Khóa Luận Tốt Nghiệp: Tạo Biến Thể Mã Độc Windows Qua Học Tăng Cường

Khóa luận tốt nghiệp kỹ thuật phần mềm nghiên cứu phương pháp tạo biến thể mã độc Windows bằng học tăng cường, kiểm chứng chức năng qua so sánh tương đồng nhị phân.

Chuyên ngành

An toàn thông tin

Người đăng

Ẩn danh

Thể loại

khóa luận tốt nghiệp

2024

71
10
0

Phí lưu trữ

30 Point

Mục lục chi tiết

LỜI CẢM ƠN

1. CHƯƠNG 1: TỔNG QUAN ĐỀ TÀI VÀ TÌNH HÌNH NGHIÊN CỨU

1.1. Lý do chọn đề tài

1.2. Nghiên cứu liên quan

1.3. Tiềm năng của RL

1.4. Tính khoa học và tính mới của đề tài

1.5. Mục tiêu

1.6. Đối tượng

1.7. Phạm vi

1.8. Phương pháp nghiên cứu

1.9. Cấu trúc khoá luận tốt nghiệp

2. CHƯƠNG 2: CƠ SỞ LÝ THUYẾT

2.1. Học tăng cường

2.2. Tổng quan về mô hình học tăng cường

2.3. Các thành phần chính

2.4. Các action có thể thực hiện trên file PE

3. CHƯƠNG 3: PHƯƠNG PHÁP THỰC HIỆN

4. CHƯƠNG 4: THỰC NGHIỆM, ĐÁNH GIÁ VÀ THẢO LUẬN

4.1. Mô-đun phát hiện mã độc (Malware detector)

4.2. Mô-đun kiểm chứng chức năng (Functionality validator)

4.3. Trình tạo biến thể mã độc

4.4. Phương pháp đánh giá

4.5. Các kịch bản thực nghiệm

4.6. Thông số đánh giá

4.7. Kết quả thực nghiệm

4.8. Phần huấn luyện

4.9. Phần đánh giá

5. CHƯƠNG 5: KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN

TÀI LIỆU THAM KHẢO

PHỤ LỤC

Tóm tắt

I. Tạo biến thể mã độc

Tạo biến thể mã độc là quá trình biến đổi mã độc gốc để tạo ra các phiên bản mới nhằm tránh bị phát hiện bởi các hệ thống bảo mật. Phương pháp này sử dụng học tăng cường để tối ưu hóa các biến đổi, đảm bảo mã độc mới vẫn giữ được chức năng ban đầu. Mã độc Windows là mục tiêu chính do sự phổ biến của hệ điều hành này. Các biến thể được tạo ra thông qua việc thay đổi cấu trúc tệp PE (Portable Executable), bao gồm thêm hoặc xóa các phần tử như section, import table, hoặc thay đổi metadata. Phương pháp tạo mã độc này không chỉ giúp mã độc vượt qua các hệ thống phát hiện mà còn đảm bảo tính khả thi của chúng trong thực tế.

1.1. Học tăng cường trong tạo biến thể

Học tăng cường (Reinforcement Learning - RL) là phương pháp chính được sử dụng để tạo biến thể mã độc. RL cho phép tác nhân tự học từ môi trường thông qua các phản hồi dưới dạng phần thưởng. Trong ngữ cảnh này, tác nhân thực hiện các hành động biến đổi tệp PE và nhận phần thưởng dựa trên khả năng tránh bị phát hiện. Các thuật toán như DQN (Deep Q-Network)DistDQN (Distributaional DQN) được áp dụng để tối ưu hóa quá trình này. RL giúp tạo ra các biến thể phức tạp và khó phát hiện hơn, đồng thời đảm bảo tính khả thi của mã độc.

1.2. Tối ưu hóa mã độc

Tối ưu hóa mã độc là quá trình đảm bảo các biến thể mới vẫn giữ được chức năng ban đầu. Điều này được thực hiện thông qua kiểm chứng chức năng bằng cách so sánh tương đồng nhị phân giữa mã độc gốc và biến thể. Các phương pháp như prov2vex được sử dụng để chuyển đổi mã nhị phân thành vector đại diện, sau đó sử dụng CNN (Convolutional Neural Network) để đánh giá độ tương đồng. Quá trình này giúp đảm bảo các biến thể không chỉ vượt qua hệ thống phát hiện mà còn hoạt động hiệu quả trong thực tế.

II. Học tăng cường và an ninh mạng

Học tăng cường đóng vai trò quan trọng trong an ninh mạng, đặc biệt là trong việc phát triển các phương pháp phát hiện và ngăn chặn mã độc. RL được sử dụng để tạo ra các biến thể mã độc có khả năng né tránh các hệ thống phát hiện dựa trên học máy. Điều này đặt ra thách thức lớn cho các nhà nghiên cứu trong việc cải tiến các hệ thống bảo mật. Tấn công mạng ngày càng tinh vi, đòi hỏi các giải pháp mới để đối phó. RL không chỉ được sử dụng để tạo mã độc mà còn có thể áp dụng để phát triển các hệ thống phát hiện mã độc tiên tiến hơn.

2.1. Ứng dụng của học tăng cường

Học tăng cường được ứng dụng rộng rãi trong an ninh mạng, từ việc tạo ra các biến thể mã độc đến phát triển các hệ thống phát hiện mã độc. RL cho phép các tác nhân tự học và thích nghi với môi trường thay đổi liên tục, giúp tạo ra các giải pháp linh hoạt và hiệu quả. Các thuật toán như DQNDistDQN được sử dụng để tối ưu hóa quá trình học, đảm bảo các biến thể mã độc có khả năng né tránh cao hơn. Đồng thời, RL cũng được sử dụng để phát triển các hệ thống phát hiện mã độc dựa trên học máy, giúp cải thiện khả năng phát hiện và ngăn chặn các cuộc tấn công mạng.

2.2. Thách thức và hướng phát triển

Mặc dù học tăng cường mang lại nhiều tiềm năng trong an ninh mạng, nhưng vẫn tồn tại các thách thức lớn. Việc tạo ra các biến thể mã độc đòi hỏi sự cân nhắc kỹ lưỡng về tính khả thi và chức năng của chúng. Đồng thời, các hệ thống phát hiện mã độc cần được cải tiến liên tục để đối phó với các biến thể mới. Hướng phát triển trong tương lai bao gồm việc kết hợp học tăng cường với các phương pháp phân tích mã độc tiên tiến, nhằm tạo ra các giải pháp toàn diện hơn trong cuộc chiến chống lại mã độc.

III. Phương pháp tạo mã độc tự động

Phương pháp tạo mã độc tự động sử dụng học tăng cường để tạo ra các biến thể mã độc một cách hiệu quả. Quá trình này bao gồm việc thay đổi cấu trúc tệp PE, kiểm tra khả năng tránh bị phát hiện, và đảm bảo tính khả thi của mã độc. Tạo mã độc tự động không chỉ giúp tăng tốc độ tạo biến thể mà còn đảm bảo tính chính xác và hiệu quả của chúng. Các phương pháp như prov2vexCNN được sử dụng để kiểm chứng chức năng của các biến thể, đảm bảo chúng hoạt động tương tự như mã độc gốc.

3.1. Quy trình tạo biến thể

Quy trình tạo biến thể mã độc bắt đầu bằng việc thay đổi cấu trúc tệp PE thông qua các hành động như thêm section, thay đổi import table, hoặc xóa metadata. Sau đó, các biến thể được kiểm tra khả năng tránh bị phát hiện bởi các hệ thống bảo mật. Học tăng cường được sử dụng để tối ưu hóa quá trình này, đảm bảo các biến thể có khả năng né tránh cao nhất. Cuối cùng, các biến thể được kiểm chứng chức năng thông qua so sánh tương đồng nhị phân, đảm bảo chúng hoạt động hiệu quả trong thực tế.

3.2. Kiểm chứng chức năng

Kiểm chứng chức năng là bước quan trọng trong quá trình tạo mã độc tự động. Các biến thể được so sánh với mã độc gốc thông qua phân tích mã độcso sánh tương đồng nhị phân. Phương pháp prov2vex được sử dụng để chuyển đổi mã nhị phân thành vector đại diện, sau đó sử dụng CNN để đánh giá độ tương đồng. Quá trình này giúp đảm bảo các biến thể không chỉ vượt qua hệ thống phát hiện mà còn hoạt động hiệu quả trong thực tế, đảm bảo tính khả thi của chúng.

21/02/2025
Khóa luận tốt nghiệp kỹ thuật phần mềm phương pháp tạo biến thể mã độc windows dựa trên học tăng cường có kiểm chứng chức năng bằng so sánh tương đồng nhị phân

Trích đoạn nội dung tài liệu

Chương 1: TONG QUAN DE TAI VA TINH HÌNH NGHIÊN CỨU * Chương 2: CƠ SỞ LY THUYET * Chương 3: PHƯƠNG PHAP THUC HIỆN * Chương 4: HIỆN THUC, ĐÁNH GIÁ VÀ THẢO LUẬN * Chương 5: KET LUẬN VÀ HƯỚNG PHÁT TRIÊN CHƯƠNG 2. Hoc tăng cường 2. Tổng quan về mô hình học tăng cường Học tăng cường (RL) là một lĩnh vực quan trọng, có tiềm năng ứng dụng cao của trí tuệ nhân tạo, tập trung vào việc xây dựng và nghiên cứu các thuật toán ma một tác nhân tự động học cách ra quyết định hành động trong một môi trường dé nham tối đa hóa phần thưởng nhận được, từ đó đạt được mục tiêu huấn luyện. Trong RL, tác tử tương tác với môi trường bằng cách đưa ra quyết định hoặc thực hiện các hành động và nhận được phản hồi từ môi trường dưới dạng phần thưởng đại diện cho kết quả tử quyết định hoặc hành động mà tác tử đưa ra.

Mục tiêu của RL là tối ưu việc đưa ra các quyết định hoặc hành động mà tác nhân có thể thực hiện nhằm tối đa hóa phần thưởng mà nó thu được trong quá trình tương tác với môi trường. Các thành phần chính Action A a | a) State S Hình 2. Kiến trúc chung của học tăng cường. Các thành phần cơ bản trong RL (Hình 2.1) bao gồm: - Agent (Tác nhân): Là thực thé hoặc chương trình máy tính có khả năng thực hiện các hành động đã đề ra sẵn trong môi trường.

Nó có mục tiêu là tối đa hóa tổng phần thưởng mà nó nhận được thông qua quá trình tương tác với môi trường. - Environment (Môi trường): là hệ thống bên ngoài mà tác nhân tương tác. Nó có thé là bất kỳ hình thức nào, từ trò chơi máy tính đến robot thực tế hoặc các hệ thống tự động. - State (Trang thái): là biểu diễn của môi trường tại một thời điểm cụ thể.

Sau khi tác nhân đã thực hiện hành động cụ thể, trạng thái sẽ cung cấp thông tin về tình hình hiện tại của môi trường mà tác nhân sử dụng để ra quyết định hành động đã làm. - Action (Hành động): là các hành động mà tác nhân có thé thực hiện trong môi trường. Hành động này thường được lựa chọn từ một tập hợp các hành động có thể thực hiện tại mỗi trạng thái. - Reward (Phần thưởng): là phản hồi từ môi trường cho mỗi hành động của tác nhân và hướng dẫn tác nhân học từ kinh nghiệm.

Nếu tác nhân có những hành động đúng và hiệu quả thì sẽ được thưởng, ngược lại nếu tác nhân có những hành động xau thì sẽ bi phạt. - Policy (Chính sách): các tác nhân trong môi trường phải tuân theo chính sách là chuỗi những quy tắc được đặt ra dé chọn ra hành động phù hợp tại mỗi trạng thái. Chính sách có thé được biéu diễn dưới dang một bảng quyết định hoặc một hàm giá tri. Cac action có thé thực hiện trên file PE Trong ngữ cảnh của việc sử dung RL dé xử lý van đề tránh bi phát hiện do ảnh hưởng của các phần mềm độc hại, có một số hành động có thể thực hiện trên file PE [6] như Hình 2.

10 ARBE Code View Information COFF Symbols COFF Line Numbers reloc ARS-RELOCATION ARS-IDATA data S ections ARS-TEXT ARS 4a ARS-RESOURCE tls ARS-TLS ARS-UNKNOWN Section Table(Array of IMAGE_ Section_HEADERs) Export Table ee Import Table —— Z2 IMAGE_OPTIONAL_HEADER Resource Table IMAGE_NT_HEADERs Exception Table IMAGE_FILE_HEADER Certificate_Table “PE\O\0" PE signature Offset 0 MS-DOS Header Hình 2.Cau trúc file PE và những hành động dùng dé biến đổi nội dung cua file. - ARBE : Thêm các byte ngẫu nhiên vào cuối của tệp PE. Việc này có thé làm thay đổi kích thước của tệp một cách ngẫu nhiên mà không ảnh hưởng đến chức năng của nó. - ARI : Thêm một thư viện mới với tên và tên hàm ngẫu nhiên vao bảng địa chỉ nhập của tệp PE, có thể làm cho tệp trở nên phức tạp hơn và khó phát hiện hơn.

- ARS : Thêm một phần mới với tên ngẫu nhiên vào bảng phần của tệp PE. Phân này có thê chứa dữ liệu không mong muôn hoặc mã độc hại. - RS : Loại bỏ chữ ký số từ bảng chứng chỉ của tệp PE, từ đó có thé gây ra thay đổi trong dữ liệu chứng chi va làm cho tệp trở nên khó phát hiện hơn. Ứng dụng RL được áp dụng rộng rãi trong ứng dụng khoa học và công nghệ trong dời sông hiện nay như: - Phát triển hệ thống tự động lái xe, từ xe tự lái trong công nghiệp ô tô đến các phương tiện tự lái như xe buýt và xe điện tự lái.

RL giúp hệ thống lái xe tự động học từ môi trường xung quanh và tự điều chỉnh hành vi lái xe với mục đích đảm bảo an toàn và hiệu quả. - Robotics và Automation: áp dụng trong nhiều ứng dụng robot như robot dọn dẹp nhà cửa, robot giao hàng, robot y tế và robot sản xuất. RL giúp robot học và tự lựa chọn và điêu chỉnh hành vi của mình dựa trên môi trường va mục tiêu cụ thê. - Chăm sóc sức khỏe: RL được áp dụng trong nhiều mặt của lĩnh vực y học cũng như về chăm sóc sức khỏe dé tối ưu hóa quy trình chuẩn đoán và điều trị bệnh, lập lịch hóa các cuộc hẹn bác sĩ và dự đoán các kết quả của bệnh lý.

Tổng quan về mô hình học máy Mô hình học máy là một lĩnh vực thuộc trí tuệ nhân tạo (AT) nơi mọi thành phần của kiến trúc hệ thống được xây dựng theo mục đích riêng nên có thể học một cách tự động các dữ liệu và cải thiện hiệu suất mà không cần phải được theo dõi một cách thủ công từ con người. Mục tiêu chính của việc sử dụng học máy là phát triển khả năng dự đoán hoặc phân loại dữ liệu mới dựa vào kinh nghiệm đã học từ bộ huấn luyện. Các thành phần chính Một số khái niệm/thành phần cơ bản liên quan tới học máy: — Dữ liệu Huấn Luyện: là dit liệu mà mô hình sử dụng dé học. Nó thường bao gồm các dữ liệu (dạng ảnh, văn bản, video.) và nhãn phân loại tương ứng.

12 Model: Một mô hình là một biểu diễn toán học của quy luật mà mô hình cố gắng học từ dữ liệu. Mô hình có thể là một tập hợp các tham số được điều chỉnh trong quá trình huấn luyện. Training: còn gọi là huấn luyện, là quá trình tinh chỉnh các tham số của mô hình để mô hình có khả năng dự đoán đầu ra mong muốn từ đầu vào. Quá trình này thường bao gồm việc tối ưu hóa một hàm mất mát (loss function) nhằm cải thiện độ chính xác của mô hình.

Dự Đoán: áp dụng mô hình đã huấn luyện dé dự đoán kết quả với dit liệu mới mà nó chưa từng thấy. Hàm Mat Mat (Loss Function): Đây là một phép đo độ chệch giữa đầu ra dự đoán của mô hình và giá trị thực tế mong muốn. Mục tiêu là giảm thiểu giá trị của ham mat mát trong quá trình huấn luyện. Thuật Toán Học Máy: Là các phương pháp và kỹ thuật được sử dụng dé xây dựng và huấn luyện mô hình.

Các thuật toán phố biến bao gồm học giám sat (supervised learning), học không giám sát (unsupervised learning), va học tăng cường (reinforcement learning). Overfitting xảy ra khi mô hình học quá mức các đặc trưng và nhiễu của dit liệu huấn luyện, làm cho mô hình trở nên quá phù hợp với dữ liệu này mà không thé áp dung tôt cho dữ liệu mới. Khi một mô hình bi overfitting, nó thể hiện hiệu suất rất cao trên tập huấn luyện nhưng lại kém trên tập kiểm tra hoặc tập xác thực. Điều này xảy ra do mô hình đã học thuộc lòng các mẫu cụ thể của đữ liệu huấn luyện, bao gồm cả nhiễu, thay vì học các đặc trưng chung có thể áp dụng cho dữ liệu mới.

Một số nguyên nhân chính của overfitting bao gồm việc sử dụng một mô hình quá phức tạp với quá nhiều tham số, thời gian huấn luyện quá dài, hoặc dữ liệu huấn luyện không đủ đa dạng. Underfitting xảy ra khi mô hình thiết kế quá đơn giản và không thé học được cấu trúc phức tap của dữ liệu. Khi bị underfitting, hiệu suất của mô hình sẽ thấp trên cả trên tập huấn luyện và tập kiểm tra. Underfitting thường xảy ra 13 khi mô hình có quá ít tham số, sử dụng các kỹ thuật regularization quá mạnh, hoặc thời gian huấn luyện không đủ.

Giới thiệu mô hình Convolutional Neural Network(CNN) 2. Mạng nơ ron tích chập (CNN) Mạng nơ ron tích chập (CNN) là một trong những mô hình học sâu hiện đại và thường được ưu tiên sử dụng cho các bải toán nhận diện đối tượng trong hình ảnh. Convolutional Convolutional có thé hiểu là một loại cửa số dạng trượt di chuyền trên một ma trận đầu vào và chứa các parameter (tham số) có khả năng tự điều chỉnh dé trích xuất được những thông tin chính xác nhất mà không cần chọn đặc trưng. Các thành phan cơ bản của CNN e Convolutional Layer Lớp này là thành phan quan trọng nhất cua CNN, nó đảm nhiệm việc thực hiện các phép tính cần thiết để trích xuất đặc trưng từ dữ liệu.

Các phép tính như stride, padding, filter map, feature map đều được thực hiện trong lớp này. Những yếu tô này đóng vai trò thiết yêu cho việc tối ưu hoá khả năng nhận diện và phân loại cua CNN. Trong đó: e Filter map: là các ma trận ba chiều chứa các tham số, được sử dụng dé ap (nhân) vào từng vùng cu thé của ảnh. e_ Stride: sự dịch chuyền filter map từ trái sang phải (theo pixel).

e Padding: là các giá tri 0 được thêm vào lớp input hay còn gọi là ma trận của hình ảnh, mục dich là dé tăng kích thước của ảnh nhằm phù hợp với filter map mà không làm giảm chi tiết ảnh cũng như hiệu suất của mô hình. e_ Feature map: kết quả thu được sau mỗi lần các filter map quét vào từng vùng ảnh. 14 e Relu Layer (Rectified Linear Unit) Còn có tên gọi khác là hàm kích hoạt, hàm này dong vai trò tăng tốc cho quá trình training và làm nỗi bật các đặc trưng sau khi filter map. Công thức của hàm Relu: Kêt quả của công thức là x nêu x > 0 và 0 nêu ngược lại, tức là làm cho các điểm ảnh trên ma trận luôn không âm, từ đó tăng tốc cho quá trình training.

e Pooling Layer Thuong dung xen giữa các convolution layer, mục dich là làm giảm kích thước input hay ma trận hình ảnh, đồng thời vẫn giữ được các đặc trưng quan trọng (Hình 2. max pooling 12 | 20 30| 0 8 |12} 2/0 average pooling Hinh 2.

Nội dung được bảo vệ bản quyền — Tải xuống đầy đủ

Phương Pháp Tạo Biến Thể Mã Độc Windows Bằng Học Tăng Cường là một tài liệu chuyên sâu khám phá cách thức áp dụng học tăng cường (Reinforcement Learning) để tạo ra các biến thể mã độc trên hệ điều hành Windows. Tài liệu này cung cấp cái nhìn chi tiết về quy trình phát triển, thử nghiệm và tối ưu hóa các biến thể mã độc, đồng thời phân tích tác động của chúng đối với hệ thống bảo mật. Đọc giả sẽ hiểu rõ hơn về cách thức các mã độc tiến hóa và cách phòng chống hiệu quả.

Để mở rộng kiến thức về virus máy tính và các phương pháp nhận dạng, phát hiện, bạn có thể tham khảo thêm tài liệu Giới thiệu về virus máy tính nhận dạng và phát hiện virus phòng chống virus. Tài liệu này sẽ cung cấp thông tin chi tiết về các loại virus phổ biến, cách thức hoạt động và các biện pháp phòng ngừa hiệu quả.