Xây Dựng Môi Trường Phân Tích Để Vượt Qua Kỹ Thuật Phát Hiện Máy Ảo Của Mã Độc

Khóa luận trình bày phương pháp xây dựng môi trường phân tích nhằm vượt qua kỹ thuật phát hiện máy ảo của mã độc trong an toàn thông tin.

• Tác giả: Phạm Xuân An
• Người hướng dẫn: TS. Phạm Văn Hậu
• Trường học: Đại học Quốc gia TP. Hồ Chí Minh
• Chuyên ngành: Ngành An Toàn Thông Tin
• Đề tài: Xây Dựng Môi Trường Phân Tích Để Vượt Qua Kỹ Thuật Phát Hiện Máy Ảo Của Mã Độc
• Loại tài liệu: khóa luận tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: TP. Hồ Chí Minh

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: Lí do chọn đề tài. Đối tượng và phạm vi nghiên cứu. Các đề tài liên quan. Những đề mục đề tài tập trung. Một số tập tin liên quan và công nghệ được sử dụng
• 2. CÁC KĨ THUẬT ĐƯỢC NGHIÊN CỨU VÀ SỬ DỤNG
• 2.1. Các kĩ thuật phát hiện máy ảo và cách thức vượt qua
• 2.2. Sử dụng kiến trúc CPUID
• 2.3. Sử dụng IN instruction
• 2.4. Redpill
• 2.5. Kiểm tra các tập tin
• 3. KẾT QUẢ THỬ NGHIỆM
• DANH MỤC HÌNH
• DANH MỤC BẢNG
• DANH MỤC MÃ NGUỒN
• TÓM TẮT KHÓA LUẬN

Tóm tắt

I. Tổng Quan Về Xây Dựng Môi Trường Phân Tích Mã Độc

Môi trường phân tích mã độc là một yếu tố quan trọng trong việc phát hiện và phân tích các mối đe dọa từ mã độc. Việc xây dựng một môi trường phân tích hiệu quả giúp các nhà nghiên cứu có thể kiểm tra và hiểu rõ hơn về hành vi của mã độc. Mục tiêu chính là tạo ra một không gian an toàn để thử nghiệm mà không làm ảnh hưởng đến hệ thống chính.

1.1. Khái Niệm Về Môi Trường Phân Tích Mã Độc

Môi trường phân tích mã độc thường được thiết lập trên máy ảo, cho phép các nhà nghiên cứu kiểm tra mã độc mà không làm hại đến hệ thống thực. Việc này giúp bảo vệ dữ liệu và hệ thống khỏi các tác động tiêu cực.

1.2. Tầm Quan Trọng Của Môi Trường Phân Tích

Môi trường phân tích không chỉ giúp phát hiện mã độc mà còn hỗ trợ trong việc phát triển các biện pháp bảo mật hiệu quả. Nó cho phép các nhà nghiên cứu thử nghiệm các kĩ thuật mới và cải thiện khả năng phát hiện mã độc.

II. Thách Thức Trong Việc Phát Hiện Máy Ảo Của Mã Độc

Mã độc ngày càng trở nên tinh vi hơn với các kĩ thuật chống máy ảo (anti-VM) nhằm tránh bị phát hiện. Những thách thức này đòi hỏi các nhà nghiên cứu phải liên tục cập nhật và cải thiện các phương pháp phân tích của mình.

2.1. Các Kĩ Thuật Phát Hiện Máy Ảo Thông Dụng

Các kĩ thuật phát hiện máy ảo bao gồm kiểm tra các thuộc tính phần cứng, kiểm tra registry, và kiểm tra bộ nhớ. Những kĩ thuật này giúp mã độc xác định xem nó đang chạy trên máy ảo hay không.

2.2. Tác Động Của Kĩ Thuật Chống Máy Ảo Đến Phân Tích Mã Độc

Kĩ thuật chống máy ảo làm cho việc phân tích mã độc trở nên khó khăn hơn. Điều này dẫn đến việc các nhà nghiên cứu cần phát triển các phương pháp mới để vượt qua các kĩ thuật này.

III. Phương Pháp Xây Dựng Môi Trường Phân Tích Hiệu Quả

Để vượt qua các kĩ thuật phát hiện máy ảo, cần thiết phải xây dựng một môi trường phân tích có khả năng che giấu sự hiện diện của máy ảo. Các phương pháp này bao gồm việc thay đổi cấu hình máy ảo và sử dụng các công cụ hỗ trợ.

3.1. Sử Dụng Kiến Trúc CPUID Để Vượt Qua Phát Hiện

Kiến trúc CPUID cho phép xác định môi trường đang chạy. Bằng cách thay đổi các giá trị trả về từ CPUID, có thể làm cho mã độc không phát hiện được máy ảo.

3.2. Tinh Chỉnh Cấu Hình Máy Ảo Để Tránh Bị Phát Hiện

Việc chỉnh sửa các tập tin cấu hình máy ảo như .vmx có thể giúp che giấu thông tin về máy ảo, từ đó giảm thiểu khả năng bị phát hiện bởi mã độc.

IV. Ứng Dụng Thực Tiễn Của Môi Trường Phân Tích Mã Độc

Môi trường phân tích mã độc không chỉ hữu ích trong việc phát hiện mà còn trong việc phát triển các giải pháp bảo mật. Các kết quả từ việc phân tích có thể được áp dụng để cải thiện các hệ thống bảo mật hiện tại.

4.1. Kết Quả Nghiên Cứu Từ Môi Trường Phân Tích

Các nghiên cứu cho thấy rằng việc sử dụng môi trường phân tích mã độc giúp phát hiện và phân tích hành vi của mã độc hiệu quả hơn. Điều này giúp các tổ chức bảo vệ hệ thống của họ tốt hơn.

4.2. Tính Ứng Dụng Trong Thực Tế

Môi trường phân tích mã độc có thể được áp dụng trong các tổ chức an ninh mạng để phát hiện và ngăn chặn các mối đe dọa từ mã độc. Điều này giúp bảo vệ thông tin và tài sản của tổ chức.

V. Kết Luận Về Tương Lai Của Môi Trường Phân Tích Mã Độc

Tương lai của môi trường phân tích mã độc sẽ tiếp tục phát triển với sự gia tăng của các kĩ thuật chống máy ảo. Các nhà nghiên cứu cần phải không ngừng cải tiến và phát triển các phương pháp mới để đối phó với các mối đe dọa này.

5.1. Xu Hướng Phát Triển Trong Phân Tích Mã Độc

Xu hướng phát triển trong phân tích mã độc sẽ tập trung vào việc cải thiện khả năng phát hiện và phân tích mã độc, đồng thời phát triển các công cụ hỗ trợ hiệu quả hơn.

5.2. Tương Lai Của Các Kĩ Thuật Chống Máy Ảo

Các kĩ thuật chống máy ảo sẽ tiếp tục phát triển, đòi hỏi các nhà nghiên cứu phải luôn cập nhật và cải tiến các phương pháp phân tích của mình để đảm bảo an toàn cho hệ thống.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Trong bối cảnh an ninh mạng và chuyển đổi số, mã độc (malware) ngày càng gia tăng về mức độ tinh vi và độ phức tạp. Nhằm lẩn tránh sự phát hiện của các giải pháp bảo mật và ngăn cản quá trình dịch ngược, mã độc hiện đại thường được tích hợp ba nhóm kỹ thuật lẩn tránh trọng tâm: làm rối mã (obfuscation), chống gỡ lỗi (anti-debugging) và chống môi trường ảo hóa (anti-VM). Theo số liệu thống kê được nhóm tác giả trích dẫn từ 36 họ mã độc dựa trên cơ sở dữ liệu của MITRE giai đoạn 2010 đến giữa năm 2020:

• 33% số dòng mã độc thực hiện các cơ chế kiểm tra môi trường thực thi.
• 25% thi hành các truy vấn giao diện quản lý Windows Management Instrumentation (WMI).
• 19% rà soát các tiến trình đang hoạt động trong hệ thống.
• 14% truy xuất trực tiếp các khóa Registry để thu thập thông tin định danh máy ảo.

Phần lớn các chuyên gia và nhà phân tích an toàn thông tin hiện nay đều lựa chọn máy ảo làm môi trường cách ly an toàn để thực hiện phân tích hành vi động. Khi phát hiện đang chạy trong môi trường ảo hóa, mã độc thường tự động hủy kích hoạt, ngừng phát tán hoặc thay đổi hoàn toàn hành vi, khiến quá trình phân tích gặp nhiều sai lệch. Để giải quyết thách thức này, đề tài "Xây dựng môi trường phân tích để vượt qua các kĩ thuật phát hiện máy ảo (anti-VM) của mã độc" được thực hiện bởi hai sinh viên Phạm Xuân An và An Văn Hiếu (ngành An toàn thông tin, Khoa Mạng máy tính và Truyền thông, Trường Đại học Công nghệ Thông tin – ĐHQG-HCM), dưới sự hướng dẫn của TS. Phạm Văn Hậu và TS. Nguyễn Tấn Cẩm.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài gồm ba nội dung chính:

1. Nghiên cứu chi tiết cơ chế hoạt động của các kỹ thuật phát hiện máy ảo phổ biến đang được mã độc sử dụng trong thực tế.
2. Tìm kiếm và thử nghiệm các giải pháp vượt qua các kỹ thuật anti-VM bằng hướng tiếp cận tự nhiên, hạn chế tối đa việc sử dụng kỹ thuật hooking (móc hàm) hay phần mềm debugging vốn rất dễ bị mã độc phát hiện ngược.
3. Tận dụng các tính năng sẵn có trên nền tảng ảo hóa (hypervisor) và hệ điều hành máy khách để thiết lập một mô hình máy ảo có khả năng qua mặt các kỹ thuật anti-VM, bảo đảm tính tiện dụng và khả năng vận hành ổn định trong phân tích mã độc thực tế.

Đối tượng nghiên cứu của khóa luận là môi trường máy ảo hóa, cụ thể là máy ảo vận hành hệ điều hành Windows 7 32-bit trên nền tảng ảo hóa VMware Workstation. Phạm vi nghiên cứu tập trung vào các kỹ thuật nhận diện đặc trưng nhắm vào máy ảo VMware, các bộ công cụ kiểm tra môi trường mẫu và kiểm chứng hành vi trên ba dòng mã độc thực tế: Agent Tesla, Zloader và Trickbot.

Cơ sở lý thuyết và phương pháp

Khóa luận xây dựng hệ thống cơ sở lý thuyết dựa trên các kiến trúc ảo hóa phần cứng x86 và hệ điều hành Windows. Các khái niệm và thành phần công nghệ nền tảng được tác giả sử dụng gồm:

• Cấu trúc tệp cấu hình .vmx: Tệp cấu hình dạng văn bản thuần của VMware lưu trữ toàn bộ tham số thiết lập phần cứng máy ảo như bộ nhớ RAM (memsize), vi xử lý, đĩa cứng và các chỉ thị can thiệp vào tầng hypervisor (monitor_control).
• Cơ chế Snapshot và tệp bộ nhớ .vmem: Cơ chế chụp ảnh nhanh trạng thái hệ thống tại một thời điểm, lưu lại nội dung toàn bộ RAM vào tệp .vmem, cho phép can thiệp chỉnh sửa dữ liệu nhị phân của bộ nhớ ngoại tuyến trước khi khôi phục trạng thái hoạt động.
• Bảng cấu trúc phần mềm hệ thống (Firmware): Cấu trúc dữ liệu SMBIOS (System Management BIOS) nằm trong dải địa chỉ bộ nhớ từ 0xF0000 đến 0xFFFFF và ACPI (Advanced Configuration and Power Interface), nơi chứa các chuỗi định danh xuất xưởng của phần cứng ảo.
• Hệ thống Windows Management Instrumentation (WMI): Cơ chế quản lý tài nguyên của Windows sử dụng không gian tên root\CIMv2. Tác giả sử dụng trình biên dịch MOF (mofcomp.exe) để ghi đè các lớp đối tượng WMI nhạy cảm.
• Tập lệnh cấp thấp và cổng truyền thông: Lệnh truy vấn kiến trúc vi xử lý CPUID, lệnh đo chu kỳ xung nhịp rdtsc, các lệnh truy xuất bảng mô tả ngắt/phân đoạn sidt, sldt, sgdt, và lệnh giao tiếp I/O qua cổng backdoor IN (0x5658).

Phương pháp nghiên cứu thực nghiệm được triển khai theo hướng tiếp cận phi móc hàm (non-hooking hardening approach). Thay vì can thiệp vào các API của Windows bằng phương pháp chèn hook (vốn dễ bị mã độc quét tính toàn vẹn bộ nhớ để nhận diện), nhóm nghiên cứu lựa chọn:

• Can thiệp trực tiếp vào tệp cấu hình hypervisor .vmx để che giấu kiến trúc ảo hóa và kiểm soát chu kỳ thực thi lệnh.
• Ghi đè tệp định dạng MOF bằng mofcomp để điều chỉnh dữ liệu đầu ra của các truy vấn WMI theo đúng cấu trúc máy tính vật lý.
• Tinh chỉnh thủ công các chuỗi nhị phân trong tệp snapshot bộ nhớ .vmem tại các vùng nhớ lưu trữ SMBIOS và ACPI.
• Kiểm thử đối chứng (comparative testing): Đánh giá khả năng che giấu trên máy ảo mặc định so với máy ảo đã tinh chỉnh thông qua các bộ công cụ kiểm tra môi trường tiêu chuẩn (pafish, al-khaser, sems), các kịch bản mã nguồn tự viết và ba mẫu mã độc thực tế.

Nguồn dữ liệu kiểm thử bao gồm các công cụ benchmark mã nguồn mở chuyên dụng trong kiểm định chống phân tích và các mẫu mã độc được thu thập phục vụ thực nghiệm.

Thiết kế và triển khai mô hình máy ảo phân tích

Hệ thống được xây dựng trên nền tảng VMware Workstation với máy khách sử dụng hệ điều hành Windows 7 32-bit. Cấu hình phần cứng máy ảo được thiết lập nhằm vượt qua các ngưỡng kiểm tra phần cứng tối thiểu của mã độc: RAM 6 GB, 4 nhân CPU (processor), dung lượng đĩa cứng 120 GB, độ phân giải màn hình đạt các chuẩn thông dụng (1280x1080, 1440x1050 hoặc 1600x900).

Quy trình triển khai mô hình máy ảo kiên cố gồm 8 bước kỹ thuật tuần tự:

Bước thực hiện	Thao tác kỹ thuật chính	Mục tiêu xử lý
Bước 1	Khởi tạo máy ảo với 6 GB RAM, 4 CPU, ổ cứng 120 GB	Đạt ngưỡng thông số phần cứng của máy vật lý
Bước 2	Cài đặt hệ điều hành Windows 7, đặt tên tài khoản thông thường (ví dụ: ASUS)	Loại bỏ các chuỗi tên mặc định (CurrentUser, Sandbox, malware)
Bước 3	Chỉnh sửa tệp cấu hình .vmx trên máy chủ (host)	Che giấu CPUID, vô hiệu hóa backdoor I/O, tắt ảo hóa rdtsc, đổi địa chỉ MAC và vendor ổ đĩa
Bước 4	Gỡ bỏ hoàn toàn bộ phần mềm VMware Tools trong hệ điều hành khách	Loại bỏ các tiến trình và dịch vụ nền đặc trưng của VMware
Bước 5	Tạo kịch bản MOF và dùng mofcomp.exe nạp vào WMI	Ghi đè các lớp đối tượng WMI nhạy cảm sang thông số máy tính ASUS
Bước 6	Cài đặt công cụ phân tích (Wireshark, Process Monitor, Process Explorer) và tạo Snapshot	Chuẩn bị môi trường giám sát và lưu trạng thái bộ nhớ
Bước 7	Đổi tên 23 tệp trình điều khiển (.sys) và thư viện (.dll) liên quan đến VMware	Xóa dấu vết tệp hệ thống của máy ảo trong thư mục System32
Bước 8	Dọn dẹp khóa Registry còn sót lại, dùng công cụ psexec lấy quyền SYSTEM	Xóa bỏ triệt để các định danh VMware trong cấu hình hệ thống

Trong Bước 3, các tham số cấu hình quan trọng được bổ sung vào tệp .vmx bao gồm:

• Vô hiệu hóa cổng backdoor: monitor_control.restrict_backdoor = "TRUE".
• Vô hiệu hóa bộ đếm thời gian ảo: monitor_control.virtual_rdtsc = "FALSE".
• Che giấu cờ hypervisor qua CPUID: thiết lập lại các giá trị trả về cpuid.ebx, cpuid.ecx, cpuid.edx tương ứng với các mức gọi EAX = 1 và EAX = 0x40000000.
• Giả lập nhà sản xuất thiết bị lưu trữ: gán scsi0:0.vendorID = "HP", ide0:0.vendorID = "Slimtype", ide0:0.productID = "SATA-DS8A5SH".
• Thay đổi địa chỉ vật lý mạng: cấu hình ethernet0.address = "00:13:24:5C:36:72", loại bỏ hoàn toàn các dải OUI mặc định của VMware (00:05:69, 00:0C:29, 00:1C:14, 00:50:56).
• Thiết lập các chính sách cô lập: bật các chỉ thị isolation.disable = "TRUE" và các cờ ngắt can thiệp nhị phân monitor_control.disable_*.

Tại Bước 5, việc ghi đè WMI được áp dụng cho các lớp thuộc không gian tên root\CIMv2 như: Win32_BIOS, Win32_ComputerSystem, Win32_ComputerSystemProduct, Win32_Fan, Win32_VoltageProbe, Win32_BaseBoard, Win32_CacheMemory, Win32_TemperatureProbe và các lớp tương đương thuộc chuẩn CIM. Dữ liệu nhà sản xuất được chuẩn hóa sang "ASUSTeK COMPUTER INC", BIOS chuyển thành "Phoenix Technologies LTD".

Tại Bước 7, nhóm nghiên cứu rà soát và đổi tên danh mục 23 tệp hệ thống có nguy cơ bị mã độc rà soát:

• Nhóm tệp trình điều khiển: vmmouse.sys, vmnet.sys, vmxnet.sys, vmhgfs.sys, hgfs.sys, vmmemctl.sys, vm3dmp.sys, vmci.sys, vmstorfl.sys, vm3dmp_loader.sys, vm3dmp-debug.sys, vm3dmp-stats.sys, vmx86.sys.
• Nhóm tệp thư viện liên kết động: vm3dgl.dll, vmdum.dll, vmtray.dll, vmhgfs.dll, vm3dco.dll, vmhgfs_x86.dll, vmbusCoinstaller.dll, VmdCoinstall.dll, vmstorfltres.dll, vmicres.dll.

Tại Bước 8, các khóa Registry bị khóa quyền hệ thống được chỉnh sửa bằng công cụ psexec của Microsoft Sysinternals để thực thi regedit.exe dưới quyền NT AUTHORITY\SYSTEM. Đồng thời, nhóm tác giả chỉnh sửa tệp .vmem được trích xuất từ snapshot, tìm kiếm nhị phân chuỗi "VMware" trong dải địa chỉ firmware 0xF0000 - 0xFFFFF và thay thế hoàn toàn để vô hiệu hóa kỹ thuật quét bộ nhớ SMBIOS/ACPI.

Nội dung chính theo từng chương

Chương 1. Lí do chọn đề tài

Chương này phân tích tổng quan tình hình an ninh mạng và tính chất cấp bách của việc phân tích mã độc trong bối cảnh các dòng mã độc liên tục bổ sung cơ chế chống phân tích. Tác giả trình bày thống kê dữ liệu từ MITRE đối với 36 họ mã độc, khẳng định tỷ lệ kiểm tra môi trường, truy vấn WMI và rà soát tiến trình/registry chiếm tỷ trọng lớn trong hành vi mã độc thập kỷ qua.

Chương 1 xác định rõ mục tiêu, đối tượng, phạm vi nghiên cứu, đồng thời khảo cứu các công trình liên quan như dự án Evasion của CheckPointSW. Nhóm tác giả chỉ ra điểm hạn chế cốt lõi của các nghiên cứu trước là phụ thuộc quá nhiều vào kỹ thuật API hooking để đánh lừa mã độc, dẫn đến việc dễ bị phát hiện bởi các cơ chế tự kiểm tra của mã độc hiện đại. Từ đó, đề tài xác định định hướng tập trung: xây dựng môi trường kiên cố dựa trên việc cấu hình tầng hypervisor, chỉnh sửa tài nguyên hệ thống nội bộ của Windows và thao tác nhị phân trên tệp ảnh chụp bộ nhớ snapshot (.vmem), không sử dụng hooking hay debugging.

Chương 2 / 3. Các kĩ thuật được nghiên cứu và sử dụng

Chương này tổng hợp và phân loại chi tiết 16 kỹ thuật phát hiện máy ảo thông thường thành 6 nhóm giải pháp chính:

1. Kiểm tra thuộc tính phần cứng (Hardware Fingerprinting): Bao gồm kiểm tra tập lệnh CPUID (bit 31 thanh ghi ECX khi gọi mức EAX=1, và chuỗi định danh hypervisor khi gọi EAX=0x40000000); kỹ thuật Redpill (kiểm tra địa chỉ các bảng IDT, LDT, GDT thông qua các chỉ thị sidt, sldt, sgdt); kiểm tra tên tài khoản và tên máy (CurrentUser, Sandbox, malware); kiểm tra thông số vật lý thiết bị (số lượng lõi CPU, dung lượng RAM, dung lượng ổ đĩa); kiểm tra định danh nhà sản xuất đĩa cứng/CD-ROM; kiểm tra dải địa chỉ MAC đặc trưng của VMware; truy vấn thông tin thiết bị qua giao diện WMI; và kiểm tra sự thay đổi tọa độ con trỏ chuột theo thời gian (GetCursorPos).
2. Kiểm tra Registry (Registry Check): Kiểm tra các đường dẫn, khóa và giá trị cấu hình chứa chuỗi "VMWARE" liên quan đến VMware Tools, các dịch vụ hệ thống (vmdebug, vmmouse, VMTools, vmci), và thông tin thiết bị IDE/SCSI.
3. Kiểm tra bộ nhớ (Memory Check): Kỹ thuật quét bộ nhớ vật lý RAM thông qua API truy xuất firmware hệ thống (RSMB), tìm kiếm chuỗi định danh "VMware" nằm trong cấu trúc bảng SMBIOS và ACPI tại dải địa chỉ 0xF0000 - 0xFFFFF.
4. Kiểm tra các thuộc tính thời gian (Timing Check): Đọc thời gian hoạt động hệ thống qua hàm GetTickCount() (phát hiện máy vừa khởi động dưới 10-15 phút hoặc cơ chế làm trễ - delay execution); đo độ chênh lệch xung nhịp bằng lệnh rdtsc giữa máy thật và máy ảo; và kỹ thuật chèn lệnh CPUID vào giữa hai lần đo rdtsc để tận dụng độ trễ của lệnh chuyển ngữ cảnh bắt buộc (VM-exit).
5. Kiểm tra kênh giao tiếp của máy ảo (Communication Channel Check): Thi hành lệnh hợp ngữ IN với các thanh ghi đầu vào đặc thù (EAX = 0x564D5868, DX = 0x5658) nhằm khai thác cổng giao tiếp I/O backdoor giữa máy khách và hypervisor VMware.
6. Kiểm tra tập tin và tiến trình (File and Process Check): Quét sự tồn tại của các tệp tin driver hệ thống (vmmouse.sys, vmnet.sys,...) và kiểm tra danh sách tiến trình nền đang hoạt động (vmtoolsd.exe, vmware.exe, vm3dservice.exe).

Chương này cũng phân tích các giải pháp liên quan khác:

• Các loại máy ảo khác: So sánh VMware với VirtualBox, QEMU, Hyper-V, nêu rõ sự khác biệt trong cú pháp tệp cấu hình và tính năng chỉnh sửa BIOS trực tiếp.
• Sử dụng phần mềm debugging: Đánh giá ưu điểm phân tích nhanh nhưng nhược điểm là vấp phải các cơ chế anti-debugging phức tạp của mã độc.
• Lồng ảo hóa (Nested Virtualization): Phân tích kỹ thuật chạy máy ảo lồng nhau nhằm ngăn ngừa lây nhiễm ngược sang máy thật và khả năng gom cụm các chỉ thị VM-exit để giảm độ trễ thời gian, đồng thời chỉ ra rào cản về tương thích phần cứng và suy giảm hiệu năng.

Chương 4. Kết quả thử nghiệm

Chương 4 mô tả toàn bộ cấu hình máy ảo thử nghiệm và quy trình 8 bước thiết lập mô hình. Tác giả thực hiện kiểm chứng mô hình qua hai cấp độ:

1. Thử nghiệm với các công cụ kiểm tra môi trường:
   • Bộ công cụ pafish: So sánh kết quả thực thi giữa máy ảo mặc định, máy thật và máy ảo đã được tinh chỉnh.
   • Bộ công cụ al-khaser: Đánh giá các bài kiểm tra Generic Sandbox, Timing Check và kiểm tra đặc trưng VMware.
   • Bộ công cụ sems và các kịch bản mã nguồn tự viết kiểm tra từng cơ chế riêng lẻ.
2. Thử nghiệm chuyên sâu với ba mẫu mã độc thực tế:
   • Agent Tesla: Quan sát hành vi tạo tiến trình ngầm, kích hoạt dịch vụ msiserver, thực thi msiexec.exe, thu thập tiến trình qua Process Monitor và Process Explorer, ghi nhận lưu lượng mạng qua Wireshark.
   • Zloader: Phân tích hoạt động nhân bản tệp trong thư mục hệ thống, hành vi của tiến trình zloader và msiexec, cùng lưu lượng mạng C&C.
   • Trickbot: Phân tích cơ chế tự nhân bản, kích hoạt tiến trình ngầm tmp039.exe, và hành vi can thiệp hệ thống, lưu lượng kết nối qua Wireshark.

Kết quả và đóng góp

Mô hình máy ảo kiên cố sau khi hoàn thiện các bước tinh chỉnh đã vượt qua hầu hết các kỹ thuật phát hiện máy ảo thông thường khi đối chiếu với máy ảo tiêu chuẩn.

Hạng mục kiểm thử	Máy ảo VMware mặc định	Máy ảo kiên cố của khóa luận
Lệnh CPUID & cờ Hypervisor	Bị phát hiện (Bit 31 = 1, chuỗi VMware)	Vượt qua hoàn toàn (Chuỗi bị vô hiệu hóa)
Cổng giao tiếp Backdoor (Lệnh IN)	Trả về phiên bản VMware	Bị chặn hoàn toàn qua restrict_backdoor
Tệp tin và thư viện VMware Tools	Phát hiện đầy đủ tệp và driver	Vượt qua (Đã gỡ bỏ và đổi tên 23 tệp)
Tiến trình nền (vmtoolsd, vmusb...)	Hoạt động thường trực	Vượt qua (Không còn tiến trình tồn tại)
Khóa Registry hệ thống	Tồn tại nhiều khóa chứa nhãn "VMware"	Đã dọn dẹp sạch bằng quyền SYSTEM
Bộ đếm thời gian rdtsc	Giá trị chênh lệch lớn (> 500 chu kỳ)	Giảm thiểu nhờ tắt virtual_rdtsc
Truy vấn WMI (BIOS, System, Fan...)	Trả về chuỗi và thông số VMware	Trả về thông số máy thật ASUS qua MOF
Bảng cấu trúc Firmware (SMBIOS/ACPI)	Chứa chuỗi nhị phân "VMware" trong RAM	Đã làm sạch nhị phân trong tệp .vmem

Kết quả thử nghiệm chi tiết trên ba dòng mã độc thực tế ghi nhận sự khác biệt rõ rệt về mặt hành vi:

• Mã độc Agent Tesla: Trên máy ảo thông thường, mã độc phát hiện môi trường ảo hóa và dừng thực thi hoặc không bộc lộ hành vi phá hoại. Ngược lại, trên máy ảo đã tinh chỉnh của khóa luận, mã độc hoạt động hoàn chỉnh: dịch vụ hệ thống msiserver được khởi động, tạo tiến trình ngầm msiexec.exe được ghi nhận qua Process Explorer; các hoạt động can thiệp tệp/registry được thu thập đầy đủ bằng Process Monitor và toàn bộ kết nối truyền tải dữ liệu bị bắt giữ thông qua Wireshark.
• Mã độc Zloader: Trên máy ảo kiên cố, Zloader tự động nhân bản thành công vào thư mục hệ thống của máy ảo, đồng thời khởi tạo hai tiến trình song song gồm zloader và msiexec. Công cụ Process Monitor ghi nhận đầy đủ các hành vi can thiệp hệ thống, và Wireshark ghi nhận các gói tin kết nối mạng mà trên máy ảo thường không xuất hiện.
• Mã độc Trickbot: Báo cáo trên VirusTotal cho thấy mẫu thử có tích hợp nhiều cơ chế anti-analysis. Trên mô hình máy ảo được dựng, Trickbot nhân bản chính mình, lưu lại vào hệ thống và khởi chạy tiến trình nền độc hại mang tên tmp039.exe. Process Monitor và Wireshark đã ghi lại chi tiết các chuỗi hành vi tác động hệ thống và các luồng dữ liệu mạng độc hại tương ứng.

Các đóng góp chính của khóa luận:

• Hệ thống hóa toàn diện 16 kỹ thuật anti-VM phổ biến thuộc 6 nhóm cơ chế, đi kèm mã nguồn mẫu minh họa trực quan cách thức kiểm tra của mã độc.
• Xây dựng thành công quy trình chuẩn 8 bước thiết lập môi trường phân tích máy ảo kiên cố trên nền tảng VMware và Windows 7 32-bit mà không cần phụ thuộc vào kỹ thuật hook API hay trình gỡ lỗi.
• Đóng góp bộ tham số cấu hình .vmx tối ưu, bộ tệp mẫu cấu hình MOF WMI, danh mục 23 tệp artifact cần xử lý, cùng phương pháp can thiệp nhị phân trên tệp ảnh chụp bộ nhớ snapshot .vmem để làm sạch bảng SMBIOS/ACPI.

Hạn chế và hướng nghiên cứu tiếp

Khóa luận chỉ rõ các hạn chế tồn tại trong văn bản như sau:

• Phạm vi nền tảng hẹp: Mô hình chỉ mới được triển khai và kiểm nghiệm trên hệ điều hành Windows 7 32-bit và hypervisor VMware Workstation; chưa mở rộng sang các hệ điều hành phổ biến hiện đại như Windows 10, Windows 11 (64-bit) cũng như các giải pháp ảo hóa khác (VirtualBox, KVM/QEMU, Hyper-V).
• Thách thức đối với kỹ thuật đo thời gian nâng cao: Đối với kỹ thuật kiểm tra thời gian sử dụng lệnh CPUID chèn giữa hai lệnh RDTSC, do lệnh gọi CPUID là một chỉ thị VM-exit bắt buộc ở mức phần cứng, thời gian đo được trên máy ảo luôn bị kéo dài bởi chi phí chuyển ngữ cảnh (context switch). Kỹ thuật này phụ thuộc nhiều vào cấu hình và trạng thái luồng của máy chủ vật lý, do đó việc tinh chỉnh cấu hình .vmx chưa thể giải quyết triệt để vấn đề thời gian VM-exit trong mọi trường hợp.
• Quy trình thao tác còn mang tính thủ công: Việc đổi tên các tệp hệ thống, dọn dẹp Registry bằng psexec và chỉnh sửa chuỗi nhị phân trong tệp .vmem đòi hỏi nhiều thao tác kỹ thuật phức tạp. Nếu hệ thống cần khởi động lại hoàn toàn thay vì khôi phục từ snapshot, một số tệp driver thiết yếu bị đổi tên (như vmmouse.sys) có thể ảnh hưởng đến khả năng tương tác của hệ điều hành.

Hướng nghiên cứu phát triển tiếp theo được nhóm tác giả xác định:

• Tự động hóa toàn bộ quy trình 8 bước thiết lập và dọn dẹp dấu vết máy ảo thông qua các kịch bản script tự động.
• Nghiên cứu sâu và áp dụng kỹ thuật lồng ảo hóa (Nested Virtualization) nhằm tận dụng khả năng xử lý gom cụm chỉ thị VM-exit ở máy ảo trung gian, giúp giảm độ trễ đo xung nhịp và phòng chống nguy cơ lây nhiễm ngược từ mã độc sang máy vật lý.
• Mở rộng kiến trúc kiên cố hóa cho các phiên bản hệ điều hành 64-bit và thử nghiệm trên các nền tảng hypervisor mã nguồn mở.

Giá trị tham khảo

Báo cáo khóa luận có giá trị tham khảo thiết thực cho các nhóm đối tượng và mục đích nghiên cứu chuyên môn:

• Sinh viên và học viên chuyên ngành An toàn thông tin, Mạng máy tính: Tài liệu cung cấp cơ sở lý thuyết chi tiết về cơ chế nội vi của hệ điều hành Windows, kiến trúc ảo hóa phần cứng x86 và mã nguồn mẫu của 16 kỹ thuật anti-VM, phục vụ học tập các học phần Phân tích mã độc, Kỹ thuật dịch ngược và An ninh hệ thống.
• Chuyên viên phân tích mã độc (Malware Analyst) và kỹ sư điều tra sự cố (DFIR): Khóa luận cung cấp giải pháp thực tế để dựng môi trường phân tích động (Dynamic Analysis Sandbox) cục bộ có khả năng kháng anti-VM cao mà không tốn chi phí bản quyền giải pháp thương mại, hạn chế tối đa nguy cơ mã độc lẩn tránh.
• Các nghiên cứu tiếp nối về Virtual Machine Hardening: Quy trình can thiệp WMI bằng MOF Compiler, danh mục 23 tệp trình điều khiển cần làm sạch và phương pháp biên tập tệp snapshot .vmem để xử lý SMBIOS/ACPI là các dữ liệu kỹ thuật có thể kế thừa trực tiếp để phát triển các công cụ tự động hóa che giấu máy ảo.

Câu hỏi thường gặp

1. Tại sao khóa luận lựa chọn hướng tiếp cận thay đổi bên trong hệ thống thay vì sử dụng kỹ thuật API Hooking?

Kỹ thuật API Hooking thường can thiệp vào bảng điều hướng hàm hoặc chèn mã nhảy để chặn các lời gọi API của Windows, qua đó trả về các thông số giả mạo. Tuy nhiên, các dòng mã độc hiện đại có khả năng tự kiểm tra tính toàn vẹn của mã bộ nhớ API trước khi thực thi để phát hiện hook. Việc tiếp cận tự nhiên bằng cách tinh chỉnh tệp cấu hình hypervisor .vmx, cấu hình lại lớp dịch vụ WMI và sửa đổi trực tiếp bộ nhớ snapshot .vmem giúp môi trường máy ảo phản hồi dữ liệu thật từ cấp hệ thống, triệt tiêu nguy cơ bị mã độc phát hiện hook.

2. Nhóm tác giả xử lý dấu vết định danh VMware trong cấu trúc SMBIOS và ACPI trên RAM bằng cách nào?

Do cấu trúc SMBIOS và ACPI được nạp trực tiếp vào bộ nhớ RAM tại dải địa chỉ từ 0xF0000 đến 0xFFFFF ngay trong giai đoạn khởi động của hệ điều hành, người dùng không thể chỉnh sửa trực tiếp dữ liệu này qua phần mềm thông thường trên Windows mà không bị phát hiện. Nhóm tác giả đã giải quyết bằng cách tạo một bản snapshot trên VMware để trích xuất toàn bộ RAM ra tệp nhị phân .vmem trên máy chủ host, sau đó dùng công cụ chỉnh sửa tìm kiếm nhị phân chuỗi ký tự "VMware" trong dải địa chỉ firmware để thay thế trước khi khôi phục máy ảo từ snapshot này.

3. Phương pháp ghi đè thông tin thiết bị qua lệnh WMI được triển khai bằng công cụ gì?

Nhóm tác giả sử dụng công cụ biên dịch MOF Compiler (mofcomp.exe) có sẵn của Windows. Tác giả tạo tệp cấu hình văn bản định nghĩa lại các lớp đối tượng trong không gian tên root\CIMv2 (như Win32_BIOS, Win32_ComputerSystem, Win32_Fan, Win32_VoltageProbe), ghi đè dữ liệu mặc định của VMware bằng các thông số giả lập của nhà sản xuất phần cứng vật lý (như ASUS, Phoenix Technologies), sau đó thực thi lệnh mofcomp <tên_tệp>.txt để nạp trực tiếp vào kho lưu trữ WMI Repository của hệ điều hành.

4. Tại sao lệnh CPUID đặt giữa hai lệnh RDTSC lại giúp mã độc nhận biết được máy ảo?

Lệnh rdtsc đo chu kỳ xung nhịp thực thi. Trên máy thật, việc gọi liên tiếp hai lệnh rdtsc diễn ra rất nhanh (thời gian chênh lệch dưới 100 chu kỳ), trong khi trên máy ảo bộ đếm bị ảo hóa nên thời gian đo thường lớn hơn 500 chu kỳ. Khi mã độc chèn thêm lệnh CPUID vào giữa hai lệnh rdtsc, do CPUID là chỉ thị bắt buộc chuyển ngữ cảnh từ máy khách ra hypervisor (VM-exit), độ trễ thời gian xử lý VM-exit trên máy ảo sẽ tăng vọt (thời gian đo vượt ngưỡng 1000 chu kỳ), giúp mã độc nhận diện chính xác sự hiện diện của môi trường ảo hóa.

5. Sự khác biệt hành vi cụ thể của mã độc Agent Tesla giữa hai môi trường thử nghiệm là gì?

Trên máy ảo thông thường, Agent Tesla nhận diện được các dấu hiệu ảo hóa nên dừng hoạt động hoặc ẩn giấu hành vi lây nhiễm. Trên máy ảo đã được tinh chỉnh của khóa luận, Agent Tesla thực thi hoàn chỉnh chuỗi tấn công: hệ thống ghi nhận dịch vụ msiserver được kích hoạt, tiến trình msiexec.exe chạy ngầm thu thập được qua Process Explorer; các hành vi đọc ghi tệp và khóa registry được Process Monitor bắt giữ trọn vẹn; đồng thời Wireshark ghi nhận toàn bộ lưu lượng mạng phục vụ kết nối độc hại ra bên ngoài.

Kết luận

Khóa luận tốt nghiệp của sinh viên Phạm Xuân An và An Văn Hiếu đã hoàn thành toàn diện mục tiêu nghiên cứu và xây dựng thành công mô hình máy ảo phân tích mã độc kiên cố trên nền tảng VMware và Windows 7 32-bit. Bằng việc kiên định với hướng tiếp cận phi móc hàm (non-hooking), kết hợp tinh chỉnh tầng hypervisor .vmx, biên dịch lại cấu trúc WMI và làm sạch nhị phân bảng firmware SMBIOS/ACPI trên tệp bộ nhớ snapshot .vmem, mô hình đã vô hiệu hóa thành công 16 kỹ thuật anti-VM phổ biến. Kết quả thử nghiệm kích hoạt đầy đủ chuỗi hành vi độc hại của ba dòng mã độc Agent Tesla, Zloader và Trickbot khẳng định giá trị thực tiễn và tính ứng dụng cao của đề tài trong công tác giám sát, điều tra và phân tích mã độc an ninh mạng.

Trích đoạn nội dung tài liệu

Chương 1. Lí do chọn đề tài. Đối tượng và phạm vi nghiên COU. Các đề tài liên quan.

Những dé mục đề tài tập trung. Một số tập tin liên quan và công nghệ được sử dụng. | CAC KI THUAT ĐƯỢC NGHIÊN CỨU VA SỬ DUNG. Các kĩ thuật phát hiện máy ảo va cách thức vượt qua.

Sử dụng kiến trúc CPUID. Sử dụng IN instruction. Kiểm tra các tậptỉn. Kiém tra đường dẫn.

Kiểm tra tên User / Computer Name. Kiểm tra tình trạng vật lí của thiết bị. Kiểm tra thời gian hoạt động của máy. Kiểm tra tên và nhãn hiệu của 6 cứng.

Kiểm tra địa chi MAC. _ Kiểm tra các tiến trình đang chạy. Kiểm tra Registry key. Kiểm tra bằng đếm thời gian sử dụng rdtsc.

_ Kiểm tra bằng các lệnh WMI. Kiém tra con trỏ chuột. Kiểm tra trong bộ nhớ. Các phương pháp phòng chống có liên quan.

Các loại máy ảo khác. _ Sử dụng các phần mềm debugging. _ Sử dụng Nested Virtualization. | KET QUA THU NGHIỆM.

Cấu hình may ảoO. Các bước thiết lập mô hình máy ảo. Thử nghiệm với mẫu thử. Thử nghiệm chỉ tiết với các mẫu thử malware.

Mẫu thử Agent Tesla. Mau thử Zloader. Mẫu thử Trickbot. Kết quả thử nghiệm với các mẫu malware.

Hướng phát trin. nhe 75 DANH MỤC HÌNH Hình 3.1 Thông tin thêm về tap tin hệ thống vmmouse.2 Thông tin về nhãn hiệu 6 cứng mặc định trên máy ảo.3 Thông tin nhãn hiệu 6 cứng sau khi đã chỉnh sửa.4 Cấu hình thiết lập cho một trường được gọi bằng WMI.5 Thông báo chạy thành công lệnh mofcomp.6 Cấu hình thiết lập cho một trường được gọi bằng WMI.7 Kết quả khi gọi lệnh WMI tương ứng.---2¿222+2z2vczvzcrrrrrscee 28 Hình 4,1 Cấu hình của mẫu thử đã được thiết lập.2 Phần mềm VMware Tools được cài đặt sẵn.----¿--cccc©ccccccce 36 Hình 4.3 Một bản ghi của Win32_ Fan.4 Một số snapshot của mô hình.5 Một phần cấu trúc SMBIOS trong bộ nhớ của snaphot khi chưa chỉnh sửa 1 Hình 4.9 Kiêm tra trên công cụ FirmwareTableView của Nirsoft sau khi chỉnh sửa ".10 Chương trình pafish chạy trên máy ảo đã được dựng.11 Chương trình pafish chạy trên môi trường máy thật (phan ]).12 Chương trình pafish chạy trên môi trường máy thật (phan 2).13 Chương trình pafish chạy trên môi trường máy thật (phần 3).14 Chương trình pafish chạy trên môi trường máy ảo thông thường (phan 1) Hình 4.16 Chương trình pafish chạy trên môi trường máy ảo thông thường (phan 3) 6 urge dung (phan 007.21 Những kiểm thử phát hiện VMware với công cụ al-khaser trên máy ảo được dựng (phần 7) ee 49 Hình 4.22 Các kiểm thử về Timing với công cụ al-khaser trên máy ảo được dung.23 Các kiểm thử về Generic Sandbox với công cụ al-khaser trên môi trường máy ảo thông thường (phan 1).24 Các kiểm thử về Generic Sandbox với công cụ al-khaser trên môi trường máy ảo thông thường (phần 2).25 Các kiểm thử về Generic Sandbox với công cụ al-khaser trên môi trường máy ảo thông thường (phần 3).26 Các kiểm thử về Generic Sandbox với công cụ al-khaser trên môi trường máy ảo thông thường (phần 4).27 Các kiểm thử về Generic Sandbox với công cu al-khaser trên môi trường máy ảo thông thường (phần 5).-----22++£222EEEY++++rtttEEEEExvrrrrrrrrrrrrrrrree 52 Hình 4.28 Các kiểm thử về phát hiện VMware với công cy al-khaser trên máy ảo bình thường (phần 1).--2¿-22+£2V++++22EE+++t2EEE+++EEEEEE+tEE2EE222211 tre52 Hình 4.29 Các kiểm thử về phát hiện VMware với công cụ al-khaser trên máy ảo bình thường (phần 2).-22-+++22E++22EEEE++E22E1112122111122121121227111 22211 re53 Hình 4.30 Các kiểm thử về timing với công cụ al-khaser trên máy ảo bình thường 53 Hình 4.31 Thử nghiệm công cụ sems trên máy ảo được dựng .32 Thử nghiệm công cụ sems trên máy ảo thông thường.33 Các hoạt động của mã độc Agent Tesla thu được bằng Process Monitor58 Hình 4.34 Các hoạt động của malware Agent Tesla thu được bằng Wireshark.35 Dich vụ msiserver được khởi động. - --¿-¿- 55+ csc++x+csceesr+ 59 Hình 4.36 Tiến trình msiexec.exe chạy ngầm được phát hiện bởi Process Explorer Hình 4.37 Các hoạt động thu được bởi Process MOnitOr.38 Những hoạt động của malware Agent Tesla ghi lại bởi Wireshark trên MAY AO thƯỜng.39 Thư mục chứa các nhân ban malware Zloader trong máy ảo được dung 62 Hình 4.40 Một nhân bản của malware Zloader trong máy ảo được dựng.41 Chỉ tiết hai tiền trình thu được bởi Process Monitor.42 Các hành vi trên hệ thống của tiền trình zloader.43 Các hành vi trên hệ thống của tiền trình msiexec .44 Kết quả thu được bởi Wireshark với malware Zloader.45 Chỉ tiết hai tiến trình thu được bởi Process Explorer.46 Các hành vi trên máy ảo của tiến trình zloader.47 Malware Zloader nhân bản trong máy ảO.- eee + 5++++x+c+se++ 65 Hình 4.48 Kết quả thu được trên wireshark của zloader trên máy ảo thường.49 Báo cáo của mau thử Trickbot trên Virustotal.:----ccc:cccssce+ 66 Hình 4.50 Malware Trickbot nhân bản chính minh và lưu lại.51 Các hoạt động của malware Trickbot phát hiện bởi wireshark (phần 1).52 Các hoạt động của malware Trickbot phát hiện bởi wireshark (phần 2).53 Tiến trình tmp039.exe chạy ngầm được phát hiện.54 Các hành vi của malware Trickbot đối với hệ thống được phát hiện.55 Tiến trình tmp039.exe được phát hiện bởi Process Explorer.56 Các hành vi của malware Trickbot được thu thập bởi Process Monitor.57 Malware Trickbot nhân bản trong máy ảo.58 Hành vi của Trickbot được wireshark phát hiện trên máy ảo thường .69 DANH MỤC BANG Bang 3.1 Bảng phân nhóm các kĩ thuật chống máy ảo.1 So sánh các thử nghiệm vượt qua giữa máy ảo được dựng của khoá luận và máy ảo thông thường Bảng 4.2 Chỉ tiết các mẫu tự viết Bảng 4.3 Kết quả chạy mẫu giữa máy ảo mô hình và máy ảo bình thường.4 Kết quả chỉ tiết thử nghiệm với mẫu thử malware thực tế. 70 DANH MỤC MÃ NGUÒN Mẫu 3.1 Mã nguồn phát hiện máy ảo với CPUID Mẫu 3.2 Mã nguồn phát hiện máy ảo thông qua giá trị bảng IDT.3 Mã nguồn phát hiện máy ảo thông qua giá trị bảng LDT.4 Mã nguồn phát hiện máy ảo thông qua giá trị bảng GDT.5 Mã nguồn thực hiện kiểm tra các tập tin liên quan đến máy 40 VMware.6 Mã nguồn thực hiện kiểm tra các tập tin, đường dẫn liên quan đến sandbox —.7 Mã nguồn kiểm tra tên của user thường dùng trong các sandbox.8 Mã nguồn kiểm tra về số lượng lõi vi xử lý của hệ thống.9 Mã nguồn thực hiện kiểm tra thời gian hoạt động của hệ thống "— 5 Mẫu 3.10 Mã nguồn so sánh địa chỉ MAC với các MAC header thường có trên 'VMware.11 Mã nguồn lấy thông tin địa chi MAC và kiểm tra.12 Mã nguồn kiểm tra một số tiến trình thường có trên VMware.13 Mã nguồn kiểm tra các khoá, giá trị của một sé registry thường có trên máy ảo VMWare thông thường .14 Mã nguồn kiểm tra đếm thời gian bằng rdtsc.15 Mẫu code thực hiện kiểm tra thông tin về Win32_VoltageProbe.16 Mã nguồn cụ thé cách WMI được truy van và so sánh .17 Mã nguồn kiểm tra vị trí con trỏ chuột qua thời gian.18 Mã nguồn kiểm tra chuỗi “VMware” có trong cấu trúc SMBIOS.30 TÓM TẮT KHÓA LUẬN Khóa luận tập trung vào việc nghiên cứu các kĩ thuật liên quan đến phát hiện môi trường máy ảo và cách vượt qua các kĩ thuật này, đồng thời xây dựng mô hình máy ảo có khả năng vượt qua các kĩ thuật phát hiện máy ảo.

Hướng tiếp cận của khoá luận là tập trung vào các phương thức, kĩ thuật tự nhiên mà không cần sử dụng các kĩ thuật hooking hay debugging. Vì vậy khoá luận tập trung vào nghiên cứu các cách thay đổi bên trong và sử dụng các công cụ của Windows trong việc che giấu môi trường máy ảo của mô hình, thay vì sử dụng hooking dé qua mặt các loại malware, kết hợp với các tinh năng mạnh mẽ, sẵn có trên nền tảng ảo hoá. Một số kết quả đạt được: vượt qua được đa số các kĩ thuật phát hiện máy ảo thông thường, thử nghiệm thành công các chương trình dùng dé phát hiện môi trường máy ảo, bao gồm cả các mẫu và kĩ thuật tự viết. Có thể chạy thành công một số mẫu malware có sử dụng kĩ thuật phát hiện máy ảo (anti-vm), phát hiện ra các hành vi khác biệt khi chạy với máy ảo thông thường.

Lí do chọn đề tài Malware đã và đang là một mối nguy hại lớn cho ha tang và thông tin trong thời đại kĩ thuật số hiện nay, và càng ngày càng phát triển phức tạp hơn. Từ những đoạn mã đơn giản ghi đè vào các chương trình thực thi, malware càng ngày càng phát triển hơn, va phát triển các kĩ thuật tự giấu mình dé qua mắt các chương trình diệt virus (antivirus) cũng như tránh dé ban thân bị phân tích trên các môi trường phân tích. Các kĩ thuật bao gồm ba nhóm chính: obfuscation (làm rối mã), anti-debugging (chống gỡ lỗi) và anti-vm (chống máy ảo). Xu hướng của các malware là sẽ áp dụng các kĩ năng này, với mức độ càng ngày càng phức tạp hơn.

Do đó các mẫu malware hiện đại sẽ ngày càng khó dé phân tích cũng như tìm ra các giải pháp. Theo thống kê dựa trên 36 họ malware dựa trên data của MITRE, từ năm 2010 đến giữa năm 2020, có đến 33% số malware thực hiện các loại kiém tra môi trường, 25% thi hành các WMI request, 19% kiểm tra các tiến trình đi kèm, 14% đọc các registry key [1]. Với sự phát triển của malware, việc phân tích mã độc sẽ trở nên khó khăn và phức tạp hơn đối với các người nghiên cứu, phân tích các mã độc. Trong quá trình phân tích mã độc, rất nhiều người nghiên cứu chọn máy ảo làm môi trường phân tích.

Nhận thấy mối tương quan trên, nhóm nhận thấy việc xây dựng môi trường có khả năng các vượt qua kĩ thuật chống máy ảo (anti-vm) phục vụ cho quá trình phân tích mã độc là hợp lý và cần thiết. Thông qua quá trình tìm hiểu và được gợi ý đến từ thay Nguyễn Tan Cam, nhóm quyết định tìm hiểu sâu hơn về các kĩ thuật anti-vm, qua đó xây dựng môi trường có thé vượt qua kĩ thuật anti-vn trên môi trường máy áo. Mục đích Mục tiêu của đề tài là tập trung nghiên cứu chỉ tiết về các kĩ thuật phát hiện máy ảo được sử dụng trên các malware, sau đó tìm hiểu cách thức có thé được sử dụng dé vượt qua các kĩ thuật này, tập trung tận dụng các tính năng sẵn có trên các hệ thống host-hypervisor (VMware, VirtualBox,.) để xây dựng một môi trường chạy trên máy ảo có khả năng vượt qua các kĩ thuật anti-vm. Hơn nữa, đề tài cũng hướng tới tính tiện dụng, không cần cau hình nhiều dé có thé sử dụng môi trường một cách dé dàng nhất.

Đối tượng và phạm vi nghiên cứu Đôi tượng nghiên cứu là môi trường máy ảo, cụ thê là máy ảo chạy hệ điêu hành Windows 7 32bit trên nên tảng ảo hoá VMware. Trong máy ảo sẽ sử dụng các chương trình kiêm thử được viết san cũng như là những mau thử tự viết.