Mã độc đa hình VIRLOCK

17:00 | 19/11/2021 | HACKER / MALWARE

Mã độc đa hình là mã độc mà có thể tự thay đổi mã lệnh của nó sau một khoảng thời gian hoặc sau mỗi lần lây nhiễm. Mã độc đa hình khác với các mã độc thông thường ở chỗ nó có khả năng tự biến đổi bản thân thành nhiều dạng khác nhau. Mục đích của bài báo là giới thiệu tổng quan về mã độc đa hình, phương pháp đa hình cho mã độc, các biện pháp phát hiện mã độc đa hình và phân tích mã độc đa hình Virlock.

GIỚI THIỆU

Ngày nay, hầu hết các thông tin, dữ liệu của các cá nhân, tổ chức đều được lưu trữ trên máy vi tính. Mặc dù những thông tin, dữ liệu này đã được mã hóa với độ bảo mật cao, tuy nhiên vẫn có nhiều phương pháp, cách thức để tin tặc có thể lợi dụng nhằm mục đích đánh cắp thông tin của các cá nhân, tổ chức đó. Một trong những phương pháp phổ biến hiện nay đó là sử dụng mã độc (malware) [1].

Mã độc là một loại phần mềm được cài đặt trái phép trên máy người dùng nhằm mục đích thu thập dữ liệu, đánh cắp thông tin và phá hoại hệ thống máy tính của các cá nhân, tổ chức. Mã độc ngày nay đã phát triển dưới nhiều hình thái khác nhau, không chỉ tồn tại dưới một dạng đơn thuần mà còn là sự pha trộn, lai tạo dựa nhiều dạng.

Mã độc đa phần đều có thể bị phát hiện và tiêu diệt bởi phần mềm phòng chống mã độc và các công cụ kiểm tra an toàn thông tin. Những loại mã độc đó được gọi là mã độc đơn hình. Để có thể vượt qua được các phần mềm phòng chống mã độc thì mã độc trở nên càng ngày càng phức tạp, tinh vi hơn từ cách thức lây nhiễm, phương pháp ẩn mình và hành vi trên máy người dùng,… Những mã độc như vậy được gọi là mã độc đa hình.

Mã độc đa hình (polymorphic malware) khác với các mã độc thông thường ở chỗ nó có khả năng tự biến đổi bản thân thành nhiều dạng khác nhau [2]. Trong suốt qua trình tấn công, lây lan hay kết nối với máy chủ C&C của các tin tặc, mã độc đơn hình chỉ sử dụng duy nhất một biến thể. Khác với mã độc đơn hình, mã độc đa hình bằng các kỹ thuật khác nhau như mã hóa, thay thế các lệnh, hoán vị lệnh, chèn các lệnh vô nghĩa,… để tạo ra các biến thể khác nhau sau mỗi lần lây nhiễm hay sau một khoảng thời gian nhất định. Sau khi sinh ra phiên bản mới, chúng còn có khả năng tự xóa phiên bản trước đó để tránh bị các chương trình phòng chống mã độc hay các chuyên gia phân tích phát hiện, làm tăng khả năng hay thời gian sống sót của chúng. Do mã độc đa hình có thể liên tục biến đổi mã lệnh, nên khó có thể tìm được đoạn mã đặc trưng của nó, và do đó khó phát hiện bằng phương pháp so sánh mã truyền thống.

Mã độc đa hình đang được các tin tặc sử dụng ngày càng nhiều vì tính đa hình của nó. Chính tính năng này của mã độc có thể giúp nó vượt qua được một số phần mềm phòng chống mã độc thông thường hoặc cũng có thể kéo dài thời gian sống hơn khi mã độc bị phân tích bởi các chuyên gia phân tích mã độc.

Mã độc đa hình tồn tại ở nhiều dạng khác nhau, ví dụ như virus, bot, trojan, worm và keylogger. Bất kể tồn tại ở dạng nào đều làm cho mã độc này trở nên nguy hiểm vì sự phức tạp và tốc độ của nó. Mã độc đa hình sử dụng mã đa hình để thay đổi nhanh chóng, trong khoảng thời gian nhất định, hoặc mỗi khi lây lan sang máy khác sẽ sinh ra một biến thể khác so với ban đầu. Hiện nay, các công ty cung cấp phần mềm chống mã độc sử dụng các phương pháp phát hiện dựa trên dấu hiệu truyền thống để phát hiện và ngăn chặn mã độc, điều đó có nghĩa là vào thời điểm phần mềm phòng chống mã độc xác định được dấu hiệu, thì mã độc đa hình đã phát triển thành một thứ gì đó mới. Do đó, hầu hết các giải pháp bảo mật đơn giản là không thể theo kịp hoặc không thể phát hiện ra những mối đe dọa này.

CÁC PHƯƠNG PHÁP ĐA HÌNH CỦA MÃ ĐỘC

Để có thể tự biến đổi mã lệnh, các mã độc đa hình áp dụng rất nhiều kỹ thuật khác nhau. Dưới đây là một số kỹ thuật thường gặp [3]:

Mã hoá: Một mã độc đa hình có thể mã hoá chính mã lệnh của nó bằng cách sử dụng một giải thuật mã hoá nào đó. Giải thuật mã hoá thường khá đơn giản vì mục đích của quá trình này không phải để giữ bí mật mà là để biến đổi mã lệnh (giải thuật càng đơn giản thì tốc độ mã hoá càng nhanh).

Hoán vị: Một kỹ thuật khác để tạo ra các bản sao của mã độc mới là hoán vị ngẫu nhiên các module trong mã lệnh của mã độc [4]. Để có thể đổi chỗ các module mà không làm thay đổi tác dụng của chúng, mã lệnh của mã độc phải có khả năng định vị lại chương trình trong bộ nhớ, hoạt động của các module phải độc lập với vị trí, và sử dụng các địa chỉ tương đối thay thế cho địa chỉ tuyệt đối.

Thay đổi mã lệnh: Nguyên tắc cơ bản của thay đổi mã lệnh là phải biến đoạn mã ban đầu thành một đoạn mã khác, mà công dụng của nó vẫn giữ nguyên [5]. Các phương pháp thay đổi mã lệnh hay được các tin tặc dùng bao gồm:

• Chèn lệnh: Chèn các lệnh vô nghĩa vào trong mã;

• Thay đổi thanh ghi: Sử dụng thanh ghi khác mã không làm thay đổi chức năng của đoạn mã đó;

• Thêm biến: Cũng giống với chèn lệnh, việc thêm nhiều biến sẽ không làm ảnh hưởng đến code ban đầu của mã độc và sẽ gây khó khăn cho các chuyên gia phân tích mã độc;

• Thay thế lệnh: Sử dụng các đoạn mã tương đương để thay thế trong các biến thể của mã độc;

• Kết hợp nhiều kỹ thuật nguỵ trang: Phương pháp này có thể bù trừ được các ưu nhược điểm của các phương pháp trên.

MÃ ĐỘC ĐA HÌNH VIRLOCK

Virlock là một mã độc đa hình thuộc dạng mã độc tống tiền, lây nhiễm tệp tin lần đầu tiên được phát hiện vào năm 2014. Vào những năm trở lại đây, nó đã chứng minh khả năng mới cho phép lây lan qua các ứng dụng được chia sẻ và lưu trữ đám mây và hiện nay, mã độc này vẫn được tin tặc sử dụng. Với mỗi lần xuất hiện, Virlock lại thể hiện các khả năng mới, cho thấy rằng mã độc này đang được tin tặc tích cực phát triển và cập nhật. Với các cuộc tấn công mã độc tống tiền gây thiệt hại cho các cá nhân, tổ chức khoảng 13.000 - 15.000 USD cho mỗi sự cố, Virlock là một mối đe dọa mà các doanh nghiệp không thể bỏ qua.

Khi được thực thi, Virlock sẽ đa hình thành ba phiên bản khác nhau từ phiên bản gốc [6]. Một phiên bản thực hiện việc lây nhiễm tệp, một phiên bản khác khóa máy và phiên bản thứ ba tìm cách vượt qua các phần mềm diệt mã độc bằng cách đăng ký như là một dịch vụ trong máy tính nạn nhân. Mã độc Virlock lây lan rất nhanh qua các biến thể của nó, tin tặc sẽ yêu cầu thanh toán bằng bitcoin hoặc các loại tiền ảo khác nếu nạn nhân muốn các dữ liệu của họ được mở khóa.

Khi đã bị lây nhiễm, mã độc sẽ tìm các tệp trong máy nạn nhân có đuôi như:

• Tệp thực thi (*.exe);
• Tệp tài liệu (*.doc, *.xls, *.pdf, *.ppt, *.mdb);
• Tệp lưu trữ (*.zip, *.rar);
• Tệp âm thanh/video (*.mp3, *.mpg, *.wma);
• Tệp hình ảnh (*.png, *.gif, *.bmp, *.jpg, *.jpeg, *.psd).

Khi mã độc tìm thấy các tệp có đuôi như trên, nó sẽ mã hóa các tệp đó, nhúng nó vào bên trong phần thân của mã độc và thêm đuôi .rsrc vào tệp bị nhiễm. Những tệp này sẽ được ngụy trang giống như tệp ban đầu khi chưa bị mã hóa nhằm đánh lừa nạn nhân.

Trong quá trình phân tích mã độc đa hình Virlock, nếu không nắm chắc về mã độc thì sẽ không thể phân tích, vì mã độc Virlock được trang bị chức năng chống debug phức tạp. Mã độc Virlock được đóng gói bằng trình đóng gói do tin tặc tùy chỉnh sử dụng các lệnh gọi API ngẫu nhiên. Nó liên tục thay đổi trình đóng gói để tránh việc bị phát hiện. Điều này khiến các chuyên gia phân tích mã độc khó phát hiện hơn khi mã thay đổi mỗi lần chạy [7].

Trong quá trình thực thi, mã độc đa hình Virlock sẽ tạo và sửa đổi các mục bên trong Registry để tránh việc bị phát hiện và đảm bảo quá trình thực thi đó. Mã độc sẽ khóa màn hình của máy nạn nhân, vô hiệu hóa file Explore.exe và ngăn việc sử dụng file taskmgr.exe. Trong khi đó, nó cũng kiểm tra vị trí của hệ thống bị ảnh hưởng để hiển thị hình ảnh thích hợp cho thông báo đòi tiền chuộc.

Virlock là một trong những mã độc đa hình rất nguy hiểm bởi khả năng ngụy trang và lẩn trốn của nó đối với các nhà phân tích mã độc và các chương trình phòng chống mã độc hiện nay. Để có thể phát hiện và ngăn chặn mã độc Virlock, hiện nay các công ty phát triển chương trình diệt virus đều đã tích hợp AI nhằm tăng khả năng phát hiện và tiêu diệt mã độc. Ngoài ra, vẫn có thể dùng một số phương pháp khác để có thể phát hiện được mã độc đa hình như [8]:

Checksummer: Kỹ thuật phát hiện đối tượng mã độc trên cơ sở tính toàn vẹn của chương trình. Mỗi chương trình sau khi được xác định chắc chắn là mã độc sẽ được sử dụng để tạo ra mẫu mã hash (MD5, SHA, CRC…) tương ứng với loại mã độc đó. Do tính chất của mã hash nên một loại mã độc chỉ tương ứng với một mã hash nhận dạng (Xác suất trùng lặp là rất thấp). Sau đó, cập nhật mẫu đó vào cơ sở dữ liệu của chương trình diệt mã độc. Khi chương trình diệt mã độc quét tập tin để kiểm tra, nếu trùng mã hash trong cơ sở dữ liệu mẫu thì đó là mã độc, ngược lại là không;

Fuzzy Hashing: Để cải tiến nhược điểm dựa vào mã hash của kỹ thuật Checksummer, các nhà khoa học đã tìm ra một kỹ thuật khác có tên là Fuzzy Hashing [9]. Kỹ thuật mới này về cơ bản vẫn là nhận dạng chương trình mã độc qua mã hash nhưng đã được bổ sung thêm các phân tích và tính toán để từ một mã hash của mã độc, có thể nhận ra các mã hash “họ hàng”, nâng cao khả năng phát hiện chương trình mã độc.

Scan String: Scan string là cách đơn giản để phát hiện mã độc. Kỹ thuật này sử dụng một chuỗi trích ngang (chuỗi byte) là đặc trưng của tập tin mã độc và không tồn tại trong các tập tin sạch. Các chuỗi này sẽ được cập nhật vào cơ sở dữ liệu mẫu dùng để nhận dạng mã độc.

Code Emulation: Code Emulation là một kỹ thuật phát hiện mã độc được đánh giá cao. Bằng việc mô phỏng lại hệ thống CPU, hệ thống quản lý bộ nhớ, các chỉ thị máy ở cấp thấp… giống như máy quét thực tế [10]. Vì vậy, mã độc sẽ hoạt động trên máy ảo mà không ảnh hưởng đến bộ xử lý thật. Hiện nay, kỹ thuật này được sử dụng kết hợp rộng rãi với các kỹ thuật phân tích khác. Cùng với đó, kỹ thuật này đã trở thành một thành phần quan trọng trong công nghệ Sandbox để phát hiện mã độc.

KẾT LUẬN

Ngày nay, tin tặc sử dụng rất nhiều phương pháp khác nhau để đa hình cho mã độc nhằm mục đích qua mặt được các phần mềm phòng chống mã độc và công cụ kiểm tra ATTT. Mặc dù mã độc đa hình ưu việt hơn so với mã độc thông thường, tuy nhiên các phần mềm phòng chống mã độc hiện nay cũng được trang bị những phương pháp mới, hiện đại, thông minh hơn nhằm phát hiện ra các hành vi mà mã độc đa hình thực hiện trên máy người dùng. Chính vì vậy, trong thời gian tới, mã độc đa hình sẽ được các tin tặc phát triển thêm các tính năng, bổ sung các phương pháp để có thể giúp mã độc vượt qua được các phần mềm phòng chống mã độc và công cụ kiểm tra ATTT. Một số phương pháp có thể được các tin tặc sử dụng như biến mã độc đa hình thành mã độc siêu hình, bổ sung khả năng chống dịch ngược cho mã độc, sinh biến thể mã độc mới bằng nhiều cách khác nhau,… Đây sẽ là bài toán khó cho các nhà phát triển phần mềm phòng chống và các chuyên gia phân tích mã độc trong tương lai.

TÀI LIỆU THAM KHẢO

1. Ali, Z., & Soomro, T. (2018). An Efficient Mining Based Approach using PSO Selection Technique for Analysis and Detection of Obfuscated Malware. Journal of Information Assurance & Cyber security, 1-13: IBIMA Publishing.

2. https://vi.wikipedia.org/wiki/Virus_đa_hình

3. M. Musale, T. H. Austin, and M. Stamp, ‘‘Hunting for metamorphic JavaScript malware,’’ Journal of Computer Virology and Hacking Techniques, vol. 11, no. 2, pp. 89--102, 2015. [Online]. Available: http://dx.doi.org/10.1007/s11416-014-0225-8.

4. F. Di Troia and C. A. Visaggio, T. H. Austin, and M. Stamp, ‘‘Advanced transcriptase for javascript malware,’’n 2016 11th International Conference on Malicious and Unwanted Software (MALWARE), Oct 2016, pp. 1--8.

5. AGRAWAL, H., BAHLER, L., MICALLEF, J., SNYDER, S., AND VIRODOV, A. 2012. Detection ofglobal, metamorphic malware variants using control and data flow analysis. In MILITARY COMMUNICATIONS CONFERENCE, 2012-MILCOM 2012, IEEE, 1–6.

6. https://www.knowbe4.com/virlock-ransomware

7. https://www.netskope.com/blog/cloud-malware-fan-virlock-ransomware.

8. ANCKAERT, B., MADOU, M., AND DE BOSSCHERE, K. 2006. A model for self-modifying code. In International Workshop on Information Hiding, Springer, 232–248.

9. Leder, F., Steinbock, B., & Martini, P. (2009). Classification and Detection of Metamorphic Malware using Value Set Analysis. International Conference on Malicious and Unwanted Software (pp. 39-46). Montreal, QC: IEEE.

10. Leder, F., Steinbock, B., & Martini, P. (2009). Classification and detection of metamorphic malware using value set analysis. International Conference on Malicious and Unwanted Software (pp. 39-46). Montreal: IEEE.

TS. Phạm Văn Tới, Hà Thị Thu Trang, Phan Trọng Duy

‹ › ×

Tin liên quan

Mã độc đa hình Necro nâng cấp tính năng khai thác và đào tiền ảo

13:00 | 11/06/2021

Các nhà nghên cứu của Cisco cho biết, mã độc Necro có khả năng tự sao chép dựa trên ngôn ngữ Python đã được nâng cấp khả năng lây nhiễm và qua mặt các giải pháp bảo mật.

RATDispenser - mã độc qua mặt hầu hết các phần mềm diệt virus

14:00 | 08/12/2021

Các chuyên gia an ninh mạng công ty HP (Mỹ) đã đưa ra cảnh báo về một phần mềm độc hại mới có tên là RATDispenser có khả năng vượt qua hầu hết các phần mềm diệt virus.

35.000 máy tính bị ảnh hưởng bởi mã độc PseudoManuscrypt

09:00 | 28/12/2021

Một mã độc mới có tên PseudoManyscrypt đã nhắm mục tiêu vào các tổ chức công nghiệp và chính phủ bao gồm các doanh nghiệp khu liên hợp công nghiệp, quân sự và các phòng thí nghiệm. Mã độc này đã lây nhiễm khoảng 35.000 hệ thống máy tính Windows trong năm 2021.

7 bước đảm bảo an toàn giúp doanh nghiệp ngăn chặn mã độc tống tiền

16:00 | 30/12/2021

Bất kỳ thiết bị được kết nối nào, bao gồm điện thoại thông minh, máy tính xách tay, máy chủ, máy móc công nghiệp,... đều có thể trở thành mục tiêu cho tội phạm mạng tấn công sử dụng mã độc tống tiền vào các mạng vào hệ thống công ty.

GriftHorse: mã độc nguy hiểm lây nhiễm trên 10 triệu smartphone Android

07:00 | 04/10/2021

Mới đây, các nhà nghiên cứu tại công ty chuyên về bảo mật di động Zimperium (Mỹ) phát hiện mã độc có tên gọi GriftHorse lây nhiễm hơn 10 triệu smartphone Android tại hơn 70 quốc gia trên toàn cầu, trong đó có cả Việt Nam.

Mã độc tống tiền ransomware tăng 200% tại Việt Nam

15:00 | 18/10/2021

Theo báo cáo về mã độc tống tiền (ransomware) do VirusTotal và Google thực hiện, mã độc tống tiền tại Việt Nam đã tăng gần 200% so với thời điểm năm 2020.

Số lượng mã độc được mã hóa bằng TLS tăng gấp đôi chỉ sau vài tháng

14:00 | 13/05/2021

Theo Sophos (công ty bảo mật của Anh), số lượng mã độc được mã hóa bằng TLS đã tăng gấp đôi trong vài tháng gần đây vì các tác nhân đe dọa đang tìm cách phá vỡ các công cụ bảo mật.

Giao thức bảo mật TLS 1.3 - nhanh hơn, an toàn hơn

13:00 | 09/05/2018

Ngày 21/3/2018, Lực lượng chuyên trách về kỹ thuật liên mạng (Internet Engineering Task Force - IETF) đã phê duyệt giao thức bảo mật tầng giao vận (Transport Layer Security - TLS) phiên bản 1.3, giúp tăng tốc độ kết nối an toàn và nâng cao khả năng chống snooping.

Tin cùng chuyên mục

Giải mã biến thể mới của phần mềm độc hại Bandook

09:00 | 29/01/2024

Các nhà nghiên cứu đến từ hãng bảo mật Fortinet (Mỹ) phát hiện một biến thể mới của Trojan truy cập từ xa có tên Bandook đang được phân phối thông qua các cuộc tấn công lừa đảo nhằm mục đích xâm nhập vào các máy tính Windows. Bài viết sẽ phân tích hành vi của Bandook, cung cấp thông tin chi tiết về các thành phần được sửa đổi trong biến thể mới và giải mã một số ví dụ về cơ chế giao tiếp máy chủ ra lệnh và điều khiển (C2) của phần mềm độc hại này.

Giải mã mạng botnet NoaBot nhắm mục tiêu khai thác tiền điện tử

15:00 | 26/01/2024

Các nhà nghiên cứu bảo mật của công ty an ninh mạng Akamai (Mỹ) phát hiện ra một mạng botnet mới dựa trên Mirai có tên là NoaBot, hiện đang được các tác nhân đe dọa sử dụng như một phần của chiến dịch khai thác tiền điện tử đã hoạt động kể từ đầu năm 2023. Bài viết này sẽ phân tích về đặc điểm của NoaBot và công cụ khai thác tiền điện tử được sử dụng trong chiến dịch tấn công mạng botnet này.

Khám phá Trojan mới của BlueNoroff với mục tiêu tấn công người dùng macOS

17:00 | 22/12/2023

Mới đây, các nhà nghiên cứu tới từ hãng bảo mật Kaspersky đã đưa ra báo cáo về việc phát hiện một loại Trojan mới có liên quan đến nhóm tin tặc APT BlueNoroff và chiến dịch RustBucket đang diễn ra. Trojan này là một trình tải độc hại được thiết kế để tải và thực thi mã độc khác trên hệ thống bị xâm nhập với mục tiêu nhắm vào người dùng macOS. Bài viết này sẽ cùng tìm hiểu, khám phá Trojan BlueNoroff cũng như thông tin xoay quanh nhóm tin tặc này.

Lỗ hổng LogoFAIL có thể ảnh hưởng đến phần lớn các máy tính

16:00 | 18/12/2023

Các nhà nghiên cứu từ công ty bảo mật chuỗi cung ứng Binarly cho biết lỗ hổng firmware có tên gọi là LogoFAIL có thể ảnh hưởng đến 95% máy tính, cho phép tin tặc vượt qua cơ chế bảo vệ Secure Boot và thực thi phần mềm độc hại trong quá trình khởi động. Các lỗ hổng xuất phát từ trình phân tích cú pháp hình ảnh được sử dụng trong firmware hệ thống UEFI để tải hình ảnh logo trên màn hình khởi động.