Keyz Cenly Blog: Mã Độc

Mã độc BlackEnergy APT có thể tạo ra các cuộc tấn công APT trên cả windows và linux

<div dir="ltr" style="text-align: left;" trbidi="on">
<div class="text-justify">
</div>
<div style="text-align: center;">
<a href="http://securitydaily.net/wp-content/uploads/2014/11/alexskopje_cyber-attack_shutterstock.jpg" onclick="_gaq.push(['_trackEvent', 'outbound-article-int', 'http://securitydaily.net/wp-content/uploads/2014/11/alexskopje_cyber-attack_shutterstock.jpg', '']);" rel="lightbox[gallery-ocwE]"><span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><img alt="BlackEnergy APT có một danh sách phong phú Plug-in cho Windows và Linux" class="alignnone wp-image-8777 size-large" height="420" src="http://securitydaily.net/wp-content/uploads/2014/11/alexskopje_cyber-attack_shutterstock-700x420.jpg" width="700" /></span></a></div>
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Được biết đến do được sử dụng trong các hoạt động gián điệp không gian mạng cũng như trong các chiến dịch thúc đẩy tài chính, mối nguy hiểm từ các cuộc tấn công APT BlackEnergy có một cơ sở hạ tầng toàn vẹn đằng sau và một nhóm chuyên nghiệp, được gọi là Sandworm, tùy chỉnh các chức năng cho một nhiệm vụ nhất định.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Phần mềm độc hại đã được sử dụng cho một số cuộc tấn công có chủ đích, một trong những cuộc tấn công gần đây nhất tận dụng một lỗ hổng zero-day trong Windows để chống lại các tổ chức khác nhau, từ NATO và các tổ chức chính phủ ở Ukraine, Tây Âu cho đến các công ty viễn thông và các lĩnh vực năng lượng.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><strong>C</strong><strong>ô</strong><strong>ng c</strong><strong>ụ</strong><strong> DDoS</strong><strong> cho h</strong><strong>ệ</strong><strong> th</strong><strong>ố</strong><strong>ng ARM</strong></span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Các nhà nghiên cứu bảo mật tại Kaspersky đã phân tích các công cụ và các tập tin cấu hình khác nhau của phần mềm độc hại, Kaspersky đã trình bày phát hiện của họ trong một báo cáo vào hôm thứ hai, cho thấy một loạt các plugin tùy chỉnh được tạo ra cho các mối đe dọa  thực hiện các hoạt động độc hại trên cả hai hệ thống Windows và Linux.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Sau khi giành được quyền kiểm soát các máy chủ (C&C), các nhà nghiên cứu cũng phát hiện ra một tập tin cấu hình bao gồm các module đánh cắp mật khẩu từ một số giao thức mạng (SMTP, POP3, IMAP, HTTP, FTP, Telnet), gửi phần mềm độc hại và triển khai tấn công DDoS (tấn công từ chối dịch vụ).</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Điều thú vị là, plug-in DDoS, “weap_hwi,” đã được biên soạn để chạy trên các hệ thống ARM, trong đó bao gồm hầu hết các hệ điều hành di động (iOS, Android, Windows Phone, BlackBerry, Firefox OS).</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Module được thiết kế với kiến trúc Linux cũng chứa các chức năng cho phép quét các cổng, đăng nhập IP nguồn và đích, giao tiếp với C&C để tải các plug-in khác hoặc cập nhật.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Trong số các lệnh có sẵn, các nhà nghiên cứu phát hiện ra rằng những kẻ tấn công có khả năng xóa tất cả các dấu hiệu lây nhiễm phần mềm độc hại từ các hệ thống bị ảnh hưởng và sau đó khởi động lại máy.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><strong>Kh</strong><strong>ô</strong><strong>ng ph</strong><strong>ả</strong><strong>i t</strong><strong>ấ</strong><strong>t c</strong><strong>ả</strong><strong> c</strong><strong>á</strong><strong>c plug-in đều</strong> <strong>đượ</strong><strong>c t</strong><strong>ì</strong><strong>m th</strong><strong>ấ</strong><strong>y, IP B</strong><strong>ộ</strong><strong> Qu</strong><strong>ố</strong><strong>c ph</strong><strong>ò</strong><strong>ng Nga </strong><strong>đượ</strong><strong>c t</strong><strong>ì</strong><strong>m th</strong><strong>ấ</strong><strong>y trong s</strong><strong>ố</strong><strong> c</strong><strong>á</strong><strong>c m</strong><strong>ụ</strong><strong>c ti</strong><strong>ê</strong><strong>u </strong></span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">]Sandworm mở rộng khả năng cho phép tìm kiếm các loại tập tin cụ thể, chụp ảnh màn hình, trải rộng trên các mạng mục tiêu, chạy phiên máy tính để bàn từ xa, lây nhiễm các tập tin, đăng nhập lưu lượng truy cập, ghi đè lên các thông tin trên đĩa cứng, đăng nhập tổ hợp phím mở rộng và thu thập thông tin chi tiết về hệ thống (BIOS, thiết bị kết nối USB) và mạng.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Mặc dù danh sách các plug-in được thu thập từ các máy chủ C&C là rất lớn, các nhà nghiên cứu có bằng chứng cho thấy sẽ còn nhiều hơn plug-in tồn tại.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Trong khi phân tích, họ thấy một công cụ gọi là “GRC” thường được sử dụng để phân tích cú pháp HTML. Phần bổ sung là một ID Google Plus được cung cấp, trong đó có hơn 76 triệu lượt xem tại thời điểm viết. Các nhà nghiên cứu giải thích rằng công cụ tải và giải mã hình ảnh PNG có thể chứa một địa chỉ máy chủ C&C mới nhưng hiện tại chưa tìm được thông tin này.</span><br />
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;">Dựa trên các lệnh họ quan sát, Kaspersky cho rằng có một plug-in dùng để truy cập vào các bộ định tuyến là có sẵn. Họ tìm thấy hai địa chỉ IP chủ đích dành cho DDoS, một thuộc Bộ Quốc phòng Nga và cái kia cho trang web chính phủ  của Bộ Nội vụ Thổ Nhĩ Kỳ.</span><br />
<div style="text-align: right;">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif; text-decoration: underline;"><strong>Softpedia</strong></span></div>
</div>

Mã độc BlackEnergy APT có thể tạo ra các cuộc tấn công APT trên cả windows và linux

Được biết đến do được sử dụng trong các hoạt động gián điệp không gian mạng cũng như trong các chiến dịch thúc đẩy tài chính, mối nguy ...

Windows Shell Code và Ứng dụng khai thác lỗi tràn bộ đệm – Phần 2

Windows Shell Code và Ứng dụng khai thác lỗi tràn bộ đệm – Phần 2

Chào các bạn, tiếp tục chủ đề về “Windows Shell Code và Ứng dụng khai thác lỗi tràn bộ đệm”. Hôm nay chúng ta tiếp tục giải quyết các vấn ...

Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm

<div dir="ltr" style="text-align: left;" trbidi="on">
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Hôm nay tôi xin chia sẻ tới các bạn loạt các bài viết về chủ đề “Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm”. Những bài viết này tôi đã thực hiện cách đây 5 năm và hôm nay tôi sẽ biên tập lại để chia sẻ tới tất cả các bạn, những người quan tâm đến “lỗ hổng phần mềm”, “khai thác”, “shellcode”.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Bài viết của tôi sẽ bao gồm các thành phần sau đây:</div>
<blockquote style="background-color: white; border-left-color: rgb(238, 238, 238); border-left-style: solid; border-left-width: 5px; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin: 0px 0px 20px; padding: 10px 20px;">
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;">I. Khái niệm</strong></div>
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;">II. Shellcode cơ bản</strong></div>
<ol style="box-sizing: border-box; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">System Calls & Shellcode</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">API & Shellcode</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Lấy địa chỉ hàm trong Shellcode</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Mã hóa shellcode</strong></li>
</ol>
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;">III. Shellcode nâng cao</strong></div>
<ol style="box-sizing: border-box; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Ý tưởng</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Tìm kiếm địa chỉ Kernel32.dll</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Process Enviroment Block</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Structured Exception Handling</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">TOPSTACK</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Lấy địa chỉ hàm bên trong Kernel32.dll</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">Tối ưu độ dài của Shellcode</strong></li>
</ol>
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;">IV. Các shellcode phổ biến</strong></div>
<ol style="box-sizing: border-box; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">MessageBox Shellcode Version 1</strong></li>
<li style="box-sizing: border-box;"><strong style="box-sizing: border-box; color: black;">MessageBox Shellcode Version 2</strong></li>
</ol>
</blockquote>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Hi vọng các bạn sẽ thu được những kiến thức hữu ích qua các bài viết này. Những kiến thức mà tôi đã tích lũy được trong suốt 8 năm nghiên cứu về an toàn thông tin, khai thác lỗ hổng phần mềm.</div>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
1. Khái niệm</h4>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Khai thác lỗi tràn bộ đệm cho phép kẻ tấn công chiếm quyền điều khiển chương trình bị lỗi hay chính xác là có thể điều khiển con trỏ lệnh của chương trình đó. Như vậy, sau khi đã thực hiện việc khai thác và chiếm được quyền điều khiển con trỏ lệnh, kẻ tấn công cần phải thực thi thực hiện đoạn chương trình nào đó cho phép chiếm quyền điều khiển hệ thống. Đoạn chương trình này chính là Shellcode.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Shellcode là một đoạn mã máy nhỏ cho phép thực hiện chỉ một nhiệm vụ nào đó bên trong một chương trình bị khai thác. Nhiệm vụ đó có thể đơn giản là đưa ra thông báo (MessageBox), có thể là tạo User, cài đặt trojan… Bài viết này sẽ hướng dẫn cách viết một shellcode từ đơn giản đến nâng cao.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Bài viết yêu cầu người đọc phải biết khái niệm về các ngôn ngữ Assembly32 cho bộ vi xử lý 8086 của intel, lập trình API cho Windows 9x và Windows NT.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Một số công cụ yêu cầu :</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">NASM32 & MakeShell</li>
<li style="box-sizing: border-box;">OllyDbg</li>
<li style="box-sizing: border-box;">Hiew</li>
<li style="box-sizing: border-box;">Depends (một công cụ trong bộ Visual Studio 6.0)</li>
<li style="box-sizing: border-box;">MSDN</li>
</ul>
<h4 style="background-color: white; box-sizing: border-box; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 18px; font-weight: 500; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
2. Shellcode cơ bản</h4>
<h5 style="background-color: white; box-sizing: border-box; color: #777777; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-weight: 300; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
System Calls & Shellcode</h5>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
System calls (SysCall) hay hàm gọi hệ thống là một kỹ thuật cho phép chương trình user-mode gọi một thủ tục của Kernel cho phép thao tác vào ra trực tiếp với hệ thống. SysCall có thể hiểu là một cổng trung gian giữa<em style="box-sizing: border-box;">User-mode</em> và <em style="box-sizing: border-box;">Kernel-mode</em>. Để hiểu về SysCall, ta có thể nhìn hình dưới đây :</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: center;">
<a href="http://securitydaily.net/wp-content/uploads/2014/10/ShellCode1.gif" rel="lightbox[gallery-nFIm]" style="-webkit-transition: 300ms; box-sizing: border-box; color: #486493; text-decoration: none; transition: 300ms;"><img alt="Bui Quang Minh: Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm" class="alignnone wp-image-7746 size-full" height="395" src="http://securitydaily.net/wp-content/uploads/2014/10/ShellCode1.gif" style="border: 0px; box-sizing: border-box; vertical-align: middle;" width="531" /></a></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: center;">
Hình 1 : Hoạt động của System Calls</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
SysCall làm nhiệm vụ trung gian nhận lời gọi API từ ứng dụng <em style="box-sizing: border-box;">User-mode</em>, tìm kiếm chỉ số hàm <em style="box-sizing: border-box;">Kernel</em> trong<em style="box-sizing: border-box;">System Call Table</em>, thực thi hàm đó rồi trả lại kết quả cho ứng dụng. Việc nhận lời gọi API từ ứng dụng thực ra là nó nhận được ngắt từ ứng dụng, SysCall gọi trình phục vụ ngắt thực hiện chuyển đổi dữ liệu của API (tham số, cờ, thanh ghi…) từ <em style="box-sizing: border-box;">User Stack</em> sang <em style="box-sizing: border-box;">Kernel Stack</em>.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Trong Windows, SysCall cho phép quản lý bộ nhớ, vào ra dữ liệu, quản lý thư mục, quản  lý tiến trình, … Tuy nhiên, đa phần API có giao tiếp SysCall đều là các hàm Undocument.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Ngắt được sử dụng để yêu cầu SysCall :</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Windows 2000  : “<em style="box-sizing: border-box;">int 0x2e</em>”</li>
<li style="box-sizing: border-box;">Windows XP     :  <em style="box-sizing: border-box;">SYSENTER</em></li>
</ul>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Như vậy, Dựa vào cơ chế của System Call, ta có thể viết Shellcode bằng cách gọi hàm bởi chỉ số của hàm bên trong bảng <em style="box-sizing: border-box;">System Call Table</em>. Đoạn asm dưới đây thực hiện kết thúc tiến trình bằng cách gọi API ntTerminalProcess với số SysCall của nó:</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
<em style="box-sizing: border-box;">            MOV    EAX, 0x000000bb     ; 0xbb là số SysCall hàm ntTerminalProcess</em></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
<em style="box-sizing: border-box;">            LEA     EDX, [ESP+4]          ; EDX lưu tham số của hàm</em></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
<em style="box-sizing: border-box;">            INT       0x2E                            ; Gọi Syscall thực hiện hàm</em></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Với số lượng SysCall tương đối trong Windows, ta có thể thực hiện viết Shellcode chỉ thông qua SysCall. Tuy nhiên, Việc viết shellcode như vậy có cả ưu điểm và hạn chế:</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;"><em style="box-sizing: border-box;">Ưu điểm</em></strong>:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Không cần sử dụng của hàm API, cụ thế là không cần xác định   địa chỉ  của các hàm API.</li>
<li style="box-sizing: border-box;">Có thể sử dụng để vượt qua cơ chế bảo vệ chống tấn công tràn bộ đệm ở user-mode.</li>
</ul>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
<strong style="box-sizing: border-box; color: black;"><em style="box-sizing: border-box;">Nhược điểm</em></strong>:</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;">Giới hạn khả năng làm việc của Shellcode vì số lượng SysCall là có hạn (trong Windows khoảng hơn 1000)</li>
<li style="box-sizing: border-box;">Vì các hàm socket API không được Windows hỗ trợ giao tiếp SysCall nên Shellcode sử dụng SysCall không có khả năng làm việc với mạng.</li>
</ul>
<h5 style="background-color: white; box-sizing: border-box; color: #777777; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; font-weight: 300; line-height: 1.1; margin-bottom: 10px; margin-top: 10px;">
<strong style="box-sizing: border-box; color: black;">2. API & Shellcode</strong></h5>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Windows API là thư viện các hàm cho phép phát triển các ứng dụng khác nhau trên nền hệ điều hành của Microsoft. Shellcode cũng coi như là một ứng dụng trên nền Windows, do đó nó cũng có thể được viết thông qua các hàm API. Khác với viết Shellcode bằng SysCall, Shellcode viết bằng hàm API có khả năng rất đa dạng, đặc biệt nó có thể làm việc với các hàm socket API.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Với ưu điểm trên, hầu hết các Shellcode được sử dụng cho các cuộc tấn công ngày nay đều được viết bằng các hàm API và thực hiên các nhiệm vụ như <em style="box-sizing: border-box;">connect back</em>,<em style="box-sizing: border-box;">download</em>, <em style="box-sizing: border-box;">send mail</em>, <em style="box-sizing: border-box;">cài đặt trojan</em> … Tuy nhiên, cũng giống như SysCall, địa chỉ của các hàm API bị thay đổi cho mỗi phiên bản khác nhau của Windows nên một Shellcode có địa chỉ API cố định sẽ chỉ có thể thực thi ở đúng phiên bản Windows. Trước tiên, chúng ta sẽ viết một đoạn Shellcode đơn giản, chỉ sử dụng địa chỉ cố định của hàm API.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Công cụ sử dụng :</div>
<ul style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; margin-top: 0px;">
<li style="box-sizing: border-box;"><em style="box-sizing: border-box;">Depends (Công cụ trong bộ VS6.0).</em></li>
<li style="box-sizing: border-box;"><em style="box-sizing: border-box;">Text Editor (EditPlus, NotePad…)</em></li>
<li style="box-sizing: border-box;"><em style="box-sizing: border-box;">NASM&MakeShell</em></li>
</ul>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Trước tiên, ta biết các ứng dụng khi thực thi đều phải nạp thư viện Kernel32.dll vào không gian bộ nhớ. Do đó, Shellcode đầu tiên này sẽ sử dụng 2 hàm API trong Kernel32.dll với nhiệm vụ gọi “notepad” bắt hàm “<em style="box-sizing: border-box;">Winexec()</em>”, sau đó kết thúc chương trình bằng hàm “<em style="box-sizing: border-box;">ExitProcess()</em>”.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Sử dụng Depends để xác định địa chỉ hàm “<em style="box-sizing: border-box;">Winexec()</em>” cho Windows XP SP2 ta nhận được địa chỉ cơ sở của Kernel32.dll (0x7C800000) và địa chỉ tương đối của hàm (0x6114D). Như vậy, địa chỉ tuyệt đối Shellcode sử dụng là <em style="box-sizing: border-box;">0x7C86114D</em>. Tương tự như vậy ta có địa chỉ hàm “<em style="box-sizing: border-box;">ExitProcess()</em>” là <em style="box-sizing: border-box;">0x7C81CAA2</em>.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: center;">
 <a href="http://securitydaily.net/wp-content/uploads/2014/10/ShellCode2.jpg" rel="lightbox[gallery-nFIm]" style="-webkit-transition: 300ms; box-sizing: border-box; color: #486493; text-decoration: none; transition: 300ms;"><img alt="Bui Quang Minh: Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm" class="alignnone wp-image-7747 size-full" height="350" src="http://securitydaily.net/wp-content/uploads/2014/10/ShellCode2.jpg" style="border: 0px; box-sizing: border-box; vertical-align: middle;" width="576" /></a></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: center;">
<em style="box-sizing: border-box;">Hình 2 : Sử dụng Depends xác định địa chỉ hàm</em> <a href="http://securitydaily.net/wp-content/uploads/2014/10/MaViDu.png" rel="lightbox[gallery-nFIm]" style="-webkit-transition: 300ms; box-sizing: border-box; color: #486493; text-decoration: none; transition: 300ms;"><img alt="MaViDu" class="alignnone wp-image-7748 size-large" height="257" src="http://securitydaily.net/wp-content/uploads/2014/10/MaViDu-700x257.png" style="border: 0px; box-sizing: border-box; vertical-align: middle;" width="700" /></a></div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Biên dịch đoạn asm sau ra file nhị phân rồi chuyển sang Shellcode :</div>
<blockquote style="background-color: white; border-left-color: rgb(238, 238, 238); border-left-style: solid; border-left-width: 5px; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin: 0px 0px 20px; padding: 10px 20px;">
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; margin-bottom: 10px; text-align: justify;">
<em style="box-sizing: border-box;">nasmw.exe -s -fbin file.asm</em></div>
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; text-align: justify;">
<em style="box-sizing: border-box;">makeshell.exe file</em></div>
</blockquote>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Kết quả là đoạn Shellcode có thể thực hiện trên Windows XP SP2:</div>
<blockquote style="background-color: white; border-left-color: rgb(238, 238, 238); border-left-style: solid; border-left-width: 5px; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin: 0px 0px 20px; padding: 10px 20px;">
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; text-align: justify;">
<strong style="box-sizing: border-box; color: black;">\xBB\x4D\x11\x86\x7C\xE9\x0E\x00\x00\x00\x58\x68\x05\x00\x00\x00\x50\xFF\xD3\xE9\x0D\x00\x00\x00\xE8\xED\xFF\xFF\xFF\x6E\x6F\x74\x65\x70\x61\x64\x00\x68\x01\x00\x00\x00\xBB\xA2\xCA\x81\x7C\xFF\xD3</strong></div>
</blockquote>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Như vậy, ta đã có được đoạn Shellcode thực hiện một nhiệm vụ nhỏ. Tuy nhiên, vì chỉ sử dụng các hàm trong Kernel32.dll nên khả năng của Shellcode rất hạn chế vì thế ta cần phải nạp thêm các thư viện.</div>
<div style="background-color: white; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin-bottom: 10px; text-align: justify;">
Trong bài viết tới tôi sẽ tiếp tục với việc “<strong style="box-sizing: border-box; color: black;">Lấy địa chỉ hàm trong Shellcode</strong>” và “<strong style="box-sizing: border-box; color: black;">Mã hóa shellcode</strong>“.</div>
<blockquote style="background-color: white; border-left-color: rgb(238, 238, 238); border-left-style: solid; border-left-width: 5px; box-sizing: border-box; color: #404040; font-family: 'Helvetica Neue', Helvetica, Arial, sans-serif; font-size: 14px; line-height: 20px; margin: 0px 0px 20px; padding: 10px 20px;">
<div style="box-sizing: border-box; font-size: 13px !important; line-height: 1.25; text-align: justify;">
#LƯU Ý: Các ví dụ trên đều được thực hiện trên Windows XP.</div>
</blockquote>
<div style="text-align: right;">
<span style="font-family: Helvetica Neue, Arial, Helvetica, sans-serif;"><i><a href="http://securitydaily.net/" target="_blank">SecurityDaily.Net </a></i></span></div>
</div>

Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm

Hôm nay tôi xin chia sẻ tới các bạn loạt các bài viết về chủ đề “Windows shellcode và ứng dụng khai thác lỗi tràn bộ đệm”. Những bài viết ...

Cảnh báo lừa đảo mới đang được phát tán trên Facebook

Cảnh báo lừa đảo mới đang được phát tán trên Facebook

Gần đây, nhiều bài đăng lừa đảo liên tục được chia sẻ trên mạng xã hội Facebook. Những kẻ lừa đảo lợi dụng việc xử lý của Facebook (Open G...

Phát hiện mã độc dựa trên các hoạt động bất thường

<div dir="ltr" style="text-align: left;" trbidi="on">
<div class="entry-header" style="color: #444444;">
<span style="font-family: "Trebuchet MS",sans-serif;">Ai cũng có thể bị nhiễm 
virus và vì vậy chúng ta sẽ luôn cần phần mềm bảo vệ. Mục tiêu lớn nhất 
của phần mềm là ngăn không cho các file độc được thực thi trên máy tính.
 Chính vì vậy, các mẫu nhận diện phải được cập nhât một cách nhanh nhất.</span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><div class="entry-header" style="color: #444444;">
<span style="font-family: "Trebuchet MS",sans-serif;">Thực tế thì vẫn có nhiều
 tình huống phần mềm không phát hiện ra và để máy tính bị nhiễm. Khi đó 
thì có không ít trường hợp bất thường mà có vẻ như các phần mềm 
security chưa phát hiện được. Đây là một ví dụ:</span></div>
<div class="separator" style="clear: both; text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjvssPO_Z2ibJCaJ_m3r7qTHDNQ-1QwmcMlAOCIi06oLwMfr3ziy90gGBkKD32YbxLMq22239V64mAeeryGd1mtYnzsUOaLFi-yZ6FS4IwaPTjmXD_H_dwVMlhfsbw6AVBBeGJOFDENVpRI/s1600/H1-700x538.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img alt="Phát hiện mã độc dựa trên các hoạt động bất thường" border="0" height="490" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjvssPO_Z2ibJCaJ_m3r7qTHDNQ-1QwmcMlAOCIi06oLwMfr3ziy90gGBkKD32YbxLMq22239V64mAeeryGd1mtYnzsUOaLFi-yZ6FS4IwaPTjmXD_H_dwVMlhfsbw6AVBBeGJOFDENVpRI/s1600/H1-700x538.png" title="Phát hiện mã độc dựa trên các hoạt động bất thường" width="640" /></a></span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">Các firewall nếu đã cho phép một tiến trình được kết nối mạng thì sẽ 
không kiểm tra các kết nối đó nữa. Chính vì vậy, các phần mềm độc hại 
thường sẽ tìm cách núp bóng các tiến trình chuẩn để tìm cách trốn được 
sự kiểm soát.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Như vậy, nếu dùng công cụ rà soát các kết nối mạng thì bằng mắt, ta 
dễ dàng nhìn thấy có quá nhiều kết nối mạng từ svchost.exe ra địa chỉ IP
 ở bên ngoài. Tuy nhiên các phần mềm bảo vệ lại bỏ qua dấu hiệu nghi ngờ
 này.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Mã độc khi được thực thi đã inject vào tiến trình svchost chuẩn của Microsoft và mượn tiến trình này để câu ra bên ngoài.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><div style="text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><img alt="Phát hiện mã độc dựa trên các hoạt động bất thường" class="aligncenter wp-image-4680 size-large" height="189" src="http://securitydaily.net/wp-content/uploads/2014/07/H2-700x189.png" width="700" /></span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;"> Công việc tiếp theo là săn tìm “kẻ núp bóng” svchos</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><div style="text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><img alt="Phát hiện mã độc dựa trên các hoạt động bất thường" class="aligncenter wp-image-4681 size-large" height="173" src="http://securitydaily.net/wp-content/uploads/2014/07/H3-1024x254-700x173.png" width="700" /></span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><div>
<span style="font-family: "Trebuchet MS",sans-serif;">Thường thì các mã độc sẽ không có chữ ký. Vì vậy ta sẽ có ngay được một file nghi ngờ.</span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Hầu hết các AV không phát hiện ra mã độc này.</span><br />
<div class="separator" style="clear: both; text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjvssPO_Z2ibJCaJ_m3r7qTHDNQ-1QwmcMlAOCIi06oLwMfr3ziy90gGBkKD32YbxLMq22239V64mAeeryGd1mtYnzsUOaLFi-yZ6FS4IwaPTjmXD_H_dwVMlhfsbw6AVBBeGJOFDENVpRI/s1600/H1-700x538.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"></a></span></div>
<br />
<div class="separator" style="clear: both; text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEidZe9REDWwlLXEPNFiPft0xN-rjOgpHQme4gOUJ3-o-lFJNX11M3KGxXlPyUkc35RmgyPZ817ntywk3YeptiU4erS11i3O5t2I9SwMw2jwylDlmNEMFGgFjSxwlkO9_jctZHnupTzfuFEC/s1600/H4-700x538.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img alt="Phát hiện mã độc dựa trên các hoạt động bất thường" border="0" height="490" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEidZe9REDWwlLXEPNFiPft0xN-rjOgpHQme4gOUJ3-o-lFJNX11M3KGxXlPyUkc35RmgyPZ817ntywk3YeptiU4erS11i3O5t2I9SwMw2jwylDlmNEMFGgFjSxwlkO9_jctZHnupTzfuFEC/s1600/H4-700x538.png" title="Phát hiện mã độc dựa trên các hoạt động bất thường" width="640" /></a></span></div>
<div class="entry-header" style="color: #444444; text-align: center;">
<br /></div>
</div>

Phát hiện mã độc dựa trên các hoạt động bất thường

Ai cũng có thể bị nhiễm virus và vì vậy chúng ta sẽ luôn cần phần mềm bảo vệ. Mục tiêu lớn nhất của phần mềm là ngăn không cho các file ...

Mã độc Zeus Banking Trojan quay trở lại

<div dir="ltr" style="text-align: left;" trbidi="on">
<div class="separator" style="clear: both; text-align: center;">
<span style="font-family: "Trebuchet MS",sans-serif;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgtt9jdb7yCPTDoA1YKT1yNbVkzu5zGeyB03_nCFNVO_XbB5JVwScpF33UFhHhOllEyl3H77YOOGW1kKIA-qsS4VQecV2aRFk1YeIyBMlvKKxRX5iE2ky9XjDCF1_SK_veIYULhJqiE4aPh/s1600/trojan.jpg" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="394" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgtt9jdb7yCPTDoA1YKT1yNbVkzu5zGeyB03_nCFNVO_XbB5JVwScpF33UFhHhOllEyl3H77YOOGW1kKIA-qsS4VQecV2aRFk1YeIyBMlvKKxRX5iE2ky9XjDCF1_SK_veIYULhJqiE4aPh/s1600/trojan.jpg" width="640" /></a></span></div>
<span style="font-family: "Trebuchet MS",sans-serif;">Một tháng sau khi FBI và Europol gỡ các botnet Gameover Zeus bằng 
cách thu giữ các máy chủ, làm cho hệ thống botnet ngừng hoạt động, các 
nhà nghiên cứu bảo mật đã phát hiện một biến thể mới của phần mềm độc 
hại này trên máy tính người dùng, chúng đang hình thành một mạng botnet 
khổng lồ.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><h4>
<span style="color: red;"><span style="font-family: "Trebuchet MS",sans-serif;"><strong>Gameover Zeus</strong><strong> Trojan</strong></span></span></h4>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Botnet này thực chất là tập hợp các máy tính zombie đặc biệt được 
thiết kế để đánh cắp mật khẩu ngân hàng, thực hiện tấn công từ chối dịch
 vụ (DoS) vào các ngân hàng và tổ chức tài chính khác để từ chối người 
dùng hợp pháp truy cập vào trang web, từ đó lấy trộm thông tin từ người 
sử dụng. Và theo đó, những kẻ phát triển Gameover Zeus đã đánh cắp hơn 
100 triệu USD từ các ngân hàng, doanh nghiệp và người tiêu dùng trên 
toàn thế giới.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><h4>
<span style="color: red;"><span style="font-family: "Trebuchet MS",sans-serif;"><strong>Gameover Zeus</strong><strong> Trojan</strong><strong> mới</strong></span></span></h4>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Vừa qua, các nhà nghiên cứu bảo mật tại công ty an ninh Malcovery đã 
kiểm tra một loạt các chiến dịch thư rác mới nhằm phát tán một phần của 
phần mềm độc hại dựa trên mã nguồn của Gameover Zeus và được phát 
tán như một file đính kèm trong thư rác, các email phát tán lừa đảo dưới
 hình thức là các email hợp pháp từ các tổ chức tài chính.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><h4>
<span style="color: red;"><span style="font-family: "Trebuchet MS",sans-serif;"><strong>Hướng tấn công</strong></span></span></h4>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Malcovery đã có một công bố đầy đủ và tóm tắt về các botnet, cho thấy
 tất cả các email độc hại được gửi để thu hút người sử dụng có chứa một 
file zip với một tập tin .<strong>scr</strong> đính kèm bên trong. Khi 
mở ra, các tập tin sẽ tấn công vào máy tính và mối đe dọa này rất nguy 
hiểm khi mà nhiều các giải pháp chống virus không thể phát hiện ra. Hai 
nhà phân tích Brendan Griffin và Gary Warner của Malcovery nói “<em>Một khi các tập tin đính kèm được mở ra và phần mềm độc hại </em><em>được </em><em>thực thi, </em><em>chúng sẽ</em><em> kết
 nối đến một số trang web phù hợp với một Domain được sinh ra theo một 
thuật toán. Mục tiêu là để liên lạc với một máy chủ và có thể lần lượt 
cung cấp hướng dẫn </em><em>cho </em><em>các phần mềm độc hại với các mục đích tấn công. </em><em>Một số</em><em> sẽ thất bại </em><em>khi</em><em> khởi động phần mềm độc hại</em><em> vì có</em><em> sự hiện diện của VMWare Tools ngăn chặn</em><em>.</em> <em>Một số</em><em> khác sẽ không kết nối thành công vì các phần mềm độc hại </em><em>phải </em><em>mất
 từ 6 đến 10 phút để tạo ra ngẫu nhiên các tên miền duy nhất được sử 
dụng để khởi động Zeus Trojan mới và tải về các thông tin ngân hàng </em><em>từ </em><em>các tập tin webinject trên</em><em> máy chủ.</em> ”</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Botnet gameover Zeus mới này rõ ràng mạnh mẽ hơn phiên bản trước. Như Malcovery viết “<em>phát hiện này chỉ ra rằng những tên tội phạm chịu trách nhiệm phân phối gameover không </em><em>hề </em><em>có ý định từ bỏ botnet này</em><em>,</em><em> ngay cả khi </em><em>đã từng </em><em>bị </em><em>gỡ bỏ</em><em> với qui mô rộng nhất trong lịch sử</em><em>”</em><em>.</em></span><br />
<div style="text-align: right;">
<span style="font-family: "Trebuchet MS",sans-serif;"><em><a href="http://securitydaily.net/ma-doc-zeus-banking-trojan-quay-tro-lai/" target="_blank">SecurityDaily</a> </em></span></div>
</div>

Mã độc Zeus Banking Trojan quay trở lại

Một tháng sau khi FBI và Europol gỡ các botnet Gameover Zeus bằng cách thu giữ các máy chủ, làm cho hệ thống botnet ngừng hoạt động, các...

250 ngàn máy tính đã dính botnet Lepectex chuyên "cày" Bitcoin

<div dir="ltr" style="text-align: left;" trbidi="on">
<div class="init_content oh" style="text-align: left;">
<span style="font-family: "Trebuchet MS",sans-serif;"><i><span style="font-weight: normal;">Theo thông tin được công bố từ Facebook, 
cảnh sát Hy Lạp đã thực hiện hai vụ bắt giữ trong tuần trước vì nghi án 
sử dụng thư rác botnet để phát tán “Lecpetex”. Đây là loại virus được 
các tội phạm công nghệ cài vào các máy tính của bạn để gián tiếp tận 
dụng, khai thác hiệu năng trong việc cày tiền Litecoin.</span></i></span></div>
<div class="init_content oh" style="text-align: left;">
<br /></div>
<span style="font-family: "Trebuchet MS",sans-serif;">Tài liệu từ <a href="http://genk.vn/facebook.htm" target="_blank" title="Facebook">Facebook</a>
 đã nêu lên, có tới 50 000 tài khoản trên mạng xã hội này bị ảnh hưởng 
và hiện tại 250 000 máy tính trên toàn thế giới đã bị kiểm soát, chủ yếu
 từ các nước Hy Lạp, Ba Lan, Na Uy, Ấn Độ, Bồ Đào Nha và Mỹ. Các trang 
mạng xã hội đang gặp khó khăn trong việc ngăn chặn các botnet, thậm chí 
nhiều chuyên gia còn cho rằng việc Facebook lưu lại các tin nhắn trên 
máy chủ của mình đã góp phần giúp mạng lưới tội phạm này phát tán 
Lecpetex. Tổ chức đứng sau Lecpetex đã tạo ra ít nhất 20 chiến dịch thư rác
 vào giữa tháng 12 năm 2013 và gần đây nhất là vào 1 tháng trước, việc 
này đã gây ảnh hưởng lớn đến Facebook cùng một số dịch vụ trực tuyến 
khác.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><div class="VCSortableInPreviewMode" style="box-sizing: border-box; display: inline-block; text-align: center; width: 455px;" type="Photo">
<div>
<span style="font-family: "Trebuchet MS",sans-serif;"><img alt="250 ngàn máy tính đã dính botnet Lepectex chuyên "cày" Bitcoin" id="img_92254" rel="http://genknews.vcmedia.vn/2014/hackingback_primary-100036771-gallery-04c0b.jpg" src="http://genknews.vcmedia.vn/2014/hackingback_primary-100036771-gallery-04c0b.jpg" style="cursor: none; max-width: 640px;" title="" type="photo" /></span></div>
</div>
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Các nạn nhân sẽ nhận được tin nhắn có chứa 1 file “zip”. Tập tin này 
được đính kèm theo các file con khác như JAR Java hay các Visual Basic 
script. Các tập tin sau khi được tải về máy sẽ bắt đầu phát tán phần mềm
 độc hại bằng cách lấy về những file được lưu trữ trên các trang web từ 
xa. Khi các công cụ này truy cập được vào máy bạn, chúng có thể thu thập
 các thông tin đăng nhập hoặc bắt đầu điều khiển máy tính bạn thành cổ 
máy cày tiền ảo cho chúng.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Những chuyên gia hàng đầu của Facebook đã nhiều lần tìm cách ngăn 
chặn sự phát tán của Lecpetex nhưng hầu như không hiệu quả. Những kẻ 
đứng sau công cụ này thường xuyên làm mới và thay đổi các tệp đính kèm 
do đó đã đánh lừa được bộ lọc của Facebook. Ngoài ra, các phần mềm độc 
hại còn tự động cập nhập chính nó để tránh các công cụ diệt <a href="http://keyzcenly.blogspot.com/search/label/Virus" target="_blank" title="virus">virus</a>.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><div class="VCSortableInPreviewMode" style="box-sizing: border-box; display: inline-block; text-align: center; width: 455px;" type="Photo">
<div>
<span style="font-family: "Trebuchet MS",sans-serif;"><img alt="250 ngàn máy tính đã dính botnet Lepectex chuyên "cày" Bitcoin" id="img_92255" rel="http://genknews.vcmedia.vn/2014/ios-gr-25378.jpg" src="http://genknews.vcmedia.vn/thumb_w/640/2014/ios-gr-25378.jpg" style="cursor: none; max-width: 640px;" title="" type="photo" /></span></div>
</div>
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Nhóm nghiên cứu đã viết “Hàng loạt biến thể của các tập tin zip đã bị
 thay đổi, chúng đã nỗ lực trốn trước sự truy quét file đính kèm gửi qua
 tin nhắn bằng cách làm mới mình mà vẫn có thể giải nén bình thường trên
 Windows, thậm chí các phần mềm quét virus trên máy tính của bạn cũng không phát hiện ra.”</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Facebook cho biết họ đã tìm đến các nhà cung cấp cơ sở hạ tầng mạng 
khác và đi đến kết luận- “Cuối cùng, biện pháp khắc phục mối đe dọa nguy
 hiểm như Lecpetex đòi hỏi một sự kết hợp cao giữa khả năng phân tích kỹ
 thuật, hợp tác công nghiệp, sự nhanh chóng trong việc triển khai các 
biện pháp đối phó mới và hợp tác trong việc thực thi pháp luật”. Và bằng
 cách thi hành triệt để những biên pháp này, những kẻ tạo ra Lecpetex 
cuối cùng đã bị bắt. Vào tháng 5 rồi, những tên tội phạm đã bắt đầu để 
lại dấu vết là các ghi chú trên máy chủ lệnh. Sau đó, tiếp tục truy 
lùng, Facebook đã phát hiện ra địa chỉ của những tên đầu sỏ. Hồ sơ vụ án
 bắt đầu chuyển sang cho cảnh sát Hy Lạp và ngày 3 tháng 7 rồi, cảnh sát
 đã chính thức bố ráp để bắt giữ 2 kẻ tình nghi. Những bằng chứng được 
đưa ra, và 2 tên tội pháp đã khai rằng chúng còn tạo ra thêm 1 dịch vụ 
“trộn” các Bitcoin thật giả lại với nhau để rửa tiền. Dịch vụ này được 
tạo ra nhằm mục đích chuyển các Bitcoin khai thác được về túi chúng mà 
không bị theo dõi.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">

</span><span style="font-family: "Trebuchet MS",sans-serif;">Để tránh bị kiểm soát bởi những phần mềm độc hại, chúng ta nên tránh 
những tập tin đáng ngờ được qua tin nhắn và thiết lập tường lửa, phần 
mềm bảo vệ máy ở mức cao hơn.</span><br />
<div style="text-align: right;">
<br /></div>
<div style="text-align: right;">
<span style="font-family: "Trebuchet MS",sans-serif;"><i>Nguồn: Genk </i></span></div>
<div class="init_content oh" style="text-align: left;">
<br /></div>
</div>

250 ngàn máy tính đã dính botnet Lepectex chuyên "cày" Bitcoin

Theo thông tin được công bố từ Facebook, cảnh sát Hy Lạp đã thực hiện hai vụ bắt giữ trong tuần trước vì nghi án sử dụng thư rác botnet ...

Phân tích và tìm diệt mã độc

<h3 id="Mộtsốkỹthuậtpháthiệnvàphântíchmãđộc-♦Kỹthuậtphântíchdiệtmãđộc">
<span style="color: blue;"><span style="font-weight: normal;"><span style="font-family: Verdana,sans-serif;"><span style="font-size: large;">Phân tích mã độc như thế nào?</span></span></span></span></h3>
<span style="font-family: "Trebuchet MS",sans-serif;">Việc phát hiện, phân tích mã độc đòi hỏi quá trình theo dõi liên tục 
và lặp đi lặp lại. Nếu thực hiện trên hệ thống thiết bị thật sẽ mất rất 
nhiều công sức và không thể kiểm soát một cách chặt chẽ và rất khó khăn 
để thực hiện một cách liền mạch. Vì trong quá trình phát hiện và phân 
tích, các chương trình mã độc có thể làm chết toàn bộ hệ thống, cô lập 
debugger và disasembler, trong trường hợp đó muốn tiếp tục phân tích cần
 khôi phục lại toàn bộ hệ thống. Đối với hệ thống thật, quá trình đó mất
 rất nhiều thời gian. Do đó, để phát hiện, phân tích và diệt mã độc, máy
 ảo là một môi trường rất lý tưởng, mặc dù trong một số trường hợp, các 
mã độc có thể phát hiện ra máy ảo và dừng chạy chương trình, tuy nhiên 
trường hợp này hoàn toàn có thể khắc phục được bằng một số thay đổi 
trong mã nhị phân của mã độc.</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Như vậy, cần thiết lập một cấu hình máy ảo với đầy đủ các bộ công cụ 
cần thiết phục vụ cho quá trình theo dõi, phát hiện, phân tích và diệt. 
Qua quá trình làm việc chúng tôi nhận thấy hiện nay đa phần các mẫu 
virus vẫn sử dụng  32 bit trên nền windows, do đó, một môi trường lý 
tưởng sử dụng cho trường hợp này là cài đặt một máy ảo sử dụng hệ điều 
hành Windows XP 32 bit, trên máy tính này, chúng ta cài đặt các bộ công 
cụ sau:</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span>
<ul>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Nhóm các công cụ phục vụ mục đích theo dõi, giám sát: TCPView, AutoRun, ProcessMon, WireShark, ProcessExplorer</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Nhóm các công cụ phục vụ phân tích: IDA Pro, OllyDBG, LordPE, Hex Editor Neo, 010 Editor, Notepad++</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Nhóm các công cụ môi trường: trình duyệt (Chrome, Firefox), bộ công cụ microsoft word, outlook, …</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Danh sách một số file, chương trình mồi: notepad.exe, calc.exe, 
cmd.exe, một số file cài đặt của notepad++, python, hex editor, …</span></li>
</ul>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Sau khi cài đặt đầy đủ các bộ công cụ trên, chúng ta tạo một bản 
snapshot cho cấu hình này để phục vụ cho các lần theo dõi, kiểm tra, 
phát hiện và phân tích mã độc.</span><br />
<br />
<h3>
<span style="color: blue;"><span style="font-weight: normal;"><span style="font-family: Verdana,sans-serif;">Phân tích mã độc để xác định cách thức và hành vi</span></span></span></h3>
<div class="panelMacro">
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b><i>“Đối với các mẫu không phải virus 
(trojan, adware, worm, …) hoặc các mẫu không cần phân tích mà chỉ cần 
theo dõi hành vi tác động lên hệ thống thì chỉ cần dừng lại ở bước phân 
tích qua các công cụ giám sát</i></b></span></span></div>
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span>
<div class="panelMacro">
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b><i>Đối với các mẫu virus (có hành vi lây 
file) hoặc các mẫu khác cần phân tích để lấy các đoạn mã cụ thể, cần 
thực hiện Giai đoạn phân tích để lấy các thông tin chi tiết hơn”</i></b></span></span></div>
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Sau giai đoạn theo dõi và phát hiện mã độc, chúng ta đã có các thông 
tin cơ bản liên quan tới mẫu cần phân tích: Các tài nguyên mẫu  tác động
 tới: các file, thư mục, key trên thanh ghi, cách thức hoạt động cơ bản 
(Hình thức, cách thức và trình tự lây lan, phá hoại). Nhiệm vụ của việc 
phân tích nhằm: Tìm ra triệt để các hành vi phá hoại, phân tích để diệt 
mẫu toàn diện nhất.</span></span><br />
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span>
<ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Phân tích cách thức lây file để diệt:
</span></span><ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b>Dùng chương trình mồi:</b> Sử dụng ProcessMon, chúng ta
 theo dõi được thư mục nào là thư mục đầu tiên mà mẫu cần phân tích, đưa
 các chương trình mồi vào và theo dõi sự thay đổi của chương trình mồi. 
Nếu chương trình mồi bị thay đổi, ta chuyển sang bước tiếp theo, nếu 
không, ta thay thế bằng các chương trình mồi khác và tiếp tục thử khi 
chọn được chương trình mồi hợp lý.</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b>Tìm các API quan tâm: </b>Snapshot lại máy ảo về trạng 
thái ban đầu khi chưa chạy mẫu cần theo dõi, đưa chương trình mồi chưa 
bị lây nhiễm vào thư mục tìm được ở bên trên. Mục đích: tìm ra đoạn mã 
thực hiện lây file nhanh nhất có thể. Tiến hành chạy mẫu cần phân tích 
bằng OllyDBG (sử dụng <b>F8</b> để chạy từng câu lệnh). Chú ý 
theo dõi quá trình load các thư viện từ hệ thống. Khi các thư viện chứa 
các API cho việc thao tác tới file: FindFistFile, FindNextFile, 
CreateFile, CreateFileMapping, WriteFile, … thì dừng lại, tìm các đoạn 
mã có gọi các API:  FindFistFile, FindNextFile, CreateFile, OpenFile, 
WriteFile và đặt <b>break point </b>tại các đoạn mã này. Sau đó sử dụng câu lệnh <b>F9 </b>để
 di chuyển tới vị trí đặt break point. Nếu phát hiện ra file đang được 
thao tác chính là chương trình mồi thì đoạn mã tương ứng tìm được chính 
là đoạn mã bắt đầu thực hiện quá trình lây file.</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b>Xác định đoạn mã kiểm tra lây nhiễm:</b> Đoạn mã giữa 
hai API: FindFirstFile (Tìm file đầu tiên), CreateFile(mở file để đọc) 
là đoạn mã có thực hiện việc kiểm tra một số điều kiện ban đầu cho file 
bị lây nhiễm, cần debug và kiểm tra đoạn này để phục vụ cho quá trình 
diệt mẫu.</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b>Xác định đoạn mã lây file:</b> Đoạn mã giữa hai API: 
CreateFile, CreateFileMapping (mở file để đọc) và WriteFile (lệnh cuối 
cùng ghi nội dung lên file vì nhiều mã virus thực hiện ghi file nhiều 
lần) là đoạn mã thực hiện tính toán và sửa file. Để có thể tiến hành 
diệt mẫu và tiến hành chỉnh sửa file này về trạng thái như file gốc ban 
đầu, cần phân tích kỹ đoạn mã trên để xem cách mà mẫu thực hiện tính 
toán và chỉnh sửa file gốc. Vì đây là đoạn mã Asembly nên muốn nhanh 
chóng thực hiện việc phân tích đoạn mã này có một số thủ thuật sau:
</span></span><ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Kiến thức về các lệnh, cấu trúc lệnh, cách thực hiện lệnh, gọi hàm trong Asembly</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Thông tin về kiến trúc file PE, các thành phần, vị trí các thành phần của file PE. (Tôi sẽ viết bài về cấu trúc của PE file)</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Theo dõi hàm CreateFileMapping, vì hàm này sẽ load file gốc lên 1 
vùng nhớ mới, sau đó có thể thực hiện chỉnh sửa trên vùng nhớ này hoặc 
tiếp tục copy ra các vùng nhớ khác rồi chỉnh sửa.</span></span></li>
</ul>
</li>
</ul>
</li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Phân tích các hành vi
</span></span><ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Dựa vào các hành vi cần theo dõi từ giai đoạn kiểm tra, theo dõi và phát hiện chúng ta sẽ lựa chọn các API tương ứng
</span></span><ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Tương tác tới registry, có các API: RegCloseKey, RegOpenKeyEx, RegQueryInfoKey, RegQueryValueEx…</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Tương tác tới các trình duyệt để lấy Cookie: các API tương tác tới file, đồng thời quan sát thư mục liên quan tới browser</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Mở cổng hậu, tạo các socket kết nối: WSAStartup, WSASocket, WSAConnect, WSAAccept, WSASend, WSARecv…</span></span></li>
</ul>
</li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Từ các hành vi này, ta tiến hành đặt các <b>break point </b>tại các API quan tâm và tìm được vị trí các đoạn mã mong muốn</span></span></li>
</ul>
</li>
</ul>
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b>Phân tích để diệt mã độc</b></span></span><br />
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span>
<div class="panelMacro">
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;"><b><i>“Giai đoạn này chỉ áp dụng cho các mẫu có hành vi lây 
file (tức là các virus), đối với các mẫu khác không thực hiện lây file 
chúng ta chỉ cần giai đoạn  sau đó thực hiện xoá trực tiếp.”</i></b></span></span><br />
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Quá trình phân tích chúng ta đã làm rõ được cơ chế lây file của mẫu: 
các loại file bị lây (để diệt toàn bộ file, tránh bỏ sót file), cách 
thức lây file cụ thể (chỉnh sửa trường nào trong file, ghi thêm nội dung
 vào vị trí nào trong file, lấy lại địa chỉ Entry Point gốc (Original 
Entry Point – OEP), … ). Ở giai đoạn này, chúng ta chỉ cần làm ngược lại
 các bước mà mẫu đã làm với từng file cụ thể: xác định lại OEP, chỉnh 
sửa lại các trường trong PE Header, xoá bỏ các phần dữ liệu bị mẫu ghi 
thêm vào file gốc.</span></span></div>
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Lấy lại OEP là một bước quan trọng, có thể thực hiện theo cách như sau:</span></span><br />
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span>
<ul>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Tìm giá trị OEP được virus ghi lại file gốc. Cách này dễ nhưng ít 
gặp vì hầu hết các virus đều có thiết lập các thay đổi và tính toán lại 
OEP thay vì lưu nguyên OEP vào file cũ.</span></span></li>
<li><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Dựa vào OEP của file bị lây để dự đoán và tìm OEP. Cách thức ở đây 
là ta sẽ tìm vị trí nhảy về OEP của chương trình đã bị lây. Từ đây ta sẽ
 tìm được vị trí tương đối của nó so với đầu file tức là khi file gốc 
chuẩn bị được lây được load trên bộ nhớ cùng với virus, ta sẽ biết được 
địa chỉ của lệnh trỏ về OEP. Tiến hành đặt breakpoint tại địa chỉ này và
 theo dõi sự thay đổi giá trị trên vùng địa chỉ đó, như vậy ta sẽ lần ra
 được vị trí tính toán và ghi địa chỉ trả về OEP</span></span></li>
</ul>
<span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">
</span></span><span style="font-size: small;"><span style="font-family: "Trebuchet MS",sans-serif;">Để diệt tận gốc (toàn bộ các file bị lây nhiễm) cần có công cụ tự 
động dò tìm, phát hiện các file các file đã bị lây nhiễm dựa vào các đặc
 điểm nhận dạng được xác định ở giai đoạn phân tích.</span></span><br />
<span style="font-family: "Trebuchet MS",sans-serif;"></span><br />
<h3>
<span style="color: blue;"><span style="font-weight: normal;"><span style="font-family: Verdana,sans-serif;">Lưu ý</span></span></span></h3>
<ul>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Đối với các loại mẫu lây file hệ thống đòi hỏi có các kỹ thuật phân tích và xử lý riêng.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Đối với các mẫu đa hình và siêu đa hình, tức là mã nhận diện tự động
 thay đổi sau mỗi lần lây nhiễm, quá trình phát hiện sẽ phức tạp hơn vì 
không thể sử dụng các mẫu nhận diện cố định. Để có thể phát hiện các 
loại mẫu này, cần sử dụng một cơ chế mới: M<b>áy trạng thái</b>.
 Nguyên nhân, với các mẫu đa hình, siêu đa hình, giai đoạn đầu tiên khi 
chạy nó cần có đoạn code giải mã để giải mã đoạn code mã hoá thân virus 
sau đó mới trả về điều khiển cho chương trình. Toàn bộ các mã sau đoạn 
giải mã được gọi là trạng thái ổn định của virus, đoạn code giải mã 
chính là đoạn đa hình. Để phát hiện được virus đa hình, siêu đa hình cần
 thực thi và kiểm tra các mẫu trong máy trạng thái, nếu sau một thời 
gian hoặc một số lượng câu lệnh nhất định mà đạt tới được trạng thái ổn 
định thì tức là mẫu đó chính là một mẫu đa hình, siêu đa hình.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Quá trình diệt sẽ phải dựa vào trình tự phân tích mẫu bằng tay.</span></li>
</ul>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span><span style="font-family: "Trebuchet MS",sans-serif;">Ngoài ra, để tránh quá trình bị phân tích, dịch ngược, virus còn 
trang bị thêm cho nó một số kỹ thuật để che giấu bản thân: kỹ thuật pack
 và anti debug, anti máy ảo. Cần nắm được các kỹ thuật này để có thể 
vượt qua trong quá trình phân tích lấy hành vi và phân tích để diệt:</span><br />
<span style="font-family: "Trebuchet MS",sans-serif;">
</span>
<ul>
<li><span style="font-family: "Trebuchet MS",sans-serif;"><b>Kỹ thuật mã hóa (Pack):</b> Pack là kỹ thuật mã hóa để 
làm giảm kích thước file, che giấu mã thật của virus. Với việc sử dụng 
pack, virus sẽ phải mã hóa và lưu toàn bộ header và nội dung file lại, 
đồng thời cung cấp hàm giải mã để giải mã thông tin lên bộ nhớ và khôi 
phục trạng thái các thanh ghi cũng như OEP. Điểm mấu chốt của sử dụng 
pack đó là khi bắt đầu chương trình, virus sẽ phải thực hiện unpack, lúc
 này trạng thái các thanh ghi sẽ được bảo vệ bằng cách đẩy toàn bộ vào 
stack (PUSHAD). Quá trình giải mã thành công, trạng thái các thanh ghi 
sẽ được khôi phục trở lại (POPAD), sau đó sẽ có lệnh chuyển điều khiển 
về OEP. Như vậy Unpack chính là việc tìm được chương trình ở trạng thái 
giải mã thành công.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;"><b>Kỹ thuật Anti:</b> Anti anti debugger & VM: một số 
virus sử dụng các kỹ thuật anti debugger & VM  để tránh bị phân 
tích, dịch ngược. Nguyên tắc thực hiện là virus sẽ sử dụng một số API 
được cung cấp để phát hiện ra virus đang được chạy dưới các debugger 
hoặc môi trường máy ảo. Có rất nhiều tình huống có thể xảy ra trong 
trường hợp này nhưng nhìn chung chương trình sẽ không thể chạy trên máy 
ảo hoặc không thể chạy thông qua debugger. Để vượt qua ta có nhiều 
phương pháp khác nhau. Trước tiên cần kiểm tra thông tin về PE header 
xem có sự khác biệt lớn gì hay không. Sau đó cần tìm ra đoạn mã 
antidebugger, anti VM và tiến hành chỉnh sửa để có thể vượt qua được 
đoạn mã anti đó. Hầu hết các phương pháp anti đều cố gắng tạo ra các 
Exception nếu không có debugger để EIP trỏ tới cấu trúc SEH được sắp xếp
 trước nhằm khôi phục quyền điều khiển, nếu có debugger thì Exception sẽ
 không xảy ra và debugger bị phát hiện. Một số phương pháp sử dụng để 
phát hiện có debugger:
</span><ul>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Sử dụng hàm IsDebuggerPresent.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Kiểm tra cờ NtGlocalFlag.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Đặt cờ kiểm tra Hardware breakpoint.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Tìm lớp Windows của OllyDBG.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Sử dụng Int3.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Phát hiện memory breakpoint sử dụng PAGE_GAURD.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Kiểm tra thông qua NtQueryInformationProcess.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Phát hiện thông qua các plugin của IDA: OllyInvisible, HideDebugger.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Phát hiện bằng cách tìm kiếm xâu OLLY.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Anti Process Dump.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Tính toán chênh lệnh thời gian khi thực thi 1 lệnh để xác định được quá trình debug.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Dựa vào LDR Module: nếu debug ở mức user mode, bộ nhớ được cấp phát sẽ kết thúc bằng: 0xFEEEFEEE.</span></li>
<li><span style="font-family: "Trebuchet MS",sans-serif;">Thay đổi cờ EFLAGS sẽ có khả năng tạo ra Exception, thông qua đó có thể detect được debugger.</span></li>
</ul>
</li>
</ul>
<span style="font-family: "Trebuchet MS",sans-serif;">
</span>
<blockquote>
<span style="font-family: "Trebuchet MS",sans-serif;">Trong bài tiếp theo tôi sẽ tiến hành phân tích một mẫu 
Virus cụ thể theo đúng trình tự như đã trình bày ở các bước trong bài 
viết này</span></blockquote>
<span style="font-family: "Trebuchet MS",sans-serif;"> Nguồn: SecurityDaily.Net</span><br />
<h3 id="Mộtsốkỹthuậtpháthiệnvàphântíchmãđộc-♦Kỹthuậtpháthiệnmãđộc">
<span style="color: blue;"><span style="font-weight: normal;"><span style="font-family: Verdana,sans-serif;">Tài liệu tham khảo</span></span></span></h3>
<ul>
<li><span style="font-size: x-small;"><span style="font-family: "Trebuchet MS",sans-serif;"><a href="http://www.techrepublic.com/blog/10-things/10-ways-to-detect-computer-malware/">http://www.techrepublic.com/blog/10-things/10-ways-to-detect-computer-malware/</a></span></span></li>
<li><span style="font-size: x-small;"><span style="font-family: "Trebuchet MS",sans-serif;"><a href="http://technet.microsoft.com/en-US/sysinternals/bb469930">http://technet.microsoft.com/en-US/sysinternals/bb469930</a></span></span></li>
<li><span style="font-size: x-small;"><span style="font-family: "Trebuchet MS",sans-serif;"><a href="http://thelegendofrandom.com/blog/archives/2100">http://thelegendofrandom.com/blog/archives/2100</a></span></span></li>
<li><span style="font-size: x-small;"><span style="font-family: "Trebuchet MS",sans-serif;"><a href="http://resources.infosecinstitute.com/anti-debugging-and-anti-vm-techniques-and-anti-emulation/">http://resources.infosecinstitute.com/anti-debugging-and-anti-vm-techniques-and-anti-emulation/</a></span></span></li>
</ul>

Phân tích và tìm diệt mã độc

Phân tích mã độc như thế nào? Việc phát hiện, phân tích mã độc đòi hỏi quá trình theo dõi liên tục và lặp đi lặp lại. Nếu thực hiện trên ...