Câu hỏi: IAM302 - Phần 1: Nền tảng và quy trình phân tích mã độc

Đáp án đúng: "To detect known malware based on predefined patterns". ClamAV là bộ quét mã độc mã nguồn mở hoạt động theo kiểu phát hiện dựa trên chữ ký (signature-based detection): cơ sở dữ liệu chữ ký (main.cvd, daily.cvd) chứa giá trị băm tệp, chuỗi byte đặc trưng và chữ ký logic của các mẫu đã biết; khi quét, clamscan so nội dung tệp với các mẫu này và báo tên mã độc khi khớp. Bác: "To store user preferences" là việc của tệp cấu hình như clamd.conf hay freshclam.conf, không phải cơ sở chữ ký. "To classify malware based on its behavior" mô tả phân tích hành vi động trong sandbox, trong khi chữ ký là mẫu tĩnh; tên chữ ký có gắn loại mã độc nhưng mục đích của cơ sở dữ liệu là nhận ra mẫu đã biết. "To analyze network traffic" là việc của Wireshark, Snort hay Zeek; ClamAV quét tệp và dữ liệu được đưa vào nó chứ không giám sát lưu lượng mạng.

Đáp án đúng: "It utilizes multiple detection databases, including MD5 hashes and PE metadata". ClamAV là bộ quét mã độc mã nguồn mở hoạt động chủ yếu theo chữ ký; cơ sở dữ liệu của nó gồm nhiều lớp: chữ ký băm MD5 hoặc SHA của cả tệp, băm theo từng section PE, chữ ký thân dạng mẫu byte, chữ ký logic và luật dựa trên siêu dữ liệu PE, nên một mẫu khớp bất kỳ lớp nào cũng được gán tên họ mã độc, giúp phân loại nhanh. "It only detects malware based on behavioral analysis" sai vì ClamAV quét tĩnh theo chữ ký, không chạy mẫu để quan sát hành vi. "It requires constant manual updates to function effectively" sai vì ClamAV có freshclam tự động tải bản cập nhật cơ sở dữ liệu theo lịch. "It is designed exclusively for detecting phishing attempts" sai vì chữ ký lừa đảo chỉ là một phần nhỏ, ClamAV nhắm mọi loại mã độc từ virus, trojan tới macro độc trong tài liệu văn phòng.

Đáp án đúng: "Detailed documentation helps in reproducing results and sharing findings". Phân tích mã độc là chuỗi bước dài: băm mẫu, phân tích tĩnh, chạy trong sandbox, gỡ lỗi; ghi chép chi tiết từng bước, công cụ, phiên bản và cấu hình máy lab giúp người khác hoặc chính mình sau này lặp lại và kiểm chứng kết quả, đồng thời là nguồn để viết báo cáo và rút chỉ dấu xâm nhập (IOC) chia sẻ cho đội phản ứng sự cố. "Documenting every step of the analysis process is unnecessary" ngược hẳn với thực tiễn, vì thiếu ghi chép thì kết luận không kiểm lại được. "Documentation is primarily useful for academic research purposes" sai vì tài liệu phục vụ trực tiếp vận hành: phản ứng sự cố, viết luật phát hiện, làm bằng chứng pháp lý. "Keeping analysis methods secret is more important than documentation" sai vì giữ kín thông tin nhạy cảm vẫn cần tài liệu, chỉ là giới hạn người được đọc.

Đáp án đúng: "Creating new types of malware". Câu hỏi tìm thứ KHÔNG phải mục tiêu: phân tích mã độc nhằm hiểu cách mẫu hoạt động để phát hiện, ngăn chặn và khắc phục hậu quả, còn tạo ra mã độc mới đi ngược mục đích phòng thủ và vi phạm đạo đức, pháp luật, nên đây là đáp án. "Identifying the source of malware" là mục tiêu thật: lần theo địa chỉ máy chủ điều khiển (C2), dấu vết trình biên dịch, ngôn ngữ trong chuỗi để quy kết nguồn gốc. "Developing antivirus software" là mục tiêu thật vì kết quả phân tích sinh ra chữ ký, luật YARA và dấu hiệu nhận diện (IOC) cho phần mềm diệt virus. "Understanding malware behavior" là mục tiêu cốt lõi, trả lời mẫu làm gì, bám trụ ra sao và liên lạc với ai, nên cũng không được chọn.

Đáp án đúng: "Dynamic analysis". Phân tích động (dynamic analysis) là chạy mẫu trong môi trường cô lập rồi quan sát hành vi thật: tiến trình tạo ra, tệp và registry bị sửa, và lưu lượng mạng nó phát đi như truy vấn DNS hay kết nối tới máy chủ điều khiển; lưu lượng chỉ xuất hiện khi mẫu chạy nên đây là kỹ thuật động. "Static analysis" xem xét mẫu khi không chạy: băm, chuỗi, header PE, mã tháo; nó có thể thấy URL viết cứng trong chuỗi nhưng không thấy lưu lượng thực. "Hybrid analysis" kết hợp cả hai và cũng có quan sát mạng, nhưng phần quan sát lưu lượng trong đó vẫn là thành phần động, nên tên đúng cho phương pháp được hỏi là phân tích động. "Logical signature detection" là kiểu luật phát hiện ghép nhiều điều kiện, như chữ ký logic của ClamAV, không phải phương pháp quan sát hành vi.

Đáp án đúng: "Strings". Kỹ thuật strings quét tệp nhị phân và in ra mọi dãy ký tự in được, ASCII hoặc Unicode, dài từ một ngưỡng trở lên, thường là 4 ký tự; công cụ strings của Sysinternals hay lệnh strings trên Linux làm việc này. Đây là bước phân tích tĩnh rẻ nhất mà cho nhiều manh mối: URL, IP, tên miền, khoá registry, tên hàm API, thông báo lỗi. "Antivirus" quét tệp theo chữ ký để kết luận có độc hay không, không liệt kê văn bản đọc được. "Hashes" như MD5 hay SHA-256 tạo một dấu vân tay cố định của tệp để nhận diện và tra cứu, không trích nội dung nào. "Functions" là các hàm trong mã, xem được qua bảng import hoặc trình tháo mã như IDA, chứ không phải kỹ thuật tìm văn bản đọc được.

Đáp án đúng: "The specimen’s infection, self-preservation, and spreading capabilities". Báo cáo phân tích mã độc phải mô tả đặc tính kỹ thuật của mẫu (specimen) để bên phòng thủ hành động được: nó lây vào máy bằng cách nào (infection), duy trì và tự bảo vệ ra sao (self-preservation: khoá Run, dịch vụ, rootkit, chống gỡ lỗi), và lây sang máy khác bằng cơ chế gì (spreading), kèm chỉ dấu xâm nhập (IOC) như giá trị băm, tên tệp, khoá registry, tên miền. Những thông tin này quyết định trực tiếp cách phát hiện, cô lập và làm sạch. Bác: "The malware author’s identity" thường không xác định chắc chắn được từ mẫu; việc quy kết (attribution) là nhiệm vụ tình báo riêng, không phải phần đặc tính bắt buộc. "A list of all programming languages used" quá chi tiết và ít giá trị phòng thủ; trình biên dịch có thể được ghi nhận nhưng không phải trọng tâm. "The estimated financial damage caused" thuộc đánh giá tác động kinh doanh, nằm ngoài phân tích kỹ thuật của mẫu.

Đáp án đúng: "Based on its behavior". Cần nói thẳng: ClamAV thực chất nhận diện mã độc bằng chữ ký (signature), tức so tệp với giá trị băm, chuỗi byte và chữ ký logic trong cơ sở dữ liệu, chứ không chạy mẫu để theo dõi hành vi động như sandbox. Tuy vậy, tên mỗi chữ ký được đặt theo nền tảng và loại mã độc, ví dụ dạng Win.Trojan.Agent, nên kết quả phân loại mà ClamAV trả về phản ánh nhóm hành vi của mẫu như Trojan, Worm, Ransomware; hiểu theo nghĩa đó, "Based on its behavior" là phương án duy nhất có nghĩa. Bác: "Based on its size" không phải tiêu chí phân loại, kích thước tệp chỉ là một trường phụ trong chữ ký băm để thu hẹp việc so khớp. "Based on its age" vô nghĩa, tuổi hay thời điểm xuất hiện của mẫu không quyết định nó thuộc loại gì. "Based on its color" cũng vô nghĩa vì tệp thực thi không có thuộc tính màu sắc.

Đáp án đúng: "Analyzing and modifying the import table of malware executables". LordPE là trình soạn thảo PE (PE editor) kiêm công cụ dump tiến trình: nó cho xem và sửa header, bảng section, thư mục dữ liệu và bảng import của tệp thực thi; trong quy trình gỡ vỏ thủ công, nhà phân tích dump mẫu đã tự giải nén khỏi bộ nhớ rồi dùng LordPE cùng ImpREC để dựng lại bảng import và sửa entry point cho tệp chạy được và phân tích tĩnh được. "Decrypting encrypted malware payloads" sai vì LordPE không có chức năng giải mã, việc đó làm bằng debugger hoặc script viết riêng. "Generating antivirus signatures" là việc của các công cụ như YARA hay sigtool của ClamAV. "Monitoring system logs" là việc của Event Viewer hay hệ thống SIEM, không liên quan tới cấu trúc PE.

Đáp án đúng: "Conducting regular malware scans". Quét mã độc định kỳ bằng phần mềm diệt virus hay EDR luôn được cập nhật là biện pháp phát hiện cơ bản: so tệp và tiến trình với chữ ký đã biết và luật hành vi, bắt được cả mẫu đã lọt vào từ trước mà lúc đó chưa bị nhận diện, khi cơ sở chữ ký được bổ sung. "Running outdated antivirus software" làm giảm khả năng phát hiện vì thiếu chữ ký cho mẫu mới. "Ignoring system logs" ngược với thực tiễn; nhật ký sự kiện là nguồn để phát hiện đăng nhập lạ, dịch vụ mới cài, tiến trình bất thường. "Disabling firewall protection" làm mất một lớp phòng vệ và mất nhật ký kết nối có thể làm lộ lưu lượng ra máy chủ điều khiển, nên vừa không giúp phát hiện vừa tăng rủi ro.

Đáp án đúng: "Adobe Photoshop". Câu hỏi tìm công cụ KHÔNG thường dùng trong phân tích mã độc: Adobe Photoshop là phần mềm chỉnh sửa ảnh, không đọc cấu trúc tệp thực thi, không bắt gói tin hay quét mã độc, nên đây là đáp án. "Wireshark" là công cụ bắt và giải mã gói tin, dùng trong phân tích động để thấy mẫu liên lạc với máy chủ điều khiển nào, giao thức gì, nên là công cụ thông dụng. "IDA Pro" là trình dịch ngược (disassembler) kèm bộ giải mã ngược, công cụ chủ lực của phân tích tĩnh nâng cao để đọc mã hợp ngữ của mẫu. "VirusTotal" là dịch vụ quét tệp hoặc mã băm bằng hàng chục engine diệt virus cùng lúc, thường là bước tra cứu đầu tiên khi nhận một mẫu lạ, nên cũng là công cụ thông dụng.

Đáp án đúng: "It monitors system activities for suspicious behavior". Phát hiện dựa trên hành vi (behavior-based detection) không so tệp với mẫu đã biết mà theo dõi hoạt động của chương trình khi chạy, như tiêm mã vào tiến trình khác, mã hoá hàng loạt tệp, sửa khoá Run, tắt dịch vụ bảo mật, rồi cảnh báo khi chuỗi hành vi đáng ngờ. "It relies solely on virus signatures" mô tả phát hiện dựa trên chữ ký, đúng là kiểu đối lập. "It detects malware based on known patterns" cũng là đặc trưng của chữ ký và heuristic tĩnh dựa trên mẫu đã gặp. "It is ineffective against zero-day attacks" ngược sự thật: chính vì không cần chữ ký có sẵn mà phát hiện hành vi là một trong số ít cách bắt được mã độc zero-day, đổi lại dễ báo nhầm hơn.

Đáp án đúng: "False". Phân tích mã độc (malware analysis) nghiên cứu mọi loại phần mềm độc hại chứ không riêng virus: worm tự lây qua mạng, Trojan giả dạng phần mềm hợp lệ, ransomware mã hoá đòi tiền, rootkit ẩn mình, spyware, keylogger, bot trong botnet và cả mã độc không tệp. Mục tiêu là hiểu mẫu làm gì, lây và duy trì ra sao, liên lạc với ai, để rút ra chỉ dấu xâm nhập và cách phòng chống. Virus chỉ là một loại, đặc trưng bởi việc chèn mã vào tệp khác và cần vật chủ để lây. Vì thế phát biểu nói phân tích mã độc chỉ tập trung vào virus là sai; chọn "True" là nhầm theo cách gọi đời thường coi mọi mã độc đều là virus.

Đáp án đúng: "Applying malware analysis to real-world incident response". Mục tiêu thực tế của phân tích mã độc là phục vụ phản ứng sự cố: hiểu mẫu làm gì, lây và bám trụ thế nào, liên lạc với ai, để khoanh vùng, gỡ bỏ, rút chỉ dấu xâm nhập (IOC) và viết luật phát hiện cho toàn tổ chức. "Writing new types of malware for research" không phải mục tiêu của phân tích, vừa trái đạo đức vừa thường vi phạm pháp luật. "Detecting and analyzing malware purely for academic purposes" có tồn tại trong nghiên cứu, nhưng chữ purely bỏ qua giá trị vận hành vốn là động lực chính của nghề. "Avoiding malware lab setups due to safety concerns" ngược với thực tiễn: phòng lab cô lập chính là thứ làm cho phân tích an toàn, không thể né nó.

Đáp án đúng: "Analyzing software to understand its behavior and purpose". Phân tích mã độc là nghiên cứu một mẫu phần mềm, bằng phân tích tĩnh (đọc cấu trúc PE, chuỗi, mã dịch ngược) và phân tích động (chạy trong sandbox, debugger), để hiểu nó làm gì, hoạt động ra sao và nhằm mục đích gì, từ đó rút ra chỉ dấu xâm nhập và cách phát hiện, gỡ bỏ. Bác: "Analyzing potential malware threats to a system" nghiêng về đánh giá mối đe doạ hay rủi ro ở mức hệ thống, chưa nói tới việc mổ xẻ bản thân mẫu phần mềm. "Analyzing computer hardware for vulnerabilities" là kiểm tra bảo mật phần cứng, không phải phần mềm độc hại. "Analyzing network traffic for suspicious activity" là giám sát mạng hay phát hiện xâm nhập; lưu lượng mạng có thể là nguồn dữ liệu bổ trợ khi phân tích mẫu, nhưng không định nghĩa phân tích mã độc.

Đáp án đúng: "OllyDbg". Phân tích động là chạy mẫu và quan sát nó khi đang thực thi; OllyDbg là trình gỡ lỗi chạy chính mẫu đó dưới sự điều khiển của nhà phân tích, cho đặt breakpoint, chạy từng lệnh, xem và sửa thanh ghi, bộ nhớ ngay lúc mẫu hoạt động, nên là công cụ tiêu biểu của phân tích động. "Wireshark" cũng được dùng trong phân tích động để bắt lưu lượng mạng khi mẫu chạy, nên không hẳn sai; nhưng nó chỉ quan sát từ bên ngoài, không chạy hay điều khiển mẫu từng lệnh, vì vậy OllyDbg mới là công cụ khớp nhất với câu hỏi. "IDA Pro" chủ yếu là trình tháo mã (disassembler) cho phân tích tĩnh, đọc mã mà không chạy, dù có kèm trình gỡ lỗi. "VirusTotal" là dịch vụ quét tệp bằng nhiều bộ chữ ký, cho kết quả nhận diện chứ không cho quan sát hành vi.

Đáp án đúng: "Executable file structure and embedded strings". Phân tích mã (code analysis) ở mức tĩnh xem xét tệp mà không chạy: cấu trúc PE gồm tiêu đề, section, bảng import cho biết API được gọi, tài nguyên nhúng, entropy cho biết có bị nén hay không; cùng các chuỗi nhúng (embedded strings) rút bằng strings hay FLOSS như URL, địa chỉ IP, khoá registry, tên tệp, trước khi đi sâu vào mã dịch ngược. Đây là những manh mối trực tiếp về chức năng của mẫu. Bác: "GUI design" là thiết kế giao diện người dùng, không nói gì về hành vi độc hại. "User typing behavior" là dữ liệu hành vi gõ phím của con người, chỉ liên quan khi tìm hiểu keylogger thu thập gì, không phải đối tượng của phân tích mã. "Hardware sensor data" là dữ liệu cảm biến phần cứng, nằm ngoài tệp thực thi đang được phân tích.

Đáp án đúng: "Running the malware in a controlled environment". Phân tích động (dynamic analysis) là cho mẫu chạy thật trong sandbox hoặc máy ảo cách ly, rồi dùng Process Monitor, Regshot, Wireshark hay sandbox tự động như Cuckoo để ghi lại tiến trình, tệp, registry và mạng mà mẫu tác động, từ đó thấy hành vi thật kể cả khi mã bị đóng gói. "Disassembling the malware code" thuộc phân tích tĩnh nâng cao bằng IDA Pro hay Ghidra, đọc mã hợp ngữ mà không chạy mẫu. "Identifying the malware's author" là mục tiêu quy kết (attribution) có thể đạt sau khi phân tích, không phải một phương pháp phân tích động. "Searching for similar malware online" như tra mã băm trên VirusTotal là bước phân tích tĩnh cơ bản hay tra cứu tình báo mối đe doạ, cũng không cần chạy mẫu.

Đáp án đúng: "Examining the code and structure of malware without executing it". Phân tích tĩnh (static analysis) xem xét mẫu mà không cho nó chạy: tính mã băm, trích chuỗi bằng strings, đọc header và bảng import của tệp PE bằng PEview hay PEiD, rồi ở mức nâng cao dịch ngược mã bằng IDA Pro hoặc Ghidra; cách này an toàn vì mẫu không thực thi, nhưng dễ bị cản bởi packer và kỹ thuật làm rối mã. "Running the malware in a controlled environment" là định nghĩa của phân tích động, mẫu phải chạy. "Analyzing the behavior of malware as it executes" cũng thuộc phân tích động vì quan sát hành vi trong lúc chạy. "Monitoring network traffic for signs of malware activity" là giám sát mạng, thuộc phân tích động hoặc hệ thống phát hiện xâm nhập (IDS), không phải phân tích tĩnh.

Đáp án đúng: "False". Phân tích hành vi (behavioral analysis) là chạy mẫu trong lab cô lập rồi quan sát thay đổi trên tệp, registry, tiến trình và mạng. Việc quan sát có thể diễn ra theo thời gian thực bằng Process Monitor hay Wireshark, nhưng cũng có thể làm sau khi mẫu chạy xong: Regshot so ảnh chụp registry trước và sau, sandbox như Cuckoo ghi nhật ký rồi xuất báo cáo, ảnh bộ nhớ được phân tích về sau bằng Volatility, tệp pcap được mở lại để soi. Hiệu quả phụ thuộc vào việc ghi đủ dữ liệu, không phụ thuộc vào việc người phân tích ngồi xem trực tiếp. Vì thế khẳng định phải luôn làm theo thời gian thực là sai; chọn "True" là bỏ qua cả nhóm kỹ thuật so sánh trước sau và phân tích nhật ký sau khi chạy.