Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Kỹ Thuật Học Máy

Tài liệu nghiên cứu Luận văn nghiên cứu phương pháp phát hiện mã độc dựa trên các kỹ thuật học máy, tổng hợp lý thuyết và thực hành, cung cấp kiến thức chuyên sâu về kỹ thuật.

• Tác giả: Nguyễn Thị Ngọc Anh
• Người hướng dẫn: TS. Hoàng Xuân Dậu
• Trường học: Học viện công nghệ bưu chính viễn thông
• Chuyên ngành: Hệ thống thông tin
• Đề tài: Nghiên Cứu Phương Pháp Phát Hiện Mã Độc Dựa Trên Kỹ Thuật Học Máy
• Loại tài liệu: Luận văn thạc sĩ kỹ thuật
• Năm xuất bản: 2019
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ PHÁT HIỆN MÃ ĐỘC
• 1.1. Tổng quan về mã độc
• 1.1.1. Khái niệm mã độc
• 1.2. Các phương pháp phát hiện mã độc
• 1.2.1. Phương pháp phát hiện dựa trên chữ ký
• 1.2.2. Phương pháp phát hiện dựa trên hành vi
• 1.3. Sự cần thiết của học máy trong phát hiện mã độc
• 1.4. Các nghiên cứu liên quan
• 1.5. Kết luận chương
• 2. CHƯƠNG 2: PHÁT HIỆN MÃ ĐỘC DỰA TRÊN HỌC MÁY
• 2.1. Khái quát về các kỹ thuật học máy
• 2.1.1. Tổng quan về học máy
• 2.1.2. Một số kỹ thuật học máy
• 2.2. Mô hình phát hiện mã độc dựa trên học máy
• 2.3. Kết luận chương
• 3. CHƯƠNG 3: CÀI ĐẶT VÀ THỬ NGHIỆM
• 3.1. Thu thập và tiền xử lý dữ liệu
• 3.1.1. Dữ liệu mẫu
• 3.1.2. Trích xuất đặc trưng
• 3.1.3. Lựa chọn đặc trưng
• 3.2. Huấn luyện và kiểm thử mô hình phát hiện mã độc
• 3.2.1. Support Vector Machines
• 3.3. Kết quả và đánh giá
• 3.4. Kết luận chương
• KẾT LUẬN VÀ KIẾN NGHỊ
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Mã Độc Khái Niệm Phân Loại Lịch Sử

Mã độc là phần mềm được thiết kế để gây hại cho hệ thống máy tính, mạng hoặc người dùng. Mục đích của chúng rất đa dạng, từ đánh cắp thông tin, tống tiền đến phá hoại hệ thống. Mã độc ngày càng trở nên tinh vi, đa dạng và khó phát hiện hơn. Sự phát triển của Internet đã tạo điều kiện cho mã độc lây lan nhanh chóng và gây ra những hậu quả nghiêm trọng. Theo thống kê của Symantec, số lượng mã độc đào tiền ảo tăng đột biến 8,500% trong năm 2017. Các thiết bị IoT cũng trở thành mục tiêu tấn công để khai thác tiền ảo. Lịch sử phát triển của mã độc có thể chia thành ba giai đoạn chính: sơ khai (1971-1999), gia tăng lây nhiễm (2000-2010) và tinh vi, hướng đến lợi nhuận (2010-nay).

1.1. Khái Niệm và Mục Tiêu Của Mã Độc Trong An Ninh Mạng

Mã độc (malware) là thuật ngữ chung chỉ các phần mềm được thiết kế với mục đích gây hại cho hệ thống. Mục tiêu của mã độc rất đa dạng, bao gồm đánh cắp thông tin cá nhân, phá hoại dữ liệu, tống tiền (ransomware), hoặc thậm chí sử dụng máy tính bị nhiễm để thực hiện các cuộc tấn công mạng khác. Mã độc có thể lây lan qua nhiều con đường khác nhau, như email, website độc hại, hoặc các thiết bị lưu trữ di động bị nhiễm. "Mã độc là các phần mềm được thiết kế một cách có chủ đích, dùng để gây thiệt hại tới máy tính cá nhân, máy chủ hoặc hệ thống mạng máy tính."

1.2. Phân Loại Mã Độc Phổ Biến Virus Worm Trojan Ransomware

Có nhiều loại mã độc khác nhau, mỗi loại có đặc điểm và phương thức hoạt động riêng. Virus lây nhiễm vào các tệp tin và tự nhân bản. Worm tự lây lan qua mạng mà không cần tệp tin vật chủ. Trojan giả dạng phần mềm hữu ích để lừa người dùng cài đặt. Ransomware mã hóa dữ liệu và đòi tiền chuộc. Adware hiển thị quảng cáo không mong muốn. Spyware theo dõi hoạt động của người dùng. Rootkit ẩn mình sâu trong hệ thống để duy trì quyền truy cập trái phép. Backdoor tạo "cửa hậu" cho phép kẻ tấn công xâm nhập. Keylogger ghi lại thao tác bàn phím. "Đặc điểm chính của virus máy tính là có khả năng tự nhân bản."

II. Thách Thức Phát Hiện Mã Độc Truyền Thống Giải Pháp Học Máy

Các phương pháp phát hiện mã độc truyền thống dựa trên chữ ký (signature-based detection) gặp nhiều hạn chế trước sự phát triển nhanh chóng của mã độc biến thể và mã độc zero-day. Việc tạo chữ ký cho mã độc đòi hỏi thời gian và công sức, trong khi nhiều mã độc chỉ tồn tại trong thời gian ngắn. Các phương pháp phát hiện dựa trên hành vi (behavior-based detection) có thể phát hiện mã độc mới, nhưng đòi hỏi môi trường giám sát và phân tích phức tạp. Học máy (machine learning) nổi lên như một giải pháp tiềm năng để tự động hóa quá trình xây dựng hồ sơ phát hiện và cải thiện khả năng phát hiện các dạng mã độc mới.

2.1. Hạn Chế Của Phương Pháp Phát Hiện Mã Độc Dựa Trên Chữ Ký

Phương pháp phát hiện dựa trên chữ ký (signature-based detection) hoạt động bằng cách so sánh các mẫu mã độc với một cơ sở dữ liệu các chữ ký đã biết. Nếu một mẫu mã độc khớp với một chữ ký trong cơ sở dữ liệu, nó sẽ bị phát hiện. Tuy nhiên, phương pháp này có một số hạn chế. Nó chỉ có thể phát hiện các mẫu mã độc đã biết, và không thể phát hiện các mẫu mã độc mới hoặc các biến thể của các mẫu mã độc đã biết. "Phương pháp phát hiện này chỉ phù hợp với các dạng mã độc phổ biến, có chữ ký cố định được lưu trong cơ sở dữ liệu."

2.2. Ưu Điểm Của Phát Hiện Mã Độc Dựa Trên Hành Vi và Học Máy

Phát hiện mã độc dựa trên hành vi (behavior-based detection) phân tích hành vi của một chương trình để xác định xem nó có độc hại hay không. Phương pháp này có thể phát hiện các mẫu mã độc mới hoặc các biến thể của các mẫu mã độc đã biết, nhưng nó có thể tốn thời gian và tài nguyên. Học máy (machine learning) có thể được sử dụng để tự động hóa quá trình phân tích hành vi và cải thiện độ chính xác của việc phát hiện mã độc. "Ưu điểm của việc ứng dụng học máy trong phát hiện mã độc là có thể tự động hóa quá trình xây dựng hồ sơ phát hiện và cải thiện khả năng phát hiện các dạng mã độc mới."

III. Phương Pháp Học Máy Phổ Biến Trong Phát Hiện Mã Độc

Nhiều thuật toán học máy (machine learning algorithms) có thể được sử dụng để phát hiện mã độc, bao gồm SVM (Support Vector Machine), Random Forest, Decision Tree, k-NN (k-Nearest Neighbors) và Naive Bayes. Mỗi thuật toán có ưu điểm và nhược điểm riêng, và hiệu quả của chúng phụ thuộc vào đặc điểm của dữ liệu huấn luyện. Việc lựa chọn thuật toán học máy phù hợp là rất quan trọng để đạt được hiệu quả phát hiện cao.

3.1. Ứng Dụng SVM Support Vector Machine Trong Phân Loại Mã Độc

SVM (Support Vector Machine) là một thuật toán học máy có giám sát được sử dụng để phân loại dữ liệu. Trong bối cảnh phát hiện mã độc, SVM có thể được sử dụng để phân loại các tệp tin là độc hại hoặc không độc hại dựa trên các đặc trưng của chúng. SVM hoạt động bằng cách tìm một siêu phẳng (hyperplane) tối ưu để phân tách các điểm dữ liệu thuộc các lớp khác nhau. "SVM là một thuật toán học máy có giám sát được sử dụng để phân loại dữ liệu."

3.2. Sử Dụng Random Forest và Decision Tree Để Phát Hiện Mã Độc

Random Forest và Decision Tree là các thuật toán học máy dựa trên cây quyết định. Chúng có thể được sử dụng để phân loại các tệp tin là độc hại hoặc không độc hại dựa trên các đặc trưng của chúng. Decision Tree xây dựng một cây quyết định để phân loại dữ liệu, trong khi Random Forest xây dựng nhiều cây quyết định và kết hợp kết quả của chúng để đưa ra dự đoán cuối cùng. "Decision Tree xây dựng một cây quyết định để phân loại dữ liệu, trong khi Random Forest xây dựng nhiều cây quyết định và kết hợp kết quả của chúng để đưa ra dự đoán cuối cùng."

3.3. K NN K Nearest Neighbors và Naive Bayes Trong Phát Hiện Mã Độc

k-NN (k-Nearest Neighbors) là một thuật toán học máy không tham số, phân loại một mẫu dữ liệu dựa trên k mẫu dữ liệu gần nhất trong không gian đặc trưng. Naive Bayes là một thuật toán phân loại dựa trên định lý Bayes với giả định về tính độc lập giữa các đặc trưng. Cả hai thuật toán đều có thể được sử dụng để phát hiện mã độc, nhưng hiệu quả của chúng phụ thuộc vào đặc điểm của dữ liệu. "k-NN là một thuật toán học máy không tham số, phân loại một mẫu dữ liệu dựa trên k mẫu dữ liệu gần nhất trong không gian đặc trưng."

IV. Quy Trình Xây Dựng Mô Hình Phát Hiện Mã Độc Bằng Học Máy

Quy trình xây dựng mô hình phát hiện mã độc bằng học máy bao gồm các bước chính: thu thập và tiền xử lý dữ liệu huấn luyện, trích xuất đặc trưng (feature extraction), lựa chọn đặc trưng (feature selection), huấn luyện mô hình và đánh giá hiệu năng. Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau. Trích xuất đặc trưng là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy. Lựa chọn đặc trưng giúp giảm số lượng đặc trưng và cải thiện hiệu năng của mô hình.

4.1. Thu Thập và Tiền Xử Lý Dữ Liệu Huấn Luyện Mã Độc

Việc thu thập và tiền xử lý dữ liệu huấn luyện là một bước quan trọng trong quy trình xây dựng mô hình phát hiện mã độc. Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau. Quá trình tiền xử lý bao gồm làm sạch dữ liệu, loại bỏ các giá trị thiếu hoặc không hợp lệ, và chuẩn hóa dữ liệu để đảm bảo rằng các đặc trưng có cùng tỷ lệ. "Dữ liệu huấn luyện cần phải đa dạng và đại diện cho các loại mã độc khác nhau."

4.2. Trích Xuất và Lựa Chọn Đặc Trưng Feature Selection Hiệu Quả

Trích xuất đặc trưng (feature extraction) là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy. Các đặc trưng có thể bao gồm các thuộc tính của tệp tin, các opcode, hoặc các system call. Lựa chọn đặc trưng (feature selection) giúp giảm số lượng đặc trưng và cải thiện hiệu năng của mô hình bằng cách loại bỏ các đặc trưng không liên quan hoặc dư thừa. "Trích xuất đặc trưng là quá trình chuyển đổi dữ liệu thô thành các đặc trưng số có thể sử dụng được bởi các thuật toán học máy."

V. Ứng Dụng Thực Tế Đánh Giá Hiệu Quả Mô Hình Phát Hiện Mã Độc

Mô hình phát hiện mã độc dựa trên học máy có thể được triển khai trong nhiều ứng dụng khác nhau, như phần mềm diệt virus, hệ thống phát hiện xâm nhập (IDS), và hệ thống phân tích malware. Hiệu quả của mô hình được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative. Việc đánh giá cần được thực hiện trên một tập dữ liệu kiểm thử độc lập để đảm bảo tính khách quan.

5.1. Triển Khai Mô Hình Học Máy Trong Phần Mềm Diệt Virus

Mô hình phát hiện mã độc dựa trên học máy có thể được tích hợp vào phần mềm diệt virus để cải thiện khả năng phát hiện các mẫu mã độc mới và biến thể. Mô hình có thể được sử dụng để phân tích các tệp tin và xác định xem chúng có độc hại hay không. Khi một tệp tin được xác định là độc hại, phần mềm diệt virus sẽ thực hiện các hành động thích hợp, chẳng hạn như cách ly hoặc xóa tệp tin. "Mô hình phát hiện mã độc dựa trên học máy có thể được tích hợp vào phần mềm diệt virus để cải thiện khả năng phát hiện các mẫu mã độc mới và biến thể."

5.2. Đánh Giá Độ Chính Xác và Tỷ Lệ Phát Hiện Mã Độc Detection Rate

Hiệu quả của mô hình phát hiện mã độc được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative. Độ chính xác đo lường tỷ lệ các dự đoán đúng trên tổng số dự đoán. Tỷ lệ phát hiện đo lường tỷ lệ các mẫu mã độc được phát hiện chính xác. False positive là số lượng các tệp tin không độc hại bị xác định nhầm là độc hại. False negative là số lượng các mẫu mã độc không được phát hiện. "Hiệu quả của mô hình được đánh giá dựa trên các chỉ số như độ chính xác (accuracy), tỷ lệ phát hiện (detection rate), false positive và false negative."

VI. Kết Luận Hướng Nghiên Cứu Tương Lai Về Phát Hiện Mã Độc

Nghiên cứu và ứng dụng học máy trong phát hiện mã độc là một lĩnh vực đầy tiềm năng. Các hướng nghiên cứu tương lai có thể tập trung vào việc phát triển các thuật toán học máy mới, cải thiện hiệu quả trích xuất đặc trưng, và xử lý dữ liệu lớn (big data) về mã độc. Ngoài ra, việc nghiên cứu các phương pháp chống lại các kỹ thuật tấn công đối nghịch (adversarial attacks) cũng là một hướng đi quan trọng.

6.1. Tóm Tắt Kết Quả Nghiên Cứu và Đóng Góp

Nghiên cứu này đã trình bày tổng quan về các phương pháp phát hiện mã độc dựa trên học máy, bao gồm các thuật toán học máy phổ biến, quy trình xây dựng mô hình, và các chỉ số đánh giá hiệu quả. Nghiên cứu cũng đã thảo luận về các ứng dụng thực tế của mô hình phát hiện mã độc trong phần mềm diệt virus và các hệ thống an ninh mạng. Kết quả nghiên cứu cho thấy học máy là một công cụ hiệu quả để phát hiện mã độc, nhưng cần phải lựa chọn thuật toán và đặc trưng phù hợp để đạt được hiệu quả cao nhất.

6.2. Hướng Nghiên Cứu Phát Triển Các Thuật Toán Học Sâu Deep Learning

Trong tương lai, việc nghiên cứu và phát triển các thuật toán học sâu (deep learning) cho phát hiện mã độc là một hướng đi đầy hứa hẹn. Học sâu có khả năng tự động học các đặc trưng phức tạp từ dữ liệu thô, giúp cải thiện hiệu quả phát hiện mã độc. Tuy nhiên, học sâu cũng đòi hỏi lượng dữ liệu huấn luyện lớn và tài nguyên tính toán đáng kể. "Trong tương lai, việc nghiên cứu và phát triển các thuật toán học sâu (deep learning) cho phát hiện mã độc là một hướng đi đầy hứa hẹn."

Trích đoạn nội dung tài liệu

chương 1 đề cập đến khái niệm mã độc và tác hại của nó, lịch sử hình thành và phát triển của mã độc, các dạng mã độc phổ biến hiện nay. Ngoài ra cũng nêu lên các phương pháp phân tích và phát hiện mã độc, sự cần thiết của học máy trong việc phát hiện mã độc và giới thiệu một số nghiên cứu liên quan.1 Tổng quan về mã độc 1.1 Khái niệm mã độc Mã độc là các phần mềm được thiết kế một cách có chủ đích, dùng để gây thiệt hại tới máy tính cá nhân, máy chủ hoặc hệ thống mạng máy tính. Mục đích của mã độc là thực thi các hành vi bất hợp pháp như: truy cập trái phép, đánh cắp thông tin người dùng, lây lan thư rác, thậm chí thực hiện các hành vi tống tiền, tấn công và gây tổn thương cho các hệ thống máy tính… nhằm chuộc lợi cá nhân, hoặc các lợi ích về kinh tế, chính trị hay đơn giản chúng có khi được tạo ra chỉ là một trò đùa ác ý nào đó. Kể từ khi Internet bắt đầu phát triển, các phần mềm độc hại cũng nhắm đến lợi ích nhiều hơn.

Từ năm 2003, mục đích chính của việc phát tán virus và worm là chiếm quyền điều khiển máy tính người dùng một cách bất hợp pháp. Các máy bị lây nhiễm có thể được dùng để gửi email rác, lưu trữ các nội dung không lành mạnh, hoặc tham gia vào tấn công từ chối dịch vụ phân tán. Năm 2017 là năm bùng nổ của các loại mã độc tống tiền (ransomware) và các loại mã độc đào tiền ảo. Theo thống kê từ Symatec [26], số lượng mã độc đào tiền ảo được phát hiện trong năm 2017 tăng 8,500% so với các năm trước.

Liên quan tới đào tiền ảo, các thiết bị IoT cũng là một mục tiêu được nhắm đến. Cũng theo Symatec, số lượng các cuộc tấn công nhằm vào thiết bị IoT tăng 600%, tức là tội phạm mạng có thể lợi dụng mối liên kết giữa các thiết bị này để đào tiền ảo trên diện rộng. 4 Mối đe dọa của mã độc đối với các thiết bị di động cũng đang ngày càng gia tăng.1 thể hiện số lượng mã độc trên thiết bị di động được phát hiện trong năm 2017 tăng 54% so với năm 2016 [26].1 Thống kê số lượng mã độc trên điện thoại di động 2016-2017 Vậy mã độc xuất hiện từ khi nào? Theo [30], ý tưởng về virus máy tính đã xuất hiện từ năm 1949, khi nhà khoa học máy tính John von Neumann nêu lên trong bài báo của ông về một chương trình máy tính có thể tự nhân bản nó. Đến những năm 1950, ý tưởng của Von Neumann đã được các thành viên tại Bell Labs biến thành hiện thực với một trò chơi tên là “Core Wars”.

Trong trò chơi, người lập trình sẽ thả các “sinh vật” để cạnh tranh quyền điều khiển máy tính. Tài liệu đầu tiên về virus máy tính xuất hiện vào đầu những năm 1970, trình bày về “Creeper Worm”, một chương trình có khả năng tự nhân bản được viết bởi Bob Thomas [9]. Creeper lấy quyền truy cập thông qua ARPANET, tự nhân bản nó tới các hệ thống từ xa và hiển thị đoạn tin nhắn: “I’m the creeper, catch me if you can!”. Quá trình phát triển của mã độc có thể được chia làm 3 giai đoạn chính [23]: - Những năm đầu (1971 – 1999): thời kỳ này mã độc vẫn còn sơ khai, chủ yếu lây lan qua đĩa mềm truyền từ máy tính này sang máy tính khác một cách thủ công.

Khi mạng và internet phát triển, người viết mã độc cũng nhanh chóng 5 thích nghi và tận dụng phương tiện truyền thông mới này. Một số mã độc nổi tiếng trong thời kỳ này: Creeper (1971), Wabbit (1974), Brain Boot Sector Virus (1986), Morris Worm (1988), Melissa Virus (1999),… - Tỉ lệ lây nhiễm bắt đầu gia tăng (2000 – 2010): trong khoảng thời gian này, mã độc đã gia tăng đáng kể, về cả số lượng và tốc độ lây lan. Toolkits bắt đầu xuất hiện, các bộ công cụ nhắm vào các websites cũng trở nên phổ biến, khiến cho số lượng websites bị tấn công ngày càng nhiều. Một số mã độc đáng chú ý: ILOVEYOU Worm (2000), SQL Slammer Worm (2003), Conficker Worm (2008),… - Được chính phủ tài trợ, tinh vi hơn và hướng đến lợi nhuận (2010 – nay): kể từ năm 2010 đến nay, mã độc đã và đang tiến hóa ngày một tinh vi hơn.

Các nhóm tội phạm có tổ chức và được tài trợ bởi chính phủ vẫn đang tiếp tục phát triển các loại mã độc tiên tiến, có khả năng vượt qua các hệ thống diệt virus thông thường. Mã độc được sử dụng để tấn công các doanh nghiệp, hệ thống quân sự, và việc kiếm tiền từ các phần mềm độc hại này cũng đang gia tăng nhanh chóng, thông qua ransomware và các phần mềm bất hợp khác. Một số mã độc có tác hại đáng kể trong giai đoạn này: Stuxnet Worm (2010), Zues Trojan (2011), Cryptolocker (2013), WannaCry Ransomware (2017),… Từ những khởi đầu đơn giản và vô hại, mã độc đã trở thành mối đe dọa vô cùng lớn cho người dùng trên toàn thế giới. Mặc dù ngành công nghiệp an ninh mạng đang nỗ lực hết sức mình để kiểm soát mã độc – và đã thành công phần nào, tội phạm mạng vẫn không có dấu hiệu ngừng lại mà ngày càng nguy hiểm và đa dạng hơn.2 Các dạng mã độc Để hiểu rõ hơn về phương thức và logic hoạt động của mã độc, người ta phân loại mã độc thành các lớp, dựa theo mục đích của chúng.

a) Virus máy tính Đặc điểm chính của virus máy tính là có khả năng tự nhân bản. Nó thường tấn công và lây nhiễm vào các tệp tin trên hệ thống nạn nhân. Sau khi lây nhiễm vào tệp tin, virus sẽ tự động tải và chạy mà không cần quyền từ người dùng. Khi được thực 6 thi nó sẽ cố gắng sao chép chính nó vào bên trong một mã thực thi khác.

Các mã lây nhiễm khi chạy có thể tiếp tục lây nhiễm sang các mã mới. Sự tự sao chép này là một đặc tính quan trọng của virus. Khi virus được lây nhiễm nó có thể thực hiện một loạt các hành vi như thay đổi, xóa, hay sao chép các tệp tin cũng như phát tán chúng trên các hệ thống máy tính. Ngoài khả năng đánh cắp và làm hỏng dữ liệu, virus còn tiêu tốn tài nguyên hệ thống – khiến cho hệ thống máy chủ trở nên chậm chạp hoặc thậm chí bị vô hiệu hóa.

Một đặc điểm thường gặp ở virus là chúng được che giấu khá kĩ, khiến cho chúng khó có thể bị phát hiện. b) Worm Cũng như virus, worm có khả năng tự nhân bản chính nó. Tuy nhiên, worm không cần phải lây nhiễm vào một tệp tin cụ thể. Worm có thể phát tán thông qua hệ thống mạng, dựa vào lỗi bảo mật để truy cập vào máy tính của nạn nhân, sau đó đánh cắp hoặc xóa dữ liệu.

Nhiều worm được thiết kế chỉ để tự phát tán chính nó mà không gây tổn hại đến hệ thống mà nó đi qua. c) Trojan Mã độc Trojan Horse là một cái tên được xuất phát từ một điển tích “Con ngựa thành Troy” trong thần thoại Hy Lạp. Tội phạm mạng sẽ cải trang trojan thành các phần mềm hữu ích và thuyết phục người dùng cài đặt nó. Do vậy, cách phát tán chính của trojan là sử dụng social engineering.

Payload của trojan thường có dạng cửa hậu, cho phép kẻ tấn công truy cập bất hợp pháp vào máy tính của nạn nhân. Kẻ tấn công có thể thu thập thông tin cá nhân của người dùng như địa chỉ IP, mật khẩu và thông tin thanh toán ngân hàng. Chúng thường cài đặt keylogger cùng với trojan để lấy thông tin tài khoản và mật khẩu, hoặc dữ liệu thẻ tín dụng. Hầu hết các cuộc tấn công ransomware đều sử dụng trojan, bằng cách nhúng đoạn mã độc hại vào trong một chương trình vô hại.

d) Adware 7 Adware là chương trình được thiết kế để hiển thị quảng cáo trên máy tính của người dùng, sau đó chuyển hướng yêu cầu tìm kiếm của người dùng tới các website quảng cáo và thu thập dữ liệu tiếp thị của người dùng. Ví dụ, adware sẽ thu thập thông tin về các website mà người dùng truy cập, sau đó hiển thị quảng cáo phù hợp với nhu cầu của người dùng. Adware thường được coi như là một nhánh con của spyware và không gây nhiều thiệt hại nghiêm trọng. e) Spyware Spyware là phần mềm dùng để theo dõi người dùng.

Spyware được thiết kế để giám sát và chặn bắt lịch sử duyệt web cũng như các hoạt động khác của người dùng, sau đó bán các thông tin này cho các nhà quảng cáo hoặc bên thứ ba. Spyware có nhiều chức năng hơn so với adware, ví dụ, thu thập các dữ liệu nhạy cảm như tài khoản ngân hàng, mật khẩu, hoặc thông tin thẻ tín dụng. f) Rootkit Rootkit là một bộ các công cụ phần mềm độc hại cho phép một người dùng trái phép có quyền truy cập vào máy tính. Khi rootkit được cài đặt, kẻ tấn công có thể điều khiển từ xa để thực thi các tệp tin và thay đổi cấu hình hệ thống trên máy nạn nhân.

Rootkit không có khả năng tự nhân bản. Chúng phải được cài đặt và thực thi ở lớp thấp của hệ điều hành, ở kernel, hoặc trong hệ thống vào ra của thiết bị (BIOS) với quyền truy cập đặc quyền, do đó, chúng rất khó để phát hiện và gỡ bỏ. Khi phát hiện rootkit, các chuyên gia khuyến cáo nên xóa sạch ổ cứng và cài lại hệ điều hành từ đầu. g) Backdoor Backdoor là một dạng malware cung cấp cho kẻ tấn công một “cổng vào” bí mật tới hệ thống.

Backdoor không bao giờ được sử dụng một cách riêng lẻ. Nó thường hỗ trợ cho các dạng tấn công khác. Đôi khi các lập trình viên cũng tạo ra một backdoor trong chương trình của mình nhằm bỏ qua bước xác thực khi debug trên máy chủ. h) Keylogger 8 Keylogger sẽ ghi lại tất cả những phím được bấm trên một máy tính mà người dùng không hề biết.

Keylogger được công nhận là một công cụ giám sát chuyên nghiệp hợp pháp. Tuy nhiên, keylogger thường được sử dụng với mục đích xấu, như thu thập thông tin nhạy cảm, bao gồm tài khoản, mật khẩu, câu trả lời của các câu hỏi bảo mật và thông tin tài chính. i) Ransomware Ransomware là một dạng mã độc sẽ khóa tất cả dữ liệu trên máy tính nạn nhân, thường là bằng cách mã hóa. Nạn nhân sẽ phải trả tiền để kẻ tấn công giải mã dữ liệu và trả lại quyền truy cập.

Động cơ chính của tấn công ransomware là tiền.