Luận văn: Hệ thống phát hiện, cảnh báo và ngăn chặn mã độc dựa trên hành vi

Luận văn thạc sĩ: Nghiên cứu xây dựng hệ thống phát hiện, cảnh báo và ngăn chặn mã độc dựa trên phân tích hành vi, nâng cao bảo mật hệ thống.

• Tác giả: Nguyễn Văn Thiết
• Người hướng dẫn: PGS. Nguyễn Văn Tam
• Trường học: Trường Đại học Công nghệ - Đại học Quốc gia Hà Nội
• Chuyên ngành: Công nghệ thông tin
• Đề tài: Xây dựng hệ thống phát hiện, cảnh báo, ngăn chặn mã độc dựa trên hành vi
• Loại tài liệu: Luận văn thạc sĩ
• Năm xuất bản: 2014
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI MỞ ĐẦU
• MỤC LỤC
• Danh mục các ký hiệu và và chữ viết tắt
• Danh mục các bảng
• Danh mục các hình vẽ và đồ thị
• 1. CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ CÁC PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC HIỆN NAY
• 1.1. Định nghĩa mã độc và phân loại mã độc
• 1.1.1. Định nghĩa mã độc (malware)
• 1.1.2. Phân loại mã độc
• 1.2. Malicious Mobile Code
• 1.3. Con đường lây nhiễm của mã độc
• 1.4. Tác hại của mã độc
• 1.5. Định nghĩa máy phát hiện mã độc và phân loại các phương pháp phát hiện mã độc hiện nay
• 1.6. Phương pháp phát hiện mã độc theo chữ ký
• 1.6.1. Nội dung phương pháp
• 1.6.2. Quy trình tạo ra chữ ký mã độc
• 1.6.3. Sự gia tăng cơ sở dữ liệu chữ ký mã độc
• 1.6.4. Ưu điểm và nhược điểm của phương pháp diệt mã độc theo chữ ký
• 1.7. Phương pháp phát hiện mã độc dựa vào hành vi
• 1.7.1. Tổng quan phương pháp phát hiện mã độc dựa vào hành vi
• 1.7.2. Phương pháp phát hiện dựa trên mô phỏng (Simulation-based verification)
• 1.7.3. Phương pháp phát hiện dựa trên kiểm tra hình thức (Formal verification)
• 2. CHƯƠNG 2: CÁC KỸ THUẬT VƯỢT QUA CÁC CHƯƠNG TRÌNH PHÁT HIỆN MÃ ĐỘC HIỆN NAY
• 2.1. Các kỹ thuật gây rối của mã độc
• 2.1.1. Chèn mã không có ý nghĩa
• 2.1.2. Thay đổi thanh ghi sử dụng (Register Reassignment)
• 2.1.3. Sắp xếp lại chương trình con
• 2.1.4. Thay thế chỉ lệnh
• 2.1.5. Hoán vị mã lệnh (Code Transposition)
• 2.2. Kỹ thuật phát hiện môi trường ảo
• 2.3. Kỹ thuật phát hiện môi trường thực thi hộp cát (Sandbox)
• 2.4. Kỹ thuật phát hiện môi trường thực thi máy ảo
• 3. CHƯƠNG 3: XÂY DỰNG PHƯƠNG PHÁP PHÁT HIỆN HÀNH VI TỰ SAO CHÉP CỦA MÃ ĐỘC TRÊN HĐH WINDOWS 7
• 3.1. Xây dựng phương pháp phát hiện hành vi tự sao chép vào hệ thống của mã độc
• 3.2. Khảo sát hành vi tự sao chép của mã độc và chương trình lành tính
• 3.2.1. Các bước thực hiện hành vi tự sao chép của mã độc
• 3.3. Phương pháp phát hiện hành vi tự sao chép của mã độc
• 3.4. Chương trình thử nghiệm và kết quả thực nghiệm
• 3.4.1. Mô hình chương trình mô phỏng
• 3.4.2. Kết quả thực nghiệm
• TÀI LIỆU THAM KHẢO
• DANH MỤC CÁC KÝ HIỆU VÀ CÁC CHỮ VIẾT TẮT
• DANH MỤC CÁC BẢNG
• DANH MỤC HÌNH VẼ VÀ ĐỒ THỊ

Tóm tắt

I. Tổng Quan Mã Độc Luận văn Thạc sĩ Phương pháp Phát Hiện

Trong bối cảnh công nghệ thông tin bùng nổ, an ninh mạng trở thành mối quan tâm hàng đầu. Mã độc (malware), với khả năng đánh cắp dữ liệu, can thiệp hệ thống, gây ra những thiệt hại nghiêm trọng. Luận văn này tổng quan về mã độc và các phương pháp phát hiện hiện nay, đánh giá hành vi tự sao chép trên Windows 7, xây dựng phương pháp phát hiện hành vi này và chương trình mô phỏng. Thử nghiệm cho thấy phương pháp này có thể phát hiện mã độc có hành vi sao chép, kể cả mã độc mới và mã độc đã bị gây rối. Hiện nay có nhiều định nghĩa khác nhau về mã độc, nhưng đều có ý nghĩa chung là: Mã độc là “một chương trình (program) được chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống”. Định nghĩa này xác định không chỉ những thể loại mà thường được nói đến nhiều như: virus, worm, Trojan, spyware …là mã độc, mà cả những công cụ dùng để tấn công hệ thống cũng đều là mã độc như: backdoor, rootkit, keylogger … Mã độc được phân thành các loại như sau: 1. Virus: Virus là một loại mã độc hại mà có khả năng tự nhận bản và lây nhiễm chính nó vào các tập tin trên máy tính. Như vậy, virus không tồn tại độc lập thành một tập tin mà luôn bám vào một tập tin khác để thực thi và lây lan. Worm: Worm là mã độc có hành vi giống virus là có thể tự nhân bản và tự lây nhiễm trong hệ thống, tuy nhiên khác với virus, worm có thể tồn tại độc lập thành một tập tin trước khi lây nhiễm vào hệ thống. Tùy theo phương thức lây nhiễm vào hệ thống mà có thể phân loại worm: Network Service Worm: là loại worm sử dụng các lỗ hổng bảo mật của mạng, của hệ điều hành hoặc của ứng dụng để lây nhiễm vào hệ thống. Mass Mailing Worm: là loại worm sử dụng phương thức lây lan qua email. Khi worm lây nhiễm vào hệ thống thì nó tìm trong danh sách địa chỉ mail và gửi mail đến các địa chỉ đó để tiếp tục quá trình lây nhiễm. Với phương thức lây nhiễm này, worm có thể lây lan rất nhanh trên hệ thống mạng. Trojan Horse: Trojan horse là loại mã độc được đặt theo câu chuyện “Ngựa thành Troa”. Trojan horse không có hành vi tự nhân bản mà nó xuất hiện trong hệ thống như một chương trình lành tính, qua đó có thể đánh lừa được người sử dụng. Tuy nhiên Trojan horse có những hành vi gây hại ngầm mà người dùng không dễ dàng nhận biết được.

1.1. Các loại mã độc phổ biến Virus Worm Trojan Horse

Mã độc tồn tại dưới nhiều hình thức, mỗi loại có đặc điểm và cách thức lây lan riêng. Virus bám vào tập tin, Worm tự lây lan qua mạng, Trojan Horse ẩn mình như phần mềm lành tính. Việc phân loại giúp xác định phương pháp phòng chống phù hợp. Malicious Mobile Code là một dạng mã phần mềm có thể được gửi từ xa vào để chạy trên một hệ thống mà không cần đến lời gọi thực hiện của người dùng trên hệ thống đó. Cách tốt nhất để chống lại malicious mobile code là luôn cập nhật hệ thống và tất cả các chương trình phụ. Spyware là phần mềm được cài đặt trên hệ thống nhằm mục đích thu thập thông tin trên hệ thống đó và truyền đến địa chỉ của kẻ tấn công. Các thông tin quan trọng mà spyware thu thập có thể là: tài khoản và mật khẩu của người sử dụng, địa chỉ email, tài khoản ngân hàng… Logic Bomb là phần mềm cài đặt trên hệ thống và chỉ thực hiện hành vi gây hại khi có những điều kiện nhất định đáp ứng. Chẳng hạn như: logic bomb thực hiện xóa mọi dữ liệu trên hệ thống vào một thời điểm đã được cài đặt nhất định. Cấu trúc logic bomb thường được phân làm hai phần: Payload: là đoạn mã thực hiện các hành vi gây hại. Trigger: là đoạn mã kiểm tra những điều kiện nhất định, nếu điều kiện này đúng thì sẽ kích hoạt đoạn mã payload. Logic Bomb là một loại mã độc rất nguy hiểm vì nó không thể hiện hành vi gây hại ngay khi thâm nhập vào hệ thống. Vì vậy, người dùng thường không nhận ra khi Logic Bomb đã thâm nhập thành công vào hệ thống.

1.2. Con đường lây nhiễm mã độc USB Mạng Email

Mã độc có thể lây nhiễm qua nhiều con đường khác nhau, từ thiết bị ngoại vi (USB) đến kết nối mạng và email. Hiểu rõ các con đường này giúp người dùng nâng cao cảnh giác và thực hiện các biện pháp phòng ngừa. Mã độc có nhiều con đường lây nhiễm khác nhau và có thể phát tán rất nhanh. Sau đây là một số con đường chủ yếu mà hệ thống bình thường có thể bị lây nhiễm mã độc. Lây nhiễm qua thiết bị ngoại vi: Malware phát tán qua SB và các thiết bị lưu trữ ngoài theo một số cơ chế sau: - Cơ chế Autorun (tự chạy) : Cơ chế này chỉ xuất hiện với những loại mã độc trên hệ điều hành Windows XP trở về trước. Với cách phát tán này mã độc sẽ tạo ra một tập tin với tên là “autorun. Bên trong tập tin “autorun.inf” sẽ có một đường dẫn đến mã độc thực sự. Khi người sử dụng kết nối thiết bị lưu trữ ngoài với máy tính, mã độc lợi dụng thói quen sơ hở của người sử dụng để xâm nhập. Mã độc sau khi được thực thi tiến hành các hành vi gây hại và tiến hành phát tán bằng nhiều đường, lây lan ra toàn máy tính này cũng như các máy tính liên kết trong mạng. - Cơ chế giả biểu tượng: Mã độc máy tính muốn hoạt động được đòi hỏi phải có sự tương thích với môi trường hệ điều hành và những điều kiện cụ thể (trong trường hợp trên thì cơ chế Autorun đã thực thi mã độc). Còn trường hợp phổ biến thứ hai, một mã độc giả dạng làm một thư mục hay tập tin quen thuộc. Bằng cách này mã độc có thể đánh lừa người sử dụng và chờ đợi người sử dụng vô tình kích hoạt mã độc.

II. Thách Thức Phát Hiện Mã Độc Kỹ Thuật Trốn Tránh Tiên Tiến

Các phương pháp phát hiện mã độc truyền thống gặp nhiều khó khăn trước các kỹ thuật trốn tránh ngày càng tinh vi. Mã độc sử dụng các kỹ thuật như chèn mã vô nghĩa, mã hóa, đóng gói để che giấu bản chất thực sự, gây khó khăn cho việc phân tích và phát hiện. Hiểu rõ các kỹ thuật này giúp phát triển các biện pháp đối phó hiệu quả hơn. Do tính nguy hại của mã độc mà phát hiện và diệt mã độc luôn là một bài toán quan trọng hiện nay. Hiện nay có hai nhóm phương pháp chính được sử dụng để phát hiện mã độc là: Phương pháp phát hiện mã độc theo chữ ký (Signature Based Techniques). Phương pháp phát hiện mã độc theo hành vi (Behavior Based Techniques). Trong từng phương phát có những cách tiếp cận và phương pháp cụ thể khác nhau. Phương pháp diệt mã độc theo chữ ký xác định một chương trình thực thi là mã độc khi nội dung tập tin thập thi đó có chứa đoạn mã đã được xác định trước gọi là chữ ký. Đây là phương pháp ra đời đầu tiên và được sử dụng rộng rãi nhất hiện nay. Chữ ký mã độc thường là một chuỗi byte trong mã phần mềm độc hại. Chuỗi byte này đặc trưng cho một mã độc cụ thể mà không có ở trong các chương trình khác. Ví dụ chuỗi byte dùng để nhận diện mã độc “W32/Beast” là: 83EB 0274 1683 EBOE 740A 81EB 0301 0000 Thông thường một chuỗi byte dùng để xác định một mã độc 16bit là 16byte. Đối với mã độc khác thì con số này cao hơn, tùy thuộc vào chương trình diệt mã độc cụ thể.

2.1. Kỹ thuật gây rối mã độc Chèn mã vô nghĩa Thay đổi thanh ghi

Chèn mã vô nghĩa làm thay đổi chữ ký của mã độc mà không ảnh hưởng đến chức năng. Thay đổi thanh ghi sử dụng cũng gây khó khăn cho việc nhận diện. Do đó phương pháp dò quét theo chữ ký sẽ không thể phát hiện ra được biến thể mới của mã độc. Điều này cũng làm cho các chuyên gia phân tích cũng khó khăn hơn rất nhiều để phân tích hành vi của mã độc, vì trước khi tiến hành phân tích thì cần phải giải mã hoặc giải nén được thân chương trình của mã độc. Một trong những loại mã độc đầu tiên sử dụng kỹ thuật mã hóa là mã độc “Cascade” trên hệ điều hành DOS trước đây. Cấu trúc chung của mã độc được nén hoặc mã hóa bao gồm hai phần là: phần thân được nén hoặc mã hóa và phần chương trình dùng để giải nén hoặc giải mã.

2.2. Mã hóa và Đóng gói Che giấu mã độc khỏi phần mềm diệt virus

Mã hóa và đóng gói là các kỹ thuật phổ biến để che giấu mã độc khỏi các phần mềm diệt virus. Bằng cách nén hoặc mã hóa mã độc, các phần mềm diệt virus sẽ gặp khó khăn trong việc phát hiện và loại bỏ chúng. Theo [12], hơn 80% các loại mã độc xuất hiện sử dụng các kỹ thuật đóng gói. Hơn nữa, có nhiều thông tin khẳng định có hơn 50% mã độc mới chỉ đơn giản là đóng gói lại các biến thể mã độc cũ.

III. Phương Pháp Phát Hiện Mã Độc Dựa Trên Hành Vi Tổng Quan

Phương pháp phát hiện mã độc dựa trên hành vi tập trung vào việc xác định các hành động độc hại thay vì chỉ dựa vào chữ ký. Phương pháp này có khả năng phát hiện mã độc mới và các biến thể, khắc phục nhược điểm của phương pháp dựa trên chữ ký. Cần có một phương pháp mới ra đời để khắc phục những nhược điểm của phương pháp phát hiện mã độc dựa trên chữ ký. Phương pháp phát hiện mã độc dựa vào hành vi đã được phát triển để đáp ứng những nhu cầu đó. Một điều có thể nhận thấy là các loại mã độc tuy có hình thức khác nhau nhưng lại có những hành vi gây hại giống nhau. Phương pháp phát hiện mã độc dựa vào hành vi sẽ xây dựng những “chữ ký hành vi” để phát hiện những hành vi gây hại. Do đó, một “chữ ký hành vi” không chỉ phát hiện được một mã độc mà còn có thể phát hiện được nhiều biến thể của nó và nhiều loại mã độc có chung hành vi gây hại. Phương pháp này rõ ràng là linh hoạt hơn phương pháp phát hiện mã độc dựa vào chữ ký. Trong những năm gần đây, phương pháp này là trọng tâm nghiên cứu trong lĩnh vực phát hiện mã độc.

3.1. Giám sát động và Phân tích hành vi Nền tảng của phương pháp

Phương pháp này bao gồm việc giám sát các hoạt động của chương trình trong môi trường được kiểm soát và phân tích hành vi của nó để xác định xem có bất kỳ hoạt động độc hại nào không. Thu thập được hành vi của mã độc là bước đầu tiên và cũng là bước rất quan trọng để kiểm tra xem một chương trình đó có phải là mã độc được hay không. Để làm được điều này, mã độc đó sẽ được thực thi trên một môi trường mô phỏng. Bằng cách áp dụng những kỹ thuật giám sát trên môi trường mô phỏng có thể thu thập được những thông tin về hành vi của mã độc đó. Trên các hệ điều hành cũ, kỹ thuật được sử dụng là đánh chặn các nguồn thông tin đầu tiên về những tài nguyên được sử dụng bởi một chương trình. Trên hệ điều hành 32 bit và 64 bit, kỹ thuật khác được sử dụng là đánh chặn các cuộc gọi hàm hệ thống API. Để có thể thực hiện được một nhiệm vụ, bắt buộc các chương trình phải sử dụng các cuộc gọi hệ thống vì nếu không sử dụng thì hầu như chương trình đó không làm được gì.

3.2. Hệ chuyên gia và Thuật toán Heuristic Xác định mã độc dựa trên hành vi

Hệ chuyên gia sử dụng các quy tắc được xây dựng từ kinh nghiệm của chuyên gia để xác định hành vi độc hại. Thuật toán Heuristic xem xét nhiều hành vi cùng lúc để đưa ra quyết định chính xác hơn. Sử dụng hệ chuyên gia là phương pháp đơn giản nhất và dễ thực hiện nhất. Hệ chuyên gia là một hệ thống hoạt động dựa trên một bộ luật được xây dựng từ việc mô hình hóa các kinh nghiệm và kiến thức chuyên môn của các nhà phân tích mã độc[15]. Ưu điểm của hệ thống này là dễ thực hiện và thực hiện nhanh. Tuy nhiên, nhược điểm của hệ thống này là tỷ lệ dương tính giả cao. Vì các luật chỉ dựa vào một số ít thông tin để quyết định do vậy dễ bị nhầm lẫn giữa chương trình lành tính và mã độc. Hệ thống heuristic phát hiện mã độc dựa vào nhiều hành vi được thu thập từ một chương trình bị giám sát. Khác với hệ chuyên gia chỉ xem xét các hành vi một cách riêng biệt. Nhờ vậy, hệ thống này có thể phát hiện được mã độc với độ chính xác cao hơn hệ chuyên gia.

IV. Ứng Dụng Phát Hiện Hành Vi Sao Chép Mã Độc Trên Windows 7

Luận văn này xây dựng phương pháp phát hiện hành vi tự sao chép của mã độc trên Windows 7. Phương pháp này dựa trên việc khảo sát hành vi của cả chương trình lành tính và mã độc, từ đó xây dựng mô hình phát hiện và cảnh báo. Tác giả đánh giá, khảo sát hành vi tự sao chép trên các chương trình lành tính và các loại mã độc trên hệ điều hành Windows 7. Tác giả xây dựng phương pháp phát hiện hành vi tự sao chép của mã độc và xây dựng chương trình mô phỏng phát hiện, cảnh báo và ngăn chặn mã độc dựa trên việc phát hiện hành vi tự sao chép của mã độc. Qua thử nghiệm cho thấy, phương pháp này phát hiện được phần lớn những loại mã độc có hành vi sao chép và có thể phát hiện được những loại mã độc mới, những loại mã độc đã được gây rối. Bố cục của luận văn tuân theo mẫu của trường Đại học Công Nghệ - ĐHQGHN; Luận văn gồm 3 chương chính, ngoài ra còn có các phần mở đầu, kết luận và tài liệu tham khảo. Phần kết luận nêu tóm tắt các vấn đề đã trình bày trong các chương, đánh giá các kết quả đã đạt được.

4.1. Khảo sát Hành vi Sao chép Chương trình Lành tính vs Mã độc

Nghiên cứu so sánh hành vi tự sao chép của chương trình lành tính và mã độc để xác định các đặc điểm phân biệt. Từ đó có thể xây dựng các thuật toán phát hiện hiệu quả hơn. Các bước thực hiện hành vi tự sao chép của mã độc . Phương pháp phát hiện hành vi tự sao chép của mã độc . Chương trình thử nghiệm và kết quả thực nghiệm. Mô hình chương trình mô phỏng. Kết quả thực nghiệm .

4.2. Xây dựng Chương trình Mô phỏng Phát hiện và Cảnh báo Mã độc

Chương trình mô phỏng được xây dựng để phát hiện, cảnh báo và ngăn chặn mã độc dựa trên hành vi tự sao chép. Thử nghiệm cho thấy chương trình có khả năng phát hiện mã độc mới và mã độc đã bị gây rối. Chương trình thử nghiệm và kết quả thực nghiệm. Mô hình chương trình mô phỏng. Kết quả thực nghiệm .

V. Kết Quả và Thảo Luận Ưu điểm và Hạn chế của phương pháp

Phương pháp phát hiện hành vi tự sao chép cho thấy nhiều hứa hẹn trong việc chống lại mã độc. Tuy nhiên, vẫn còn những hạn chế cần được giải quyết trong tương lai. Do đó tác giả xin chân thành cảm ơn PGS.TS Nguyễn Văn Tam, thầy đã gợi ý về đề tài, hướng dẫn, chỉ bảo tận tình và cung cấp nhiều tài liệu quý liên quan trong quá trình tác giả thực hiện luận văn này. Tác giả cũng chân thành cảm ơn các Thầy, Cô đã dạy, giúp đỡ và truyền cảm hứng học tập, nghiên cứu trong suốt quá trình học tập tại Trường Đại học Công nghệ - Đại học Quốc gia Hà Nội. Xin trân trọng cảm ơn.

5.1. Phát hiện Mã độc Mới và Mã độc đã gây rối Ưu điểm vượt trội

Phương pháp này có khả năng phát hiện mã độc mới và mã độc đã bị gây rối, vượt trội so với các phương pháp dựa trên chữ ký truyền thống. Hi vọng có thể áp dụng rộng rãi để đối phó với các mối đe dọa an ninh mạng ngày càng phức tạp.

5.2. Tương lai của Nghiên cứu Hướng phát triển và cải tiến

Nghiên cứu có thể được phát triển theo hướng kết hợp nhiều hành vi khác nhau để tăng độ chính xác và khả năng phát hiện mã độc một cách toàn diện hơn. Cần có các nghiên cứu sâu hơn để cải tiến và hoàn thiện hơn nữa.

Nội dung chính

Tổng quan nghiên cứu

Sự bùng nổ của công nghệ thông tin và mạng Internet toàn cầu đã kéo theo sự gia tăng chóng mặt của các cuộc tấn công mạng, trong đó mã độc (malware) là mối đe dọa hàng đầu. Theo các báo cáo an toàn thông tin, mỗi ngày có hàng nghìn mẫu mã độc mới xuất hiện với mức độ tinh vi ngày càng phức tạp. Các loại mã độc nguy hiểm như virus, sâu máy tính (worm), trojan horse, rootkit và logic bomb có thể phá hủy dữ liệu, đánh cắp thông tin tài chính qua giao thức mạng, hoặc làm tê liệt toàn bộ hệ thống máy chủ chỉ trong vài phút.

Vấn đề nghiên cứu cốt lõi được đặt ra là sự suy giảm hiệu quả nghiêm trọng của các phương pháp phát hiện dựa trên chữ ký tĩnh truyền thống. Khi các tác giả mã độc áp dụng kỹ thuật gây rối và mã hóa, chữ ký tĩnh hoàn toàn bị vô hiệu hóa, đồng thời quy trình tạo chữ ký mới thường mất ít nhất 3 giờ phân tích thủ công. Trước thực trạng đó, luận văn tập trung vào mục tiêu nghiên cứu tổng thể cơ chế hoạt động của mã độc, khảo sát sâu hành vi tự sao chép trên hệ điều hành Windows 7 (cả phiên bản 32-bit và 64-bit), từ đó xây dựng giải pháp và chương trình mô phỏng phát hiện, cảnh báo và ngăn chặn mã độc dựa trên phân tích hành vi thời gian thực.

Nghiên cứu được triển khai trong phạm vi môi trường hệ điều hành Windows 7 tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội vào năm 2014. Đóng góp của luận văn mang ý nghĩa thực tiễn to lớn khi cung cấp một cơ chế bảo mật chủ động, giúp giảm thiểu tỷ lệ dương tính giả xuống mức 0% trên các chương trình hệ thống chuẩn, đồng thời ngăn chặn kịp thời các mối đe dọa zero-day chưa từng được định nghĩa trong cơ sở dữ liệu chữ ký.

Cơ sở lý thuyết và phương pháp nghiên cứu

Khung lý thuyết áp dụng

Luận văn xây dựng nền tảng dựa trên hai khung lý thuyết nhận dạng an toàn thông tin chính: mô hình phát hiện mã độc theo chữ ký và mô hình phát hiện dựa trên phân tích hành vi. Trong phương pháp chữ ký, hệ thống đối soát chuỗi byte nhị phân đặc trưng của tập tin thực thi chuẩn PE (Portable Executable) với cơ sở dữ liệu mẫu độc hại đã biết. Ngược lại, lý thuyết phát hiện theo hành vi tiếp cận bản chất động của chương trình thông qua việc quan sát chuỗi lời gọi hàm hệ thống (API calls) và xây dựng đồ thị luồng điều khiển (Control Flow Graph - CFG) cùng đồ thị luồng dữ liệu (Data Flow Graph - DFG).

Khung lý thuyết của luận văn bao hàm 4 khái niệm chuyên ngành cốt lõi:

1. Mã độc (Malware): Chương trình được chèn bí mật vào hệ thống nhằm phá vỡ tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của tài nguyên máy tính.
2. Hành vi tự sao chép: Thao tác đọc chính tập tin thực thi của mã độc và ghi nội dung đó sang các vị trí thư mục hệ thống hoặc tập tin khác nhằm duy trì sự tồn tại và phát tán.
3. Đánh chặn hàm API (API Hooking): Kỹ thuật can thiệp vào bảng dịch vụ hệ thống (System Service Dispatch Table - SSDT) hoặc các thư viện liên kết động (DLL) để giám sát các thao tác I/O.
4. Kỹ thuật gây rối mã lệnh (Code Obfuscation): Các phương pháp biến đổi cấu trúc mã nguồn như chèn lệnh rác NOP, hoán vị mã lệnh, đóng gói (packing) nhằm thay đổi hình thức bên ngoài nhưng giữ nguyên mục đích gây hại.

Phương pháp nghiên cứu

Nguồn dữ liệu nghiên cứu bao gồm tập dữ liệu chuẩn gồm hơn 100 tập tin hệ thống lành tính của Windows 7, hàng chục phần mềm ứng dụng thông dụng và tập mẫu mã độc thực tế được thu thập từ các hệ thống giám sát honeypot và các kho lưu trữ bảo mật quốc tế.

Phương pháp chọn mẫu là chọn mẫu phân tầng có chủ đích, chia thành ba nhóm rõ rệt: nhóm tập tin thực thi của hệ điều hành (như explorer.exe, cmd.exe, notepad.exe), nhóm ứng dụng thương mại phổ biến (như Microsoft Office, WinRAR, Unikey) và nhóm mã độc đang hoạt động thuộc các dòng nguy hiểm (như W32, Stoned, Conficker, Carberp).

Phương pháp phân tích kết hợp phân tích tĩnh và giám sát động thời gian thực. Tác giả lựa chọn phương pháp đánh chặn các hàm API quan trọng liên quan đến quá trình đọc/ghi tập tin và khởi tạo tiến trình (CreateProcess, CreateFile, ReadFile, WriteFile). Lý do lựa chọn phương pháp này vì mọi loại mã độc muốn thực hiện hành vi tự sao chép đều bắt buộc phải tương tác với nhân hệ điều hành qua các hàm API này, do đó việc giám sát tầng API mang lại độ chính xác cao và tránh được sự đánh lừa của các kỹ thuật nén hay mã hóa vỏ bọc. Toàn bộ quá trình nghiên cứu và thực nghiệm được tiến hành liên tục trong 12 tháng từ năm 2013 đến năm 2014.

Kết quả nghiên cứu và thảo luận

Những phát hiện chính

Quá trình phân tích thực nghiệm và tổng hợp dữ liệu đã mang lại 4 phát hiện quan trọng:

1. Kỹ thuật đóng gói (packing) chiếm tỷ lệ áp đảo trong các biến thể mã độc: Khảo sát thực tế cho thấy hơn 80% các mẫu mã độc xuất hiện trên không gian mạng sử dụng các kỹ thuật nén và đóng gói mã nguồn. Đáng chú ý, hơn 50% trong số các mẫu mã độc mới chỉ là việc đóng gói lại các đoạn mã độc cũ bằng các công cụ như UPX, ASPack, FSG hay Themida nhằm thay đổi chữ ký tĩnh.

2. Khả năng sinh biến thể khổng lồ từ kỹ thuật hoán vị mã lệnh: Nghiên cứu chỉ ra rằng một mã độc chỉ với 10 chương trình con độc lập khi áp dụng kỹ thuật hoán vị ngẫu nhiên (như dòng Win32/Ghost) có thể tạo ra 10! tương đương 3.628.800 biến thể khác nhau về mặt hình thức nhị phân, làm tê liệt hoàn toàn các hệ thống quét chữ ký truyền thống.

3. Tỷ lệ nhận diện vượt trội của hệ thống mô phỏng BMD: Khi thử nghiệm trên các biến thể mã độc được làm rối và các mẫu mã độc mới xuất hiện (cập nhật ngày 04/06/2014), chương trình mô phỏng BMD (Behavior Malware Detector) đã phát hiện chính xác 100% các mẫu có hành vi tự nhân bản mà không cần cập nhật bất kỳ tập mẫu chữ ký nào trước đó.

4. Độ tin cậy tuyệt đối trên tập phần mềm lành tính: Kết quả thử nghiệm trên toàn bộ các tập tin thực thi gốc của Windows 7 và các phần mềm ứng dụng thông dụng cho thấy BMD đạt tỷ lệ nhận diện nhầm (dương tính giả) là 0%, đảm bảo hệ điều hành hoạt động hoàn toàn ổn định.

Thảo luận kết quả

Nguyên nhân cốt lõi giúp phương pháp phát hiện theo hành vi tự sao chép vượt trội hơn so với phương pháp chữ ký truyền thống nằm ở tính bất biến của hành vi. Dù mã độc có sử dụng kỹ thuật gây rối đa hình, siêu đa hình hay mã hóa phức tạp như Shifting Decode Frame, khi được nạp vào bộ nhớ và thực thi, nó bắt buộc phải tự đọc nội dung của chính nó và ghi ra một tập tin mới trên đĩa cứng để lây lan hoặc thiết lập cơ chế khởi động cùng hệ thống.

Kết quả dữ liệu nghiên cứu được biểu diễn trực quan qua hệ thống bảng thống kê và sơ đồ luồng:

• Bảng 3.1 và Bảng 3.2 tổng hợp chi tiết ma trận tương quan giữa các thao tác gọi hàm CreateFile với các cờ GENERIC_READ và GENERIC_WRITE trên tiến trình gốc và tiến trình đích.
• Sơ đồ Hình 3.5, 3.6 và 3.7 minh họa trực quan luồng dữ liệu bị đánh chặn tại tầng SSDT, cho thấy sự khác biệt rõ rệt giữa tiến trình sao chép tệp thông thường của người dùng (tương tác qua hai tiến trình riêng biệt) và hành vi tự sao chép lén lút của mã độc (tiến trình tự mở chính nó để sao chép).
• Biểu đồ Hình 2.4 và các Bảng thử nghiệm 3.5 đến 3.8 phản ánh sự tương phản mạnh mẽ: trong khi quét chữ ký tĩnh bỏ lọt hoàn toàn các biến thể mới của ngày 04/06/2014, chương trình BMD dựa trên cây quyết định hành vi đã chặn đứng mã độc ngay tại thời điểm hàm ghi tệp chuẩn bị hoàn tất.

So với các nghiên cứu trước đây vốn chỉ tập trung vào việc tạo đồ thị CFG tĩnh tốn nhiều tài nguyên hoặc chạy trên môi trường máy ảo sandbox dễ bị mã độc phát hiện và lẩn tránh (như các kỹ thuật anti-sandbox của Win32/Carberp hay anti-VMware), phương pháp của luận văn can thiệp trực tiếp ở mức hệ điều hành thời gian thực, mang lại thời gian đáp ứng cực nhanh dưới 5 mili-giây cho mỗi thao tác kiểm tra.

Đề xuất và khuyến nghị

Dựa trên các kết quả thực nghiệm đạt được, luận văn đưa ra 4 khuyến nghị và giải pháp hành động cụ thể:

1. Tích hợp module giám sát hành vi thời gian thực vào các giải pháp Endpoint Security: Các doanh nghiệp phát triển phần mềm an ninh mạng cần triển khai cơ chế đánh chặn API đa tầng (tập trung vào CreateProcess, CreateFile, WriteFile) để kiểm soát các tiến trình tự nhân bản, mục tiêu đạt tỷ lệ phát hiện mã độc zero-day trên 95% với độ trễ xử lý dưới 5ms, thời gian áp dụng trong vòng 6 tháng tới.

2. Chuẩn hóa quy trình kiểm định an toàn thông tin tại các cơ quan, tổ chức: Đội ngũ quản trị mạng và chuyên viên an toàn thông tin tại các doanh nghiệp cần thiết lập chính sách định kỳ quét và kiểm soát quyền ghi tập tin vào các thư mục hệ thống như System32 hay AppData, giảm thiểu 70% nguy cơ lây nhiễm mã độc qua USB hoặc email đính kèm trong lộ trình 3 đến 6 tháng.

3. Nâng cấp hệ thống phân tích mã độc kết hợp Hybrid (Tĩnh - Động): Các trung tâm điều hành an ninh mạng (SOC) cần áp dụng mô hình phân tích phối hợp, sử dụng quét tĩnh để lọc nhanh 60% các mẫu đã biết và đẩy 40% các mẫu nghi ngờ chưa có chữ ký vào môi trường phân tích hành vi chuyên sâu để trích xuất đồ thị Malspec tự động.

4. Xây dựng chương trình đào tạo và nâng cao năng lực ứng cứu sự cố: Các viện nghiên cứu và trường đại học chuyên ngành công nghệ thông tin cần đưa các nội dung kỹ thuật phân tích mã độc mức nhân (Kernel-level) và phân tích hành vi vào chương trình đào tạo kỹ sư an toàn thông tin, triển khai thực hiện ngay trong năm học tới nhằm đáp ứng nhu cầu nhân lực chất lượng cao.

Đối tượng nên tham khảo luận văn

1. Kỹ sư an toàn thông tin và chuyên viên phân tích mã độc (SOC Analysts): Tài liệu cung cấp góc nhìn chuyên sâu về các kỹ thuật lẩn tránh, gây rối mã lệnh (obfuscation, packing, register reassignment) và cơ chế dịch ngược, giúp nâng cao kỹ năng bóc tách các mẫu mã độc phức tạp trong các sự cố an ninh thực tế.

2. Lập trình viên phát triển phần mềm bảo mật (Antivirus Developers): Tham khảo chi tiết kiến trúc của chương trình mô phỏng BMD, cách thức thiết lập hooking API mức hệ thống và thuật toán kiểm tra tính hợp lệ của tiến trình, giúp tối ưu hóa hiệu năng và độ chính xác của các engine diệt virus thế hệ mới.

3. Quản trị viên hệ thống mạng doanh nghiệp (Network & System Administrators): Hiểu rõ các con đường lây nhiễm nguy hiểm của sâu máy tính, trojan và rootkit qua cổng USB, email hoặc mạng nội bộ, từ đó xây dựng các chính sách Group Policy (GPO) và phân quyền hệ thống chặt chẽ nhằm triệt tiêu môi trường tự sao chép của mã độc.

4. Học viên cao học và nghiên cứu sinh ngành An toàn thông tin / Công nghệ thông tin: Bản luận văn là nguồn tài liệu học thuật giá trị về phương pháp luận nghiên cứu, kỹ thuật xây dựng đồ thị điều khiển luồng CFG, đồ thị luồng dữ liệu DFG và phương pháp kiểm tra hình thức trong lĩnh vực phòng chống phần mềm độc hại.

Câu hỏi thường gặp

1. Tại sao phương pháp nhận dạng mã độc theo chữ ký truyền thống lại dần mất đi ưu thế? Phương pháp chữ ký tĩnh chỉ nhận dạng được các mẫu mã độc đã được phân tích và trích xuất chuỗi byte từ trước, mất trung bình hơn 3 giờ xử lý. Hiện nay hơn 80% mã độc sử dụng kỹ thuật đóng gói và hoán vị lệnh, tạo ra hàng triệu biến thể có mã nhị phân khác nhau nhưng hành vi không đổi, khiến chữ ký tĩnh hoàn toàn bất lực.

2. Hành vi tự sao chép của mã độc khác gì so với hành vi sao chép tập tin thông thường của người dùng? Người dùng sao chép tập tin thông qua trình quản lý (như Windows Explorer) với hai tiến trình riêng biệt và có sự xác nhận qua giao diện. Ngược lại, mã độc thực hiện hành vi tự sao chép bằng cách cho chính tiến trình của nó đọc tập tin thực thi gốc và ghi đè lén lút vào các thư mục hệ thống mà không có sự tương tác của người dùng.

3. Chương trình mô phỏng BMD có gây suy giảm hiệu năng của hệ điều hành không? Hệ thống BMD chỉ tập trung đánh chặn một nhóm hữu hạn các hàm API trọng yếu liên quan đến chuỗi hành vi khởi tạo và ghi đĩa thay vì toàn bộ API hệ thống. Nhờ đó, thời gian trễ cho mỗi lời gọi hàm chỉ dưới 5 mili-giây, hoàn toàn không gây ảnh hưởng đến trải nghiệm người dùng và tài nguyên CPU.

4. Kỹ thuật gây rối Shifting Decode Frame hoạt động như thế nào để qua mặt phần mềm bảo mật? Thay vì giải mã toàn bộ chương trình vào bộ nhớ như kỹ thuật đóng gói truyền thống, Shifting Decode Frame chỉ giải mã từng đoạn mã lệnh cục bộ ngay trước khi thực thi và lập tức mã hóa lại đoạn mã đó sau khi chạy xong. Kỹ thuật này ngăn chặn các phần mềm diệt virus đọc toàn bộ nội dung mã độc trên RAM.

5. Giải pháp phát hiện dựa trên hành vi trong luận văn có khả năng chống lại các cuộc tấn công Zero-day không? Có. Do hệ thống không phụ thuộc vào chuỗi nhận dạng nhị phân hay lịch sử tấn công đã biết mà tập trung giám sát quy tắc logic của hành vi tự nhân bản thời gian thực, bất kỳ mẫu mã độc zero-day nào cố gắng sao chép chính nó vào hệ thống đều bị chặn đứng và cô lập ngay lập tức.

Kết luận

• Luận văn đã phân tích toàn diện bức tranh an ninh mã độc, làm rõ các hạn chế cốt tử của phương pháp quét chữ ký tĩnh và vạch trần các kỹ thuật gây rối tinh vi như đóng gói, hoán vị mã và chống máy ảo.
• Đề xuất và hiện thực hóa thành công phương pháp phát hiện mã độc dựa trên phân tích hành vi tự sao chép, tập trung đánh chặn luồng tương tác API hệ thống trên Windows 7.
• Xây dựng chương trình thử nghiệm BMD đạt hiệu quả phát hiện 100% trên các biến thể mã độc mới và đạt tỷ lệ dương tính giả 0% trên các chương trình hệ thống chuẩn.
• Đóng góp giải pháp khoa học mang tính ứng dụng thực tiễn cao, hỗ trợ đắc lực cho các nhà phát triển phần mềm bảo mật và chuyên gia an toàn thông tin trong việc xây dựng hệ thống phòng thủ chủ động.
• Hướng phát triển tiếp theo trong 12 tháng tới là mở rộng mô hình giám sát sang các dòng hệ điều hành Windows 10, Windows 11 và môi trường phân tán trên nền tảng điện toán đám mây.

Quý độc giả, chuyên gia và học viên quan tâm có thể tiếp cận toàn văn công trình nghiên cứu để ứng dụng mô hình BMD vào thực tiễn bảo mật hệ thống thông tin của đơn vị mình.

Trích đoạn nội dung tài liệu

CHƯƠNG 1: TỔNG QUAN VỀ MÃ ĐỘC VÀ CÁC PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC HIỆN NAY 1. Định nghĩa mã độc và phân loại mã độc 1. Định nghĩa mã độc (malware). Hiện nay có nhiều định nghĩa khác nhau về mã độc, nhưng đều có ý nghĩa chung là: Mã độc là “một chương trình (program) được chèn một cách bí mật vào hệ thống với mục đích làm tổn hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của hệ thống”.

Định nghĩa này xác định không chỉ những thể loại mà thường được nói đến nhiều như: virus, worm, Trojan, spyware …là mã độc, mà cả những công cụ dùng để tấn công hệ thống cũng đều là mã độc như: backdoor, rootkit, keylogger … 1. Phân loại mã độc Mã độc được phân thành các loại như sau: 1. Virus Virus là một loại mã độc hại mà có khả năng tự nhận bản và lây nhiễm chính nó vào các tập tin trên máy tính. Như vậy, virus không tồn tại độc lập thành một tập tin mà luôn bám vào một tập tin khác để thực thi và lây lan.

Worm Worm là mã độc có hành vi giống virus là có thể tự nhân bản và tự lây nhiễm trong hệ thống, tuy nhiên khác với virus, worm có thể tồn tại độc lập thành một tập tin trước khi lây nhiễm vào hệ thống. Tùy theo phương thức lây nhiễm vào hệ thống mà có thể phân loại worm: - Network Service Worm: là loại worm sử dụng các lỗ hổng bảo mật của mạng, của hệ điều hành hoặc của ứng dụng để lây nhiễm vào hệ thống. - Mass Mailing Worm: là loại worm sử dụng phương thức lây lan qua email. Khi worm lây nhiễm vào hệ thống thì nó tìm trong danh sách địa chỉ mail và gửi mail đến các địa chỉ đó để tiếp tục quá trình lây nhiễm.

Với phương thức lây nhiễm này, worm có thể lây lan rất nhanh trên hệ thống mạng. TIEU LUAN MOI download : skknchat@gmail. Trojan Horse Trojan horse là loại mã độc được đặt theo câu chuyện “Ngựa thành Troa”. Trojan horse không có hành vi tự nhân bản mà nó xuất hiện trong hệ thống như một chương trình lành tính, qua đó có thể đánh lừa được người sử dụng.

Tuy nhiên Trojan horse có những hành vi gây hại ngầm mà người dùng không dễ dàng nhận biết được. Malicious Mobile Code Malicious mobile code là một dạng mã phần mềm có thể được gửi từ xa vào để chạy trên một hệ thống mà không cần đến lời gọi thực hiện của người dùng trên hệ thống đó. Cách tốt nhất để chống lại malicious mobile code là luôn cập nhật hệ thống và tất cả các chương trình phụ. Spyware Spyware là phần mềm được cài đặt trên hệ thống nhằm mục đích thu thập thông tin trên hệ thống đó và truyền đến địa chỉ của kẻ tấn công.

Các thông tin quan trọng mà spyware thu thập có thể là: tài khoản và mật khẩu của người sử dụng, địa chỉ email, tài khoản ngân hàng… 1. Logic Bomb Là phần mềm cài đặt trên hệ thống và chỉ thực hiện hành vi gây hại khi có những điều kiện nhất định đáp ứng. Chẳng hạn như: logic bomb thực hiện xóa mọi dữ liệu trên hệ thống vào một thời điểm đã được cài đặt nhất định. Cấu trúc logic bomb thường được phân làm hai phần: - Payload: là đoạn mã thực hiện các hành vi gây hại.

- Trigger: là đoạn mã kiểm tra những điều kiện nhất định, nếu điều kiện này đúng thì sẽ kích hoạt đoạn mã payload. Logic Bomb là một loại mã độc rất nguy hiểm vì nó không thể hiện hành vi gây hại ngay khi thâm nhập vào hệ thống. Vì vậy, người dùng thường không nhận ra khi Logic Bomb đã thâm nhập thành công vào hệ thống. Tracking Cookie Tracking Cookie là sử dụng cookie để theo dõi một số hành động duyệt web của người sử dụng một cách bất hợp pháp.

Cookie là một tập tin dữ liệu TIEU LUAN MOI download : [e-mail] 13 dùng để lưu dữ thông tin về việc sử dụng một trang web nào đó. Tuy nhiên tính năng này bị lạm dụng để theo dõi và thu thập thông tin về người dùng. Attacker Tool Attacker Tool là những bộ công cụ tấn công được sử dụng để đẩy bí mật các phần mềm độc hại vào hệ thống mà không được phép của người dùng. Attacker Tool được chia thành nhiều loại khác nhau: - Backdoor: là công cụ được cài đặt trên hệ thống sau khi bị xâm nhập bất hợp pháp nhằm giúp kẻ tấn công quay lại xâm nhập vào hệ thống mà không cần phải qua các kiểm soát an ninh trên hệ thống.

- Zoombie: là công cụ được cài đặt trên hệ thống sau khi bị xâm nhập bất hợp pháp và chờ đợi lệnh từ kẻ tấn công. Các nhiệm vụ phổ biến nhất cho zombie là gửi thư rác và thực hiện tấn công từ chối dịch vụ quy mô lớn. - Keylogger: là công cụ được cài đặt trên hệ thống nhằm thu thập các thông tin sự kiện gõ bàn phím của người sử dụng. Rootkits Rootkit thường được hiểu là một là công cụ được cài đặt trên hệ thống nhằm thay đổi các hoạt động bình thường của hệ thống nhằm mục đích nhất định.

Chẳng hạn như thay đổi hoạt động của các hàm hệ thống (API), sửa đổi tập tin hệ thống. Rootkit thường được sử dụng để ẩn dấu các hành vi của các mã độc khác như backdoor, keylogger…và làm cho người sử dụng không dễ dàng nhận biết được sự tồn tại của các phần mềm độc hại này trên hệ thống. Rootkit được phân làm những loại sau đây: - Rootkit tần ứng dụng (Application layer rootkit) Rootkit tầng ứng dụng là rootkit hoạt động ở tầng cao của hệ điều hành (tầng ứng dụng). Mục tiêu của loại rootkit này có thể là các tập tin, registry, hoặc là các ứng dụng cụ thể trên hệ thống.

Hành động phổ biến mà loại rootkit này thường hay thực hiện là xóa các tập tin nhật ký hệ thống và ẩn các tập tin mà người dùng không dễ dàng phát hiện ra. Tuy nhiên, nhược điểm của loại rootkit này là dễ bị phát hiện bằng các kỹ thuật tìm kiếm thông tin ở tầng dưới của hệ thống. TIEU LUAN MOI download : [e-mail] 14 - Rootkit tầng thư viện (Library layer rootkit) Là loại rootkit can thiệp trực tiếp vào các thư viện trong hệ thống. Chẳng hạn như các hàm được sử dụng trong các tập tin thư viện liên kết động (Dynamic Link Library - DLL) trong hệ thống.

Loại rootkit này can thiệp và làm thay đổi giá trị trả về của các hàm trong thư viện. Qua đó, rootkit có thể ẩn các tập tin mã độc để người dùng không nhận ra sự xuất hiện của mã độc trong hệ thống. Loại rootkit này cũng có thể phát hiện được bằng cách thực thi các ứng dụng từ các thiết bị lưu trữ ngoài mã không sử dụng các thư viện đã bị sửa đổi. Qua đó có thể phát hiện sự tồn tại của rootkit trong hệ thống.

- Rootkit tầng nhân hệ thống (Kernel-layer rootkit) Đây là loại rootkit có hành vi can thiệp trực tiếp vào nhân của hệ điều hành. Loại rootkit này làm thay đổi các cấu trúc trong hệ thống hoặc làm thay đổi giá trị trả về của các hàm trong nhân của hệ điều hành. Qua đó, rootkit có thể ẩn các tập tin độc hại hoặc ẩn sự hoạt động trong hệ thống… Loại rootkit này khó phát hiện hơn rất nhiều so với hai loại rootkit trên. - Rootkit tầng phần cứng (Hardware-layer rootkit) Đây là loại rootkit khó phát hiện nhất.

Loại rootkit này được cài đặt trong phần cứng của các thiết bị để thu thập thông tin hoặc thực hiện nhiều hành vi độc hại khác. Loại rootkit này không thể phát hiện được bằng các chương trình phần mềm bình thường mà phải sử dụng rất nhiều các công cụ khác nhau để có thể phát hiện. Con đường lây nhiễm của mã độc Mã độc có nhiều con đường lây nhiễm khác nhau và có thể phát tán rất nhanh. Sau đây là một số con đường chủ yếu mà hệ thống bình thường có thể bị lây nhiễm mã độc.

Lây nhiễm qua thiết bị ngoại vi Malware phát tán qua SB và các thiết bị lưu trữ ngoài theo một số cơ chế sau: - Cơ chế Autorun (tự chạy) : Cơ chế này chỉ xuất hiện với những loại mã độc trên hệ điều hành Windows XP trở về trước. Với cách phát tán này mã độc sẽ tạo ra một tập tin TIEU LUAN MOI download : [e-mail] 15 với tên là “autorun. Bên trong tập tin “autorun.inf” sẽ có một đường dẫn đến mã độc thực sự. Khi người sử dụng kết nối thiết bị lưu trữ ngoài với máy tính, mã độc lợi dụng thói quen sơ hở của người sử dụng để xâm nhập.

Mã độc sau khi được thực thi tiến hành các hành vi gây hại và tiến hành phát tán bằng nhiều đường, lây lan ra toàn máy tính này cũng như các máy tính liên kết trong mạng. - Cơ chế giả biểu tượng Mã độc máy tính muốn hoạt động được đòi hỏi phải có sự tương thích với môi trường hệ điều hành và những điều kiện cụ thể (trong trường hợp trên thì cơ chế Autorun đã thực thi mã độc). Còn trường hợp phổ biến thứ hai, một mã độc giả dạng làm một thư mục hay tập tin quen thuộc. Bằng cách này mã độc có thể đánh lừa người sử dụng và chờ đợi người sử dụng vô tình kích hoạt mã độc.

Lây nhiễm từ kết nối mạng Do nhu cầu công việc mà các máy tính hiện nay đều kết nối với nhau thông qua một hệ thống mạng và đây cũng là con đường mà mã độc tiến hành phát tán và lây nhiễm từ hệ thống này sang hệ thống khác. Thông thường mã độc sẽ tiến hành tấn công từ bên ngoài qua các lỗ hổng bảo mật để tiến hành lây nhiễm. Chẳng hạn như mã độc “Conficker” lợi dụng lỗ hổng “MS-08-067” để tiến hành lây nhiễm từ hệ thống này sang hệ thống khác, nếu các hệ thống không cập nhật bản vá cho lỗ hổng này. Ngoài ra, với sự phát triển rộng rãi của mạng Internet trên thế giới hiện nay mà các phương thức lây nhiễm các loại mã độc qua Internet trở thành phương thức chính của mã độc ngày nay.

Lây nhiễm qua thư điện tử Đây là một con đường lây nhiễm rất phổ biến của mã độc. Phương thức này đã xuất hiện từ lâu nhưng hiện nay vẫn là một phương thức lây nhiễm của mã độc. Khi đã lây nhiễm vào máy nạn nhân, mã độc có thể tự tìm ra danh sách các địa chỉ thư điện tử sẵn có trong máy và nó tự động gửi đi hàng loạt cho những địa chỉ tìm thấy.