Câu hỏi: IAM302 Phân tích mã độc và kỹ thuật dịch ngược – Bộ ôn tập thi lại số 1

Đáp án đúng: "OllyDbg". Phân tích động là chạy mẫu và quan sát nó khi đang thực thi; OllyDbg là trình gỡ lỗi chạy chính mẫu đó dưới sự điều khiển của nhà phân tích, cho đặt breakpoint, chạy từng lệnh, xem và sửa thanh ghi, bộ nhớ ngay lúc mẫu hoạt động, nên là công cụ tiêu biểu của phân tích động. "Wireshark" cũng được dùng trong phân tích động để bắt lưu lượng mạng khi mẫu chạy, nên không hẳn sai; nhưng nó chỉ quan sát từ bên ngoài, không chạy hay điều khiển mẫu từng lệnh, vì vậy OllyDbg mới là công cụ khớp nhất với câu hỏi. "IDA Pro" chủ yếu là trình tháo mã (disassembler) cho phân tích tĩnh, đọc mã mà không chạy, dù có kèm trình gỡ lỗi. "VirusTotal" là dịch vụ quét tệp bằng nhiều bộ chữ ký, cho kết quả nhận diện chứ không cho quan sát hành vi.

Đáp án đúng: "Trace and analyze malware execution". Debugger cho phép người phân tích chạy mẫu từng lệnh, đặt điểm dừng tại các API như CreateFileW hay VirtualAlloc, xem thanh ghi, ngăn xếp và bộ nhớ ở từng thời điểm; nhờ đó lần theo (trace) luồng thực thi và hiểu mã độc giải mã, giải nén hay chọn nhánh như thế nào. Đây là công cụ chủ lực của phân tích động nâng cao. Bác: "Encrypt malware code" là việc của tác giả mã độc khi dùng packer hay crypter, ngược với mục tiêu phân tích. "Obfuscate malware behavior" cũng là kỹ thuật của kẻ tấn công nhằm che giấu, trong khi debugger giúp gỡ bỏ chính sự che giấu đó. "Spread malware to other systems" là hành vi lây lan của bản thân mã độc; người phân tích luôn chạy mẫu trong lab cô lập để ngăn điều đó.

Đáp án đúng: "To halt the execution of the malware at specific points". Breakpoint (điểm dừng) báo cho debugger dừng chương trình khi chạy tới một lệnh hay khi một vùng nhớ bị truy cập, để nhà phân tích xem thanh ghi, ngăn xếp, bộ nhớ ngay lúc đó, chẳng hạn đặt ở VirtualAlloc hay CreateProcess để bắt khoảnh khắc mẫu giải nén hoặc tiêm mã, rồi chạy tiếp từng bước. "To speed up malware execution" ngược lại, breakpoint làm chương trình chạy chậm đi vì mỗi lần chạm đều chuyển quyền cho debugger. "To encrypt malware payloads" không liên quan, breakpoint không biến đổi dữ liệu của mẫu. "To hide malware from detection" sai vì breakpoint phục vụ nhà phân tích, thậm chí mã độc còn dùng kỹ thuật chống gỡ lỗi để phát hiện breakpoint đang được đặt.

Đáp án đúng: "To analyze and understand malware behavior". Gỡ lỗi (debugging) mã độc là chạy mẫu trong trình gỡ lỗi để quan sát từng bước: lệnh nào được thực thi, thanh ghi và bộ nhớ đổi ra sao, chuỗi nào được giải mã, API nào được gọi, nhằm hiểu đầy đủ chức năng mà phân tích tĩnh không thấy được do mã bị nén hay làm rối. "To develop new malware strains" là việc của kẻ tấn công, không phải mục tiêu phân tích. "To remove malware from infected systems" là công việc khắc phục sau sự cố; hiểu hành vi qua gỡ lỗi giúp viết cách gỡ, nhưng bản thân gỡ lỗi không xoá mã độc. "To encrypt sensitive data on infected systems" là hành vi của ransomware, không liên quan tới gỡ lỗi.

Đáp án đúng: "Executable file structure and embedded strings". Phân tích mã (code analysis) ở mức tĩnh xem xét tệp mà không chạy: cấu trúc PE gồm tiêu đề, section, bảng import cho biết API được gọi, tài nguyên nhúng, entropy cho biết có bị nén hay không; cùng các chuỗi nhúng (embedded strings) rút bằng strings hay FLOSS như URL, địa chỉ IP, khoá registry, tên tệp, trước khi đi sâu vào mã dịch ngược. Đây là những manh mối trực tiếp về chức năng của mẫu. Bác: "GUI design" là thiết kế giao diện người dùng, không nói gì về hành vi độc hại. "User typing behavior" là dữ liệu hành vi gõ phím của con người, chỉ liên quan khi tìm hiểu keylogger thu thập gì, không phải đối tượng của phân tích mã. "Hardware sensor data" là dữ liệu cảm biến phần cứng, nằm ngoài tệp thực thi đang được phân tích.

Đáp án đúng: "It changes its code structure to evade detection". Mã độc đa hình (polymorphic malware) mỗi lần lây nhiễm lại mã hoá thân bằng khoá mới và dùng bộ biến đổi (mutation engine) để thay hình dạng bộ giải mã như chèn lệnh rác, đổi thanh ghi, đảo thứ tự lệnh, nên mỗi bản sao có chuỗi byte và mã băm khác nhau trong khi chức năng giữ nguyên, làm phát hiện dựa trên chữ ký thất bại; mã độc biến hình (metamorphic) còn đi xa hơn khi viết lại toàn bộ mã. "It targets only specific geographic regions" là đặc điểm của chiến dịch nhắm mục tiêu, kiểm tra ngôn ngữ bàn phím hay địa chỉ IP, không liên quan tới đa hình. "It requires user interaction to spread" là đặc điểm của trojan hay virus đính kèm tệp. "It is primarily distributed through social media platforms" chỉ mô tả kênh phát tán, không phải bản chất đa hình.

Đáp án đúng: "By encrypting or obfuscating the strings". Chuỗi nhúng như URL máy chủ điều khiển, tên tệp, khoá registry là manh mối đầu tiên khi chạy strings. Tác giả mã độc giấu chúng bằng cách mã hoá, ví dụ XOR, RC4 hay Base64 tự chế, hoặc làm rối (obfuscation) như dựng chuỗi từng ký tự trên ngăn xếp, chỉ giải ra trong bộ nhớ lúc cần dùng, nên phân tích tĩnh chỉ thấy dữ liệu vô nghĩa. "By using polymorphic techniques" là kỹ thuật đổi hình dạng mã mỗi lần lây để né chữ ký, nhắm vào việc phát hiện chứ không nhắm cụ thể vào chuỗi. "By storing strings in plain ASCII format" làm điều ngược lại: chuỗi ASCII rõ là thứ strings đọc được ngay. "By using multiple DLLs" chỉ chia chức năng ra nhiều module, chuỗi trong từng DLL vẫn đọc được nếu không mã hoá.

Đáp án đúng: "Data destruction". Câu hỏi phủ định nên cần tìm bước KHÔNG thuộc quy trình pháp chứng. Pháp chứng số đi theo các bước thu thập, bảo toàn, kiểm tra, phân tích và báo cáo, với nguyên tắc xuyên suốt là giữ nguyên vẹn bằng chứng và chuỗi giám sát (chain of custody); huỷ dữ liệu đi ngược nguyên tắc đó nên không phải một bước của quy trình. Mỗi phát biểu sau đều là bước thật nên không được chọn: "Data collection" là thu nhận bằng chứng như ảnh đĩa, ảnh bộ nhớ, nhật ký hệ thống. "Data preservation" là bảo toàn bằng chứng, ví dụ tính băm SHA-256, dùng thiết bị chống ghi (write blocker) và chỉ làm việc trên bản sao. "Data examination" là kiểm tra, lọc và trích dữ liệu liên quan từ bằng chứng đã thu.

Đáp án đúng: "Running the malware in a controlled environment". Phân tích động (dynamic analysis) là cho mẫu chạy thật trong sandbox hoặc máy ảo cách ly, rồi dùng Process Monitor, Regshot, Wireshark hay sandbox tự động như Cuckoo để ghi lại tiến trình, tệp, registry và mạng mà mẫu tác động, từ đó thấy hành vi thật kể cả khi mã bị đóng gói. "Disassembling the malware code" thuộc phân tích tĩnh nâng cao bằng IDA Pro hay Ghidra, đọc mã hợp ngữ mà không chạy mẫu. "Identifying the malware's author" là mục tiêu quy kết (attribution) có thể đạt sau khi phân tích, không phải một phương pháp phân tích động. "Searching for similar malware online" như tra mã băm trên VirusTotal là bước phân tích tĩnh cơ bản hay tra cứu tình báo mối đe doạ, cũng không cần chạy mẫu.

Đáp án đúng: "A technique used to hide malware from detection". Packer (trình đóng gói) nén hoặc mã hoá tệp thực thi gốc và gắn thêm một đoạn mã giải nén nhỏ (stub); khi chạy, stub bung mã thật vào bộ nhớ rồi nhảy tới điểm vào gốc. Tệp trên đĩa vì thế mang chữ ký khác, chuỗi và bảng import gần như trống, che mắt phần mềm diệt virus và cản phân tích tĩnh; UPX, ASPack, Themida là ví dụ quen thuộc. "A device used to physically secure a computer" là thiết bị khoá phần cứng, không liên quan. "A tool used to expand malware files" ngược với thực tế: packer thường làm tệp nhỏ đi vì nén. "A type of malware designed to infiltrate networks" sai vì packer không phải một loại mã độc mà là lớp vỏ bọc áp lên bất kỳ chương trình nào, kể cả phần mềm hợp pháp.