Chương I trình bày khái niệm về mã độc và các thông tin liên quan như phân loại mã độc, các hành vi của mã độc, nguyên lí hoạt động của mã độc. Ngoài ra, chương cũng nêu ra các biện pháp đê phòng tránh các cuộc tân công mã độc. Mã độc là gì? Mã độc (malware — malicious software) là một chương trình, phần mềm được tạo ra với mục đích gây hại cho các thiết bị có thể lập trình như máy tính, điện thoại thông minh, thiết bị loT, mang và các thiết bị có thé lập trình khác. Thiệt hại ở đây có thé là chiếm quyền điều khiến thiết bị, khóa các tệp cần thiết, đánh cắp thông tin người dùng, làm giảm hiệu suất của thiết bị, v.
Ngày nay, mã độc ngày càng biến đổi một cách tinh vi và khó lường từ cách thức lây nhiễm, cách thức ân mình trong hệ thống cho tới cách thức thực hiện hành vi. Mã được chia thành rất nhiều loại khác nhau như là viruses, ransomware, spyware, V. Phần mềm độc hai đã thực sự là mối de dọa đối với các cá nhân và tổ chức ké từ đầu những năm 1970 khi virus Creeper lần đầu xuất hiện. Ké từ đó, thế giới đã bị tấn công từ hàng trăm nghìn biến thé phần mềm độc hại khác nhau.
Cần phải chú ý thêm rằng mã độc khác với chương trình lỗi. Mã độc là chương trình được tạo ra với chủ đích xau còn những chương trình lỗi — thường là do lỗi lập trình, mặc dù những lỗi này cũng có thé bị các kẻ xấu lợi dụng dé thực hiện các hành vi xấu như chiếm quyền điều khiển, đánh cắp thông tin v. Viruses Virus máy tính là loại mã độc lâu đời nhất và là 1 trong những loại mã độc phố biến nhất. Thông thường, người ta thường nhằm lẫn rằng tất cả các phần mềm gây hại Chu Trường Giang — DI7COA T02B 15 Đồ án tốt nghiệp GVHD: TS.
Đặng Minh Tuấn trên máy tính đều là virus. Chúng ta cần phải hiểu rõ ràng về virus, thông thường nó thường được ân trong các chương trình máy tinh. Gidng như virus cảm cúm, virus máy tính cũng có khả năng nhân rộng băng cách tự sửa đôi mã của các chương trình khác sau khi nó thâm nhập được vào hệ thống. Trong một thế giới công nghệ internet kết nối liên tục như ngày nay, virus có thé lây lan theo rất nhiều cách.
Virus máy tính có thé lây lan qua email, các loại tệp đính kèm, các tỆp tải xuống từ internet, các liên kết lừa đảo trên mạng xã hội hoặc qua các thiết bị lưu trữ như USB. Virus có thé ấn mình dưới vỏ bọc là các tệp đính kèm có nội dung vui nhộn, thiệp chúc mừng hoặc những hình ảnh và video nhạy cảm kích thích người xem. Worm Worm hay còn được gọi là sâu máy tính — chúng là một đoạn mã độc sống ký sinh trong các chương trình máy tính, nhằm phá hoại và lây lan. Nó có khả năng tự nhân bản trên chính bản thân nó mà không cần sao chép và nhúng vào một file nào khác.
Chúng có thé tự lây lan thông qua internet, do đó chúng thường gây thiệt hại nghiêm trọng cho một mạng lưới về tổng thé, trong khi virus thường chỉ nhắm vào các tập tin trên máy tính bị nhiễm. Worm lây lan chủ yếu là do các lỗ hồng bảo mật của hệ thống. Chu Trường Giang — D17CQAT02B 16 Đồ án tốt nghiệp GVHD: TS. Đặng Minh Tuấn Ảnh 1.
Minh họa Worm 1. Trojan horse Trojan horse trong thần thoại Hy Lap là một con ngựa gỗ to lớn ma quân Hy Lap sử dung dé đánh lừa quân đội thành Trojan, bên trong nó có day binh lính của quân Hy Lạp. Chính vì đặc điểm nay ma người ta đã dùng nó dé đặt cho một loại mã độc có co chế hoạt động tương tự. Mã độc Trojan horse hay còn gọi là Trojan, chúng có vỏ bọc là một phần mềm thông thường nhưng bên trong lại chứa những đoạn mã nguy hiểm.
Loại mã độc này được hacker sử dụng dé phá hủy, lam gián đoạn, ăn cắp dữ liệu hoặc mạng của bạn. Khác với Virus hay Worm, Trojan không có khả năng tự nhân bản. Loại mã độc này thường được phát tan qua các cuộc tấn công sử dụng kỹ thuật xã hội (lừa người dùng tải về một Trojan có vỏ bọc phân mêm an toàn). Chu Trường Giang — DI7COA T02B 17 Đồ án tốt nghiệp GVHD: TS.
Đặng Minh Tuấn 1. Adware Adware được hiểu là phần mềm quảng cáo, nhưng chúng hoạt động không được sự cho phép của người dùng. Chúng liên tục hién thị các quảng cáo gây phiên hà, và có thé thu thập thông tin cá nhân của người dùng dé phục vụ mục dich cá nhân hóa quảng cáo. Minh họa Adware 1.
Rootkits Rootkits cho phép tin tặc truy cập trái phép vào thiết bị của bạn mà không dé lại dấu vết. Rootkits rất khó phát hiện và có thé che giấu sự hiện diện của chúng trong các hệ thống một cách tinh vi. Tin tặc sử dung rootkits truy cập vào máy tính nạn nhân dé danh cap dữ liệu hoặc thực hiện những mục dich xấu. Chu Trường Giang — DI7COA T02B 18 Đồ án tốt nghiệp GVHD: TS.
Đặng Minh Tuấn ow ieee AA 11122. Minh họa RootKit 1. Dinh nghia Ransomware là một loại phần mềm độc hại, sau khi lây nhiễm vào máy tính, mã hóa hoặc chặn truy cập dữ liệu trên đĩa và sau đó thông báo cho nạn nhân về kha năng khôi phục các dữ liệu này nhằm mục dich tống tiền. Nếu thiết bị của bạn được kết nối với mạng thì Ransomware có thé phát tán sang các máy tính hoặc thiết bị lưu trữ khác trên mạng.
Các trường hợp tấn công đầu đầu tiên sử dụng mã hóa được ghi nhận vào năm 1989. Phần mềm ransomware AIDS/PC Cyborg nhắm mục tiêu chủ yếu vào các máy tính từ các công ty trong lĩnh vực y tế. Chúng được cấy vào 6 đĩa 5,25 inch mạo danh một cuộc khảo sát về nguy cơ nhiễm HIV/AIDS. Tin nhắn tiền chuộc được in trên máy 1n được kết nôi với máy tính nạn nhân.
Ransomware thường được lây lan qua thư rác hoặc email lừa đảo, và cũng có thé thông qua các trang web hoặc tải xuống theo ô đĩa (gọi chung là sử dụng các kỹ thuật xã hội để lừa đảo nạn nhân cài đặt về thiết bị), để lây nhiễm vào thiết bị điểm cuối và thâm nhập vào mạng Internet. Các cuộc tan công bằng Ransomware thường gây thiệt hại lớn và trên diện rộng vì khả năng lây lan kinh khủng của loại mã độc này. Trong báo cáo hoạt động về mã độc tống tiền do VirusTotal và Google phối hợp thực hiện mới đây với hơn 80 triệu mẫu nghỉ ngờ cho thấy, mã độc tống tiền tăng gần 200% so với thời điểm ban đầu tại Việt Nam. Báo cáo ghi nhận từ 140 quốc gia cũng cho biết, từ năm 2020 đến tháng 7/2021 Chu Trường Giang — D17CQAT02B 19 Đồ án tốt nghiệp GVHD: TS.
Đặng Minh Tuấn đã có hơn 130 ho mã độc tống tiền được kích hoạt, trong đó GandCrab là loại ransomware tung hoành mạnh nhất. ——) Growth in ransomware damage and costs worldwide 20 us$11.5 eatin usg5 BILLION Us$325 BILLION ne —_ i MILLION 2015 2017 2019 2021 Anh 1. Thiệt hại của ransomware 1. Phân loại Các loại mã độc phổ biến nhất là: o Locker ransomware: Locker ransomware là loại mã độc tong tién hoat động theo cơ chế khóa máy tính hoặc thiết bị của nạn nhân và tống tiền.
o Crypto ransomware: so với Locker ransomware thì Crypto ransomware phố biến va rộng rãi hơn. Nó mã hóa tat cả các file trong máy tính và tống tiền nạn nhân dé đổi lay khóa giải mã. Một số biến thé Crypto ransomware có khả năng lây nhiễm sang các 6 đĩa được chia sẻ, mạng và đám mây. o Double extortion ransomware: mã hóa file và xuất dữ liệu đó nhằm mục đích tống tiền nạn nhân.
Với mã độc tống tiền này, kẻ tắn công sẽ hăm dọa đăng những thông tin dữ liệu bị đánh cắp. Nó có nghĩa là, cho ding nạn nhân có thé lay lại dữ liệu thông qua backup, thì kẻ tắn công vẫn có khả năng tống tiền nạn nhân. Tuy nhiên, việc trả tiền chuộc cũng không đảm bảo việc dữ liệu được bảo vệ, vì những kẻ tan công có quyên truy cập vào dit liệu bị đánh cắp. o_RaaS: liên quan đến việc kẻ tan công thuê quyền truy cập vào một chủng ransomware từ tác giả của ransomware, người cung cấp nó như một dịch vụ cho thuê.
Tác giả của RaaS giao ransomware của họ trên các trang darkweb và cho phép tội phạm mua nó dưới hình thức đăng kí. Chu Trường Giang - D17CQAT02B 20 Đồ án tốt nghiệp GVHD: TS. Đặng Minh Tuấn 1. Lịch sử của mã độc Bây giờ bạn đã biệt vê định nghĩa và phân loại mã độc tông tiên, tiép theo can tìm hiệu về một sô ví dụ mã độc tông tiên nôi tiêng đê xác định môi nguy hiém và rút kinh nghiệm sau những cuộc tân công mã độc tông tiên đó.
Ransomware timeline Acstoen ~— '›› | 2: mm. MAY SEPTEMBER Archievus WinLock AUGUST ‘SEPTEMBER Reveton CryptoLocker FEBRUARY CryptoWall ® pF APRIL TeslaCrypt oe SEPTEMBER MAY — ——. LockerPin CTB-Locker Chimera JUNE SimpleLocker NOVEMBER Linux. JANUARY Spora FEBRUARY | | MAY Locky Jaff JANUARY APRIL Wanna MARCH GandCrab REvil z etya JUNE SamSam yuk Met Goldeneye pat RobbinHood NotPetya 9 DECEMBER B oe Rabbi t igsaw JUNE Tycoon ad Rapbl Zcryptor SEPTEMBER Mamba AUGUST | SEPTEMBER DarkSide Egregor AND BACKGEOUMO:EA0TA /GETTY IMAGES «ana Trcrrasarr.ALL more sesexveo TechTarget Anh 1.
Lịch sử của ransomware o Tháng 12/2004: GPCode Sau 15 năm tạm lắng xuống, GPCode đã đánh dấu bắt đầu kỷ nguyên của ransomware đối với Internet. Loại mã độc tống tiền này lây lan qua email, mã hóa các tập tin của nạn nhân và đổi tên thành Vnimanie (nghĩa là gây chú ý Chu Trường Giang — DI7COA T02B 21 Đồ án tốt nghiệp GVHD: TS. Đặng Minh Tuấn trong tiếng Nga). Không giống như nhiều cuộc tan công ransomware hiện nay, các tác giả của GPCode tập trung vào các tô chức hơn là các cá nhân, gửi một lượng lớn email độc hại và yêu cầu 20$ - 70$ tiền chuộc.
o Tháng 5/2006: Archievus Là ransomware đầu tiên sử dụng mã hóa Rivest-Shamir-Adleman (RSA) 1024 bit. Mục tiêu của nó nhắm vào các hệ thống Windows và phát tán qua các URL độc hại và email rác. Nó nhắm vào thư mục có tên “My Documents”. Một khi thư mục bị mã hóa, nạn nhân sẽ được chuyển hướng tới 1 cửa hàng trực tuyến.
Chỉ sau khi nạn nhân mua hàng, họ mới có được mật khẩu dé mở khóa tỆp. o Tháng 9/2011: WinLock WinLock — “kẻ định nghĩa ra họ Lock ransomware”. Là mà độc tống tiền Lock ransomware đầu tiên xuất hiện trên các trang báo. Nạn nhân bị nhiễm mã độc tống tiền nay qua một trang web độc hại.