MĐ C2

Trong quy trình phân tích mã độc, sau khi xác định tệp mẫu (sample), nhà phân tích sẽ thực hiện bước ________ để quan sát hành vi của mẫu trong môi trường được kiểm soát, nhằm xác định xem tệp là malware hay benign.

• phân tích tĩnh

• phân tích động

• quét chữ ký

• so sánh mã băm

• dịch ngược mã nguồn

Trong phân tích tĩnh cơ bản, kỹ thuật ________ được sử dụng để chuyển đổi mã nhị phân thành mã nguồn lập trình, giúp nhà phân tích dễ đọc và hiểu cấu trúc chương trình.

• Phân tích chuỗi (String Analysis)

• Phân tích cấu trúc (Structure Analysis)

• Giải mã (Disassembly/Decompilation)

• Phân tích dòng dữ liệu (Data Flow Analysis)

• Phân tích luồng điều khiển (Control Flow Analysis)

Mục tiêu chính của phân tích tĩnh nâng cao trong nghiên cứu mã độc là gì?

• Xác định giao diện người dùng của chương trình

• Kiểm tra chữ ký số và thông tin chứng thực

• Hiểu rõ hành vi, luồng điều khiển và luồng dữ liệu bên trong chương trình

• Đánh giá khả năng kết nối mạng của chương trình

• Phát hiện các tệp đính kèm độc hại trong email

Trong phân tích mã độc, phần mở rộng tệp (file extension) giúp nhà phân tích nhận biết điều gì sau đây?

• Địa chỉ IP mà tệp kết nối đến

• Loại và định dạng tệp, từ đó xác định chương trình dùng để mở

• Ngày giờ tạo tệp trên hệ thống

• Độ dài và dung lượng của tệp

• Cấu trúc mã nguồn được sử dụng trong tệp

Chữ ký (magic bytes) của tệp thực thi trên Windows (Portable Executable – PE) là ____, còn chữ ký của tệp thực thi trên Linux (Executable and Linkable Format – ELF) là ____.

• 4D 5A (ASCII MZ) ; 7F 45 4C 46 (ASCII \x7FELF)

• 50 45 00 00 (ASCII PE\0\0) ; 23 21 (ASCII #!)

• 4D 5A (ASCII MZ) ; 7E 45 4C 46

• 25 50 44 46 (ASCII %PDF) ; 7F 45 4C 46

• 7F 45 4C 46 ; 4D 5A

Khi kết quả phân tích chuỗi từ một tệp nhị phân chứa nhiều URL, địa chỉ IP, hoặc lệnh hệ thống đáng ngờ, điều đó thường cho thấy:

• Tệp chỉ là phần mềm nén thông thường

• Tệp chứa dữ liệu văn bản vô hại

• Tệp có khả năng chứa mã độc hoặc hành vi tấn công

• Tệp thuộc loại script tự động cập nhật

• Tệp là bản vá (patch) an toàn của hệ điều hành

Trong phân tích mã độc, obfuscation thường được hiểu là một tập hợp các kỹ thuật nhằm thay đổi dạng biểu diễn của mã nguồn, mã máy hoặc dữ liệu nhúng để làm cho chúng khó đọc, khó phân tích hoặc khó phát hiện bởi các công cụ tự động (AV, EDR) và nhà phân tích. Xét một mẫu phần mềm độc hại có nhiều chuỗi URL và lệnh điều khiển được mã hóa hoặc ghép nối lại chỉ khi chương trình thực thi, mục tiêu chính của obfuscation trong trường hợp này là gì?

• Tăng tốc độ thực thi của chương trình bằng cách tối ưu hóa bytecode.

• Bảo đảm tính toàn vẹn dữ liệu bằng cách áp dụng hàm băm một chiều.

• Che giấu hành vi và làm khó việc phát hiện/phân tích (trong đó chuỗi bị ẩn để tránh bị phát hiện bởi các công cụ trích xuất chuỗi)

• Chuyển đổi mã nguồn sang dạng ngôn ngữ khác để tương thích hệ điều hành.

• Giảm kích thước file bằng thuật toán nén không mất dữ liệu.

Một malware mẫu sử dụng nhiều chuỗi bị obfuscated, giải mã chuỗi đó chỉ sau khi chương trình thực thi nhằm kết nối tới server C2. Từ góc nhìn của một nhà phân tích hoặc công cụ bảo mật, đâu là hệ quả trực tiếp quan trọng nhất của việc obfuscate các chuỗi (obfuscated strings) đối với quá trình phát hiện Malware?

• Làm cho mã chạy nhanh hơn nên khó bắt kịp hành vi của nó.

• Giảm kích thước binary làm việc tải lên sandbox nhẹ hơn.

• Giảm khả năng công cụ trích xuất chuỗi (strings utility) và engine chữ ký dựa trên chuỗi phát hiện IoC, từ đó giảm tỷ lệ phát hiện tĩnh

• Tự động làm cho chương trình tương thích đa nền tảng.

• Bảo đảm rằng các mẫu malware đều có chữ ký duy nhất dễ nhận diện.

Khi bạn cần trích xuất và giải mã các chuỗi bị obfuscated từ một binary (ví dụ: chuỗi XORed, Base64, escaped Unicode) mà không muốn mở thủ công từng hàm trong IDA pro, công cụ chuyên dụng nào sau đây được thiết kế đặc biệt để tự động phát hiện và thử giải các chuỗi bị obfuscated trong file nhị phân, bao gồm cả chuỗi tĩnh và các chuỗi được giải mã động được phát hiện qua phân tích bytecode?

• PEiD

• FLOSS

• RDG Packer Detector

• strace

• Ghidra

Dynamic string decryption nghĩa là gì trong bối cảnh obfuscated strings?

• Chuỗi bị mã hóa lưu trên đĩa và không bao giờ giải mã.

• Chuỗi bị mã hóa và chỉ được giải mã tại runtime bởi chương trình khi thực thi.

• Chuỗi được mã hóa bằng Base64 nhưng nằm tĩnh trong file.

• Chuỗi dùng thuật toán băm để xác thực tính toàn vẹn.

• Chuỗi chỉ tồn tại trong tài liệu hướng dẫn (documentation).