Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ không gian mạng, các cuộc tấn công gián điệp mạng (Cyber Espionage) nhằm vào cơ quan ngoại giao, tổ chức chính phủ và doanh nghiệp chiến lược diễn ra với quy mô ngày càng tinh vi. Theo các báo cáo an ninh mạng quốc tế, hơn 70% các cuộc tấn công có chủ đích (APT) sử dụng các phần mềm cài cắm độc hại (Implanted Spyware) được lập trình riêng biệt, không chứa chữ ký nhận dạng (Signature-less) nhằm vượt qua hệ thống phòng thủ Antivirus/EDR truyền thống.

Phần mềm cài cắm thu tin bí mật được thiết kế để hoạt động hoàn toàn ở chế độ ẩn danh (Stealth Background Mode), chiếm dụng các tiến trình hệ thống hợp lệ và âm thầm trích xuất dữ liệu qua mạng hoặc thiết bị lưu trữ ngoại vi. Đề tài "Tìm hiểu và xây dựng một phương pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng Internet" của tác giả Lê Đức Phú (GVHD: T.S Hồ Văn Canh, Trường Đại học Quản lý và Công nghệ Hải Phòng) tập trung giải quyết triệt để bài toán nhận diện, cô lập và phân tích kỹ thuật các module gián điệp nguy hiểm này.

+-----------------------------------------------------------------------------------+
|                        MÔ HÌNH THU TIN BÍ MẬT CỦA PHẦN MỀM CÀI CẮM               |
+-----------------------------------------------------------------------------------+
|  [Ngoại vi: USB Flash]                                                            |
|         │  (Tự động quét & đánh cắp)                                              |
|         ▼                                                                         |
|  [Hệ thống Windows] ──► [svchost.exe (Iprip)] ──► [mdidll.dll]                   |
|                                                          │ (Mã hóa ASCII + 2)     |
|                                                          ▼                        |
|  [Lưu trữ ngụy trang] ◄── [MsDdac / MSDLsa] ◄────────────┘                        |
|         │                                                                         |
|         ▼ (Exfiltration qua mạng Internet)                                        |
|  [Cơ quan Thu tin Tình báo Nước ngoài]                                            |
+-----------------------------------------------------------------------------------+

Mục tiêu nghiên cứu cụ thể

  1. Nghiên cứu cơ chế vận hành hệ thống: Phân tích quy trình khởi động của hệ điều hành Windows NT, cấu trúc tập tin thực thi khả chuyển PE (Portable Executable), và kiến trúc phân cấp của Windows Registry.
  2. Khảo sát phương thức thu tin: Làm rõ ranh giới giữa thu tin công khai và thu tin bí mật, các kỹ thuật khai thác lỗ hổng (Exploit) và kỹ thuật cài cắm phần mềm chuyên dụng của các cơ quan tình báo điện tử.
  3. Phân tích hiện trường thực tế: Tái lập và giải phẫu vụ tấn công cài cắm module gián điệp mdidll.dll đánh cắp dữ liệu thiết bị USB tại cơ quan đại diện Việt Nam ở nước ngoài (tháng 02/2021).
  4. Xây dựng quy trình xử lý chuyên sâu: Đề xuất phương pháp luận kết hợp giữa điều tra số (Digital Forensics) và Kỹ nghệ đảo ngược (Reverse Engineering) để bóc tách mã độc, khắc phục hậu quả và bịt kín lỗ hổng hệ thống.

Phạm vi và giới hạn đề tài

  • Phạm vi đối tượng: Phân tích chuyên sâu hệ điều hành Windows (kiến trúc nhân NT), cấu trúc PE header, các hàm Win32 API, kỹ thuật Service Hijacking thông qua svchost.exe, và disassembling mã máy x86.
  • Giới hạn kỹ thuật: Tập trung vào kỹ thuật phân tích tĩnh (Static Analysis) và phân tích động (Dynamic Analysis) trên mẫu module DLL cài cắm cụ thể, không bao gồm phân tích mã độc trên nền tảng Linux hoặc macOS.

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các giải pháp phòng thủ an ninh truyền thống bộc lộ nhiều lỗ hổng khi đối đầu với mã độc cài cắm có chủ đích:

Tiêu chí so sánh Antivirus dựa trên Signature Sandbox/Hành vi tự động Phương pháp đề xuất (Forensics + RE)
Khả năng phát hiện APT Kém (0% với mã độc tùy biến) Trung bình (dễ bị anti-sandbox) Cao (Phân tích trực tiếp mã assembly)
Độ bao phủ phân tích Chỉ nhận diện mẫu đã biết Phân tích hành vi bề nổi Bóc tách toàn bộ thuật toán và config
Thời gian phản ứng Phụ thuộc cập nhật database Nhanh nhưng tỷ lệ False Positive cao Toàn diện, phục vụ công tác điều tra số
Tác động hiện trường Có thể xóa mất chứng cứ số Không giữ được toàn vẹn RAM/Disk Bảo tồn nguyên trạng ổ đĩa và cấu hình 
+───────────────────────────────────────────────────────────────────────────────────+
|                         MA TRẬN YÊU CẦU NGHIỆP VỤ (MoSCoW)                        |
+───────────────────────────────────────────────────────────────────────────────────+
| [Must-Have]   : Sao lưu ảnh đĩa toàn vẹn (Forensic Image via Ghost).              |
|                 Định vị chính xác DLL lạ tiêm vào svchost.exe.                    |
| [Should-Have] : Trích xuất xâu ký tự và giải mã thuật toán đổi tên file (ASCII+2).|
|                 Xác định service registry bị hijacked (Iprip).                    |
| [Could-Have]  : Tái tạo mã nguồn C++ ban đầu từ luồng mã x86 Disassembly.         |
| [Won't-Have]  : Xóa bỏ tức thời mẫu file mà không bảo lưu chứng cứ số học.        |
+───────────────────────────────────────────────────────────────────────────────────+

Thiết kế hệ thống và bộ công cụ phân tích

Hệ thống phân tích được xây dựng theo mô hình phòng thí nghiệm biệt lập (Air-gapped Sandbox Lab) với các tầng công cụ chuyên dụng:

                  ┌─────────────────────────────────────────┐
                  │       HỆ THỐNG MẪU BỊ NHIỄM ĐỘC         │
                  └────────────────────┬────────────────────┘
                                       │ (Norton Ghost 11.5)
                                       ▼
                  ┌─────────────────────────────────────────┐
                  │    FORENSIC ACQUISITION & REPLICATION   │
                  └────────────────────┬────────────────────┘
                                       │
                    ┌──────────────────┴──────────────────┐
                    ▼                                     ▼
     ┌─────────────────────────────┐       ┌─────────────────────────────┐
     │      DYNAMIC BEHAVIORAL     │       │     DEEP STATIC REVERSE     │
     │      TRIAGE & MONITORING    │       │     ENGINEERING PIPELINE    │
     ├─────────────────────────────┤       ├─────────────────────────────┤
     │ • FileMon v7.04 (File I/O)  │       │ • PEiD v0.93 / RDG Detector │
     │ • Process Explorer v16.x    │       │ • IDA Pro Advanced v5.2     │
     │ • OllyDbg v1.10             │       │ • Hex Workshop / Strings    │
     └──────────────┬──────────────┘       └──────────────┬──────────────┘
                    │                                     │
                    └──────────────────┬──────────────────┘
                                       ▼
                  ┌─────────────────────────────────────────┐
                  │    BÁO CÁO PHÂN TÍCH VÀ QUY TRÌNH XỬ LÝ │
                  └─────────────────────────────────────────┘

Technology Stack & Công cụ sử dụng

  • Môi trường hệ thống: Microsoft Windows NT Kernel Architecture.
  • Công cụ trích xuất ảnh đĩa: Norton Ghost v11.5.
  • Công cụ giám sát hành vi động: Sysinternals FileMon v7.04, Process Explorer v16.x.
  • Công cụ nhận dạng PE/Packer: PEiD v0.93, RDG Packer Detector v0.7.
  • Công cụ Disassembler/Debugger: IDA Pro Advanced v5.2, OllyDbg v1.10.
  • Môi trường biên dịch gốc của mã độc: Microsoft Visual C++ 6.0 (Unpacked).

Cấu trúc thiết kế can thiệp Windows Registry

Phần mềm cài cắm lợi dụng cơ chế Host Process của Windows (svchost.exe -k netsvcs) bằng cách tạo khóa dịch vụ giả lập Iprip (IP Route Information Protocol Listener):

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iprip]
"Type"=dword:00000120
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,\
  33,32,5c,73,76,63,68,6f,73,74,2e,65,78,65,20,2d,6b,20,6e,65,74,73,76,63,73,00
"DisplayName"="IP RIP Service"
"ObjectName"="LocalSystem"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iprip\Parameters]
"ServiceDll"="C:\\Windows\\system32\\mdidll.dll"

Phương pháp luận (Methodology)

Đề tài áp dụng quy trình điều tra chứng cứ kỹ thuật số chuẩn 4 bước:

  1. Bảo vệ và đóng băng hiện trường (Acquisition): Tuyệt đối không thao tác trực tiếp trên máy vật lý; sử dụng Norton Ghost sao lưu toàn bộ sector ổ cứng sang ổ đĩa phân tích chuyên dụng.
  2. Giám sát hành vi I/O và Process (Behavioral Analysis): Kích hoạt FileMon và Process Explorer để bắt các sự kiện đọc/ghi file ẩn, lọc các tiến trình hệ thống có mức độ tiêu thụ I/O bất thường.
  3. Kỹ nghệ đảo ngược tĩnh (Static Reverse Engineering): Nạp module nghi vấn vào IDA Pro, phân tích cấu trúc PE section (.text, .data, .rsrc), trích xuất chuỗi mã hóa và đồ thị hàm (Control Flow Graph).
  4. Phân tích động và gỡ rối (Dynamic Debugging): Đặt breakpoint trong OllyDbg tại EntryPoint và các lời gọi Win32 API quan trọng để giám sát tham số bộ nhớ.

Implementation và kết quả

Chi tiết quá trình điều tra và bóc tách kỹ thuật

Trong quá trình thực nghiệm điều tra tại hiện trường vụ việc (tháng 02/2021), khi cắm thiết bị lưu trữ USB Flashdisk vào máy tính bị cài cắm, hệ thống có hiện tượng chậm đột ngột và ổ đĩa C nhanh chóng bị đầy.

Bước 1: Phát hiện vị trí lưu trữ ngụy trang

Kiểm tra thư mục hệ thống chuẩn: C:\Program Files\Common Files\Microsoft Shared\MSInfo Hệ thống bình thường chỉ chứa một số file mặc định. Tuy nhiên, trên máy bị tấn công xuất hiện 3 thư mục con bất thường: MsDdac, MSDLsa, và MSDxml.

Bước 2: Giám sát luồng I/O với FileMon

Khi kết nối USB, tiến trình svchost.exe lập tức kích hoạt luồng đọc toàn bộ cây thư mục trên USB, tạo bản sao vào thư mục MsDdac với tốc độ cực cao, đồng thời thực hiện thuật toán thay đổi phần mở rộng file (File Extension Obfuscation).

+───────────────────────────────────────────────────────────────────────────────────────────+
|                  FILEMON CAPTURE LOG (GIÁM SÁT TRUY XUẤT USB TỰ ĐỘNG)                     |
+───────────────────────────────────────────────────────────────────────────────────────────+
| Time     | Process     | Request   | Path                                    | Result     |
| 14:02:11 | svchost.exe | FASTIO_RD | E:\TaiLieuMat.doc                       | SUCCESS    |
| 14:02:11 | svchost.exe | CREATE    | C:\...\MSInfo\MsDdac\TaiLieuMat.fqe     | SUCCESS    |
| 14:02:12 | svchost.exe | WRITE     | C:\...\MSInfo\MsDdac\TaiLieuMat.fqe     | SUCCESS    |
| 14:02:15 | svchost.exe | CREATE    | C:\...\MSInfo\MsDdac\pic.x|{            | INVALID    |
| 14:02:16 | svchost.exe | CREATE    | C:\...\MSInfo\MsDdac\Thư mục 1          | INVALID    |
+───────────────────────────────────────────────────────────────────────────────────────────+

Bước 3: Phân tích giải thuật ngụy trang phần mở rộng

Module cài cắm sử dụng thuật toán thay thế ký tự trong phần mở rộng bằng cách tăng giá trị mã ASCII lên 2 đơn vị:

$$\text{ASCII}{\text{new}} = \text{ASCII}{\text{old}} + 2$$

// Mô phỏng thuật toán đổi phần mở rộng trích xuất từ mã máy mdidll.dll
void ObfuscateExtension(char* ext) {
    while (*ext) {
        // Tăng trực tiếp mã ASCII lên 2 đơn vị, không sử dụng Modulo 26
        *ext = *ext + 2;
        ext++;
    }
}
// Ví dụ chuyển đổi:
// "doc" -> 'd'+2='f', 'o'+2='q', 'c'+2='e' -> "fqe"
// "xls" -> 'x'+2='z', 'l'+2='n', 's'+2='u' -> "znu"
// "xyz" -> 'x'+2='z', 'y'+2='|', 'z'+2='{' -> "z|{" (Lỗi hệ điều hành: ký tự cấm)

[!WARNING] Điểm yếu chí mạng của thuật toán: Do tác giả mã độc không áp dụng phép toán xoay vòng $\pmod{26}$, các ký tự y và z bị biến đổi thành | (ASCII 124) và { (ASCII 123) – đây là các ký tự cấm trong định dạng tên file của Windows NT, dẫn đến việc hàm tạo file trả về mã lỗi NAME INVALID. Ngoài ra, module không hỗ trợ chuỗi Unicode, khiến toàn bộ file/thư mục tiếng Việt có dấu đều không thể bị sao chép.

Bước 4: Định vị và đảo ngược mã nguồn mdidll.dll

Sử dụng Process Explorer kiểm tra danh sách DLL được nạp bởi tiến trình svchost.exe, phát hiện thư viện:

  • Tên file: mdidll.dll
  • Vị trí: C:\Windows\System32\mdidll.dll
  • Thời gian khởi tạo: 30/08/2021 (Khác biệt hoàn toàn so với các DLL gốc của hệ điều hành).
  • Kết quả PEiD / RDG: Biên dịch bằng Microsoft Visual C++ 6.0, định dạng Native PE32 DLL, không bị đóng gói (Not Packed).

Trích xuất danh sách chuỗi (Strings View) từ IDA Pro Advanced v5.2 thu được các bằng chứng xác thực:

C:\Program Files\Common Files\Microsoft Shared\MsInfo\MsDdac
C:\Program Files\Common Files\Microsoft Shared\MsInfo\MSDLsa
SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
SYSTEM\CurrentControlSet\Services\Iprip
svchost.exe -k netsvcs
CreateFileA, ReadFile, WriteFile, FindFirstFileA, FindNextFileA

+───────────────────────────────────────────────────────────────────────────────────+
|               TRÍCH ĐOẠN DISASSEMBLY KHỞI TẠO DỊCH VỤ TRONG IDA PRO               |
+───────────────────────────────────────────────────────────────────────────────────+
.text:10001420 push    ebp
.text:10001421 mov     ebp, esp
.text:10001423 sub     esp, 20h
.text:10001426 push    offset aSystemCurrentc ; "SYSTEM\\CurrentControlSet\\Services\\Iprip"
.text:1000142B push    80000002h              ; HKEY_LOCAL_MACHINE
.text:10001430 call    ds:RegOpenKeyExA
.text:10001436 test    eax, eax
.text:10001438 jnz     short loc_error
.text:1000143A push    offset aMdidllDll      ; "C:\\Windows\\system32\\mdidll.dll"
.text:1000143F push    offset aServicedll     ; "ServiceDll"
.text:10001444 call    ds:RegSetValueExA

Kết quả kiểm thử và đánh giá hiệu năng

+───────────────────────────────────────────────────────────────────────────────────────────+
|                         BẢNG THỐNG KÊ KẾT QUẢ THỰC NGHIỆM ĐIỀU TRA                        |
+───────────────────────────────────────────────────────────────────────────────────────────+
| Hạng mục kiểm thử             | Mục tiêu thiết kế        | Kết quả thực tế đạt được       |
| ----------------------------- | ------------------------ | ------------------------------ |
| Tỷ lệ phát hiện module lạ     | 100% DLL không có chữ ký | Phát hiện chính xác mdidll.dll  |
| Tốc độ sao chép trộm dữ liệu  | Trong suốt với người dùng| ~45 MB/s qua raw Win32 I/O     |
| Giải mã cơ chế ngụy trang     | Bóc tách thuật toán file  | Tìm ra quy luật ASCII + 2       |
| Khôi phục hệ thống an toàn    | Không cần cài lại Windows | Vô hiệu hóa triệt để Service    |
| Tỷ lệ nhận diện của AV cũ     | Quét theo Database mẫu   | 0% (Bị bỏ lọt hoàn toàn)        |
+───────────────────────────────────────────────────────────────────────────────────────────+

Đổi mới và đóng góp

  1. Phương pháp luận phát hiện mã độc phi chữ ký: Xây dựng quy trình 4 giai đoạn kết hợp giữa phân tích I/O tầng thấp và kỹ nghệ đảo ngược tĩnh, giải quyết triệt để bài toán phát hiện các phần mềm gián điệp tinh vi được cơ quan đặc biệt thiết kế riêng.
  2. Phát hiện lỗi logic trong giải thuật tấn công: Chứng minh và chỉ rõ điểm yếu kỹ thuật trong thuật toán mã hóa tên file (ASCII + 2 không modulo 26), mở ra dấu hiệu nhận biết đặc trưng (IoC - Indicator of Compromise) khi hệ thống xuất hiện các file có đuôi .x|{ hoặc lỗi NAME INVALID.
  3. Hiệu quả phát hiện vượt trội: So với các giải pháp quét virus thông thường vốn hoàn toàn bất lực trước mdidll.dll, phương pháp đề xuất giúp định vị chính xác 100% thành phần độc hại, xác định dịch vụ bị chiếm dụng (Iprip) và phục dựng nguyên trạng dữ liệu bị đánh cắp.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng thực tế

  • Cơ quan đại diện ngoại giao và an ninh quốc phòng: Ứng dụng quy trình điều tra để rà soát định kỳ các máy trạm xử lý tài liệu mật, ngăn chặn nguy cơ rò rỉ thông tin qua thiết bị ngoại vi.
  • Trung tâm điều hành an ninh mạng (SOC): Bổ sung rule giám sát các Registry Key nhạy cảm liên quan đến svchost.exe và các dịch vụ mạng hiếm khi kích hoạt trên máy trạm (như RIP Listener).
+───────────────────────────────────────────────────────────────────────────────────+
|                    QUY TRÌNH 4 BƯỚC XỬ LÝ VÀ BỊT KÍN SƠ HỞ                        |
+───────────────────────────────────────────────────────────────────────────────────+
|  [Bước 1] Dừng dịch vụ: net stop Iprip                                            |
|  [Bước 2] Xóa cấu hình Service: sc delete Iprip                                   |
|  [Bước 3] Xóa sạch thư mục ngụy trang: C:\...\MsInfo\MsDdac, MSDLsa, MSDxml      |
|  [Bước 4] Khởi động lại vào Safe Mode và xóa file nhị phân:                       |
|           C:\Windows\System32\mdidll.dll                                          |
+───────────────────────────────────────────────────────────────────────────────────+

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Phụ thuộc vào kỹ năng chuyên gia: Quy trình phân tích Disassembly trên IDA Pro đòi hỏi chuyên viên an toàn thông tin có trình độ chuyên sâu về hợp ngữ x86 và kiến trúc nhân Windows.
  • Chưa tự động hóa hoàn toàn: Việc đối chiếu hành vi I/O và truy vết module lạ vẫn cần sự can thiệp thủ công trong môi trường Sandbox biệt lập.

Hướng phát triển tương lai

  • Xây dựng Agent giám sát thời gian thực tự động đối chiếu các DLL được nạp bởi svchost.exe với cơ sở dữ liệu chữ ký số của Microsoft.
  • Tích hợp thuật toán Machine Learning / Deep Learning trên đồ thị luồng điều khiển (CFG) để tự động phát hiện các đoạn mã ngụy trang tên file và trích xuất dữ liệu trái phép.

Đối tượng hưởng lợi

+───────────────────────────────────────────────────────────────────────────────────+
|                            ĐỐI TƯỢNG HƯỞNG LỢI DỰ ÁN                              |
+───────────────────────────────────────────────────────────────────────────────────+
| • Sinh viên CNTT / ATTT  : Nắm vững phương pháp luận Forensics & Reverse Eng.     |
| • Chuyên viên SOC / DFIR : Sở hữu Playbook xử lý sự cố Service Hijacking thực tế. |
| • Cơ quan / Doanh nghiệp : Bảo vệ bí mật thông tin, ngăn ngừa thất thoát dữ liệu. |
| • Nhà nghiên cứu Malware : Tài liệu tham khảo thực chứng về mã độc gián điệp mạng.|
+───────────────────────────────────────────────────────────────────────────────────+

Câu hỏi thường gặp

1. Yêu cầu kỹ thuật tối thiểu để thiết lập môi trường phân tích là gì?

Cần một máy trạm phân tích độc lập (Air-gapped) chạy hệ điều hành Windows ảo hóa, trang bị bộ công cụ: Norton Ghost 11.5 để nạp ảnh đĩa hiện trường, Sysinternals Suite (Process Explorer, FileMon/ProcMon), PEiD 0.93, OllyDbg 1.10 và IDA Pro Advanced (hỗ trợ phân tích nhị phân x86).

2. Tại sao Antivirus thông thường không thể phát hiện ra module mdidll.dll?

Vì mdidll.dll là phần mềm cài cắm chuyên biệt, được lập trình riêng cho chiến dịch tình báo cụ thể, không sử dụng mã nguồn mở phổ biến và chưa từng xuất hiện trên các cơ sở dữ liệu mẫu mã độc toàn cầu (Signature Database). Ngoài ra, file không bị pack và nạp ngầm qua tiến trình hợp lệ của Windows (svchost.exe) nên không kích hoạt các cảnh báo cơ bản.

3. Tại sao mã độc lại chọn giả danh dịch vụ IPRIP mà không phải dịch vụ khác?

IPRIP (IP Route Information Protocol Listener) là dịch vụ mạng chính thống của Windows phục vụ định tuyến RIP. Tuy nhiên, dịch vụ này hiếm khi được bật trên các máy trạm thông thường. Kẻ tấn công lợi dụng tên dịch vụ này để qua mặt người quản trị khi kiểm tra danh sách services đang chạy.

4. Nếu xóa trực tiếp file mdidll.dll khi hệ thống đang chạy thì có được không?

Không thể xóa trực tiếp vì file DLL đang được tiến trình svchost.exe khóa (File Locking) trong bộ nhớ. Nếu cố tình xóa không đúng quy trình, hệ thống có thể bị crash hoặc kẻ tấn công có thể cấu hình cơ chế tự phục hồi (Persistence Mechanism). Cần dừng dịch vụ (net stop Iprip), gỡ khóa Registry và xóa file trong môi trường Safe Mode hoặc WinPE.

5. Chi phí triển khai quy trình điều tra này là bao nhiêu?

Chi phí phần mềm bằng 0 nếu sử dụng các công cụ phân tích tĩnh/động miễn phí và tiêu chuẩn trong ngành điều tra số. Giá trị mang lại là vô giá khi giúp bảo vệ an toàn tuyệt đối các bí mật nhà nước và dữ liệu chiến lược của tổ chức.

Kết luận

Đồ án "Tìm hiểu và xây dựng một phương pháp phát hiện phần mềm cài cắm để chặn thu tin bí mật qua mạng Internet" của tác giả Lê Đức Phú đã giải quyết thành công một bài toán an ninh thông tin đặc biệt phức tạp trong thực tiễn. Bằng việc kết hợp chặt chẽ giữa nguyên lý điều tra chứng cứ số (Digital Forensics) và Kỹ nghệ đảo ngược chuyên sâu (Reverse Engineering), nghiên cứu đã bóc trần toàn bộ cơ chế ngụy trang, thu thập và chiếm quyền điều khiển của module gián điệp mdidll.dll.

Công trình không chỉ mang lại giá trị học thuật xuất sắc về giải phẫu hệ điều hành Windows NT và cấu trúc PE, mà còn cung cấp một quy trình nghiệp vụ sắc bén, có tính ứng dụng thực chiến cao, góp phần quan trọng vào công tác bảo vệ an ninh thông tin và phòng chống gián điệp mạng tại Việt Nam.