Tấn công mã độc & đối phó

[Songoku]

Việt Nam hiện bị đứng đầu danh sách các nước giả mạo click do tổ chức Anchor Intelligence công bố, thiệt hại nghiêm trọng đến uy tín quốc gia trong lĩnh vực thương mại điện tử. Điều này nói lên thực trạng chung tình hình an ninh mạng Việt Nam vẫn còn yếu kém.

Tấn công dùng mã độc…



Tấn công dùng mã độc không mới. Loại hình tấn công này có nguồn gốc từ một dạng tấn công bảo mật sơ đẳng là tấn công dùng virus, bắt nguồn ngay từ những năm đầu của kỷ nguyên CNTT. Theo thời gian, mã độc không chỉ đơn thuần là các virus lây lan qua việc chép dữ liệu, mà đã tiến hóa trở thành các mã tấn công đa hình, lây lan chính bằng con đường Internet. Trong những năm gần đây, tấn công mã độc đã trở thành một trong những rủi ro ATTT số 1 trên thế giới và tiếp tục sẽ là điểm nóng của các năm tới.

Ở Việt Nam, do hiện trạng ATTT của nhiều DN yếu, đã xuất hiện rất nhiều sự cố ATTT liên quan đến mã độc, ảnh hưởng trực tiếp đến hoạt động của nhiều DN. Tấn công mã độc là hiểm họa mà các TC/DN từ nhỏ đến lớn đều phải quan tâm. Hệ thống phòng thủ chống mã độc cần được DN nghĩ tới khi bắt đầu đầu tư hệ thống bảo mật. DN nên chú trọng đầu tư một hệ thống phòng chống mã độc tổng thể bao gồm anti-virus (diệt virus), anti-spam (chống thư rác), anti-spyware (chống gián điệp), web-filtering (lọc web)… cài trên tất cả máy trạm, máy chủ và hệ thống cổng kết nối.

“Bảo mật mạng” khác với “Bảo mật thông tin”?

Các tài liệu, bài viết về các vấn đề ATTT thường sử dụng thuật ngữ “Bảo mật mạng”. Chính xác thì “Bảo mật mạng” chỉ liên quan đến các vấn đề bảo mật trên môi trường mạng, không gồm các yếu tố ứng dụng, hệ thống… ATTT là một lĩnh vực tổng thể và vì vậy “Bảo mật thông tin” mới là thuật ngữ chính xác.

Về SP bảo mật và nhà cung cấp DV, hiện ở Việt Nam đã có khá nhiều SP phòng chống mã độc dưới các tên gọi anti-virus hoặc Internet Security Suite. Có thể kể các hãng nổi tiếng thế giới như Trend Micro, Symantec, McAfee, Kaspersky… và các SP Việt Nam như CMC Anti-Virus, BKAV. Đa số các hãng đều cung cấp 2 dòng SP là dòng anti-virus truyền thống và dòng Internet Security Suite với chức năng anti-virus (hiểu theo nghĩa anti-malware) và các chức năng phụ trợ chống lại các rủi ro từ Internet như anti-spam, lọc web dựa trên công nghệ Web Reputation (xác thực web)…

Tường lửa UTM



Với các DN vừa và nhỏ (DNVVN), hệ thống ATTT đặt ưu tiên phòng chống mã độc ở các máy trạm, máy chủ dùng phần mềm (PM) anti-malware. DN cần lưu ý đầu tư hệ thống phòng chống mã độc và các tấn công ATTT xuất phát từ Internet qua cổng kết nối bằng hệ thống tường lửa nhỏ tích hợp chức năng phòng chống UTM. UTM (Unified Threat Management - Quản lý đe doạ hợp nhất) là công nghệ được tích hợp vào tường lửa và có các chức năng phòng chống xâm nhập, lọc nội dung, chống thư rác, diệt virus, chống mã độc, lọc web… Tường lửa UTM phù hợp DNVVN vì giá thành thấp hơn các giải pháp chuyên dụng cho từng chức năng. DN có thể tham khảo SP của Check Point, Cisco, Juniper, Astaro, Cyberoam, O2 Security, Fortinet…

Tấn công mạng và phòng chống



Cùng với sự bùng nổ mạnh mẽ của các DV trực tuyến như e-banking, mua bán chứng khoán trực tuyến…, ngoài xu hướng tấn công mã độc nêu trên, xu hướng tấn công vào các công ty có hệ thống thông tin nhạy cảm nhằm mục đích trục lợi đang có chiều hướng gia tăng. Những DN tài chính, ngân hàng, thanh toán điện tử có rủi ro cao nhất. Tin tặc không chỉ từ bên ngoài mà có thể chính là NV nguy hiểm nào đó trong công ty. Đây là dạng rủi ro tấn công an ninh nội mạng và là xu hướng nóng gần đây tại Việt Nam và trên thế giới.

Malware khác với virus?

Virus là đoạn mã có thể tự nhân bản. Malware (mã độc) là đoạn mã dùng để đột nhập vào máy tính trái phép. Chính xác thì mã độc bao gồm virus và không có chiều ngược lại. Vì thói quen, đa số bài viết khi đề cập các rủi ro tấn công mã độc thường dùng chữ “virus” thay vì phải dùng “malware”(!). Các chuyên gia khuyến cáo sửa thói quen này.

Các DN nhóm rủi ro cao cần xây dựng hệ thống ATTT bài bản dựa trên tiêu chuẩn ATTT như ISO-27000. Quy trình xây dựng hệ thống ATTT thường bắt đầu từ đánh giá rủi ro nhằm nhận dạng, phân loại và định lượng rủi ro nhằm xác định giải pháp ATTT hiệu quả. Hệ thống ATTT tổng thể cho DN lớn cần bảo mật cao, thường gồm nhiều thành phần đa lớp (khác mô hình tích hợp UTM dành cho DNVVN). Mỗi lớp có chức năng chuyên biệt và một chức năng phòng chống bảo mật có thể nằm ở nhiều lớp khác nhau. SP chuyên dụng ATTT dành cho DN lớn có thể kể đến: Check Point, Cisco, Juniper, IBM ISS, Trend Micro, WebSense, SourceFire, Tipping Point, Entrust, Verisign…

Trong việc xây dựng hệ thống ATTT, ngoài các thành phần truyền thống như tường lửa, chống mã độc, DN cần lưu ý các hệ thống phòng thủ ứng dụng web chuyên dụng, hệ thống phòng thủ tường lửa chuyên dụng cho cơ sở dữ liệu, hệ thống quản lý mật khẩu, hệ thống phòng chống thất thoát dữ liệu. Đây là những SP khá thông dụng trên thế giới và đang bắt đầu được các DN Việt Nam quan tâm.

Nhân tố cần được quan tâm đầu tư đặc biệt trong tất cả các dự án ATTT là con người. Yếu tố con người trong hệ thống ATTT có thể bao gồm nhân sự vận hành và nhân sự sử dụng hệ thống thông tin. Sự đầu tư phù hợp vào đào tạo sẽ đảm bảo mang lại hiệu quả cao nhất cho dự án ATTT của DN.

Nguồn: pcworld.com.vn

[DungCoi]

Virus là đoạn mã có thể tự nhân bản. Malware (mã độc) là đoạn mã dùng để đột nhập vào máy tính trái phép. Chính xác thì mã độc bao gồm virus và không có chiều ngược lại. Vì thói quen, đa số bài viết khi đề cập các rủi ro tấn công mã độc thường dùng chữ “virus” thay vì phải dùng “malware”(!). Các chuyên gia khuyến cáo sửa thói quen này.

Đọc full ở đây : http://en.wikipedia.org/wiki/Malware

[Songoku]

10 loại malware điển hình



Hiện nay, ngày càng có nhiều loại malware mới tinh vi hơn, độc hịa hơn xuất hiện. Ai cũng có thể biết đến những tác hại của, nhưng không phải ai cũng biết đến cách thức hoạt động của chúng. Bài viết này sẽ điểm ra 10 loại malware được cho là nguy hiểm nhất từ trước tới nay.

Dưới đây là một số thuật ngữ thường được sử dụng:

Malware: là một phần mềm độc hại được viết ra chuyên để xâm nhập và phá hủy hệ thống máy tính mà người dùngkhông hề hay biết.
Malcode: là một mã lập trình độc hại được giới thiệu trong suốt giai đoạn phát triển của một ứng dụng phần mềm và thường liên quan tới số lượng malware.
Anti-malware: Bao gồm những chương trình chống lại malware, giúp bảo vệ, phát hiện và gở bỏ malware. Ứng dụng antivirus, anti-spyware và ứng dụng phát hiện malware là những ví dụ của anti-malware.

1. Virus

Virus máy tính là một malware có thể lây nhiễm nhưng phải dựa vào những phương tiện khác để phát tán. Một loại virus thật sự có thể lan tràn từ những máy tính bị nhiễm tới một máy tính chưa nhiễm bằng cách đính một mã vào file thực thi được truyền qua nhau. Ví dụ, một virus có thể ẩn trong một file PDF được đính vào một email. Hầu hết virus đều gồm có 3 thành phần sau:
Replicator: Khi kích hoạt chương trình chủ thì đồng thời virus cũng được kích hoạt, và ngay lập tức chúng sẽ phát tán malcode.
Concealer: Biện pháp virus sử dụng để lẩn tránh anti-malware.
Payload: Lượng malcode của một virus có thể được sử dụng để hủy chức năng của máy tính và phá hủy dữ liệu.

Một số mẫu virus máy tính gần đây gồm W32.Sens.A, W32.Sality.AM, và W32.Dizan.F. Hầu hết những phần mềm chống virus chất lượng sẽ gỡ bỏ virus khi chúng được đăng ký.

2. Sâu

Sâu máy tính tinh vi hơn nhiều so với virus. Chúng có thể tự tái tạo mà không cần tới can thiệp của người dùng. Nếu malware cần đến Internet để phát tán, nó giống sâu hơn virus. Những thành phần chính của sâu bao gồm:
Penetration tool: Là malcode khai thác những lỗ hổng trên máy tính của nạn nhân để dành quyền truy cập.
Installer: công cụ thâm nhập giúp sâu máy tính vượt qua hệ thống phòng thủ đầu tiên. Lúc đó, installer đưa và chuyển thành phần chính của malcode vào máy tính của nạn nhân.
Discovery tool (công cụ khai thác): Khi đã xâm nhập vào máy, sâu sử dụng cách thức để truy lục những máy tính khác trên mạng, gồm địa chỉ email, danh sách máy chủ và các truy vấn DNS.
Scanner: Sâu sử dụng một công cụ kiểm tra để xác định những máy tính mục tiêu mới trong penetration tool có lỗ hổng để khai thác.
Payload: Lượng malcode tồn tại trên mỗi máy tính của nạn nhân. Những malcode này có thể từ một ứng dụng truy cập từ xa hay một key logger được dùng để đánh cắp tên đăng nhập và mật khẩu của người dùng.
Thật không may loại malware này lại sinh sôi rất nhanh. Khởi đầu với sâu Morris vào năm 1988 và hiện nay là sâu Conficker. Hầu hết sâu máy tính có thể gỡ bỏ bằng chương trình quét malware, như MBAM hay GMER.

3. Backdoor

Backdoor giống với những chương trình truy cập từ xa mà chúng ta thường sử dụng. Chúng được coi như malware khi cài đặt mà không được cho phép, cách mà tin tặc sử dụng, theo các phương thức sau:
Khai thác lỗ hổng trên máy tính mục tiêu.
Bẫy người dùng cài đặt backdoor thông qua một chương trình khác.
Sau khi được cài đặt, backdoor cho phép tin tặc toàn quyền kiểm soát từ xa những máy tính bị tấn công. Những loại backdoor, như SubSeven, NetBus, Deep Throat, Back Orifice và Bionet, đã được biết đến với phương thức này.

4. Trojan horse

Theo Ed Skoudis và Lenny Zelter, Trojan horse là một chương trình thoạt nhìn có vẻ hữu dụng nhưng trong nó lại ẩn chứa nhiều “tính năng” độc hại.

Trojan horse malware chứa đựng nhiều payload cản trở cài đặt và chạy chương trình, như ngăn cản malware nhận ra malcode. Một số kĩ thuật che giấu bao gồm:
Đổi tên malware thành những file giống với file bình thường trên hệ thống.
Cản trở cài đặt anti-malware để không thông báo vị trí của malware.
Sử dụng nhiều loại mã khác nhau để thay đổi đăng ký của malware nhanh hơn những phần mềm bảo mật.
Vundo là loại Trojan horse điển hình. Nó tạo ra nhiều quảng cáo popup để quấy rối những chương trình chống spyware, làm suy giảm khả năng thực thi của hệ thống và cản trở trình duyệt web. Đặc biệt, nó cản trở cài đặt chương trình quét malware trực tiếp đĩa CD.

5. Adware/spyware

Adware là phần mềm tạo ra trình đơn quảng cáo popup mà không có sự cho phép của người dùng. Adware thường được cài đặt bởi một thành phần của phần mềm miễn phí. Ngoài việc làm phiền, adware có thể làm giảm đáng kể sự thực thi của máy tính.
Spyware là một phần mềm thực hiện đánh cắp thông tin từ máy tính mà người dùng không hề hay biết. Phần mềm miễn phí thường có rất nhiều spyware, vì vậy trước khi cài đặt cần đọc kĩ thỏa thuận sử dụng. Một trường hợp đáng chú ý nhất về spyware liên quan tới vụ tai tiếng chống copy đĩa CD BMG của Sony.
Đa số những chương trình chống spyware tốt sẽ nhanh chóng tìm ra và gỡ bỏ adware/spyware khỏi máy tính. Bạn cũng nên thường xuyên xóa những file tạm, cookies và history từ chương trình trình duyệt Web.

Malware stew

Cho đến nay, tất cả các loại malware được biết đến khá khác nhau, giúp có thể phân biệt từng loại. Tuy nhiên, loại malware stew này không giống như vậy. Những người viết nó đã nghiên cứu làm thể nào để kết hợp những đặc tính tốt nhất của nhiều loại malware khác nhau để nâng cao tỉ lệ thành công của nó.

Rootkit là một ví dụ điển hình của loại malware này, nó gồm các đặc tính của một Trojan horse và một Backdoor. Khi được sử dụng kết hợp, tin tặc có thể giành quyền kiểm soát máy tính từ xa mà không bị nghi ngờ.

Rootkits

Rootkit là loại hoàn toàn khác biệt, chúng thường sửa đổi hệ điều hành hiện thời thay vì bổ sung những phần mềm ở mức ứng dụng mà những loại malware khác thường làm. Điều này rất nguy hiểm bởi vì những chương trình chống malware sẽ rất khó phát hiện được chúng.

Có nhiều loại rootkits, trong đó có 3 loại được cho là nguy hiểm nhất, gồm: user-mode, kernel mode và firmware rootkits.

6. User-mode rootkits

User-mode gồm những đoạn mã giới hạn truy cập vào tài nguyên phần mềm và phần cứng trên máy tính. Hầu hết những mã chạy trên máy tính sẽ chạy trên chế độ user-mode. Vì truy cập bị giới hạn, những phá hủy trong user-mode là không thể phục hồi.

User-mode rootkit chạy trên máy tính với quyền admin. Điều đó có nghĩa:
User-mode rootkits có thể thay đổi tiến trình, file, ổ hệ thống, cổng mạng và thậm chí là dịch vụ hệ thống.
User-mode rootkit tự duy trì cài đặt bằng cách sao chép những file yêu cầu vào ổ cứng máy tính và tự động khởi chạy mỗi khi hệ thống khởi động.
Hacker Defender là một user-mode rootkit điển hình. Loại rootkit này và nhiều loại khác bị phát hiện và gở bỏ bởi ứng dụng nổi tiếng của Luckily Mark Russinovich.

7. Kernel-mode rootkits

Kernel-mode gồm những mã hủy giới hạn truy cập vào mọi tài nguyên phần cứng và phần mềm trên máy tính. Kernel-mode thường được dùng để lưu trữ những chức năng tin cậy nhất của hệ điều hành. Những hủy hoại trong kernel-modecũng không thể phục hồi.

Từ khi rootkit chạy trong chế độ user-mode bị phát hiện và gỡ bỏ, những người lập trình rootkit đã thay đổi tư duy và phát triển kernel-mode rootkit. Kernel-mode có nghĩa là rootkit được cài đặt đồng mức với hệ thống và những chương trình phát hiện rootkit. Vì vậy rootkit có thể làm cho hệ thống không còn đáng tin cậy nữa.

Không ổn định là một dấu hiệu sa sút của một kenel-mode rootkit mà thường dẫn đến những hủy hoại không rõ nguyên nhân hay treo màn hình. Lúc đó, bạn nên thử GMER, một trong số ít công cụ gỡ bỏ rootkit có thể tin cậy, để chống lại kernel-mode rootkit như Rustock.

8. Firmware rootkits

Firmware rootkit là loại rootkit cài đặt tinh vi vì những người phát triển loại rootkit này đã nghiên cứu phương pháp lưa trữ malcode của rootkit trong firmware. Mọi firmware đều có thể bị thay đổi, từ mã vi xử lý cho tới firmware card mở rộng PCI. Điều đó có nghĩa:
Khi tắt máy, rootkit ghi malcode hiện thời vào những firmware khác nhau.
Khi khởi động lai máy tính rootkit cũng tự thực hiện cài đặt lại.
Thậm chí, nếu một chương trình phát hiện và gỡ bỏ được firmware rootkit, thì lần khởi động máy tính sau, firmware rootkit này hoạt động trở lại bình thường.

9. Malicious mobile code (Mã độc di động – MMC)

MMC nhanh chóng trở thành phương pháp cài đặt malware vào máy tính hiệu quả nhất. Chúng có thể:
Chiếm quyền máy chủ từ xa.
Di chuyển trong mạng.
Tải và cài đặt trên một hệ thống cục bộ
MMC gồm Javascript, VBScript, ActiveX Controls và Flash Animations. Mục đích chính rất dễ nhận ra của MMC là cách thức hoạt động, nó làm nội dung trang của trình duyệt web trở nên tương tác hơn.

Tại sao MMC lai độc hại? Vì việc cài đặt nó không cần đến sự cho phép của người dùng và gây hiểu lầm cho nguời dùng. Ngoài ra nó thường là bước đệm cho một cuộc tấn công kết hợp giống như công cụ xâm nhập mà Trojan horse malware sử dụng. Sau đó tin tặc có thể tiến hành cài đặt thêm nhiều malware.

Cách tốt nhất để chống lại MMC là luôn cập nhật hệ thống và tất cả chương trình phụ.

10. Blended threat (Mối đe dọa hỗn hợp)

Malware được cho là một blended threat khi nó gây ra những tổn hại lớn và phát tán nhanh chóng thông qua những phần kết hợp của nhiều malcode có mục tiêu riêng. Blended threat xứng đáng là mối lo ngại đặc biêt vì nhiều chuyên gia bảo mật cho rằng chúng là “những chuyên gia trong công việc của chúng”. Một blended threat điển hình có thể:
Khai thác và tạo ra nhiều lỗ hổng
Sử dụng nhiều phương thức tái tạo khác nhau.
Tự động chạy mã hủy can thiệp của người dùn.
Ngoài ra blended threat malware có thể gửi một email dạng HTML nhúng Trojan horse cùng với một file PDF đính kèm chứa một loại Trojan horse khác. Một số loại blended threat khá quen thuộc là Nimda, CodeRed và Bugbear. Để gỡ bỏ blended threat khỏi máy tính cần đến nhiều chương trình chống malware, cũng như sử dụng chương trình quét malware được cài đặt chạy trực tiếp từ đĩa CD.

Nguồn: TechRepublic

[Songoku]

Mặc dù đã rất cẩn thận nhưng đa phần người dùng đôi khi vẫn không hiểu vì sao mà mã độc vẫn có thể dễ dàng lây nhiễm lên PC của họ. Bài viết sẽ phần nào cung cấp câu trả lời cho thắc mắc này của người dùng.

Như đã đề cập ở bài viết “Web là mục tiêu ưa thích của tin tặc” hiện website đang là một mục tiêu rất ưa thích của tin tặc. Mục đích cuối cùng của việc làm này cũng chỉ là để tấn công người dùng cuối cùng bởi đó mới là đối tượng mang lại lợi ích chính cho tin tặc.

Chính vì thế mà website có thể nói là hình thức lây nhiễm mã độc lên PC người dùng phổ biến nhất hiện nay. Phương pháp tấn công người dùng này mang lại cho tin tặc khả năng chủ động tìm đến người dùng. Trong khi đó hình thức lây nhiễm khác như qua thẻ nhớ USB thì tin tặc phải phụ thuộc quá nhiều vào người dùng cũng như phải chờ đợi cơ hội người dùng kết nối USB có chứa mã độc vào những PC chưa bị nhiễm.

Drive-by Download

Có thể nói đây là hình thức tấn công lây nhiễm mã độc nguy hiểm nhất hiện nay. Hình thức tấn công này cho phép mã độc đột nhập vào PC mà người dùng không hề hay biết một chút gì. Cách thức tấn công cũng cực kỳ đơn giản, chỉ cần người dùng truy cập vào website nào đó của tin tặc là họ đã bị nhiễm mã độc.

Dưới đây là mô hình minh họa chi tiết các bước trong quy trình tấn công “drive-by download”.

Bắt cóc một website hợp pháp. Quy trình tấn công bắt đầu bằng việc tin tặc tiến hành bắt cóc một website hợp pháp nào đó. Độc giải có thể tham khảo bài viết trước để biết thêm về những hình thức tấn công website điển hình. Mục đích của bước này là chèn một website độc hại hoặc mã độc lên website hợp pháp. Trên bề mặt nội dung độc hại có thể được hiển thị như một quảng cáo đơn giản hoặc một khung hình nào đó mà người dùng hầu như không thể nhận ra được.

Người dùng truy cập vào website bị bắt cóc. Đây là bước mà tin tặc mất đi tính chủ động và phải ngồi chờ đợi người dùng truy cập vào những website mà chúng bắt cóc được và hi vọng rằng trên PC của người dùng vẫn có những phần mềm mắc lỗi bảo mật chưa được khắc phục đầy đủ như lỗi ứng dụng bổ sung đa phương tiện hay lỗi ứng dụng chỉnh sửa văn bản…

Bí mật tải nội dung độc hại. Khi người dùng truy cập vào những website bị bắt cóc, mã kịch bản đã được tin tặc chèn sẵn sẽ tự động kích hoạt tải nội dung hoặc chuyển hướng người dùng truy cập vào những website lưu trữ mã độc của tin tặc. Mục tiêu của bước này là xác định xem người dùng sử dụng hệ điều hành gì, trình duyệt web gì, có lỗi bảo mật nào chưa được sửa hay không.

Tải mã độc xuống PC. Có được những thông tin như trên thì ngay lập tức tin tặc sẽ biết cần phải tấn công vào đâu tấn công vào chỗ nào. Ví dụ, website độc hại xác định ứng dụng bổ sung đa phương tiện trên trình duyệt của người dùng mắc lỗi thì ngay lập tức nó sẽ gửi một nội dung đa phương tiện đến. Khi nội dung này được phát lại trên website mà người dùng đang truy cập thì đó cũng là lúc mà mã độc được tải xuống PC người dùng.

Kích hoạt lây nhiễm mã độc. Lợi dụng hổng hổng bảo mật trong ứng dụng bổ sung đa phương tiện như trên mã độc được tích hợp sẵn trong nội dung mà website độc hại gửi đến sẽ tự động được kích hoạt lây nhiễm lên PC của người dùng.

Hoạt động độc hại. Sau khi lây nhiễm thành công lên PC người dùng mã độc sẽ thực hiện các nhiệm vụ mà tin tặc đã giao cho nó như chiếm quyền điều khiển PC biến đây trở thành công cụ giúp tin tặc thực hiện các mục đích đen tối hoặc ăn cắp thông tin cá nhân của người dùng …

Nói ra thì dài nhưng toàn bộ quy trình tấn công trên đây diễn ra gần như tức thời với việc website được tải và hiển thị trên trình duyệt. Người dùng không hề hay biết rằng mình đã bị nhiễm mã độc khi truy cập vào những website hợp pháp.

Lỗi bảo mật phần mềm

Như đã trình bày ở trên lỗi bảo mật phần mềm là một điều kiện tiên quyết đảm bảo cho sự thành công của hình thức tấn công “drive-by-download”.

Lỗi bảo mật là những sơ hở trong phần mềm. Nếu kẻ tấn công khai thác thành công những sơ hở này thì chúng hoàn toàn có thể điều khiển phần mềm thực hiện những điều mà nó vốn không có chức năng thực hiện.

Cụ thể, khai thác thành công lỗi bảo mật, tin tặc có thể điều khiển phần mềm mắc lỗi trên PC của người dùng thực hiện:

- Kích hoạt một tập lệnh nào đó mà tin tặc gửi tới
- Tải tệp tin từ Internet
- Mở một tệp tin nào đó trên PC người dùng
- Vô hiệu hóa và khiến ứng dụng bị treo cứng hoàn toàn

Bắt đầu từ năm 2003 mã độc đã bắt đầu lợi dụng lỗi bảo mật để tấn công người dùng. Cụ thể khi đó là sâu máy tính Blaster và Sasser. Khai thác thành công lỗi bảo mật hệ điều hành Windows, hai con sâu máy tính này đã có được khả năng tự động lây nhiễm và phát tán. Và gần đây nhất là sự bùng nổ của Conficker cũng thông qua một lỗi bảo mật khác trong hệ điều hành Windows của Microsoft.

Ngày nay tin tặc còn nhắm đến cả lỗi bảo mật phần mềm trình duyệt web, ActiveX Control, ứng dụng bổ sung cho trình duyệt, ứng dụng đa phương tiện, ứng dụng duyệt nội dung tệp tin… Chỉ cần một lỗi bảo mật chưa được khắc phục là mã độc hoàn toàn có thể dễ dàng đột nhập vào PC mà người dùng không hề hay biết.

Đáng chú ý là những con số thống kê đều cho thấy đa phần người dùng chưa chú ý đến việc cài đặt các bản cập nhật sửa lỗi bảo mật cho phần mềm cho dù các hãng phát triển đã cố gắng phát triển những tính năng cho phép phần mềm được tự động sửa lỗi.

Bộ công cụ tấn công

Tìm kiếm được một lỗi bảo mật có thể sử dụng để tấn công PC người dùng thực tế không phải là một việc đơn giản. Song tin tặc lại đã có được sự hỗ trợ của những bộ công cụ hỗ trợ tấn công web (web attack toolkits).

Đây là những phần mềm được thiết kế nhằm mục đích giúp xác định những lỗi bảo mật có mặt trên hệ thống PC của người dùng. Những phần mềm này được cung cấp khá rộng rãi trên mạng Internet như Neosploit, MPack, Icepack, El Fiesta, hay Adpack. Tin tặc đã lợi dụng những công cụ này để giúp chúng đơn giản hóa việc xác định lỗi trên PC của người dùng phục vụ cho mục đích tấn công.

Thông thường trong những công cụ như trên tích hợp rất nhiều mã khai thác lỗi các phần mềm khác nhau. Không những thế nó còn liên tục được cập nhật những thông tin lỗi mới nhất nên có thể nói đây là một công cụ rất nguy hại đối với người dùng.

Song đó không phải là phương thức tấn công duy nhất của tin tặc, chúng còn có một phương thức khác nhìn có vẻ ít nguy hiểm hơn nhưng rất tiếc thực tế lại không hề biết một chút gì. Đó là phương thức tấn công cần có sự can thiệp của người dùng. Hạn chế của phương thức này là tỉ lệ thành công không được cao như phương pháp chủ động tấn công.

Phương pháp tấn công cần có sự can thiệp của người dùng còn được gọi là phương pháp “social engineering”. Với phương pháp tấn công này, tin tặc còn có thể tấn công cả những người dùng có kiến thức về mã độc và cực kỳ cẩn thận.

Thuật ngữ “social engineering” được giới bảo mật thế giới định nghĩa là “trò đùa trong sự tin tưởng” (confidence trick) – ở đó người dùng bị lừa thực hiện một số hành động nào đó mà họ không hề hay biết và cũng không muốn thực hiện.

Dưới đây sẽ trình bày chi tiết một số thủ đoạn tấn công theo phương pháp “social engineering” hiện đang được sử dụng khá phổ biến trong giới tin tặc.

Clickjacking

Theo đúng định nghĩa của giới bảo mật toàn cầu, “clickjacking” là kỹ thuật tấn công “bắt cóc cú nhắp chuột” của người dùng khi họ thao tác trên trang web hiển thị trên nền trình duyệt. Kỹ thuật tấn công này còn được gọi bằng tên “bắt cóc trang web” (Hijacking webpage).

Cụ thể, tin tặc sẽ tấn công chiếm quyền điều khiển một trang web nào đó rồi gắn lên đây một lớp (layer) vô hình. Lớp vô hình này có thể bao trùm toàn bộ trang web hay chỉ chiếm một diện tích rất nhỏ nhưng lúc nào cũng di chuyển và nằm ngay dưới con trỏ chuột của người dùng.

Như vậy, khi người dùng nhắp chuột vào bất kỳ một điểm nào trên trang web, thì cũng có nghĩa họ đã nhắp chuột đồng ý kích hoạt mã độc của tin tặc. Thông thường mã tấn công mà tin tặc gắn lên sẽ dẫn người dùng truy cập đến những trang web độc hại để giúp tin tặc chủ động tấn công lây nhiễm mã độc lên PC của họ như đã trình bày ở bài viết trước.

Tệp tin độc hại chia sẻ P2P

Chia sẻ tệp tin thông qua mạng ngang hàng (P2P – Peer-to-Peer) hiện đang là một phương thức chia sẻ nội dung số được sử dụng rất phổ biến – cả nội dung hợp pháp và bất hợp pháp như phần mềm vi phạm bản quyền hay phim ảnh. Và đây cũng là một biện pháp giúp tin tặc đột nhập vào PC người dùng.

Cụ thể, tin tặc sẽ tung nội dung độc hại của chúng lên mạng chia sẻ ngang hàng. Đó có thể là một ứng dụng vi phạm bản quyền, bộ phim hay album âm nhạc nào đó đang rất được ưa thích… Nếu người dùng vô tình tải về những tệp tin này thì khả năng PC của họ bị nhiễm mã độc là một điều không thể tránh khỏi.

Tiến hành tìm kiếm trên mạng, chúng ta có thể tìm được rất nhiều hướng dẫn về việc tạo ra những nội dung độc hại để tung lên chia sẻ ngang hàng mà người dùng khó lòng có thể phân biệt được và thoải mái tải về mà không hề nghi ngờ chút nào.

Quảng cáo độc hại

Có lẽ đây là một trong những kỹ thuật mà tin tặc đang tập trung phát triển nhất hiện nay bởi chúng muốn bắt chước những thành công tương tự như ngành công nghiệp quảng cáo trực tuyến đã làm được trong thời gian gần đây.

Bài viết trước đây đã trình bày phương thức tin tặc lợi dụng hệ thống quảng cáo hợp pháp để phát tán quảng cáo độc hại của chúng. Còn trong phần này chúng ta sẽ được thấy tin tặc trực tiếp quảng cáo liên kết độc hại hoặc mã độc của chúng đến tận tay người dùng.

Trước tiên hãy thử thực hiện việc tìm kiếm trên một trong những công cụ tìm kiếm hàng đầu thế giới băng những từ khóa liên quan đến tải miễn phí một game hoặc một phần mềm mới được phát hành nào đó.

Trên trang kết quả tìm kiếm, bên cạnh những liên kết cung cấp thông tin hợp pháp còn có những liên kết quảng cáo tài trợ giả mạo cung cấp miễn phí cho người dùng phiên bản game hoặc phần mềm nói trên. Thực chất đó là liên kết dẫn đến những tragn web độc hại chuyên phát tán mã độc.

Các nhà quảng cáo hiện cũng đã nhận ra kiểu tấn công như thế này và đã cho triển khai nhiều biện pháp nhằm ngăn chặn nhưng có vẻ như chưa giành được nhiều thành công lắm bởi lượng quảng cáo tung ra rất lớn. Chính vì thế mà cơ hội để lọt những quảng cáo độc hại vẫn diễn ra thường xuyên.

Giả mạo cảnh báo bảo mật

Một biến thể nữa của quảng cáo độc hại là xây dựng một website quảng cáo cho một dịch vụ hoặc một sản phẩm giả mạo nào đó. Những trang web kiểu như thế này thường sử dụng khả năng xử lý Javascript của trình duyệt để bung ra một cửa sổ có thiết kế gần như giống hệt thông báo của hệ điều hành.

Như ở hình dưới đây là một quảng cáo bung ra cảnh báo rằng PC của người dùng đã bị nhiễm mã độc và yêu cầu họ nhắp chuột vào liên kết để tải về phần mềm làm sạch hệ thống. Thực chất những cảnh báo đó đều là giả mạo. Mục đích của tin tặc là lừa người dùng tải về phần mềm bảo mật giả mạo của chúng để làm sạch những thông báo. Mã độc không thấy được diệt mà trái lại còn có thêm mã độc mới.

Blog Spam

Ngày nay blog cũng đã trở thành một phương tiện giúp tin tặc lừa người dùng thực hiện những hàng động mà họ không hề mong muốn một chút nào. Các trang blog chính thức thường xuyên bị phủ đầy những đường liên kết URL dẫn đến một trang web độc hại nào đó.

Hình thức tấn công này là sự kết hợp tấn công hoàn toàn giữa “social engineering” và mã độc hại tấn công lỗi bảo mật trình duyệt. Mục đích cuối cùng vẫn là tuồn mã độc lên PC của người dùng.

Nơi mà tin tặc thường sử dụng để tung lên liên kết độc hại nhất chính là phần cho phép người dùng “bình luận” (comment) về bài viết của người chủ blog. Những lợi bình luận này thường được viết dẫn hấp dẫn với mục tiêu dụ người dùng nhắp chuột vào liên kết đi kèm theo đó.

Các phương pháp tấn công khác

Không chỉ giới hạn ở những phương pháp tấn công như nói trên mà tin tặc còn có rất nhiều phương pháp khác để tấn công người dùng. Một hình thức tấn công cũng rất đáng được nói đến ở đây là phương thức phát tán liên kết hoặc tệp tin độc hai qua email.

Nhưng cho dù sử dụng phương pháp tấn công nào đi chăng nữa thì mục tiêu của cuối cùng của chúng là làm thế nào để mã độc có thể thuận lợi xâm nhập vào PC của người dùng. Khi đó PC của người dùng sẽ trở thành công cụ giúp tin tặc tiếp tục tổ chức tấn công những người dùng khác.

Nguồn: thongtinbaomat.com

[ngthuha]

Giả mạo cảnh báo bảo mật

Một biến thể nữa của quảng cáo độc hại là xây dựng một website quảng cáo cho một dịch vụ hoặc một sản phẩm giả mạo nào đó. Những trang web kiểu như thế này thường sử dụng khả năng xử lý Javascript của trình duyệt để bung ra một cửa sổ có thiết kế gần như giống hệt thông báo của hệ điều hành.

Như ở hình dưới đây là một quảng cáo bung ra cảnh báo rằng PC của người dùng đã bị nhiễm mã độc và yêu cầu họ nhắp chuột vào liên kết để tải về phần mềm làm sạch hệ thống. Thực chất những cảnh báo đó đều là giả mạo. Mục đích của tin tặc là lừa người dùng tải về phần mềm bảo mật giả mạo của chúng để làm sạch những thông báo. Mã độc không thấy được diệt mà trái lại còn có thêm mã độc mới.

*--* Em thường bị cái nầy nhiều nhất đây , cái nguy hiểm là nó gợi ý từ OK phản xạ tự nhiên người dùng rất hay click vào thế là dính bẩy.

[NamLH_Bkav]

Virus đa hình (polymorphic virus) là họ virus có khả năng tự động biến đổi mã lệnh để tạo ra các loại mã độc khác nhau (nhiều hình) trong mỗi lần lây nhiễm. Trong khi các loại virus thông thường thì luôn giữ nguyên mã lệnh trong tất cả các lần lây nhiễm, hay nói cách khác chỉ có duy nhất 1 hình. Chính vì vậy, virus đa hình có khả năng lẩn trốn tinh vi trước sự truy quét của các phần mềm diệt virus Virus đa hình thường thực hiện biến đổi mã lệnh một cách ngẫu nhiên hoặc theo một thuật toán dựa trên thời gian hay đối tượng lây nhiễm. Có nhiều loại virus đa hình khác nhau, nhưng phổ biến nhất là đa hình mã lây nhiễm và đa hình mã phá hoại.

Virus siêu đa hình là thế hệ mới của họ virus đa hình. Thế hệ virus mới này đã “nâng cấp” khả năng đa hình bằng cách lại tạo và kết hợp nhiều kiểu đa hình khác nhau trong một virus. Chính vì thế, chúng có thể qua mặt được hầu hết các phần mềm diệt virus không có cơ chế quét sâu.

Về mức độ phá hoại, virus siêu đa hình không kém, thậm chí là còn nguy hiểm hơn so với các virus truyền thống. Chúng có thể lấy cắp dữ liệu, lấy cắp thông tin của nạn nhân, làm chậm hệ thống và làm giảm mức độ an ninh của hệ thống hay lợi dụng tài nguyên của máy tính để thực hiện các cuộc tấn công mạng.

Để diệt loại virus này, bạn cần kiểm tra xem phần mềm diệt virus mình đang sử dụng có hỗ trợ tính năng quét virus siêu đa hình không ? Nếu có, bạn cần đọc kỹ hướng dẫn và làm theo từng bước mà nhà sản xuất đã khuyến cáo.

Nếu bạn sử dụng Bkav Pro 2009, bạn có thể chọn tùy chọn “Deep Scan” để quét và diệt các virus siêu đa hình.

[LamborghiniRGT]

mình đã hiểu thêm nhiều kiến thức mới. Cảm ơn bạn

[N.Ngọc Duy Ái]

[QUOTE=Songoku;15791]Giả mạo cảnh báo bảo mật

Một biến thể nữa của quảng cáo độc hại là xây dựng một website quảng cáo cho một dịch vụ hoặc một sản phẩm giả mạo nào đó. Những trang web kiểu như thế này thường sử dụng khả năng xử lý Javascript của trình duyệt để bung ra một cửa sổ có thiết kế gần như giống hệt thông báo của hệ điều hành.

Như ở hình dưới đây là một quảng cáo bung ra cảnh báo rằng PC của người dùng đã bị nhiễm mã độc và yêu cầu họ nhắp chuột vào liên kết để tải về phần mềm làm sạch hệ thống. Thực chất những cảnh báo đó đều là giả mạo. Mục đích của tin tặc là lừa người dùng tải về phần mềm bảo mật giả mạo của chúng để làm sạch những thông báo. Mã độc không thấy được diệt mà trái lại còn có thêm mã độc mới.
-------------------------------------------------------------------------------------

*--* Em thường bị cái nầy nhiều nhất đây , cái nguy hiểm là nó gợi ý từ OK phản xạ tự nhiên người dùng rất hay click vào thế là dính bẩy.

Bởi vậy khi dùng máy tính mà tự nhiên có mấy cái thông báo phực lên mà mình phải đọc cho kỹ. Nếu ko dịch được thì vào trang http://vdict.vn mà tra nhé. Mình thì rất kỹ cái vụ này.

Cám ơn bạn Path Finder đã cho mình biết thêm nhiều thông tin bổ ích về dòng virus đa hình và siêu đa hình.

Thân

[phuoctrung]

Mã độc còn có thể thực thi trên trình duyệt qua các mã html, thư điện tử (email) thậm chí các bảng quảng cáo có thể gây hại đến máy tính của các bác. Các bác chú ý khi vào 1 trang web không tin cậy thì đừng làm theo lời nó. Có thể là mất acc như chơi

[duongcaotri]

answers from BQT convincing.

BQT là Ban Quản Trị . bạn nước ngoài này giỏi tiếng Việt ghê ta

[Tien_si_giay]

Các bạn đã đưa ra được các dạng virus thì nên đưa ra cách diệt và khắc phục nó thì tốt.chứ đưa ra các thông tin về VR thì cái này ai cũng biết hết rồi.quan trọng là cách khắc phục nó.

[k3lvinmitnick]

Quan trọng là cách khắc phục hay cách phòng chống ?