Câu hỏi: IAM302 Phân tích mã độc và kỹ thuật dịch ngược – Bộ ôn tập cuối kỳ số 1

Đáp án đúng: "It enables detailed analysis of malware execution flow". Debugger như x64dbg, OllyDbg hay WinDbg cho phép chạy mẫu từng lệnh (single-step), đặt điểm dừng (breakpoint) tại các hàm API quan trọng, xem và sửa thanh ghi, ngăn xếp, bộ nhớ; nhờ đó người phân tích lần được luồng thực thi chi tiết: nhánh nào được rẽ, chuỗi được giải mã ra sao, payload được giải nén ở đâu, những điều phân tích tĩnh khó thấy khi mã bị làm rối. Bác: "It guarantees complete removal of malware from infected systems" sai, debugger chỉ quan sát và điều khiển chương trình chứ không gỡ bỏ mã độc. "It allows for real-time monitoring of malware behavior" mô tả đúng hơn Process Monitor hay sandbox, vốn ghi hành vi tổng thể khi mẫu chạy tự do, trong khi debugger dừng chương trình để soi bên trong. "It automatically generates antivirus signatures" sai vì chữ ký do người phân tích hoặc hệ thống riêng tạo ra, debugger không làm việc đó.

Đáp án đúng: "Software execution breakpoint". Breakpoint phần mềm là loại mặc định của các trình gỡ lỗi như OllyDbg hay x64dbg (phím F2) và WinDbg (lệnh bp hoặc phím F9): trình gỡ lỗi ghi đè byte đầu của lệnh bằng 0xCC (lệnh INT 3), CPU chạy tới đó thì sinh ngắt, trình gỡ lỗi dừng chương trình rồi khôi phục byte gốc; loại này không giới hạn số lượng nên được dùng nhiều nhất. Câu này có chỗ tranh cãi vì câu hỏi dùng số nhiều "types", và "Hardware execution breakpoint" (dùng các thanh ghi DR0 tới DR3, cần khi mã độc quét tìm byte 0xCC hay tự sửa mã của nó) cùng "Conditional breakpoint" (chỉ dừng khi biểu thức điều kiện đúng) cũng là những loại phổ biến; nhưng khi chỉ được chọn một thì loại thông dụng nhất là breakpoint phần mềm. "None of the mentioned" sai vì cả ba loại được liệt kê đều là breakpoint có thật và hay gặp.

Đáp án đúng: "Executing one instruction at a time". Single-stepping (chạy từng bước) là chế độ trình gỡ lỗi thực thi đúng một lệnh máy rồi dừng lại, để nhà phân tích xem thanh ghi, cờ và bộ nhớ đổi ra sao sau mỗi lệnh; trên x86 nó dựa vào cờ bẫy TF, trong OllyDbg là phím F7 (step into) và F8 (step over). "Running malware from Safe Mode" là cách khởi động hệ điều hành với ít dịch vụ, không phải kỹ thuật gỡ lỗi. "Decrypting malware payload" là mục tiêu có thể đạt được nhờ chạy từng bước qua hàm giải mã, nhưng không phải định nghĩa của single-stepping. "Skipping functions for speed" gần với step over hoặc chạy thẳng tới breakpoint, tức là bỏ qua chi tiết, ngược với tinh thần đi từng lệnh một.

Đáp án đúng: "OllyDbg". OllyDbg là debugger chế độ người dùng (user-mode) 32 bit cho Windows, gỡ lỗi trực tiếp ở mức hợp ngữ mà không cần mã nguồn, hiển thị cùng lúc mã dịch ngược, thanh ghi, ngăn xếp và bộ nhớ, kèm nhiều plugin che giấu debugger, nên từ lâu là lựa chọn phổ biến nhất khi phân tích mã độc chạy ở Ring 3 (ngày nay x64dbg kế thừa vị trí đó). Bác: "GDB" là debugger của dự án GNU, mạnh trên Linux và với chương trình có thông tin gỡ lỗi, ít dùng cho mã độc Windows. "WinDbg" của Microsoft gỡ lỗi được cả user-mode nhưng thế mạnh là kernel-mode và phân tích tệp dump, giao diện dòng lệnh khó dùng hơn cho phân tích ở mức người dùng. "IDA Free" chủ yếu là trình dịch ngược tĩnh (disassembler); nó có debugger đi kèm nhưng được biết đến vì phân tích tĩnh.

Đáp án đúng: "SmartSniff". SmartSniff là công cụ bắt gói nhỏ gọn của NirSoft chạy trên Windows, có giao diện đồ hoạ, bắt các gói TCP/IP và trình bày dữ liệu trao đổi giữa máy khách và máy chủ dạng văn bản hoặc hex, nên thường được nêu như lựa chọn nhẹ thay Wireshark khi chỉ cần xem nhanh mẫu liên lạc với ai. Câu có chỗ tranh cãi vì "tcpdump" cũng là công cụ bắt gói nhẹ, chạy dòng lệnh; SmartSniff vẫn được chọn vì là công cụ bắt gói có giao diện trên Windows dùng thay Wireshark trong lab phân tích mã độc Windows, còn tcpdump là công cụ dòng lệnh thường dùng trên Unix. "INetSim" là bộ giả lập dịch vụ Internet như HTTP, DNS, SMTP để đánh lừa mã độc, không phải công cụ theo dõi lưu lượng. "Honeyd" là honeypot giả lập máy và dịch vụ ảo để dụ kẻ tấn công, cũng không phải công cụ theo dõi lưu lượng.

Đáp án đúng: "Infected USB drives". Mã độc cần một đường vào máy nạn nhân, và USB nhiễm là đường kinh điển: tệp autorun hoặc tệp tắt (shortcut) giả làm thư mục khiến người dùng tự chạy mã, thậm chí vượt sang mạng cách ly như trường hợp Stuxnet. Các kênh phổ biến khác là tệp đính kèm thư điện tử, trang web độc hại và phần mềm lậu. "Antivirus software" là công cụ phòng vệ chứ không phải kênh phát tán; chỉ phần mềm diệt virus giả mới là mã độc. "Secure websites" là trang web hợp pháp dùng HTTPS, bản thân không phải phương thức phát tán, dù kẻ tấn công đôi khi chiếm trang hợp pháp để cài mã. "Software updates" là kênh bình thường để vá lỗi; tấn công chuỗi cung ứng có lợi dụng bản cập nhật bị chèn mã, nhưng đó là trường hợp đặc biệt chứ không phải cách phát tán thông thường.

Đáp án đúng: "The specimen’s infection, self-preservation, and spreading capabilities". Báo cáo phân tích mã độc phải mô tả đặc tính kỹ thuật của mẫu (specimen) để bên phòng thủ hành động được: nó lây vào máy bằng cách nào (infection), duy trì và tự bảo vệ ra sao (self-preservation: khoá Run, dịch vụ, rootkit, chống gỡ lỗi), và lây sang máy khác bằng cơ chế gì (spreading), kèm chỉ dấu xâm nhập (IOC) như giá trị băm, tên tệp, khoá registry, tên miền. Những thông tin này quyết định trực tiếp cách phát hiện, cô lập và làm sạch. Bác: "The malware author’s identity" thường không xác định chắc chắn được từ mẫu; việc quy kết (attribution) là nhiệm vụ tình báo riêng, không phải phần đặc tính bắt buộc. "A list of all programming languages used" quá chi tiết và ít giá trị phòng thủ; trình biên dịch có thể được ghi nhận nhưng không phải trọng tâm. "The estimated financial damage caused" thuộc đánh giá tác động kinh doanh, nằm ngoài phân tích kỹ thuật của mẫu.

Đáp án đúng: "Encryption". Làm rối mã (obfuscation) là che giấu mã và dữ liệu để chống phân tích; mã hoá là kỹ thuật thường dùng nhất: thân mã độc, chuỗi, địa chỉ máy chủ điều khiển được mã hoá bằng XOR, RC4 hay AES và chỉ giải mã trong bộ nhớ lúc chạy, khiến lệnh strings, phân tích tĩnh và chữ ký của phần mềm diệt virus không thấy nội dung thật. "Code signing" là ký số tệp để chứng minh nguồn gốc và tính toàn vẹn, không che giấu mã; mã độc có thể ký bằng chứng chỉ bị đánh cắp để trông đáng tin, nhưng đó là giả mạo độ tin cậy chứ không làm rối mã. "Digital watermarking" là nhúng dấu bản quyền vào nội dung số. "Social engineering" là lừa người dùng tự mở mẫu, thuộc khâu phát tán chứ không tác động lên mã.

Đáp án đúng: "A list of all software installed on the system". Câu hỏi tìm thứ KHÔNG thường có trong báo cáo pháp chứng. Báo cáo pháp chứng trình bày điều tra viên đã làm gì và kết luận gì, đủ để người khác thẩm định; danh sách toàn bộ phần mềm cài trên máy là dữ liệu thô, nếu cần thì chỉ đưa vào phụ lục hoặc chỉ nêu phần mềm liên quan tới sự cố. "Analysis of findings" là lõi của báo cáo: phát hiện gì và ý nghĩa ra sao, nên phải có. "Recommendations for future incident prevention" là phần khuyến nghị khắc phục và phòng ngừa thường đặt ở cuối báo cáo. "Details of the forensic analysis methodology used" là phần bắt buộc, vì phương pháp, công cụ và chuỗi lưu giữ bằng chứng quyết định kết quả có lặp lại được và có giá trị pháp lý hay không.

Đáp án đúng: "Autoruns". Autoruns của Sysinternals liệt kê mọi điểm tự khởi chạy (autostart extensibility point) trên Windows: khoá Run và RunOnce, thư mục Startup, dịch vụ, driver, tác vụ lập lịch, Winlogon, phần mở rộng của Explorer, AppInit_DLLs, và cho phép ẩn các mục đã ký của Microsoft để làm nổi bật mục lạ; đây đúng là nơi mã độc cài cơ chế duy trì (persistence). Bác: "Process Monitor" ghi thời gian thực thao tác tệp, registry, tiến trình, có thể bắt được lúc mã độc ghi khoá Run nhưng không liệt kê sẵn danh sách chương trình tự chạy. "Regshot" so hai ảnh chụp registry để thấy khoá mới, chỉ phát hiện thay đổi xảy ra giữa hai lần chụp. "tcpdump" bắt gói tin mạng, không liên quan tới cấu hình khởi động. "All of the above" sai vì câu hỏi tìm công cụ chuyên cho việc này, và tcpdump hoàn toàn không làm được việc đó.