Tất cả câu hỏi

Đáp án đúng: "Raw Dump is linear, while Windows crash dump includes system state metadata". Raw dump là bản chép từng byte của RAM vật lý theo thứ tự địa chỉ từ 0 trở đi, không có header, nên kích thước bằng dung lượng RAM và công cụ phân tích phải tự dò cấu trúc nhân; crash dump của Windows (tệp .dmp) mở đầu bằng header ghi thông tin trạng thái hệ thống như phiên bản hệ điều hành, số CPU, địa chỉ bảng trang và mã lỗi, nên WinDbg mở được trực tiếp. "Raw Dump is compressed, while Windows crash dump is not" sai vì raw dump không nén, chính vì vậy nó to bằng RAM. "Raw Dump requires commercial tools, while Windows crash dump does not" sai vì nhiều công cụ miễn phí như dd, Win32dd, DumpIt đều tạo được raw dump. "Windows crash dump is only for kernel memory, while Raw Dump is for user memory" sai vì crash dump có loại complete memory dump chứa cả bộ nhớ người dùng, còn raw dump chứa toàn bộ RAM chứ không riêng vùng người dùng.

Đáp án đúng: "System processes, file system activity, and registry changes". Process Monitor (ProcMon) của Sysinternals ghi theo thời gian thực các sự kiện của tiến trình và luồng (tạo tiến trình, nạp DLL), thao tác hệ thống tệp (tạo, đọc, ghi, xoá tệp) và thao tác registry (mở, đặt, xoá khoá), kèm tên tiến trình, đường dẫn, kết quả và ngăn xếp gọi; người phân tích lọc theo tên mẫu để thấy mã độc thả tệp gì, ghi khoá Run nào. Bác: "Only network traffic" sai, ProcMon có ghi sự kiện TCP/UDP ở mức cơ bản nhưng không bắt nội dung gói tin như Wireshark, và chắc chắn không chỉ ghi mạng. "Only software installations" quá hẹp, cài đặt phần mềm chỉ là một tập con của các thao tác tệp và registry. "Only CPU usage" là việc của Task Manager hay Process Explorer; ProcMon ghi sự kiện chứ không đo tải CPU.

Đáp án đúng: "Interpreted languages". Bash script là ngôn ngữ thông dịch (interpreted): trình thông dịch bash đọc từng dòng, phân tích và thực thi ngay, không biên dịch trước ra mã máy; vì vậy mã độc dạng script trên Linux đọc được trực tiếp dưới dạng văn bản. "Low-level languages" là ngôn ngữ gần phần cứng như hợp ngữ, trong khi bash là ngôn ngữ bậc cao điều khiển lệnh hệ thống. "Lowest languages" không phải một phân loại chuẩn; nếu hiểu là bậc thấp nhất thì đó là mã máy, cũng không phải bash. "Machine code" là các byte lệnh CPU chạy trực tiếp, là kết quả của biên dịch hoặc hợp dịch, không phải dạng của script. "Hardware" là phần cứng vật lý, không phải ngôn ngữ.

Đáp án đúng: "It can identify both packers and compilers used in executable files". PEiD so mẫu byte quanh entry point của tệp PE với cơ sở chữ ký để báo tệp được đóng gói hay mã hoá bằng packer nào như UPX, ASPack, và nếu không đóng gói thì được biên dịch bằng trình nào như Microsoft Visual C++ hay Delphi, giúp quyết định có cần gỡ vỏ trước khi phân tích tĩnh không. "It can only identify packers used in Windows executables" sai ở chữ "only", vì PEiD còn nhận diện được trình biên dịch, dù đúng là nó chỉ làm việc với tệp PE của Windows. "It is a standalone antivirus software" sai vì PEiD không quét hay diệt mã độc, chỉ nhận diện cách tệp được tạo. "It requires an internet connection to function" sai vì PEiD chạy hoàn toàn ngoại tuyến với tệp chữ ký cục bộ.

Đáp án đúng: "Encrypting its code". Phần mềm diệt virus dựa nhiều vào chữ ký, tức chuỗi byte đặc trưng trong tệp; mã độc né bằng cách mã hoá thân mã qua crypter, packer hay kỹ thuật đa hình (polymorphic), chỉ để lại một đoạn giải mã nhỏ thay đổi theo từng bản, nên trên đĩa không còn chuỗi byte quen thuộc và mã thật chỉ hiện ra trong bộ nhớ khi chạy. Bác: "Providing fake error messages" là thủ đoạn lừa người dùng, ví dụ báo lỗi giả để che việc cài đặt ngầm, không đánh lừa được trình quét chữ ký. "Displaying pop-up ads" là hành vi lộ liễu của adware, khiến người dùng chú ý hơn chứ không giúp né tránh. "Deleting system files" là hành vi phá hoại, dễ gây chú ý và không giúp mã độc tránh bị phát hiện.

Đáp án đúng: "Network Installation". Câu hỏi tìm thứ KHÔNG phải thành phần của phân tích mã độc. Lắp đặt mạng là công việc hạ tầng, không phải bước xử lý mẫu; dựng mạng cho lab chỉ là chuẩn bị môi trường. "Detection" thuộc phân tích mã độc vì phải nhận ra mẫu là độc, phân loại nó và rút chữ ký, IOC để phát hiện ở nơi khác. "Reverse Engineering" là phần cốt lõi: dịch ngược mã bằng trình tháo mã và trình gỡ lỗi để hiểu cách nó hoạt động. "Eradication" là bước loại bỏ trong quy trình phản ứng sự cố mà phân tích phục vụ trực tiếp: phải biết mẫu bám trụ ở đâu, sửa gì trên hệ thống thì mới gỡ sạch được, nên nó gắn chặt với phân tích mã độc.

Đáp án đúng: "svchost.exe". Nhiều dịch vụ Windows được viết dưới dạng DLL, khai báo qua giá trị ServiceDll trong khoá Parameters của dịch vụ, và svchost.exe (Service Host) là tiến trình chủ nạp các DLL này theo nhóm, ví dụ nhóm netsvcs; vì có nhiều bản svchost.exe hợp lệ cùng chạy, mã độc hay đăng ký DLL của mình làm dịch vụ để ẩn dưới tiến trình này. "services.exe" là Service Control Manager, khởi động và quản lý dịch vụ, nhưng không tự nạp các DLL dịch vụ dùng chung vào chính nó. "rundll32.exe" chạy một hàm xuất của một DLL bất kỳ từ dòng lệnh, mã độc hay dùng để kích hoạt DLL nhưng nó không phải tiến trình chủ cho dịch vụ. "taskhostw.exe" là tiến trình chủ cho các tác vụ dựa trên DLL của Task Scheduler, không phải cho dịch vụ.

Đáp án đúng: "To create a safe environment for testing software". Hộp cát (sandbox) là môi trường cách ly, thường là máy ảo có snapshot và mạng giả lập, nơi mẫu nghi ngờ được chạy thử mà không gây hại cho hệ thống thật; trong lúc đó công cụ giám sát ghi lời gọi API, tệp, registry và kết nối mạng để người phân tích kết luận mẫu có độc hay không và làm gì, xong việc chỉ cần khôi phục snapshot. Bác: "To permanently remove malware from the system" là việc của phần mềm diệt virus hay quy trình làm sạch, sandbox chỉ chứa và quan sát mẫu. "To monitor network traffic for suspicious activity" là chức năng của hệ thống phát hiện xâm nhập; sandbox có ghi lưu lượng mạng của mẫu nhưng đó chỉ là một phần dữ liệu, không phải mục đích chính. "To encrypt sensitive data to prevent unauthorized access" là biện pháp bảo vệ dữ liệu, không liên quan tới phân tích mã độc.

Đáp án đúng: "Process injection". VirtualAllocEx cấp phát vùng nhớ bên trong một tiến trình khác, thường kèm WriteProcessMemory để chép mã độc vào đó, rồi CreateRemoteThread tạo luồng mới trong tiến trình đích chạy từ vùng nhớ vừa chép; đây là bộ ba kinh điển của tiêm mã vào tiến trình (process injection), giúp mã độc chạy dưới danh nghĩa tiến trình hợp pháp như explorer.exe để né phát hiện. "Basic file access" dùng các API như CreateFile, ReadFile, WriteFile, không cần cấp phát nhớ ở tiến trình khác. "DNS hijacking" là chuyển hướng phân giải tên miền, thường bằng cách sửa tệp hosts hoặc cấu hình máy chủ DNS. "Port scanning" dùng socket và connect lần lượt tới các cổng, không liên quan tới tiến trình khác.

Đáp án đúng: "DLL". DLL (dynamic link library, thư viện liên kết động) chứa các hàm xuất (exports) để nhiều chương trình cùng nạp và gọi, như kernel32.dll hay user32.dll mà gần như mọi ứng dụng Windows đều dùng; hệ điều hành ánh xạ một bản mã của DLL vào nhiều tiến trình để tiết kiệm bộ nhớ, và mã độc lợi dụng điều này qua DLL injection hay DLL hijacking. "Packed" là trạng thái của tệp đã bị nén hoặc mã hoá bằng packer, không phải loại tệp dùng chung. "PE" là định dạng chung cho cả EXE lẫn DLL trên Windows, khái niệm rộng hơn chứ không riêng tệp dùng chung. "Wrapper" là chương trình bọc một tệp khác bên trong để phát tán hoặc chạy kèm. "EXE" là tệp thực thi độc lập, chạy thành tiến trình riêng chứ không được nhiều chương trình nạp chung.

Đáp án đúng: "False". Phân tích hành vi (behavioral analysis) là chạy mẫu trong lab cô lập rồi quan sát thay đổi trên tệp, registry, tiến trình và mạng. Việc quan sát có thể diễn ra theo thời gian thực bằng Process Monitor hay Wireshark, nhưng cũng có thể làm sau khi mẫu chạy xong: Regshot so ảnh chụp registry trước và sau, sandbox như Cuckoo ghi nhật ký rồi xuất báo cáo, ảnh bộ nhớ được phân tích về sau bằng Volatility, tệp pcap được mở lại để soi. Hiệu quả phụ thuộc vào việc ghi đủ dữ liệu, không phụ thuộc vào việc người phân tích ngồi xem trực tiếp. Vì thế khẳng định phải luôn làm theo thời gian thực là sai; chọn "True" là bỏ qua cả nhóm kỹ thuật so sánh trước sau và phân tích nhật ký sau khi chạy.

Đáp án đúng: "Rootkits modify system files to grant unauthorized access, while other malware types focus on data theft or disruption.". Rootkit cài sâu vào hệ điều hành, sửa tệp hệ thống, trình điều khiển hoặc cấu trúc nhân để giữ quyền truy cập trái phép ở mức cao và giấu sự hiện diện của mình cùng mã độc đi kèm; nhiều loại khác như spyware, ransomware hay worm thì nhắm vào đánh cắp dữ liệu hoặc phá hoại. Đây là cách phân biệt theo cơ chế và mục tiêu. "Rootkits are only effective on Windows operating systems" sai vì rootkit có trên Linux, macOS và cả trong firmware; khái niệm này vốn bắt nguồn từ Unix. "Rootkits spread through email attachments" sai vì rootkit không có cơ chế lây riêng, nó được cài bởi dropper hay sau khi khai thác lỗ hổng, còn mã độc khác cũng lây qua thư. "Rootkits require physical access to a computer" sai vì rootkit cài được từ xa sau khi kẻ tấn công chiếm quyền quản trị.

Đáp án đúng: "To trace and analyze malware behavior". Debugger như OllyDbg, x64dbg hay WinDbg cho chạy mẫu từng lệnh, đặt breakpoint, xem và sửa thanh ghi, bộ nhớ, ngăn xếp, nhờ đó lần theo luồng điều khiển, bắt lúc mẫu tự giải nén, xem tham số truyền vào API và hiểu chính xác mẫu làm gì, điều mà phân tích tĩnh khó thấy khi mã bị làm rối. "To execute malware on a system" chưa đúng mục đích, debugger có chạy mẫu nhưng chạy chỉ là phương tiện để quan sát, còn muốn chạy đơn thuần thì không cần debugger. "To monitor network traffic" là việc của Wireshark hay SmartSniff. "To encrypt sensitive data" không liên quan tới chức năng của debugger.

Đáp án đúng gồm hai ý: "Buffer overflow" và "Format string attack". EIP là con trỏ lệnh; muốn chiếm luồng thực thi, kẻ tấn công phải ghi đè giá trị sẽ được nạp vào EIP, thường là địa chỉ trả về lưu trên ngăn xếp. Tràn bộ đệm (buffer overflow) chép dữ liệu vượt kích thước mảng cục bộ, tràn qua địa chỉ trả về, nên khi hàm thực hiện ret thì EIP nhảy tới mã của kẻ tấn công. Tấn công chuỗi định dạng (format string attack) lợi dụng printf nhận chuỗi do người dùng điều khiển, dùng %n để ghi giá trị tuỳ ý vào địa chỉ tuỳ ý như địa chỉ trả về hay một con trỏ hàm, cũng dẫn tới điều khiển EIP. Bác: "Integer overflow" là tràn số nguyên làm sai phép tính kích thước, chỉ là nguyên nhân gián tiếp có thể dẫn tới tràn bộ đệm chứ tự nó không ghi đè EIP. "Race condition" là lỗi tranh chấp thời điểm giữa các luồng hay tiến trình, khai thác thứ tự truy cập tài nguyên chứ không trực tiếp thao túng EIP.

Đáp án đúng: "A virtual environment for running untrusted programs". Kiến trúc sandbox trong bảo mật là môi trường ảo hoá cô lập, thường gồm máy ảo khách chạy mẫu, tác tử giám sát bên trong, máy chủ điều phối và lớp báo cáo, để chạy chương trình không tin cậy mà không ảnh hưởng hệ thống thật. "A physical box filled with sand" là nghĩa đen của từ sandbox (hộp cát cho trẻ chơi), chính là hình ảnh gợi ra tên gọi nhưng không phải kiến trúc bảo mật. "A type of building construction technique" là cách hiểu chữ architecture theo nghĩa xây dựng, không liên quan. "A framework for organizing computer files" mô tả hệ thống tệp hay quy ước thư mục, không có yếu tố cô lập hay chạy thử chương trình.

Đáp án đúng: "It may trigger anti-debugging techniques employed by malware". Nhiều mẫu cài kỹ thuật chống gỡ lỗi (anti-debugging): gọi IsDebuggerPresent, đọc cờ BeingDebugged trong PEB, đo thời gian bằng lệnh RDTSC, quét byte 0xCC của breakpoint phần mềm; khi phát hiện debugger, mẫu đổi hành vi, chạy nhánh giả hoặc tự thoát, nên nhà phân tích phải vá các kiểm tra đó hay dùng plugin ẩn debugger như ScyllaHide. "It requires extensive network resources" sai vì debugger chạy cục bộ, không cần mạng. "It cannot analyze malware behavior in real-time" ngược thực tế, debugger theo dõi từng lệnh ngay khi mẫu đang chạy. "It is only effective for analyzing known malware strains" sai vì debugger là công cụ chính để mổ xẻ mẫu chưa biết, còn phụ thuộc mẫu đã biết là hạn chế của phát hiện theo chữ ký.

Đáp án đúng: "EFLAGS". Thanh ghi cờ EFLAGS chứa các bit trạng thái mà CPU cập nhật sau mỗi phép tính số học hay logic; cờ ZF (Zero Flag) được bật lên 1 khi kết quả của lệnh vừa thực hiện bằng 0, ví dụ sau cmp eax, ebx khi hai giá trị bằng nhau hay sau test eax, eax khi eax bằng 0, và các lệnh nhảy có điều kiện jz, jnz đọc chính cờ này để rẽ nhánh. Bác: "EAX, EBX, ECX, or EDX" là các thanh ghi đa dụng chứa toán hạng hay kết quả, bản thân chúng không báo kết quả có bằng 0 hay không. "EBP or ESP" là con trỏ khung và con trỏ đỉnh ngăn xếp, dùng để quản lý ngăn xếp. "EIP" là con trỏ lệnh, chứa địa chỉ lệnh kế tiếp sẽ được thực thi.

Đáp án đúng: "Bridged". Ở chế độ mạng Bridged (cầu nối), card mạng ảo của máy phân tích nối thẳng vào mạng vật lý và nhận địa chỉ IP trong cùng mạng LAN như một máy thật; mã độc chạy bên trong có thể quét và lây sang các máy khác trong mạng, ra Internet tự do, nên đây là kiểu nguy hiểm nhất. "NAT" cho máy ảo ra Internet qua địa chỉ của máy chủ vật lý, các máy trong LAN không thấy trực tiếp máy ảo, nhưng mẫu vẫn liên lạc được với máy chủ điều khiển, nên chỉ ít rủi ro hơn. "Host-only" chỉ cho máy ảo nói chuyện với máy chủ vật lý và các máy ảo cùng mạng ảo, không ra ngoài, là lựa chọn thường dùng cho lab. "Airgap" là cách ly hoàn toàn, không có kết nối mạng nào, an toàn nhất.

Đáp án đúng: "Examining the code and structure of malware without executing it". Phân tích tĩnh (static analysis) xem xét mẫu mà không cho nó chạy: tính mã băm, trích chuỗi bằng strings, đọc header và bảng import của tệp PE bằng PEview hay PEiD, rồi ở mức nâng cao dịch ngược mã bằng IDA Pro hoặc Ghidra; cách này an toàn vì mẫu không thực thi, nhưng dễ bị cản bởi packer và kỹ thuật làm rối mã. "Running the malware in a controlled environment" là định nghĩa của phân tích động, mẫu phải chạy. "Analyzing the behavior of malware as it executes" cũng thuộc phân tích động vì quan sát hành vi trong lúc chạy. "Monitoring network traffic for signs of malware activity" là giám sát mạng, thuộc phân tích động hoặc hệ thống phát hiện xâm nhập (IDS), không phải phân tích tĩnh.

Đáp án đúng: "Kernel-mode debugging". Gỡ lỗi chế độ nhân (kernel-mode debugging) cho phép soi mã chạy ở Ring 0 như driver, rootkit, các cấu trúc nhân như EPROCESS và bảng hệ thống, nên cho cái nhìn sâu về tiến trình mức hệ thống; nhưng nó khó hơn vì dừng nhân là dừng cả máy, thường phải dùng hai máy hoặc máy ảo nối với WinDbg qua cổng nối tiếp hay mạng, và một thao tác sai có thể gây màn hình xanh. Bác: "User-mode debugging" dễ hơn, chỉ gắn vào một tiến trình bằng OllyDbg hay x64dbg, nhưng không nhìn được vào nhân. "Network debugging" là gỡ lỗi kết nối hay giao thức mạng, không phải chế độ gỡ lỗi theo mức đặc quyền; mạng chỉ là kênh truyền khi gỡ lỗi nhân từ xa. "Application debugging" thực chất là gỡ lỗi một ứng dụng ở chế độ người dùng, cũng không chạm tới thành phần mức hệ thống.