Câu hỏi: IAM302 - Phần 1: Nền tảng và quy trình phân tích mã độc

Đáp án đúng: "DLL". DLL (dynamic link library, thư viện liên kết động) chứa các hàm xuất (exports) để nhiều chương trình cùng nạp và gọi, như kernel32.dll hay user32.dll mà gần như mọi ứng dụng Windows đều dùng; hệ điều hành ánh xạ một bản mã của DLL vào nhiều tiến trình để tiết kiệm bộ nhớ, và mã độc lợi dụng điều này qua DLL injection hay DLL hijacking. "Packed" là trạng thái của tệp đã bị nén hoặc mã hoá bằng packer, không phải loại tệp dùng chung. "PE" là định dạng chung cho cả EXE lẫn DLL trên Windows, khái niệm rộng hơn chứ không riêng tệp dùng chung. "Wrapper" là chương trình bọc một tệp khác bên trong để phát tán hoặc chạy kèm. "EXE" là tệp thực thi độc lập, chạy thành tiến trình riêng chứ không được nhiều chương trình nạp chung.

Đáp án đúng: "Network Installation". Câu hỏi tìm thứ KHÔNG phải thành phần của phân tích mã độc. Lắp đặt mạng là công việc hạ tầng, không phải bước xử lý mẫu; dựng mạng cho lab chỉ là chuẩn bị môi trường. "Detection" thuộc phân tích mã độc vì phải nhận ra mẫu là độc, phân loại nó và rút chữ ký, IOC để phát hiện ở nơi khác. "Reverse Engineering" là phần cốt lõi: dịch ngược mã bằng trình tháo mã và trình gỡ lỗi để hiểu cách nó hoạt động. "Eradication" là bước loại bỏ trong quy trình phản ứng sự cố mà phân tích phục vụ trực tiếp: phải biết mẫu bám trụ ở đâu, sửa gì trên hệ thống thì mới gỡ sạch được, nên nó gắn chặt với phân tích mã độc.

Đáp án đúng: "Static analysis doesn't execute malware". Ranh giới giữa hai phương pháp là có chạy mẫu hay không: phân tích tĩnh xem xét tệp khi nằm yên, như băm, chuỗi, header PE, bảng import và mã tháo; phân tích động chạy mẫu trong sandbox để quan sát hành vi thật. "Static analysis detects live traffic" sai vì lưu lượng chỉ có khi mẫu chạy, đó là việc của phân tích động. "Dynamic analysis uses file headers" sai vì đọc header PE là kỹ thuật tĩnh, làm được mà không cần chạy. "Dynamic analysis uses hashes for detection" sai vì tính băm và tra cứu băm trên dịch vụ như VirusTotal là bước tĩnh đầu tiên, không cần chạy mẫu.

Đáp án đúng gồm hai ý: "Based on its size" và "Based on its behavior". Cần nói thẳng: ClamAV thực chất phân loại và nhận diện mẫu bằng chữ ký (giá trị băm, chuỗi byte, chữ ký logic), không phương án nào nói đúng điều đó, nên hai ý được chọn chỉ đúng một phần. Về kích thước, chữ ký băm của ClamAV có dạng HashString:FileSize:MalwareName, tức kích thước tệp là một thành phần phải khớp cùng giá trị băm. Về hành vi, tên chữ ký được chia theo loại hành vi của mã độc như Trojan, Worm, Ransomware, nên kết quả phân loại phản ánh nhóm hành vi của mẫu. Bác: "Based on its age" vô nghĩa, tuổi hay thời điểm xuất hiện của mẫu không có trong chữ ký và không quyết định mẫu thuộc loại nào. "Based on its color" cũng vô nghĩa vì tệp không có thuộc tính màu sắc để làm căn cứ phân loại.

Đáp án đúng: "It cannot detect zero-day threats". ClamAV là phần mềm diệt virus mã nguồn mở hoạt động chủ yếu dựa trên chữ ký: giá trị băm, mẫu byte và chữ ký logic trong cơ sở dữ liệu được cập nhật thường xuyên; mã độc zero-day chưa có chữ ký nên phần lớn lọt qua, đây là giới hạn chung của phát hiện dựa trên chữ ký (các luật heuristic chỉ bắt được một phần rất nhỏ). "It requires high system resources" không phải giới hạn về khả năng phát hiện: tiến trình clamd đúng là cần vài GB RAM để nạp toàn bộ cơ sở chữ ký, nhưng đó là chi phí vận hành, không làm ClamAV bỏ sót mã độc. "It is not compatible with Windows operating systems" sai vì ClamAV có bản cho Windows bên cạnh Linux và macOS. "It is only effective against adware" sai vì cơ sở chữ ký của nó bao gồm virus, trojan, worm, tài liệu độc hại và thư lừa đảo.

Đáp án đúng: "Respecting privacy and legal boundaries when handling samples". Mẫu mã độc, bản dump bộ nhớ và lưu lượng bắt được thường chứa dữ liệu cá nhân của nạn nhân như mật khẩu, email bị đánh cắp, nên nhà phân tích phải tôn trọng quyền riêng tư, tuân thủ pháp luật về xử lý dữ liệu và chứng cứ, chỉ chia sẻ qua kênh có kiểm soát. "Ensuring complete anonymity when analyzing malware" không phải nguyên tắc đạo đức; giấu danh tính khi chạm vào hạ tầng kẻ tấn công là biện pháp an toàn vận hành (OPSEC), còn công việc phân tích phải minh bạch và có trách nhiệm. "Sharing malware samples freely with other analysts" sai vì chia sẻ tràn lan có thể làm mẫu rơi vào tay kẻ xấu; mẫu chỉ được trao đổi qua kênh tin cậy, nén có mật khẩu. "Using malware for personal gain or hacking activities" là hành vi vi phạm đạo đức và pháp luật rõ ràng.