Câu hỏi: IAM302 Phân tích mã độc và kỹ thuật dịch ngược – Bộ ôn tập thi lại số 2

Đáp án đúng: "To detect changes made by software installations or modifications". Regshot chụp toàn bộ registry, và tuỳ chọn cả một số thư mục, trước khi chạy mẫu, chụp lại sau khi mẫu chạy, rồi so sánh hai bản để liệt kê khoá và giá trị được thêm, xoá hay đổi; nhờ đó nhà phân tích thấy ngay cơ chế bám trụ như khoá Run, dịch vụ mới hay cấu hình bị sửa mà mẫu để lại. "To compare system performance" là việc của Performance Monitor, Regshot không đo hiệu năng. "To analyze network traffic" là việc của Wireshark hay SmartSniff, registry không ghi lưu lượng mạng. "To optimize CPU usage" không liên quan, Regshot chỉ đọc và so sánh dữ liệu registry chứ không điều chỉnh tài nguyên hệ thống.

Đáp án đúng: "Two computers connected together". Gỡ lỗi chế độ nhân (kernel-mode debugging) bằng WinDbg sẽ dừng toàn bộ hệ điều hành khi gặp breakpoint, nên debugger không thể chạy trên chính máy đang bị đóng băng; cần một máy chạy debugger (host) nối với máy mục tiêu (target) qua cáp serial, FireWire, USB hoặc mạng, và trong lab thường dùng một máy ảo làm target nối qua cổng COM ảo hay named pipe với máy host, về logic vẫn là hai máy. "VirtualBox must be installed" sai vì máy ảo chỉ là cách tiện lợi, dùng VMware hoặc hai máy thật đều được. "32-bit operating system" sai vì WinDbg gỡ lỗi nhân được cả Windows 64 bit. "System must be in Safe Mode" sai vì chế độ gỡ lỗi nhân được bật bằng lệnh bcdedit /debug on và hệ thống khởi động bình thường.

Đáp án đúng: "Extracting information from volatile memory of a system". Pháp chứng bộ nhớ nhắm vào RAM, dữ liệu dễ bay hơi chỉ tồn tại khi máy đang chạy: danh sách tiến trình kể cả tiến trình bị rootkit ẩn, DLL đã nạp, mã được tiêm, kết nối mạng, khoá mã hoá, lệnh đã gõ. Nhiều mã độc không để lại tệp trên đĩa (fileless) hoặc chỉ giải nén payload trong bộ nhớ, nên đây là nơi duy nhất thấy được chúng. Bác: "Recovering deleted files from storage devices" là pháp chứng đĩa, làm việc trên ổ cứng. "Analyzing network traffic for security threats" thuộc pháp chứng mạng hay hệ thống phát hiện xâm nhập, dựa trên gói tin bắt được. "Decrypting encrypted files on disk" là giải mã dữ liệu lưu trữ; khoá tìm được trong RAM có thể giúp việc này nhưng nó không phải mục tiêu chính của pháp chứng bộ nhớ.

Đáp án đúng: "It cannot detect zero-day threats". ClamAV là phần mềm diệt virus mã nguồn mở hoạt động chủ yếu dựa trên chữ ký: giá trị băm, mẫu byte và chữ ký logic trong cơ sở dữ liệu được cập nhật thường xuyên; mã độc zero-day chưa có chữ ký nên phần lớn lọt qua, đây là giới hạn chung của phát hiện dựa trên chữ ký (các luật heuristic chỉ bắt được một phần rất nhỏ). "It requires high system resources" không phải giới hạn về khả năng phát hiện: tiến trình clamd đúng là cần vài GB RAM để nạp toàn bộ cơ sở chữ ký, nhưng đó là chi phí vận hành, không làm ClamAV bỏ sót mã độc. "It is not compatible with Windows operating systems" sai vì ClamAV có bản cho Windows bên cạnh Linux và macOS. "It is only effective against adware" sai vì cơ sở chữ ký của nó bao gồm virus, trojan, worm, tài liệu độc hại và thư lừa đảo.

Đáp án đúng: "Encrypting or compressing executable files". Packer như UPX, ASPack hay Themida nén hoặc mã hoá phần mã và dữ liệu gốc của tệp thực thi, rồi gắn thêm một đoạn mã giải nén (stub) làm điểm vào mới; khi chạy, stub bung mã gốc vào bộ nhớ rồi nhảy tới điểm vào gốc (OEP). Trên đĩa, tệp chỉ còn dữ liệu có entropy cao, ít chuỗi đọc được và bảng import rất ngắn, nên chữ ký lẫn phân tích tĩnh khó nhận ra mã độc. Bác: "Adding comments to the code" vô nghĩa với tệp đã biên dịch, vì chú thích mã nguồn không còn tồn tại trong mã máy. "Renaming files randomly" chỉ đổi tên tệp, nội dung và chữ ký vẫn y nguyên. "Disabling antivirus software" là hành vi của chính mã độc sau khi chạy, không phải kỹ thuật packer dùng để giấu mã.

Đáp án đúng: "RAW (Binary)". Định dạng raw là bản chép nhị phân từng byte của bộ nhớ vật lý theo đúng thứ tự địa chỉ, không header, không nén; công cụ thu như dd, Win32dd, DumpIt tạo ra tệp .raw hoặc .mem và hầu hết công cụ phân tích như Volatility đều đọc được nên đây là định dạng phổ biến nhất, bên cạnh crash dump của Windows. "TXT (Text)" là tệp văn bản thuần, không biểu diễn được dữ liệu nhị phân tuỳ ý của RAM, chỉ dùng để ghi kết quả hay báo cáo. "DOCX (Microsoft Word)" là định dạng tài liệu văn phòng, có cấu trúc riêng và hoàn toàn không dùng để chứa ảnh bộ nhớ. "JPG (Image)" là định dạng ảnh nén mất dữ liệu, nếu dùng sẽ làm sai lệch nội dung và phá giá trị chứng cứ.

Đáp án đúng: "Honeyd". Khi mẫu liên lạc tới máy chủ điều khiển (C2) bằng IP viết cứng, nó không hỏi DNS, nên muốn giả lập phía bên kia phải có máy trả lời đúng tại IP đó. Honeyd dựng các máy ảo nhẹ nhận được nhiều địa chỉ IP tuỳ ý và chạy dịch vụ giả trên các cổng, nên tự nhận đúng IP cứng mà mẫu gọi tới. Câu này có tranh cãi: "Netcat" cũng đóng vai máy chủ điều khiển được, mở cổng lắng nghe và trả dữ liệu, nếu trước đó định tuyến lại IP cứng về máy lab bằng iptables; Honeyd được chọn vì không cần bước định tuyến đó. "MiniFake DNS" chỉ trả lời truy vấn DNS bằng IP của máy lab, vô dụng khi mẫu không phân giải tên miền. "Wireshark" chỉ quan sát và ghi gói tin, không trả lời mẫu nên không giả lập được tương tác.

Đáp án đúng: "Regshot". Regshot chụp ảnh registry, tuỳ chọn cả thư mục tệp, trước và sau khi chạy mẫu, rồi so hai ảnh để liệt kê khoá, giá trị và tệp được thêm, xoá hay sửa; vì công cụ cho ra đúng danh sách khác biệt nên nó khớp nhất với việc phát hiện thay đổi (detecting changes) trên hệ thống. Cần nói rõ chỗ tranh cãi: "Process Monitor" cũng ghi được mọi thao tác lên registry và tệp theo thời gian thực, nên nó cũng giúp thấy thay đổi, nhất là khi cần biết tiến trình nào gây ra; khác biệt là ProcMon ghi luồng sự kiện để người phân tích tự lọc, còn Regshot cho thẳng kết quả so sánh trạng thái trước sau, nên khi chỉ chọn một công cụ thì Regshot là đáp án. Bác: "Wireshark" bắt và giải mã gói tin mạng, cho thấy mẫu liên lạc với ai chứ không cho biết hệ thống bị đổi gì. "Netcat" là tiện ích đọc ghi kết nối TCP/UDP, trong lab thường dùng để giả lập máy chủ hay lắng nghe cổng, không phải công cụ phát hiện thay đổi.

Đáp án đúng: "Respecting privacy and legal boundaries when handling samples". Mẫu mã độc, bản dump bộ nhớ và lưu lượng bắt được thường chứa dữ liệu cá nhân của nạn nhân như mật khẩu, email bị đánh cắp, nên nhà phân tích phải tôn trọng quyền riêng tư, tuân thủ pháp luật về xử lý dữ liệu và chứng cứ, chỉ chia sẻ qua kênh có kiểm soát. "Ensuring complete anonymity when analyzing malware" không phải nguyên tắc đạo đức; giấu danh tính khi chạm vào hạ tầng kẻ tấn công là biện pháp an toàn vận hành (OPSEC), còn công việc phân tích phải minh bạch và có trách nhiệm. "Sharing malware samples freely with other analysts" sai vì chia sẻ tràn lan có thể làm mẫu rơi vào tay kẻ xấu; mẫu chỉ được trao đổi qua kênh tin cậy, nén có mật khẩu. "Using malware for personal gain or hacking activities" là hành vi vi phạm đạo đức và pháp luật rõ ràng.

Đáp án đúng: "OllyDbg". Phân tích động là chạy mẫu và quan sát nó khi đang thực thi; OllyDbg là trình gỡ lỗi chạy chính mẫu đó dưới sự điều khiển của nhà phân tích, cho đặt breakpoint, chạy từng lệnh, xem và sửa thanh ghi, bộ nhớ ngay lúc mẫu hoạt động, nên là công cụ tiêu biểu của phân tích động. "Wireshark" cũng được dùng trong phân tích động để bắt lưu lượng mạng khi mẫu chạy, nên không hẳn sai; nhưng nó chỉ quan sát từ bên ngoài, không chạy hay điều khiển mẫu từng lệnh, vì vậy OllyDbg mới là công cụ khớp nhất với câu hỏi. "IDA Pro" chủ yếu là trình tháo mã (disassembler) cho phân tích tĩnh, đọc mã mà không chạy, dù có kèm trình gỡ lỗi. "VirusTotal" là dịch vụ quét tệp bằng nhiều bộ chữ ký, cho kết quả nhận diện chứ không cho quan sát hành vi.