy trong môi trường ảo hóa. Mã độc có thể ngừng thực thi, xóa dấu vết, hoặc thực hiện các hành động vô hại để đánh lừa các công cụ phân tích sandbox. Điều này khiến cho việc xác định chức năng thực sự của mã độc trở nên khó khăn hơn. Ví dụ, theo nghiên cứu của [Tên tác giả], mã độc sử dụng API hooking để phát hiện môi trường ảo hóa và thay đổi luồng thực thi. Các nhà nghiên cứu cybersecurity research cần phải vượt qua rào cản này để phân tích động một cách chính xác.

1.2. Các Kỹ Thuật Né Tránh Máy Ảo Phổ Biến Hiện Nay

Có rất nhiều kỹ thuật né tránh máy ảo mà mã độc sử dụng. Một số kỹ thuật phổ biến bao gồm kiểm tra hiện diện của các tiến trình liên quan đến VMware hoặc VirtualBox, kiểm tra các registry keys cụ thể, so sánh giá trị của các instruction như CPUID hoặc RDTSC, và kiểm tra các đặc điểm phần cứng ảo hóa. Các kỹ thuật này thường được kết hợp để tăng độ chính xác. Ngoài ra, mã độc có thể sử dụng obfuscation và packer để làm phức tạp mã nguồn, gây khó khăn cho quá trình static analysis và dynamic analysis.

1.3. Tầm Quan Trọng Của Nghiên Cứu Chống Né Tránh Máy Ảo

Nghiên cứu chống né tránh máy ảo có tầm quan trọng then chốt trong việc nâng cao khả năng threat intelligence và bảo vệ hệ thống khỏi các cuộc tấn công cybersecurity. Bằng cách phát triển các phương pháp hiệu quả để phát hiện và vô hiệu hóa các kỹ thuật anti-VM, các nhà nghiên cứu có thể phân tích mã độc một cách chính xác hơn, hiểu rõ hơn về các chiến thuật của kẻ tấn công và từ đó đưa ra các biện pháp phòng ngừa và ứng phó kịp thời. Việc này đóng góp trực tiếp vào việc bảo vệ người dùng và tổ chức khỏi các mối đe dọa malware ngày càng tinh vi. Ngoài ra, việc nghiên cứu này còn giúp cải thiện các malware analysis tools và sandbox evasion techniques.

II. Thách Thức Phân Tích Mã Độc Sử Dụng Kỹ Thuật Anti VM

Việc phân tích mã độc sử dụng kỹ thuật anti-VM đặt ra nhiều thách thức lớn cho các nhà nghiên cứu. Mã độc có thể tự động thay đổi hành vi, thậm chí tự hủy hoại, khi phát hiện ra môi trường ảo hóa. Điều này gây khó khăn cho việc thu thập thông tin chính xác về chức năng và mục tiêu của malware. Ngoài ra, các kỹ thuật anti-VM ngày càng trở nên tinh vi, đòi hỏi các nhà nghiên cứu phải liên tục cập nhật kiến thức và phát triển các công cụ mới để đối phó. Sự phức tạp của obfuscation và packer cũng làm tăng thêm độ khó cho quá trình reverse engineering và phân tích động.

2.1. Vấn Đề Về Độ Tin Cậy Của Kết Quả Phân Tích Sandbox

Các sandbox thường được sử dụng để phân tích động mã độc, nhưng chúng dễ bị sandbox evasion nếu mã độc sử dụng kỹ thuật anti-VM. Kết quả phân tích sandbox có thể không chính xác hoặc không đầy đủ, dẫn đến đánh giá sai về mức độ nguy hiểm của malware. Điều này có thể gây ra những hậu quả nghiêm trọng, đặc biệt trong các tình huống khẩn cấp cần đưa ra quyết định nhanh chóng và chính xác. Do đó, cần có các biện pháp để tăng cường khả năng chống anti-VM của sandbox.

2.2. Khó Khăn Trong Việc Xác Định Chức Năng Thực Sự Của Mã Độc

Khi mã độc sử dụng kỹ thuật anti-VM, việc xác định chức năng thực sự của nó trở nên vô cùng khó khăn. Malware có thể ẩn giấu các hành vi nguy hiểm trong môi trường ảo hóa và chỉ thực hiện chúng trên hệ thống thật. Điều này đòi hỏi các nhà nghiên cứu phải sử dụng các kỹ thuật phân tích nâng cao để vượt qua các rào cản do anti-VM tạo ra. Việc kết hợp static analysis, dynamic analysis, và memory analysis có thể giúp phát hiện các hành vi ẩn giấu.

2.3. Yêu Cầu Kỹ Năng Chuyên Môn Cao Từ Nhà Nghiên Cứu Malware

Để đối phó với các kỹ thuật anti-VM ngày càng tinh vi, các nhà nghiên cứu malware cần phải có kiến thức chuyên môn sâu rộng và kỹ năng thực hành vững chắc. Họ cần hiểu rõ về kiến trúc hệ thống, reverse engineering, assembly language, và các công cụ phân tích mã độc. Việc liên tục cập nhật kiến thức và tham gia các khóa đào tạo chuyên sâu là vô cùng quan trọng để nâng cao năng lực cybersecurity research.

III. Phương Pháp Tùy Biến Máy Ảo Chống Kỹ Thuật Anti VM

Một trong những phương pháp hiệu quả để chống né tránh máy ảo là tùy biến cấu hình của máy ảo để làm cho nó trông giống như một hệ thống thật. Điều này có thể được thực hiện bằng cách thay đổi các thông tin phần cứng ảo hóa, điều chỉnh các registry keys, và vô hiệu hóa các tiến trình liên quan đến VMware hoặc VirtualBox. Mục tiêu là đánh lừa mã độc và khiến nó thực hiện hành vi thực sự của mình trong môi trường ảo hóa. Việc tùy biến cần được thực hiện cẩn thận để không làm ảnh hưởng đến hiệu suất của máy ảo.

3.1. Thay Đổi Thông Tin Phần Cứng Ảo Hóa Hardware Fingerprinting

Các mã độc thường kiểm tra thông tin phần cứng ảo hóa như tên nhà sản xuất, số serial, và model number để phát hiện môi trường ảo hóa. Thay đổi các thông tin này có thể giúp đánh lừa malware. Việc sử dụng các công cụ như VMware Editor hoặc VirtualBox Manager cho phép thay đổi các thông số này. Điều quan trọng là tạo ra các giá trị ngẫu nhiên và hợp lý để tránh bị phát hiện.

3.2. Chỉnh Sửa Registry Keys Liên Quan Đến Máy Ảo

Một số registry keys chứa thông tin về máy ảo có thể bị mã độc kiểm tra. Việc chỉnh sửa hoặc xóa các registry keys này có thể giúp che giấu sự hiện diện của môi trường ảo hóa. Tuy nhiên, cần cẩn thận khi chỉnh sửa registry vì có thể gây ra sự cố cho hệ thống. Sao lưu registry trước khi thực hiện bất kỳ thay đổi nào là điều cần thiết.

3.3. Vô Hiệu Hóa Các Tiện Ích Và Tiến Trình Liên Quan Đến VM

Các tiện ích và tiến trình liên quan đến VMware hoặc VirtualBox có thể bị mã độc phát hiện. Vô hiệu hóa các tiện ích này hoặc thay đổi tên của chúng có thể giúp chống né tránh máy ảo. Tuy nhiên, việc này có thể ảnh hưởng đến khả năng tương tác với máy ảo. Do đó, cần cân nhắc kỹ lưỡng trước khi thực hiện.

IV. Sử Dụng Công Cụ Phát Hiện Mã Độc Anti VM Hiệu Quả

Ngoài việc tùy biến máy ảo, việc sử dụng các công cụ chuyên dụng để phát hiện và vô hiệu hóa các kỹ thuật anti-VM cũng rất quan trọng. Các công cụ này có thể giúp các nhà nghiên cứu xác định các điểm yếu trong môi trường ảo hóa và đưa ra các biện pháp khắc phục kịp thời. Việc kết hợp các công cụ phân tích khác nhau như IDA Pro, OllyDbg, và Wireshark cũng giúp tăng cường khả năng phân tích mã độc.

4.1. Giới Thiệu Về Các Công Cụ Phát Hiện VM Detection

Có nhiều công cụ được thiết kế để phát hiện các kỹ thuật VM detection được sử dụng bởi mã độc. Các công cụ này thường sử dụng các phương pháp dynamic analysis để theo dõi hành vi của mã độc và xác định xem nó có đang cố gắng phát hiện môi trường ảo hóa hay không. Một số công cụ phổ biến bao gồm VBoxHardenedLoader và Pafish.

4.2. Hướng Dẫn Sử Dụng Các Công Cụ Phân Tích Mã Độc

Việc sử dụng các công cụ phân tích mã độc đòi hỏi kiến thức và kinh nghiệm. Các nhà nghiên cứu cần phải hiểu rõ cách thức hoạt động của từng công cụ và cách diễn giải kết quả. Các khóa đào tạo và tài liệu hướng dẫn trực tuyến có thể giúp người dùng làm quen với các công cụ này.

4.3. Kết Hợp Phân Tích Tĩnh và Động Để Đạt Hiệu Quả Cao Nhất

Việc kết hợp static analysis và dynamic analysis là chìa khóa để phân tích mã độc một cách hiệu quả. Static analysis giúp xác định các đặc điểm chung của mã độc, trong khi dynamic analysis giúp theo dõi hành vi thực tế của nó. Bằng cách kết hợp hai phương pháp này, các nhà nghiên cứu có thể có được cái nhìn toàn diện về malware và đưa ra các biện pháp phòng ngừa hiệu quả.

V. Ứng Dụng Thực Tiễn Kết Quả Nghiên Cứu Kỹ Thuật Anti VM

Các nghiên cứu về chống né tránh máy ảo có ứng dụng thực tiễn rộng rãi trong lĩnh vực cybersecurity. Chúng giúp cải thiện khả năng phân tích mã độc, phát triển các giải pháp chống anti-VM hiệu quả hơn, và nâng cao khả năng phòng thủ trước các cuộc tấn công cybersecurity. Các kết quả nghiên cứu có thể được sử dụng để tạo ra các sandbox an toàn hơn, cải thiện malware analysis tools, và cung cấp threat intelligence chính xác hơn.

5.1. Cải Thiện Khả Năng Phân Tích Động Malware

Bằng cách chống né tránh máy ảo, các nhà nghiên cứu có thể phân tích động malware một cách chính xác hơn, thu thập thông tin đầy đủ về hành vi của nó và đưa ra các biện pháp phòng ngừa hiệu quả hơn. Điều này đặc biệt quan trọng trong việc đối phó với các mối đe dọa nâng cao (APT).

5.2. Phát Triển Các Giải Pháp Chống Anti VM Hiệu Quả

Các nghiên cứu về anti-VM giúp xác định các kỹ thuật né tránh máy ảo mới nhất và phát triển các giải pháp chống anti-VM hiệu quả hơn. Các giải pháp này có thể được tích hợp vào các sandbox, các công cụ phân tích mã độc, và các hệ thống phòng thủ cybersecurity.

5.3. Nâng Cao Threat Intelligence và Phòng Thủ Cyber Security

Thông tin thu thập được từ các nghiên cứu về anti-VM có thể được sử dụng để nâng cao threat intelligence và cải thiện khả năng phòng thủ cybersecurity. Bằng cách hiểu rõ hơn về các chiến thuật của kẻ tấn công, các tổ chức có thể đưa ra các biện pháp phòng ngừa và ứng phó kịp thời.

VI. Kết Luận Hướng Phát Triển Nghiên Cứu Kỹ Thuật Anti VM

Nghiên cứu chống né tránh máy ảo là một lĩnh vực quan trọng và không ngừng phát triển trong cybersecurity. Trong tương lai, các kỹ thuật anti-VM sẽ tiếp tục trở nên tinh vi hơn, đòi hỏi các nhà nghiên cứu phải liên tục cập nhật kiến thức và phát triển các phương pháp mới để đối phó. Việc hợp tác giữa các nhà nghiên cứu, các nhà phát triển công cụ, và các chuyên gia cybersecurity là vô cùng quan trọng để đảm bảo an toàn cho hệ thống và người dùng.

6.1. Các Hướng Nghiên Cứu Tương Lai Về Chống Anti VM

Các hướng nghiên cứu tương lai về chống anti-VM bao gồm phát triển các kỹ thuật phân tích mã độc tự động hơn, tạo ra các máy ảo khó bị phát hiện hơn, và phát triển các công cụ phân tích dựa trên trí tuệ nhân tạo. Nghiên cứu về kernel-mode và user-mode cũng rất quan trọng.

6.2. Tầm Quan Trọng Của Việc Chia Sẻ Thông Tin Threat Intelligence

Việc chia sẻ thông tin threat intelligence giữa các tổ chức và các nhà nghiên cứu là vô cùng quan trọng để đối phó với các mối đe dọa cybersecurity. Thông tin về các kỹ thuật anti-VM mới nhất và các biện pháp phòng ngừa hiệu quả nên được chia sẻ rộng rãi để giúp mọi người bảo vệ hệ thống của mình.

6.3. Hợp Tác Giữa Các Chuyên Gia Và Nhà Nghiên Cứu Cyber Security

Sự hợp tác giữa các chuyên gia và nhà nghiên cứu cybersecurity là chìa khóa để giải quyết các vấn đề phức tạp liên quan đến anti-VM. Bằng cách chia sẻ kiến thức, kinh nghiệm, và tài nguyên, họ có thể tạo ra các giải pháp hiệu quả hơn để bảo vệ hệ thống và người dùng.

Nội dung chính

Tổng quan nghiên cứu

Trong bối cảnh an ninh mạng ngày càng trở nên phức tạp, các cuộc tấn công mã độc gia tăng cả về số lượng và mức độ tinh vi, đặc biệt là các mã độc có khả năng né tránh phân tích trong môi trường máy ảo. Theo thống kê từ Cục An toàn Thông tin Việt Nam, trong năm 2022 đã ghi nhận hơn 10.000 sự cố tấn công liên quan đến mã độc, với mức tăng gần 20% so với năm trước. Mã độc hiện đại thường sử dụng các kỹ thuật phát hiện và né tránh máy ảo, khiến việc phân tích động trở nên khó khăn và không chính xác. Mục tiêu của luận văn là nghiên cứu và đề xuất phương pháp chống lại các kỹ thuật né tránh máy ảo của mã độc trong phân tích động, nhằm nâng cao hiệu quả phát hiện và phân tích hành vi mã độc. Nghiên cứu tập trung vào việc xây dựng hệ thống máy ảo được tùy biến tự động qua 6 mô-đun chính, giúp máy ảo giả lập gần giống máy thật, đồng thời tạo bộ dữ liệu thử nghiệm gồm 205 mẫu mã độc để đánh giá hiệu quả. Phạm vi nghiên cứu thực hiện tại Trường Đại học Công nghệ Thông tin, Đại học Quốc gia TP. Hồ Chí Minh trong năm 2023. Kết quả nghiên cứu có ý nghĩa quan trọng trong việc nâng cao khả năng phân tích động mã độc, góp phần bảo vệ an toàn thông tin cho các tổ chức và cá nhân trước các mối đe dọa mạng ngày càng tinh vi.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn dựa trên hai lý thuyết chính: lý thuyết về kỹ thuật phân tích động mã độc và lý thuyết về kỹ thuật né tránh máy ảo (Anti-VM). Phân tích động là phương pháp thực thi mã độc trong môi trường biệt lập để quan sát hành vi, trong khi kỹ thuật né tránh máy ảo là các phương pháp mà mã độc sử dụng để phát hiện và thay đổi hành vi khi chạy trên máy ảo nhằm tránh bị phát hiện. Nghiên cứu tập trung vào 6 khái niệm chuyên ngành: Registry Customizer (tùy biến registry), File and Process Customizer (tùy biến tập tin và tiến trình), Hardware Fingerprinting Customizer (tùy biến nhận dạng phần cứng), Memory Customizer (tùy biến bộ nhớ firmware), Timing Customizer (tùy biến thời gian thực thi), và Communication Channel Customizer (tùy biến kênh giao tiếp I/O). Mỗi mô-đun này nhằm giả lập các đặc điểm của máy thật để đánh lừa các kỹ thuật phát hiện máy ảo của mã độc.

Phương pháp nghiên cứu

Nghiên cứu sử dụng phương pháp phân tích động kết hợp với tùy biến máy ảo tự động. Nguồn dữ liệu gồm 205 mẫu mã độc thực tế, bao gồm các loại phổ biến như Agent Tesla, Zloader, Trickbot. Cỡ mẫu được lựa chọn nhằm đảm bảo tính đại diện và đa dạng của các kỹ thuật né tránh. Phương pháp chọn mẫu dựa trên thu thập từ các nguồn mã độc phổ biến và các công cụ kiểm tra máy ảo như Pafish, Al-khaser. Phân tích dữ liệu sử dụng công cụ Process Monitor, Wireshark để giám sát hành vi mã độc, đồng thời so sánh kết quả trên máy ảo bình thường và máy ảo đã tùy biến. Timeline nghiên cứu kéo dài trong năm 2023, bao gồm các giai đoạn xây dựng hệ thống, thu thập mẫu, thử nghiệm và đánh giá kết quả. Phương pháp phân tích định lượng được áp dụng để đo lường tỷ lệ thành công trong việc né tránh phát hiện máy ảo, với các chỉ số cụ thể như tỷ lệ vượt qua kiểm tra Hardware Fingerprinting, Registry, Timing, đạt trên 90% trong máy ảo đã chỉnh sửa.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

1. Hiệu quả của mô-đun tùy biến Registry: Máy ảo đã chỉnh sửa thành công vượt qua 54/54 kỹ thuật kiểm tra registry của mã độc, trong khi máy ảo bình thường thất bại hoàn toàn. Tỷ lệ thành công đạt 100%, chứng minh khả năng giả lập môi trường registry máy thật hiệu quả.

2. Tỷ lệ vượt qua kiểm tra Hardware Fingerprinting: Máy ảo tùy biến vượt qua 72/72 kỹ thuật kiểm tra phần cứng như tên ổ đĩa, bộ xử lý, trong khi máy ảo bình thường không thể vượt qua. Điều này giúp ngăn chặn mã độc phát hiện môi trường ảo qua thông tin phần cứng.

3. Khả năng né tránh kiểm tra Timing: Máy ảo đã chỉnh sửa thành công vượt qua 7/7 kỹ thuật kiểm tra thời gian thực thi, trong khi máy ảo bình thường thất bại. Điều này giúp ngăn chặn mã độc sử dụng kỹ thuật trì hoãn để phát hiện máy ảo.

4. Kết quả thử nghiệm với mẫu mã độc thực tế: Khi chạy trên máy ảo đã chỉnh sửa, các mẫu mã độc như Agent Tesla, Zloader, Trickbot thể hiện hành vi đầy đủ và không bị phát hiện là đang chạy trong môi trường ảo, giúp phân tích hành vi chính xác hơn. Ví dụ, Agent Tesla tạo tiến trình msiexec.exe và ghi các tập tin hệ thống như trên máy thật, được ghi nhận qua Process Monitor và Wireshark.

Thảo luận kết quả

Kết quả cho thấy việc tùy biến máy ảo qua 6 mô-đun giúp máy ảo giả lập gần như hoàn chỉnh môi trường máy thật, làm giảm đáng kể khả năng phát hiện máy ảo của mã độc. So với các nghiên cứu trước đây chỉ tập trung vào một hoặc hai kỹ thuật chống phát hiện, nghiên cứu này mở rộng phạm vi và tự động hóa quá trình tùy biến, giúp tiết kiệm thời gian và tăng độ chính xác. Việc sử dụng bộ dữ liệu thử nghiệm đa dạng với 205 mẫu mã độc thực tế cũng giúp đánh giá toàn diện hơn về hiệu quả của phương pháp. Các biểu đồ so sánh tỷ lệ thành công giữa máy ảo bình thường và máy ảo đã chỉnh sửa minh họa rõ ràng sự khác biệt vượt trội của hệ thống đề xuất. Tuy nhiên, vẫn còn một số thách thức như việc cập nhật liên tục các kỹ thuật né tránh mới của mã độc và yêu cầu nâng cao khả năng tùy biến cho các môi trường máy ảo khác nhau. Nghiên cứu góp phần quan trọng trong việc nâng cao hiệu quả phân tích động mã độc, hỗ trợ các nhà phân tích bảo mật phát hiện và ngăn chặn các mối đe dọa mạng ngày càng tinh vi.

Đề xuất và khuyến nghị

1. Tự động hóa tùy biến máy ảo theo 6 mô-đun: Động từ hành động "triển khai" hệ thống tùy biến máy ảo tự động nhằm nâng cao tỷ lệ phát hiện mã độc, giảm thiểu sai sót do tùy chỉnh thủ công. Chủ thể thực hiện là các tổ chức an ninh mạng, thời gian áp dụng trong vòng 6 tháng.

2. Xây dựng bộ dữ liệu thử nghiệm mã độc đa dạng: Động từ "thu thập" và "cập nhật" liên tục các mẫu mã độc mới để đánh giá hiệu quả hệ thống phân tích động. Chủ thể là các trung tâm nghiên cứu an ninh mạng, thực hiện hàng quý.

3. Phát triển công cụ báo cáo phân tích chi tiết: Động từ "phát triển" công cụ tổng hợp hành vi mã độc, kết nối dữ liệu từ Process Monitor, Wireshark để hỗ trợ nhà phân tích đưa ra quyết định nhanh chóng. Chủ thể là nhóm phát triển phần mềm bảo mật, hoàn thành trong 3 tháng.

4. Đào tạo chuyên gia phân tích mã độc nâng cao: Động từ "tổ chức" các khóa đào tạo chuyên sâu về kỹ thuật né tránh máy ảo và phân tích động mã độc cho đội ngũ an ninh mạng. Chủ thể là các trường đại học và trung tâm đào tạo, triển khai hàng năm.

5. Hợp tác quốc tế chia sẻ thông tin mã độc: Động từ "thiết lập" mạng lưới hợp tác chia sẻ thông tin và kỹ thuật phân tích mã độc giữa các tổ chức trong và ngoài nước nhằm nâng cao khả năng phòng chống. Chủ thể là các cơ quan quản lý an ninh mạng, thực hiện liên tục.

Đối tượng nên tham khảo luận văn

1. Chuyên gia an ninh mạng và nhà phân tích mã độc: Luận văn cung cấp phương pháp và công cụ nâng cao hiệu quả phân tích động, giúp phát hiện các kỹ thuật né tránh máy ảo tinh vi, từ đó cải thiện khả năng phát hiện và ứng phó mã độc.

2. Các tổ chức, doanh nghiệp quản lý hệ thống CNTT: Tham khảo để áp dụng hệ thống phân tích động mã độc tùy biến máy ảo, giảm thiểu rủi ro bị tấn công mạng, bảo vệ tài sản số và dữ liệu quan trọng.

3. Nhà nghiên cứu và sinh viên ngành Công nghệ Thông tin: Cung cấp kiến thức chuyên sâu về kỹ thuật phân tích động, né tránh máy ảo, đồng thời là tài liệu tham khảo cho các đề tài nghiên cứu tiếp theo trong lĩnh vực an ninh mạng.

4. Các nhà phát triển phần mềm bảo mật: Hỗ trợ phát triển các giải pháp phân tích mã độc tự động, nâng cao khả năng phát hiện các kỹ thuật chống phân tích, từ đó cải tiến sản phẩm bảo mật phù hợp với xu hướng mã độc hiện đại.

Câu hỏi thường gặp

1. Tại sao mã độc lại sử dụng kỹ thuật né tránh máy ảo?
   Mã độc sử dụng kỹ thuật né tránh máy ảo để phát hiện môi trường phân tích và thay đổi hành vi nhằm tránh bị phát hiện, giúp chúng hoạt động hiệu quả hơn trong môi trường thực tế. Ví dụ, khi phát hiện máy ảo, mã độc có thể không thực thi các hành vi độc hại.

2. Phân tích động khác gì so với phân tích tĩnh?
   Phân tích động thực thi mã độc trong môi trường biệt lập để quan sát hành vi thực tế, trong khi phân tích tĩnh chỉ xem xét mã nguồn hoặc mã nhị phân mà không chạy chương trình. Phân tích động giúp phát hiện các hành vi mã hóa hoặc ngụy trang mà phân tích tĩnh khó nhận biết.

3. Làm thế nào để máy ảo được tùy biến giống máy thật?
   Máy ảo được tùy biến qua 6 mô-đun như chỉnh sửa registry, tập tin hệ thống, thông tin phần cứng, bộ nhớ firmware, thời gian thực thi và kênh giao tiếp I/O nhằm giả lập các đặc điểm của máy thật, giúp đánh lừa các kỹ thuật phát hiện máy ảo của mã độc.

4. Bộ dữ liệu thử nghiệm gồm những loại mã độc nào?
   Bộ dữ liệu gồm 205 mẫu mã độc đa dạng, bao gồm các loại phổ biến như Agent Tesla (Spyware Trojan), Zloader (Trojan ngân hàng), Trickbot (Trojan đa chức năng), giúp đánh giá toàn diện hiệu quả của hệ thống tùy biến máy ảo.

5. Kết quả nghiên cứu có thể ứng dụng thực tế như thế nào?
   Kết quả giúp các tổ chức an ninh mạng triển khai hệ thống phân tích động hiệu quả hơn, phát hiện chính xác hành vi mã độc, từ đó nâng cao khả năng phòng chống tấn công mạng, bảo vệ hệ thống CNTT và dữ liệu quan trọng.

Kết luận

• Luận văn đã phân tích chi tiết các kỹ thuật né tránh máy ảo của mã độc và đề xuất hệ thống tùy biến máy ảo qua 6 mô-đun chính nhằm giả lập môi trường máy thật.
• Bộ dữ liệu thử nghiệm gồm 205 mẫu mã độc thực tế được sử dụng để đánh giá hiệu quả, cho thấy máy ảo đã chỉnh sửa vượt trội so với máy ảo bình thường trong việc né tránh phát hiện.
• Kết quả thử nghiệm với các mẫu mã độc phổ biến như Agent Tesla, Zloader, Trickbot chứng minh tính khả thi và hiệu quả của phương pháp đề xuất.
• Nghiên cứu góp phần nâng cao hiệu quả phân tích động mã độc, hỗ trợ các nhà phân tích bảo mật phát hiện và ngăn chặn các mối đe dọa mạng tinh vi.
• Các bước tiếp theo bao gồm mở rộng bộ dữ liệu thử nghiệm, cập nhật kỹ thuật tùy biến máy ảo theo xu hướng mã độc mới và phát triển công cụ báo cáo phân tích tự động.

Hành động ngay: Các tổ chức và chuyên gia an ninh mạng nên áp dụng phương pháp tùy biến máy ảo trong phân tích động để nâng cao khả năng phát hiện mã độc và bảo vệ hệ thống hiệu quả hơn.

Trích đoạn nội dung tài liệu

Chương 1. Giới Thiệu đánh cắp thông tin Jupyter và Uran. Jupyter có khả năng đánh cắp dữ liệu người ding, thông tin đăng nhập và giá trị được gửi từ biểu mẫu trong trình duyệt Firefox và Google Chrome của nạn nhân, Uran hoạt động như một keylogger dé ghi lại các thao tac gõ phím của người dùng. Microsoft Security Intelligence [8] cho biệt: "Những kẻ điều hành phần mềm độc hại như Solar Marker, Jupyter, và các phần mềm khác đang cố gắng lây lan phần mềm độc hai thông qua một kỹ thuật tắn công SEO Poisoning cũ kỹ.

Chúng sử dụng hàng nghìn tài liệu PDF được tối ưu hóa bằng các từ khóa đặt chúng trong một trang web. Khi người dùng truy cập trang web này sẽ là một chuỗi chuyển hướng dẫn đến các trang web chứa phần mềm độc hại". Arechclient2 nó còn được gọi là SectopRAT, là một NET RAT với nhiều chức năng bao gồm nhiều chức năng an. Arechclient2 có thé tìm va lap hé so hệ thống nạn nhân, lấy cắp thông tin trong dữ liệu trình duyệt và ví tiền điện tử, đồng thời khởi chạy một màn hình phụ an dé kiểm soát các phiên trình duyệt.

Ngoài ra, nó có một số khả năng chống máy ảo và chống giả lập. Mirai là một mã độc chuyên lây nhiễm trên các thiết bị có bộ xử lý ARC, đặc biệt là các thiết bị thông minh. Mã độc này sẽ biến các thiết bị thành một mạng lưới với nhau. Mạng lưới này còn được gọi là botnet hoặc zombie.

Mục đích hay được dùng dé tan công các mạng khác, còn được gọi là DDoS. Mã độc này hay dò quét internet nếu nó phát hiện ra thiết bị dùng bộ xử lý ARC thì sẽ lây nhiễm. Thường bộ xử lý này chạy Linux, nó là phiên bản rút gọn, nếu người dùng không đổi mật khẩu mặc định thì mã độc sẽ xâm nhập va lay nhiễm.4 Mục Tiêu Hầu hết các chương trình độc hại hiện đại, và ngay cả những chương trình độc hại khác gây ra các cuộc tan công tương đối đơn giản đang có gắng trốn tránh các máy ảo bằng cách sử dụng các phương pháp và kỹ thuật phát hiện máy ảo. Khi một chương trình độc hại phát hiện ra môi trường máy ảo, nó có thé điều chỉnh hành vi không hoạt động hoặc thực hiện các hoạt động không độc hại, do đó tạo ấn tượng sai về bản chất của nó.

Điều này sẽ dễ dẫn đến các hậu quả nghiêm trọng. Trong luận văn này chúng tôi tiến hành phân tích các kỹ thuật trồn tránh máy ảo của mã độc đề xuất cho phương thức phân tích động. Sau đó tạo ra máy ảo tự động đã được chỉnh sửa giống như máy thật. Giới Thiệu Ngoài ra thu thập và tạo bộ dữ liệu thử nghiệm dé kiểm tra máy ảo đã chỉnh sửa giống máy thật.5 Phát Biểu Bài Toán Phần mềm độc hại làm cơ sở cho nhiều hoạt động tội phạm, đặc biệt là các hoạt động tội phạm có động cơ tống tiền như mã độc.

Dé hiêu được hoạt động của phần mềm độc hại, các nhà phân tích tiến hành kiểm tra và ngăn chặn mã độc tránh gây thiệt hại. Có hai phương thức kiểm mã mã độc là phân tích động và phân tích tĩnh. Phân tích tĩnh sẽ mở trực tiếp tập tin và xem nội dung bên trong của mã độc, trong tập tin này sẽ chứa những hoạt động của mã độc làm gì, gây hại cho hệ thống. Phương thức nay yêu cầu người phân tích am hiểu sâu về lời gọi hàm, hợp ngữ và gặp khó khăn khi mã độc được mã hóa, ngụy trang làm khó phát hiện.

Vì vậy bài toán chọn phân tích động, mã độc sẽ được thực thi trên môi trường biệt lập. Điều này giúp cho quá trình phân tích diễn ra nhanh hơn, dé dàng hơn, giúp cho nhà phân tích tĩnh xác định kết quả chính sát hơn, phân tích mã độc được mã hóa. Để phân tích kiêm tra phần mềm độc hại hầu hết dựa vào việc sử dụng các máy ảo để đảm bảo chức năng và sự an toàn. Dễ đàng sao lưu và phục hồi hệ thống.

Máy ảo là máy tính chạy giả lập trên máy thật. Nó có chức năng như một hệ thống máy tính thật có CPU, bộ nhớ, cổng mạng, và é cứng, được tạo trên một hệ thống phần cứng vật lý. Nó có một phần mềm được gọi là trình ảo hóa sẽ lấy tài nguyên của phần cứng vat lý chia sẻ một cách thích hợp dé máy ảo sử dụng. Máy thật là một máy tính thông thường, nó sử dụng hệ điều hành riêng, chạy trên vi xử lý cao, hiệu suất cao.

Tuy nhiên có sự khác biệt giữa máy ảo và máy vật lý. Phần mềm độc hại kiểm tra những khác biệt này và thay đổi hành vi của nó khi phát hiện nó đang thực thi trong máy ảo, bằng cách trốn tránh không thực thi, thực thi sai bản chất để đánh lừa các nhà phân tích, hoặc trì hoãn quá trình thực thi. Các kỹ thuật chống máy ảo này của phần mềm độc hại cản trở việc phân tích. Các Nghiên Cứu Liên Quan Chương 2 CÁC NGHIÊN CỨU LIÊN QUAN Đề nghiên cứu phần mêm độc hại và hành vi của mã độc, phương pháp phổ biến là thực thi chương trình độc hai trong môi trường riêng biệt như máy ảo.

Tuy nhiên các tác giả của chương trình mã độc đã bắt đâu thiết kế lại cập nhật bản vá, và trang bị các kỹ thuật chống máy ảo, xem mã độc hiện có dang ở trong máy áo hay không và các kỹ thuật né tránh máy ảo bằng các loại phân tích mã độc khác nhau.1 Sơ lược các nghiên cứu phân tích liên quan Hầu hết các chương trình độc hại hiện đại, và ngay cả những chương trình độc hại khác gây ra các cuộc tấn công tương đối đơn giản đang cố gắng trén tránh các máy ảo bằng cách sử dụng các phương pháp và kỹ thuật phát hiện máy ảo. Khi một chương trình độc hại phát hiện ra môi trường máy ảo, phần mềm độc hại có thể điều chỉnh hành vi của mình và chỉ thực hiện các hoạt động không độc hại, do đó tạo ấn tượng sai về bản chất của nó và che giấu những gì nó thực sự làm khi tiếp cận hệ thống của người ding. Điều này sẽ dé dẫn đến các hậu quả nghiêm trọng không thể liên quan đến bảo mật. Dé tạo có thé thuận lợi cho việc quản lý và giao tiếp với máy chủ, thống máy ảo đã tạo ra các tập tin, và tiễn trình riêng hỗ trợ các nhà phân tích dé sử dụng hơn, tuy nhiên điều này cũng giúp cho các tác giả của chương trình độc hại có cơ hội né tránh.2 Phương pháp chống phân tích máy ảo của mã độc trong debug Lee và đồng sự [9] phân tích hầu hết chương trình độc hại đều có tính lây nhiễm, các kỹ thuật chống phân tích và đóng gói được được áp dung dé cản trở việc phân tích.

Khi phân tích phát hiện và chặn chương trình độc hại vậy cần phân tích trong một môi trường ảo đề ngăn ngừa lây nhiễm. Về mặt đóng gói, cần phải phân tích bằng cách dùng các thiết bị đo nhị phân động (DBI), một công cụ phân tích động, thuận lợi cho việc giải nén vì DBI chèn mã tại thời điểm chạy và phân tích động. Tuy nhiên, chương trình độc hại sẽ tự kết thúc khi phát hiện ra môi trường ảo hoặc DBI do các kỹ thuật chống phân tích. Do đó, cũng cần phải bỏ qua các kỹ thuật chống VM và chống DBI dé phân tích thành công phần mềm độc hai trong môi trường ảo sử dung 24 Chương 2.

Các Nghiên Cứu Liên Quan DBI. Rất khó dé các nhà phân tích bỏ qua các kỹ thuật chống VM và chống DBI được sử dụng trong các bộ bảo vệ thương mại bởi vì các nhà phân tích thường có ít thông tin về những phương pháp được sử dụng hoặc thậm chí làm thế nào để vượt qua các kỹ thuật này. Tác giả đề xuất các hướng dẫn dé hỗ trợ phân tích phần mềm độc hại được bảo vệ bởi các kỹ thuật chống VM và chống DBI. Tác giả đã phân tích các kỹ thuật được sử dụng bởi năm trong số các bộ bảo vệ thương mại phổ biến nhất và trình bày cách vượt qua các kỹ thuật chống VM và chống DBI được các bộ bảo vệ thương mại hỗ trợ thông qua phân tích thuật toán chỉ tiết.

Tác giả đã thực hiện thử nghiệm vượt qua sau khi áp dụng từng trình bảo vệ thương mại cho 1573 tệp thực thi có chứa các lỗ héng do viện tiêu chuẩn và công nghệ quốc gia (NIST) cung cấp. Tác giả đã phân tích rõ ràng và chỉ tiết và các thuật toán vượt qua các kỹ thuật chống VM và chống DBI cho các bộ bảo vệ thương mại, nó là nghiên cứu đầu tiên đề xuất các thuật toán bỏ qua chỉ tiết về khả năng này. Kết quả nghiên cứu của tác giả có thé dùng làm hướng dẫn dé dé dàng phân tích chương trình độc hại được bảo vệ bởi phần mềm chống VM hoặc chóng DBI được hỗ trợ bởi các bộ bảo vệ thương mai. Ngoài ra, các nghiên cứu khác đã tập trung vào việc giải nén các công cụ DBI và tác giả tin rằng thuật toán vượt qua của tác giả sẽ giúp cho các luận văn sau này thành công hơn trong nghiên cứu trong tương lai.

Tuy nhiên, bài báo của tác giả chỉ đề cập đến các giải pháp cho kỹ thuật hiện tại trong trình bảo vệ thương mại và chương trình độc hại sử dụng trình bảo vệ tùy chỉnh cùng với các phiên bản mới của trình bảo vệ thương mai sử dung kỹ thuật chống phân tích đang xuất hiện liên tục. Xem xét những phát triển này, các kỹ thuật chống phân tích phải được nghiên cứu thêm, điều này sẽ tạo tiền đề cho các nghiên cứu trong tương lai. Theodoros Apostolopoulos [10] và đồng sự phân tích chương trình độc hại động liên quan đến việc debug các tệp nhị phân và các thay đổi trong môi trường máy ảo. Điều này cho phép người điều tra thao tác trên đường dẫn và môi trường thực thi mã để biết về hoạt động sâu bên trong của chương trình độc hại, mục đích và phương thức hoạt động.

Tuy nhiên, phần mềm độc hại hiện đại nhất có thẻ kết hợp chống môi trường ảo (VM) và các biện pháp đối phó chống debug (tức là để xác định xem chương trình độc hại đang được thực thi trong máy ảo hay sử dụng trình debug trước khi thực thi tải trọng). Tác giả cho rằng để chương trình độc hại hoạt động hiệu quả, 25 Chương 2. Các Nghiên Cứu Liên Quan nó sẽ cần hỗ trợ một loạt các cơ chế chống phát hiện và trốn tránh.