Phân Tích Malware: Hướng Dẫn Sử Dụng Công Cụ và Kỹ Thuật

Phân tích malware đóng vai trò then chốt trong an ninh mạng hiện đại. 64 trang · Hutech University · 2023.

• Trường học: Hutech University
• Chuyên ngành: Malware Analysis
• Đề tài: Phân Tích Malware: Hướng Dẫn Sử Dụng Công Cụ và Kỹ Thuật
• Loại tài liệu: essay
• Năm xuất bản: 2023
• Địa điểm: Ho Chi Minh City

Mục lục chi tiết

• 1. BÀI 1: KỸ THUẬT PHÂN TÍCH CƠ BẢN
• 1.1. PHÂN TÍCH CẤU TRÚC TẬP TIN HÌNH ẢNH EXE VÀ DLL
• 1.2. CÔNG CỤ PEVÍCW
• 1.3. CÔNG CỤ PEÍD
• 1.4. CÔNG CỤ BINTOXE
• 1.5. PHÂN TÍCH TẬP TIN MÃ ĐỘC ĐÓNG GÓI UPX
• 2. BÀI 2: KỸ THUẬT PHÂN TÍCH TĨNH NÂNG CAO
• 2.1. TẢI VÀ CÀI ĐẶT CÔNG CỤ IDA PTO
• 2.2. PHÂN TÍCH TẬP TIN LABO5~01
• 2.3. TÌM ĐỊA CHỈ DLLMAÍH
• 2.4. TÌM CHUỖI IMPORT GETHOSTBYNAME
• 2.5. LƯU KẾT QUẢ TRONG ĐỘ
• 3. BÀI 3: KỸ THUẬT PHÂN TÍCH ĐỘNG NÂNG CAO
• 3.1. KỸ THUẬT PHÂN TÍCH ĐỘNG CƠ BẢN
• 3.2. PHÂN TÍCH MÃ ĐỘC SỬ DỤNG CÔNG CỤ OLLYDBG
• 3.3. SỬ DỤNG CÔNG CỤ OLLYDBG
• 3.4. PHÂN TÍCH ĐỘNG
• 3.5. XEM SỰ KIỆN TIẾN TRÌNH MÃ ĐỘC TRONG PROCESS
• 3.6. XEM LOG TRÊN CÔNG CỤ TNGESÍIT
• 3.7. XEM NETWORK REQUEST TRONG WIRESLIARK
• 4. BÀI 4: PHÂN TÍCH MÃ ĐỘC
• 4.1. PHÂN TÍCH HÀNH VI MÃ ĐỘC
• 4.2. PHÂN TÍCH TĨNG VỚI CÔNG CỤ P€VÍGW
• 4.3. PHÂN TÍCH ĐỘNG VỚI CÔNG CỤ PFOCITIOH
• 4.4. RESOURCE HACK©FF
• 4.5. SỬ DỤNG STÍN
• 4.6. CÔNG CỤ TDA P[O
• 4.7. CÔNG CỤ PEVICW

Tóm tắt

I. Tổng quan về phân tích malware và cấu trúc tập tin PE

Phân tích malware đóng vai trò then chốt trong an ninh mạng hiện đại. Quá trình này giúp xác định nguồn gốc, động cơ và mức độ nguy hại của các chương trình độc hại. Phần lớn mã độc trên hệ điều hành Windows tồn tại dưới định dạng Portable Executable. Định dạng này bao gồm các tệp EXE và thư viện liên kết động DLL. Việc hiểu rõ cấu trúc tiêu đề tệp hỗ trợ nhận diện các thành phần khả nghi nhanh chóng. Tệp thực thi PE chứa nhiều phần quan trọng như DOS Header, PE Header và các Section Headers. Mỗi phần mang thông tin cấu trúc riêng biệt. Phần .text lưu trữ mã lệnh chương trình. Phần .data chứa dữ liệu khởi tạo. Phần .rsrc nắm giữ các tài nguyên nhúng. Kỹ thuật đóng gói mã độc thường làm biến đổi cấu trúc tiêu đề chuẩn. Các tác giả mã độc sử dụng bộ nén như UPX để che giấu mã thực thi gốc. Hành động này làm giảm dung lượng tệp đồng thời cản trở phần mềm diệt virus quét chữ ký. Do đó, bước rà soát cấu trúc ban đầu đặt nền móng vững chắc cho quy trình bóc tách chi tiết tiếp theo.

1.1. Khái niệm và mục tiêu cơ bản của phân tích mã độc

Phân tích mã độc nhằm mục đích hiểu rõ bản chất hoạt động của mẫu vật lạ. Mục tiêu cốt lõi bao gồm đánh giá phạm vi ảnh hưởng và xác định phương thức lây lan. Chuyên gia an ninh mạng trích xuất các dấu hiệu nhận biết như địa chỉ IP máy chủ điều khiển, tên miền độc hại và mã băm tệp. Các chỉ số xâm phạm này được dùng để cập nhật hệ thống phòng thủ. Việc phát hiện kịp thời giúp ngăn chặn nguy cơ rò rỉ dữ liệu doanh nghiệp. Ngoài ra, kết quả phân tích còn cung cấp bằng chứng kỹ thuật số giá trị phục vụ công tác điều tra sự cố. Quá trình này bảo vệ hệ sinh thái công nghệ thông tin an toàn.

1.2. Khảo sát cấu trúc tập tin PE định dạng EXE và DLL

Cấu trúc tập tin Portable Executable là nền tảng quản lý mã nhị phân của Windows. Cấu trúc gồm DOS MZ Header, PE Header, Optional Header và các Section Headers. Việc giải mã các trường dữ liệu giúp nhận biết thời điểm biên dịch, kiến trúc vi xử lý và các vùng nhớ được cấp phát. Thư viện liên kết động DLL chứa danh sách hàm xuất nhằm chia sẻ tính năng cho các chương trình khác. Trong khi đó, tệp thực thi EXE chứa điểm vào chính để khởi động tiến trình. Kẻ tấn công thường chèn mã độc vào các phân vùng tài nguyên hoặc chỉnh sửa bảng nhập khẩu. Nắm vững cấu trúc PE giúp nhận diện bất thường hiệu quả.

II. Thách thức phân tích malware qua cơ chế che giấu mã nguồn

Các dòng mã độc hiện đại áp dụng nhiều kỹ thuật phòng thủ tinh vi nhằm trốn tránh sự phát hiện. Kẻ phát triển thường sử dụng kỹ thuật đóng gói packer để nén và xáo trộn mã nguồn nhị phân. Mã thực thi gốc bị mã hóa hoàn toàn trong tệp lưu trữ trên ổ đĩa. Khi khởi chạy, một đoạn mã stub nhỏ sẽ giải nén mã độc trực tiếp vào bộ nhớ RAM. Cơ chế này vô hiệu hóa các phương pháp quét chữ ký truyền thống. Bên cạnh kỹ thuật đóng gói, mã độc còn áp dụng các thuật toán mã hóa dữ liệu phức tạp. Chuỗi ký tự nhạy cảm như tên tệp tin, địa chỉ IP mạng botnet và khóa registry đều được che giấu kỹ lưỡng. Chúng thường sử dụng phép toán XOR đơn giản hoặc thuật toán RC4, AES để xáo trộn thông tin liên lạc. Mã độc cũng tích hợp khả năng chống phân tích tĩnh và chống gỡ lỗi động. Mẫu vật có thể phát hiện môi trường ảo hóa máy ảo VirtualBox hoặc VMware. Nếu phát hiện công cụ giám sát như OllyDbg hay Process Monitor đang hoạt động, mã độc lập tức chấm dứt tiến trình hoặc thay đổi hành vi để đánh lừa chuyên viên điều tra.

2.1. Cơ chế đóng gói nhị phân và kỹ thuật chống dịch ngược

Kỹ thuật đóng gói nhị phân packer gây trở ngại lớn cho việc dịch ngược mã nguồn. Các công cụ nén làm biến dạng cấu trúc phân vùng chuẩn của tập tin PE. Các section tiêu chuẩn thường bị thay thế bằng tên riêng của bộ nén. Bảng địa chỉ nhập khẩu IAT bị thu gọn chỉ còn vài hàm tải thư viện cơ bản như LoadLibrary và GetProcAddress. Kẻ tấn công còn chèn thêm các đoạn mã rác và lệnh nhảy không điều kiện nhằm làm rối luồng thực thi. Những kỹ thuật này ngăn cản việc đọc trực tiếp mã assembly bằng các chương trình disassembler thông thường. Quá trình phân tích đòi hỏi kỹ thuật giải nén bộ nhớ chuẩn xác.

2.2. Nhận diện chuỗi ký tự ẩn và thuật toán mã hóa dữ liệu

Chuỗi ký tự cung cấp manh mối quý giá về mục đích phá hoại của phần mềm độc hại. Các chuỗi này chứa tên miền máy chủ điều khiển, lệnh shell hệ thống và thông điệp tống tiền. Tuy nhiên, mã độc thường không lưu trữ chuỗi dưới dạng văn bản thuần ASCII. Kẻ tấn công áp dụng kỹ thuật xáo trộn chuỗi bằng bảng mã dịch chuyển hoặc phép toán nhị phân. Dữ liệu cấu hình quan trọng chỉ được giải mã tạm thời khi hàm thực thi tương ứng được gọi. Việc truy vết luồng xử lý và phát hiện vòng lặp giải mã trong hợp ngữ là thách thức kỹ thuật trọng tâm cần vượt qua.

III. Phương pháp phân tích malware bằng công cụ chuyên dụng

Quy trình phân tích mã độc toàn diện đòi hỏi sự phối hợp nhịp nhàng giữa phân tích tĩnh và phân tích động. Phân tích tĩnh bắt đầu bằng việc kiểm tra tập tin mà không cần kích hoạt mã thực thi. Các công cụ như PEView và PEiD hỗ trợ trích xuất thông tin tiêu đề, kiểm tra phân vùng và phát hiện loại packer được áp dụng. Tiện ích BinText hoặc Strings trích xuất chuỗi ký tự ẩn nhanh chóng. Phân tích tĩnh nâng cao sử dụng phần mềm dịch ngược IDA Pro. Công cụ này chuyển đổi mã máy thành mã hợp ngữ x86 rõ ràng. Chuyên gia có thể duyệt biểu đồ hàm, phân tích hàm DllMain và kiểm tra các lệnh mạng như gethostbyname. Phân tích động yêu cầu kích hoạt mã độc trong môi trường hộp cát cô lập an toàn. Công cụ Process Monitor ghi nhận mọi biến động liên quan đến tệp tin, tiến trình và registry. Phần mềm Wireshark bắt toàn bộ gói tin mạng để phát hiện kết nối điều khiển độc hại. Trình gỡ lỗi OllyDbg cho phép đặt điểm dừng breakpoint, theo dõi thanh ghi và kiểm soát từng bước lệnh thực thi của mã độc.

3.1. Kỹ thuật phân tích tĩnh với PEView PEiD và IDA Pro

Phân tích tĩnh sử dụng bộ công cụ chuyên biệt để khám phá cấu trúc mã nhị phân. PEView hiển thị chi tiết bảng thư viện nhập khẩu và các phân vùng dữ liệu. PEiD hỗ trợ quét chữ ký nhận dạng bộ đóng gói UPX hoặc bộ mã hóa phần mềm. Khi gặp tệp đóng gói, công cụ UPX dòng lệnh giúp giải nén tập tin về trạng thái gốc. Sau đó, IDA Pro tái hiện đồ thị luồng điều khiển của chương trình. IDA Pro hỗ trợ định vị các hàm then chốt, đếm biến cục bộ tại các địa chỉ bộ nhớ cụ thể và phân tích lệnh gọi hệ thống cmd.exe. Kỹ thuật này giúp lập bản đồ hành vi tĩnh chính xác.

3.2. Giám sát hành vi động qua Process Monitor và OllyDbg

Phân tích động tiến hành quan sát trực tiếp hành vi mã độc khi đang chạy. Process Monitor theo dõi thời gian thực các thao tác tạo tệp, ghi khóa registry tự khởi động và tạo tiến trình con. Wireshark giám sát luồng lưu lượng mạng nhằm phát hiện giao thức DNS và HTTP bất thường. Để can thiệp sâu vào luồng điều khiển, trình gỡ lỗi OllyDbg được sử dụng. OllyDbg cho phép đặt điểm dừng phần cứng, thực thi từng dòng lệnh hợp ngữ và kiểm tra giá trị thanh ghi EAX hay ESP. Chuyên gia có thể giải mã chuỗi mã hóa trong bộ nhớ và can thiệp điều kiện rẽ nhánh để bẻ khóa logic độc hại.

IV. Ứng dụng thực tiễn của quy trình phân tích malware

Phân tích phần mềm độc hại giữ vai trò then chốt trong quy trình phản ứng sự cố an ninh mạng. Kết quả từ quá trình phân tích cung cấp bức tranh chi tiết về phương thức tấn công của kẻ xâm nhập. Doanh nghiệp dựa vào dữ liệu này để vá lỗ hổng hệ thống và củng cố chính sách bảo mật mạng nội bộ. Việc trích xuất chỉ số xâm phạm IOC giúp các hệ thống SIEM và EDR cập nhật tập luật phát hiện tự động. Quy trình phân tích còn đóng góp trực tiếp vào hoạt động chia sẻ thông tin tình báo mối đe dọa không gian mạng. Các chuyên gia bảo mật xây dựng chữ ký nhận dạng Yara và quy tắc Snort nhằm ngăn chặn chiến dịch tấn công diện rộng. Để đạt hiệu quả tối đa, môi trường phân tích phải tuân thủ nghiêm ngặt nguyên tắc cách ly mạng. Phòng thí nghiệm máy ảo chuyên dụng ngăn chặn hoàn toàn nguy cơ lây nhiễm chéo ra hạ tầng thực tế. Việc kết hợp liên tục giữa nghiên cứu lý thuyết và diễn tập thực hành giúp nâng cao năng lực ứng phó sự cố bảo mật bền vững.

4.1. Xây dựng chỉ số xâm phạm IOC và quy tắc phòng thủ

Việc trích xuất chỉ số xâm phạm IOC là kết quả quan trọng nhất sau mỗi ca phân tích. Dữ liệu IOC bao gồm mã băm SHA256, địa chỉ IP của máy chủ C2, tên miền độc hại và chuỗi registry đặc trưng. Dữ liệu này được đưa vào hệ thống giám sát an ninh để cô lập thiết bị nhiễm bệnh. Các chuyên gia chuyển hóa hành vi mã độc thành tập luật Yara nhằm quét tìm dấu vết mã độc trên toàn bộ máy chủ doanh nghiệp. Quy tắc phòng thủ cập nhật kịp thời giúp vô hiệu hóa các cuộc tấn công nâng cao APT. Nhờ đó, rủi ro bảo mật giảm thiểu đáng kể.

4.2. Thiết lập môi trường hộp cát an toàn cho phòng lab

Xây dựng môi trường thử nghiệm độc lập là yêu cầu bắt buộc trước khi phân tích mã độc. Phòng thí nghiệm chuẩn sử dụng công nghệ ảo hóa kết hợp mạng nội bộ ảo Host-Only. Cấu hình này ngăn chặn tuyệt đối mã độc phát tán ra mạng internet công cộng hoặc lây lan sang máy tính vật lý. Tính năng Snapshot cho phép khôi phục hệ thống về trạng thái sạch sẽ ban đầu chỉ trong vài giây. Các tiện ích hỗ trợ giả lập dịch vụ mạng như INetSim cũng được triển khai để ghi nhận phản hồi từ mã độc. Môi trường an toàn đảm bảo tính toàn vẹn dữ liệu suốt chu kỳ nghiên cứu.

Nội dung chính

Tổng quan về giáo trình

Giáo trình "Thực hành Phân tích Mã độc" (mã học phần: 2021.CMP399) được biên soạn bởi TS. Văn Thiên Hoàng và ThS. Dương Minh Chiến, phát hành nội bộ phục vụ công tác đào tạo tại Trường Đại học Công nghệ TP.HCM (HUTECH). Mọi đóng góp học thuật và phản hồi chuyên môn đối với tài liệu được tiếp nhận qua ban biên tập tại địa chỉ email [e-mail]. Trong chương trình đào tạo bậc đại học khối ngành Công nghệ thông tin và An toàn thông tin, học phần này giữ vai trò trang bị kiến thức chuyên sâu thuộc nhóm kỹ thuật phòng thủ và phân tích mã nguy hại.

Mục tiêu học tập của giáo trình tập trung vào việc cung cấp cho sinh viên nền tảng nguyên tắc, các phương pháp tiếp cận kỹ thuật và năng lực giải quyết vấn đề thực tế liên quan đến cấu trúc tệp nhị phân, hành vi xâm nhập và kiến trúc hệ thống của mã độc. Tài liệu định hình lộ trình đào tạo từ mức độ nhận diện cơ bản đến phân tích chuyên sâu thông qua 4 bài thực hành lớn: Kỹ thuật phân tích cơ bản, Kỹ thuật phân tích tĩnh nâng cao, Kỹ thuật phân tích động nâng cao và Phân tích mã độc chuyên đề.

Điểm đặc thù của giáo trình là cách tiếp cận hoàn toàn dựa trên thực nghiệm (hands-on). Thay vì dừng lại ở các khái niệm lý thuyết trừu tượng, nội dung tài liệu liên kết trực tiếp với bộ mẫu nhị phân thực tế từ dự án Practical Malware Analysis Labs (như các tệp tin Lab01-01.exe, Lab01-02.exe, Lab03-01.exe, Lab05-01.dll, Lab09-01.exe). Từng bước hướng dẫn đều cung cấp chi tiết địa chỉ lệnh, trạng thái thanh ghi và các thông số kỹ thuật kiểm chứng trên môi trường phòng thí nghiệm an toàn.

---

Nội dung kiến thức cốt lõi

Các chương/chủ đề chính

Giáo trình được tổ chức thành 4 bài thực hành với logic phát triển kiến thức từ bề mặt cấu trúc tệp đến mã nguồn hợp ngữ và cơ chế tương tác hệ thống:

• Bài 1: Kỹ thuật phân tích cơ bản (Trang 1 – 11): Tập trung vào các kỹ thuật phân tích bề mặt không cần thực thi mã. Nội dung chia làm hai phần chính:

  • Phân tích cấu trúc tập tin PE (Portable Executable) EXE và DLL: Sử dụng mẫu Lab01-01.exe và Lab01-01.dll. Người học thực hiện xác định mã băm SHA256 trên VirusTotal; dùng công cụ PEview để đối chiếu Time Date Stamp (chứng minh hai tệp biên dịch cách nhau trong vòng một phút, thuộc cùng gói tấn công); dùng PEiD nhận diện trình biên dịch Microsoft Visual C++ 6.0 DLL; dùng BinText lọc chuỗi ký tự (với tham số Min. Text length = 4) nhằm phát hiện các hàm Windows API (CreateProcessA, Sleep, FindNextFileA, FindFirstFileA, CopyFileA), các thư viện liên kết (KERNEL32.dll, WS2_32.dll, MSVCRT.dll), đường dẫn giả mạo hệ thống (C:\windows\system32\kerne132.dll thay chữ "l" bằng số "1"), và chuỗi cảnh báo WARNING_THIS_WILL_DESTROY_YOUR_MACHINE. Dùng Dependency Walker để khảo sát các hàm import xử lý mạng (bind, connect, ioctlsocket).
  • Phân tích tập tin đóng gói UPX: Sử dụng mẫu Lab01-02.exe. Nhận diện trạng thái bị nén qua PEiD với section UPX1, entrypoint 00005410 và bytes mở đầu 60,BE,00,50. Thực hiện kỹ thuật giải nén bằng công cụ dòng lệnh UPX (upx -d -o Lab01-02-unpacked.exe). Sau khi giải nén, kiểm tra lại bằng Dependency Walker và lệnh strings để trích xuất API mạng InternetOpenUrlA, InternetOpenA cùng chuỗi dịch vụ MalService và URL kết nối http://www.malwareanalysisbook.com.

• Bài 2: Kỹ thuật phân tích tĩnh nâng cao (Trang 12 – 26): Trang bị phương pháp khảo sát mã máy và kỹ thuật dịch ngược (disassembly).

  • Mô phỏng hợp ngữ x86 với Jasmin 1.3: Làm việc trên môi trường giả lập Java để tìm hiểu kiến trúc CPU x86 32-bit: các thanh ghi dữ liệu (EAX, EBX, ECX, EDX), con trỏ ngăn xếp mở rộng (ESP), con trỏ lệnh (EIP), hệ thống cờ (Flags: Zero, Carry, Sign, Overflow). Thao tác với các chỉ lệnh cơ bản: lệnh nạp mov, lệnh số học add, cơ chế quản lý ngăn xếp LIFO/FILO qua cặp lệnh push và pop, cùng bài toán đảo ngược thứ tự dữ liệu trên bộ nhớ RAM mô phỏng giới hạn 4096 byte (0x1000).
  • Phân tích tĩnh với IDA Pro Freeware: Thực hành trực tiếp trên tệp tin Lab05-01.dll. Xác định địa chỉ xuất phát điểm DllMain trong Functions window; kiểm tra hàm API gethostbyname trong Imports window thuộc thư viện WS2_32.dll; khảo sát hàm con sub_10001656 tại địa chỉ 0x10001656 để đếm biến cục bộ (sub esp, 678h); sử dụng tính năng tìm kiếm chuỗi để định vị lệnh gọi \cmd.exe /c (và \command.exe /c); phân tích luồng điều khiển qua Graph View và tham chiếu chéo (XREF) tại hàm sub_1000FF58 để phát hiện cơ chế backdoor gửi chuỗi định dạng thông tin hệ thống Hi,Master [%d/%d/%d %d:%d:%d] (bao gồm Machine UpTime, Machine IdleTime, Encrypt Magic Number For This Remote Shell Session).

• Bài 3: Kỹ thuật phân tích động nâng cao (Trang 27 – 45): Khảo sát hành vi mã độc trong quá trình chạy thực tế trên máy ảo.

  • Phân tích động cơ bản trên mẫu Lab03-01.exe: Phân tích sơ bộ qua PEview và Strings (chỉ import duy nhất ExitProcess, chứa chuỗi URL https://practicalmalwareanalysis.com và khóa VideoDriver). Thiết lập môi trường mạng cô lập: máy ảo Windows tương tác với máy ảo Kali Linux chạy dịch vụ INetSim đóng vai trò máy chủ HTTP/DNS giả lập. Sử dụng Process Explorer phát hiện mutant/mutex có tên WinVMX32 và kiểm tra DLL mạng nạp vào tiến trình (ws2_32.dll, wshtcpip.dll). Dùng Process Monitor thiết lập bộ lọc (Process Name, WriteFile, RegSetValue) để ghi nhận hành vi tự sao chép thành C:\Windows\System32\vmx32to64.exe và tạo cơ chế khởi động cùng hệ thống (Persistence Mechanism) thông qua Run key VideoDriver trong Windows Registry. Dùng Wireshark kết hợp log INetSim (/var/log/inetsim/report/report.txt) kiểm tra luồng TCP Stream trên cổng 443 nhằm xác định gói tin beaconing 256 bytes ngẫu nhiên.
  • Gỡ lỗi động với OllyDbg 1.10: Thực hành trên tệp Lab09-01.exe. Định vị hàm main tại địa chỉ 0x00402AF0 bằng IDA Pro, sau đó đặt Breakpoint trong OllyDbg. Dùng các phím chức năng F7 (Step into), F8 (Step over), F9 (Run) để theo dõi việc kiểm tra số lượng tham số dòng lệnh (argc = 1 tại 0x402AFD), kiểm tra khóa registry cấu hình SOFTWARE\Microsoft\XPS qua hàm RegOpenKeyExA tại 0x40101B, và giải mã hàm tự xóa mã độc (Self-deletion) tại 0x402410 bằng cách sử dụng GetModuleFileNameA, GetShortPathNameA để xây dựng chuỗi thực thi cmd.exe /c del <đường_dẫn> >> NUL.

• Bài 4: Phân tích mã độc (Trang 46 – 56): Tổng hợp phân tích hành vi và giải thuật:

  • Phân tích hành vi kết hợp công cụ PEview, Process Monitor, và phân tích tài nguyên nhị phân bằng Resource Hacker.
  • Phân tích thuật toán mã hóa dữ liệu trong mã độc bằng việc phối hợp công cụ Strings, IDA Pro và PEview.

Kiến thức nền tảng được xây dựng

Giáo trình củng cố các khối lý thuyết hệ thống nền tảng:

• Cấu trúc định dạng tệp PE: Cấu trúc các trường Header, bảng Section (.text, .data, .rdata), địa chỉ nạp nạp ảo (ImageBase), con trỏ vào (EntryPoint), bảng mục nhập import/export.
• Kiến trúc máy tính và tập lệnh x86: Mô hình bộ nhớ phân đoạn, không gian địa chỉ ngăn xếp (Stack), khung hàm gọi (Stack Frame), các quy ước truyền tham số qua thanh ghi và ngăn xếp.
• Tương tác hệ điều hành Windows cấp thấp: Hệ thống hàm Windows Native API quản lý tiến trình (CreateProcessA), quản lý luồng, cơ chế đồng bộ hóa tiến trình qua Mutex/Mutant, hệ thống Registry và kỹ thuật duy trì quyền kiểm soát (persistence).
• Giao thức mạng phục vụ điều khiển mã độc: Phân tích luồng bắt tay TCP (TCP handshake), phân giải tên miền DNS giả lập, và các mẫu dữ liệu gửi định kỳ (beaconing) về máy chủ điều khiển (C2 Server).

Kỹ năng phát triển

• Kỹ năng kỹ thuật: Vận hành thành thạo bộ công cụ phân tích an toàn thông tin chuyên dụng gồm PEview, PEiD, BinText, Dependency Walker, UPX, Jasmin, IDA Pro, Process Monitor, Process Explorer, Wireshark, INetSim, OllyDbg và Resource Hacker.
• Kỹ năng phân tích logic: Năng lực đọc hiểu mã dịch ngược hợp ngữ, nhận dạng các khối lệnh điều kiện, phân tích các lệnh gọi API hệ thống để suy đoán mục đích hoạt động của phần mềm độc hại.
• Kỹ năng thực hành an toàn: Xây dựng và cấu hình môi trường phân tích khép kín (Sandbox/Virtual Machine), cô lập mạng máy tính và kỹ thuật trích xuất các chỉ số cảnh báo xâm nhập (IOCs - Indicators of Compromise).

---

Phương pháp giảng dạy và học tập

Giáo trình áp dụng mô hình giảng dạy thực nghiệm dựa trên tình huống thực tế (case-based learning). Toàn bộ nội dung lý thuyết về cấu trúc mã độc được lồng ghép trực tiếp vào các bài lab cụ thể. Sinh viên được cung cấp các mẫu nhị phân đã được đóng gói hoặc điều chỉnh để tìm hiểu từng thuộc tính kỹ thuật. Các bước thực hiện được chuẩn hóa dưới dạng quy trình có chỉ dẫn chi tiết: tải công cụ, thiết lập tham số lọc, đặt điểm ngắt (breakpoint), theo dõi giá trị thay đổi trên thanh ghi và giải thích ý nghĩa sự kiện.

Hệ thống bài tập yêu cầu sinh viên phải trực tiếp thao tác và chụp lại ảnh minh chứng trên hệ thống phòng máy:

• Minh chứng giá trị chuỗi băm SHA256 của tệp Lab01-01.exe và Lab01-01.dll trên VirusTotal.
• Ảnh chụp màn hình vị trí hàm DLLMain, chuỗi gethostbyname, bảng biến cục bộ của hàm tại địa chỉ 0x10001656 trong IDA Pro.
• Ảnh chụp các sự kiện hệ thống tạo tệp vmx32to64.exe và ghi khóa VideoDriver trong Process Monitor.
• Ảnh chụp gói tin TCP stream chứa 256 byte ngẫu nhiên trong Wireshark.

Phương pháp đánh giá môn học được phân chia cụ thể theo quy chế đào tạo:

• Điểm quá trình (trọng số 50%): Gồm điểm kiểm tra thường xuyên trong quá trình học tập, điểm kiểm tra giữa học phần, điểm làm bài tập thực hành trên lớp và điểm đánh giá chuyên cần.
• Điểm thi kết thúc học phần (trọng số 50%): Tổ chức dưới hình thức bài thi tự luận trong thời gian 90 phút. Quy chế phòng thi quy định người học không được mang tài liệu vào phòng thi. Nội dung đề thi bao gồm các câu hỏi lý thuyết và bài tập phân tích tương tự hệ thống bài tập về nhà trong giáo trình.

Về phương pháp tự học, tài liệu đưa ra hướng dẫn rõ ràng: người học cần đọc trước nội dung bài học trước khi lên lớp, nghe giảng và nắm vững các tính chất, ví dụ mẫu. Sau buổi học, sinh viên phải thực hiện lại toàn bộ bài thực hành, trả lời hệ thống câu hỏi cuối bài và tìm đọc thêm các tài liệu kỹ thuật liên quan để hoàn thiện kỹ năng gỡ lỗi mã máy.

---

Điểm nổi bật và cập nhật

• Tích hợp chuỗi công cụ phân tích tiêu chuẩn: Giáo trình kết hợp đầy đủ các phần mềm phân tích nhị phân phổ biến trong lĩnh vực dịch ngược (Reverse Engineering). Việc phối hợp giữa công cụ phân tích tĩnh (PEview, PEiD, IDA Pro) và công cụ giám sát động (Procmon, Procexp, OllyDbg) tạo nên quy trình điều tra mã độc hoàn chỉnh.
• Mô hình mạng giả lập đa nền tảng: Giáo trình không chỉ giới hạn trong môi trường Windows độc lập mà xây dựng mô hình tương tác mạng giữa Windows Server 2008 / Windows XP và Kali Linux chạy INetSim. Kỹ thuật chuyển hướng DNS nội bộ về Kali Linux giúp phân tích hành vi mạng của mã độc mà không làm rò rỉ dữ liệu nguy hại ra mạng Internet thực tế.
• Tính minh xác và kiểm chứng cao: Toàn bộ chỉ số trong giáo trình đều là dữ kiện kỹ thuật chính xác: tên biến (var_675, CommandLine, WSAData), địa chỉ con trỏ lệnh (0x00402AF0, 0x40101B, 0x402410), cấu trúc chuỗi format backdoor (Hi,Master [%d/%d/%d %d:%d:%d]), hay kích thước payload beaconing (256 byte). Điều này loại bỏ hoàn toàn tính suy diễn và tạo cơ sở đối chiếu rõ ràng cho sinh viên khi làm bài tập.

---

Đối tượng sử dụng giáo trình

• Sinh viên đại học: Giáo trình phục vụ trực tiếp cho sinh viên năm thứ ba hoặc năm thứ tư thuộc các chuyên ngành An toàn thông tin, Mạng máy tính & Truyền thông dữ liệu, hoặc Kỹ thuật phần mềm đang theo học học phần Thực hành Phân tích Mã độc (CMP399).
• Kiến thức tiên đề yêu cầu: Sinh viên bắt buộc phải hoàn thành các học phần hoặc có kiến thức nền tảng về: Kiến trúc máy tính, Kỹ thuật lập trình (ngôn ngữ C/C++), và nguyên lý hoạt động của các hệ điều hành phổ biến (Windows, Linux).
• Giảng viên chuyên ngành: Tài liệu là khung hướng dẫn chuẩn để giảng viên triển khai các buổi thực hành tại phòng máy chuyên dụng, thiết lập đề thi giữa kỳ, đề thi kết thúc học phần và xây dựng tiêu chí chấm điểm bài tập tình huống.
• Chuyên viên an toàn thông tin và người tự học: Tài liệu là nguồn tham khảo theo từng bước dành cho các kỹ sư mới bắt đầu nghiên cứu về dịch ngược mã độc, phân tích tệp thực thi PE và trích xuất chỉ số IOC trong điều tra sự cố bảo mật.

---

Câu hỏi thường gặp

1. Giáo trình này phù hợp với ai?

Giáo trình được thiết kế cho sinh viên đại học chuyên ngành An toàn thông tin, Công nghệ thông tin tại Trường Đại học Công nghệ TP.HCM (HUTECH) theo học mã môn học CMP399, cùng những người học có nhu cầu nghiên cứu thực hành về kỹ thuật dịch ngược và phân tích hành vi mã độc.

2. Cần kiến thức nền nào để học?

Căn cứ mục Kiến thức tiên đề của giáo trình, người học bắt buộc phải có kiến thức căn bản về:

• Kiến trúc máy tính (tổ chức bộ nhớ, hoạt động của vi xử lý).
• Kỹ thuật lập trình.
• Quản trị và cơ chế vận hành của một số hệ điều hành, đặc biệt là Windows và Linux.

3. Điểm khác biệt với giáo trình khác?

Giáo trình tiếp cận theo hướng thực hành từng bước (step-by-step) gắn liền với các mẫu nhị phân từ bộ bài tập Practical Malware Analysis. Tài liệu tập trung hướng dẫn thao tác chi tiết trên hệ thống công cụ chuyên sâu (IDA Pro, OllyDbg, Sysinternals, INetSim) và chỉ rõ các dấu hiệu kỹ thuật cụ thể (địa chỉ bộ nhớ, chuỗi lệnh hợp ngữ, registry key, network beacon) thay vì chỉ trình bày lý thuyết phân loại mã độc tổng quát.

4. Làm sao để tự học hiệu quả?

Người học cần tuân thủ hướng dẫn cách tiếp cận nội dung:

• Đọc trước tài liệu lý thuyết và bài lab trước khi thực hành.
• Thiết lập đúng môi trường phòng thí nghiệm ảo hóa an toàn (gồm máy ảo Windows và máy ảo Kali Linux cấu hình INetSim).
• Thực hiện tuần tự từng lệnh gỡ lỗi (F7, F8, F9), đối chiếu trạng thái thanh ghi và bộ nhớ với ảnh chụp minh họa trong giáo trình.
• Làm đầy đủ các bài tập tự luận và câu hỏi củng cố cuối bài.

5. Có tài liệu bổ trợ nào kèm theo?

Tài liệu sử dụng hệ thống mẫu mã độc thuộc thư viện Practical Malware Analysis Labs (tải từ đường dẫn https://practicalmalwareanalysis.com/labs/, thư mục Chapter_1L, Chapter_5L, Chapter_9L), các phần mềm phân tích mã nguồn mở/freeware (PEview, PEiD, BinText, Jasmin, IDA Freeware, OllyDbg, Wireshark, INetSim), cùng hệ thống tài liệu tham khảo API hệ thống từ Microsoft MSDN.

---

Kết luận

Giáo trình "Thực hành Phân tích Mã độc" của TS. Văn Thiên Hoàng và ThS. Dương Minh Chiến là tài liệu học tập chuẩn hóa về mặt kỹ thuật cho học phần CMP399 tại Trường Đại học Công nghệ TP.HCM. Giá trị cốt lõi của tài liệu nằm ở cấu trúc sư phạm rõ ràng, kết hợp hài hòa giữa lý thuyết cấu trúc tệp tin, mã máy x86 với kỹ năng thao tác trên các công cụ phân tích hàng đầu hiện nay.

Lộ trình học tập được thiết kế xuyên suốt theo chu trình: nhận diện hình ảnh PE tĩnh -> dịch ngược mã hợp ngữ -> giám sát hành vi động trong mạng giả lập -> gỡ lỗi và giải mã thuật toán. Để học tập đạt kết quả tốt nhất, người học cần kết hợp chặt chẽ việc thực hành các bài lab với việc tra cứu tài liệu hàm Windows API từ MSDN và bộ tài liệu hướng dẫn kỹ thuật của Practical Malware Analysis.

Trích đoạn nội dung tài liệu

BỘ GIÁO DỤC VÀ ĐÀO TẠO ĐẠI HỌC CÔNG NGHỆ TP.HCM 'THỰC HÀNH PHAN TICH MÃ ĐỘC Biên Soạn: TS. Văn Thiên Hoàng ThS. Dương Minh Chiến www.vn THUC HANH PHAN TICH MA ĐỘC 2021.CMP399 x Các ý kiến đóng góp về tài liệu học tập này, xin gửi về e-mail của ban biên tập: tailieuhoctap(@hutech.vn MỤC Lục mm MỤC LỤC MỤC LỤC. weal HƯỚNG DẪN.

HH HH TH HH HH HAT.TH1E 01 t1 III BAI 1: KY THUAT PHAN TICH CƠ BẢN. cu HH nh 1 1.1 PHÂN TÍCH CẤU TRÚC TẬP TIN HÌNH ẢNH EXE VÀ DLL. EE ean E Ee ennesenaaneeeae® 1 1.2 Công CỤ PEVÍCW. nn ki ch ch ii ii ty 1 1.3 Công Cụ PEÍD.--- ni cọc ii ii tớ 2 1.4 CONG CU BINTOXE.5 Công cụ Dependency Walk€T.

---- nọ nh cọ ch cv cv 5 1.2 PHÂN TÍCH TẬP TIN MÃ ĐỘC ĐÓNG GÓI UPX.2 Unpacking the File. - - - - - -- «<3 S1 0 1Ý Si nh ki kh ni 8 I1, 2 1n ẲằẦẲẦẲẦằẮẲằẲẲẮÁÁ.4 Sử dụng StrÍng. 10 BÀI 2: KỸ THUẬT PHÂN TÍCH TĨNH NÂNG CAO.1 SU DUNG JASMIN PHAN TÍCH MÃ NGUÔN HỢP NGỮ.c sec 12 Fe can. nh nh hố rƯd.

DEEL EEE EAE EE EEE O EES Eta E Seta EE 12 9A NPA OF) 0-1-1711) || e.3 GOT EICU TASIIIN nh. EEEEEEE EEA AAAEEEEEE EEE GEA DE BEES 12 2. ng TH nọ T010 k8 1 1 14 2.5 Lưu kết quả trong ĐỘ nhỚ. cc cà n n c ọ c c c v ch 15 Vn in.

nn ng cố.7 LENA PUSH nan g.9 DAO can nh 6 .1 Tải và cài đặt công Cụ IDA PTO. ch ni ki ch nhe 22 2.2 Phân tích tập tín LabO5~01. --«- - cnn n1 ch cv cớ 22 2.3 Tìm địa chỉ DLLMAÍH. ch cọ ch 22 2.4 Tìm chuỗi ímport gethostbyname.5 Đếm các biễn cục bộ chương trình con tại địa chỉ 0x10001656.6 Tìm mục đích của đoạn mã được tham chiếu trong chuỗi \cmd.

-- 24 BÀI 3: KỸ THUẬT PHÂN TÍCH ĐỘNG NÂNG CAO .- TS nH« HH re 27 3.1 KỸ THUẬT PHÂN TÍCH ĐỘNG CƠ BẢN. HH HH HH ng ngư 27 kh he cán. 28 mm Mục Lục 3.4 Phân tích đỘng.5 Xem sự kiện tiến trình mã độc trong Process MOHEOF. cnnnnnn nh nh 35 3.6 Xem log trên công cụ TNGESÍIT.

c HH nọ cu Ti ch kh ch kh ch 37 3.7 Xem Network Request trong WiresliarK.- -- - «- «=1 vs 1 vs ve 38 3.2 PHÂN TÍCH MÃ ĐỘC SỬ DỤNG CÔNG CỤ OLLYDBG.1 Cài đặt công cụ OIVDBG 1.- «ch nọ ch ng cv 39 3.2 Tìm điểm đầu vào hàm Main. ng ng ve 39 3.3 Sử dụng công cụ OllVDBG. HH HH ng Hy 40 BÀI 4: PHÂN TÍCH MÃ ĐỘC .-- HH nh nh ng 46 4.1 PHÂN TÍCH HÀNH VI MÃ ĐỘC. HH HH ng ng ngay 46 r nh.

han no nan ố.2 Phân tích tĩnh với công CỤ P€VÍGW.ĂĂ Ăn c HH HH HH nghề 46 4.3 Phân tích động với công cụ PFOCITIOH.àcc cà HH HH Hy 48 4.4 Resource HACK©FF. -- - + - nh kh kh kh Eế 48 4. -- - -- cọ hi kh kh kh SE EEE EE 49 4.2 PHÂN TÍCH THUẬT TOÁN MÃ HÓA DỮ LIỆU TRONG MÃ ĐỘC. ne eee eeaaaaaaeeeeseeaaee 50 4.2 Sử dụng STÍN.

cọ nọ cọ ii ii cv 51 4.3 Công CỤ TDA P[O. con ni ii ii cv 51 4.4 CONG CU PEVICW n ố. 56 HƯỚNG DẪN cua HUONG DAN MO TA MON HOC Môn học này cung cấp cho sinh viên những kiến thức về kỹ thuật phân tích mã độc. Nội dung môn học nhấn mạnh đến các nguyên tắc, các chủ đề, các phương pháp tiếp cận và giải quyết vấn đề liên quan đến các công nghệ và kiến trúc cơ bản của lĩnh vực này.

NỘI DUNG MÔN HỌC BÀI 1. KỸ THUẬT PHÂN TÍCH CƠ BẢN BÀI 2. KỸ THUẬT PHÂN TÍCH TĨNH NÂNG CAO BÀI 3.