Free Printable PTMD

Worksheets

PTMD

Total questions: 188

Worksheet time: 2hrs 34mins

Name

Class

Date

Câu 1. Mã độc (malware) là gì?

A.Phần mềm hợp pháp.

B.Chương trình được tạo ra và được bí mật chèn vào hệ thống với mục đích phá hoại.

C.Công cụ bảo vệ máy tính.

D.Phần mềm mã nguồn mở.

Câu 2. Virus máy tính là một dạng của mã độc có khả năng:

A. Lây nhiễm qua hệ thống mạng nội bộ

B. Tự sao chép và lây lan qua các tệp tin

C. Đánh cắp mật khẩu người dùng

D. Bảo vệ hệ thống khỏi tấn công

Câu 3. Kỹ thuật phân tích mã độc phổ biến là:

A. Phân tích tĩnh

B. Phân tích động

C. Cả A và B

D. Không phương pháp nào

Câu 4. Phân tích tĩnh là phương pháp:

A. Chạy mã độc để quan sát hành vi của mã độc

B. Phân tích mã nguồn mà không thực thi mã độc

C. Khôi phục dữ liệu từ mã độc

D. Xóa mã độc khỏi hệ thống

Câu 6. Trojan là loại mã độc có khả năng:

A. Tự sao chép

B. Lừa người dùng cài đặt phần mềm độc hại

C. Tấn công DDOS

D. Tự cập nhật lên phiên bản mới nhất

Câu 7. Một trong những cách thức lây nhiễm phổ biến của mã độc là:

A. Cập nhật hệ điều hành thường xuyên

B. Tải phần mềm từ nguồn không rõ

C. Sử dụng phần mềm diệt virus

D. Cấu hình bảo mật cho hệ điều hành

Câu 8. Một loại mã độc có khả năng điều khiển từ xa là:

A. Ransomware

B. Virus

C. Remote Administration Tool (RAT)

D. Botnet

Câu 11. Một trong những phương pháp phòng chống mã độc lây lan qua các thiết bị khác hiệu quả là:

A. Nâng cấp, cập nhật phần mềm phòng chống mã độc

B. Tắt kết nối mạng khi bị lây nhiễm

C. Cài thêm phần mềm hỗ trợ

D. Sử dụng tài khoản không có quyền quản trị

Câu 12. Mục đích chính của Botnet là:

A. Kết nối với C&C server để thực hiện các lệnh

B. Chỉ lây nhiễm trong nội bộ máy tính

C. Chạy ẩn và không gây hại

D. Xóa sạch dữ liệu hệ thống

10.

Câu 14. Để phát hiện mã độc trên hệ thống mạng, cần:

A. Phân tích dữ liệu gói tin

B. Cập nhật hệ điều hành

C. Sử dụng phần mềm procmon để thu thập dữ liệu

D. Sử dụng x64dbg để phân tích gói tin

11.

Câu 15. Điểm yếu chính của hệ điều hành mà mã độc thường nhắm tới là:

A. Phần mềm diệt virus

B. Lỗ hổng bảo mật chưa vá

C. Trình duyệt web hiện đại

D. Phần mềm mã nguồn mở

12.

Câu 16: Malware có thể tránh bị phát hiện khi:

A. Thực hiện hành vi mã hóa dữ liệu

B. Chạy khi khởi động lại hệ thống

C. Ẩn nấp trong các tiến trình khác

D. Cập nhật hệ điều hành

13.

Câu 17: Trong các phương pháp phân tích mã độc, phương pháp nào an toàn nhất để tránh bị nhiễm?

A. Phân tích động trên hệ thống thực

B. Phân tích tĩnh

C. Chạy mã độc trong hệ thống thật

D. Phân tích trên hệ thống ảo hóa

14.

Câu 19: Một biện pháp xử lý sau khi phát hiện máy tính bị nhiễm mã độc là:

A. Khởi động lại máy

B. Tách máy khỏi mạng ngay lập tức

C. Tải phần mềm diệt mã độc mới về quét hệ thống

D. Tắt tất cả ứng dụng

15.

Câu 20: Công cụ phòng chống mã độc phổ biến trên thiết bị cá nhân bao gồm:

A. Phần mềm tường lửa

B. Chương trình diệt virus

C. Phần mềm nén tập tin

D. Phần mềm phân tích mã độc

16.

Câu 21: Hệ điều hành Windows phân chia không gian địa chỉ thành các loại nào?

A. Người dùng và hệ điều hành

B. Chỉ người dùng

C. Chỉ hệ điều hành

D. Người dùng và ứng dụng

17.

Câu 22: Mỗi tiến trình trong Windows hoạt động trong không gian địa chỉ nào?

A. Không gian địa chỉ chung

B. Không gian địa chỉ riêng

C. Không gian địa chỉ của kernel

D. Không gian địa chỉ vật lý

18.

Câu 23: Đơn vị quản lý bộ nhớ ảo trong Windows là gì?

A. Stack

B. Heap

C. Page

D. Segment

19.

Câu 27: Các API Windows cung cấp chức năng nào dưới đây?

A. Quản lý CPU

B. Quản lý bộ nhớ vật lý

C. Giao tiếp giữa các phần mềm

D. Quản lý bộ nhớ ảo

20.

Câu 28: Mã máy (machine code) đại diện cho gì?

A. Các lệnh cấp cao

B. Các lệnh cấp thấp

C. Bộ nhớ vật lý

D. Stack frame

21.

Câu 30: Windows sử dụng thanh ghi nào để lưu trữ bộ đếm lệnh?

A. EAX

B. ESP

C. EIP

D. EBP

22.

Câu 31: Một driver thiết bị hoạt động trong không gian địa chỉ nào?

A. User Address Space

B. Kernel Address Space

C. Không gian của tiến trình

D. Không gian của stack frame

23.

Câu 32: Trong một tiến trình, tất cả các thread chia sẻ điều gì?

A. Không gian stack

B. Không gian bộ nhớ ảo

C. Không gian địa chỉ vật lý

D. Không gian CPU

24.

Câu 33: Khi nào Base Pointer (EBP) thay đổi?

A. Khi đổi hàm gọi

B. Khi thay đổi tiến trình

C. Khi thêm biến toàn cục

D. Khi thêm một thread

25.

Câu 34: Định dạng PE là gì?

A. Định dạng tệp tin thực thi trên môi trường hệ điều hành Windows

B. Định dạng tệp của Linux

C. Định dạng tệp của hệ thống MacOS

D. Định dạng tệp âm thanh.

26.

Câu 35: PE format được sử dụng cho những tệp nào?

A. EXE, DLL và các ứng dụng Control Panel

B. Tệp âm thanh

C. Tệp văn bản

D. Tệp ảnh

27.

Câu 35: Phần đầu tiên của tệp PE là gì?

A. Section Header

B. DOS Header

C. Data Section

D. Optional Header

28.

Câu 36: Phần lớn mã độc hiện nay được cấu trúc thế nào để tránh phát hiện?

A. Được nén và mã hóa

B. Chứa mã rõ ràng, không mã hóa

C. Được ghi trong tệp văn bản

D. Được lưu trữ trong .rsrc

29.

Câu 37: Dữ liệu đầu tiên trong DOS Header có chức năng gì?

A. Chạy chương trình trong DOS

B. chỉ định tên file

C. lưu đường dẫn của file

D. lưu thông tin xuất/nhập.

30.

Câu 38: Kích thước của DOS Header thường là bao nhiêu byte?

A. 64 byte

B. 128 byte

C. 256 byte

D. 512 byte

31.

Câu 39: Đâu là các section phổ biến trong tệp PE?

A. .text, .data, .rsrc

B. .code, .audio, .gfx

C. .doc, .xls, .ppt

D. .debug, .meta, .net

32.

Câu 40: Session nào chứa mã thực thi?

A. .text

B. .data

C. .rsrc

D. debug

33.

Câu 41: Session nào lưu dữ liệu tĩnh?

B. .data

A. .edata

C. .rsrc

D. .text

34.

Câu 42: Bản nào được xây dựng để nhập (Import) các hàm từ thư viện khác?

A. Import Table

B. Export Table

C. Debug Table

D. Resource Table

35.

Câu 43: Địa chỉ bắt đầu thực thi của tệp tin PE được gọi là gì?

A. Entry Point

B. Starting Address

C. Memory Point

D. Code Base

36.

Câu 44: Phần nào của tệp tin PE chứa thông tin về các hàm xuất (export)?

A. Export Section

B. Import Section

C. Debug Section

D. Data Section

37.

Câu 45: Phần "Optional Header" trong PE Header có bắt buộc không?

A. Có

B. Không

C. Chỉ trong một số tệp nhất định

D. Chỉ cho tệp 64-bit

38.

Câu 46: Section nào trong tệp tin PE dùng để lưu tài nguyên như biểu tượng?

A. .rsrc

B. .text

C. .data

D. .idata

39.

Câu 47: PE Header bao gồm mấy thành phần chính?

B. 3

A. 2

C. 4

D. 5

40.

Câu 48: Mã độc thường nhắm vào phần nào của tệp PE để thực hiện tấn công?

A. Entry Point

B. Data Section

C. Debug Section

D. Resource Section

41.

Câu 49: Mã độc thường nhắm vào phần nào của tệp PE để thực hiện tấn công (nhúng mã độc vào tệp tin PE)?

A. Entry Point

B. Data Section

C. Debug Section

D. Resource Section

42.

Câu 50: Tại sao kiến thức về cấu trúc tệp PE quan trọng trong phân tích mã độc?

A. Để xác định và phục hồi mã gốc

B. Để chỉnh sửa tệp văn bản

C. Để nâng cấp phần cứng

D. Để tối ưu hóa hiệu năng

43.

Câu 51: Công cụ ảo hóa nào sau đây là mã nguồn mở và miễn phí?

A. Vmware

B. VirtualBox

C. Hyper-V

D. Parallels Desktop

44.

Câu 52: Một tính năng nổi bật của các công cụ ảo hóa là gì?

A. Cho phép chạy nhiều hệ điều hành cùng lúc trên một phần cứng

B. Tăng tốc độ xử lý của hệ thống

C. Tăng khả năng bảo mật mạng

D. Tiết kiệm dung lượng ổ cứng

45.

Câu 53: Công cụ dịch ngược nào có phiên bản miễn phí?

A. IDA Pro

B. Immunity Debugger

C. X64dbg

D. Ollydbg

46.

Câu 54: Ghidra là công cụ thuộc nhóm nào?

A. Debuggers

B. Disassemblers

C. Trình biên dịch

D. Trình thông dịch

47.

Câu 55: Công cụ nào sau đây là trình debug?

A. Wireshark

B. Process Explorer

C. Ollydbg

D. Notepad++

48.

Câu 56: Công cụ PEview được dùng để làm gì?

A. Kiểm tra định dạng tệp PE

B. Quản lý tiến trình

C. Phân tích mạng

D. Theo dõi registry

49.

Câu 57: Công cụ nào được sử dụng để giám sát các tiến trình đang chạy?

A. ProcMon

B. Wireshark

C. Dev C++

D. Peview

50.

Câu 58: Công cụ nào sau đây được sử dụng để phân tích lưu lượng mạng?

A. Peview

B. Regshot

C. Wireshark

D. Ollydbg

51.

Câu 59: Công cụ nào sau đây được sử dụng để lấy các thông tin cơ bản trong lưu lượng mạng một cách nhanh chóng?

A. Peview

B. Regshot

C. Fakenet-ng

D. NetworkMiner

52.

Câu 60: Regshot là công cụ hỗ trợ trong việc nào sau đây?

A. Theo dõi thay đổi registry

B. Phân tích mạng

C. Dịch ngược mã nguồn

D. Lập trình C++

53.

Câu 61: Công cụ nào được sử dụng để xem và phân tích các thư viện liên kết của tệp PE?

A. Dependency Walker

B. IDA Pro

C. Process Explorer

D. TcpDump

54.

Câu 62: Công cụ nào hỗ trợ lấy lại các thay đổi registry sau khi chạy mã độc?

A. Regshot

B. Ollydbg

C. X64dbg

D. IDA Pro

55.

Câu 63: Công cụ nào thuộc nhóm "Disassembler"?

A. Immunity Debugger

B. Peview

C. IDA Pro

D. ProcMon

56.

Câu 64: Công cụ nào thuộc nhóm "Disassembler"?

A. Immunity Debugger

B. Peview

C. Cutter

D. ProcMon

57.

Câu 65: Công cụ nào thuộc nhóm "Debugger"?

A. Cutter

B. Immunity Debugger

C. Dependency Walker

D. Filemon

58.

Câu 66: Công cụ nào có thể chụp ảnh nhanh và khôi phục lại trạng thái của hệ điều hành?

A. Vmware

B. MASM

C. IDA Pro

D. Wireshark

59.

Câu 67: CFF Explorer là công cụ hỗ trợ cho nhiệm vụ nào sau đây?

A. Phân tích định dạng tệp PE

B. Phân tích lưu lượng mạng

C. Theo dõi thay đổi registry

D. Dịch ngược mã

60.

Câu 68: Công cụ nào dưới đây dùng để phân tích mã bytecode của Java?

A. JD-GUI

B. Wireshark

C. Peview

D. TcpDump

61.

Câu 69: Công cụ nào sau đây được sử dụng để dịch ngược các tệp class của Java?

A. Ollydbg

B. JD-GUI

C. ProcMon

D. IDA Pro

62.

Câu 70: Công cụ ILSpy có tác dụng gì trong phân tích mã độc .NET?

A. Phân tích mã bytecode Java

B. Dịch ngược mã .NET

C. Kiểm tra tiến trình hệ thống

D. Phân tích lưu lượng mạng

63.

Câu 71: DotPeek là công cụ hỗ trợ cho nhiệm vụ nào?

A. Dịch ngược mã Java

B. Dịch ngược mã .NET

C. Biên dịch mã C++

D. Phân tích định dạng tệp PE

64.

Câu 72: Công cụ nào dưới đây được thiết kế để phân tích các thư viện DLL của .NET?

A. JD-GUI

B. Wireshark

C. ILSpy

D. MASM

65.

Câu 73: Công cụ nào dưới đây có thể được sử dụng để dịch ngược mã trong .NET?

A. DnSpy

B. IDA Pro

C. Ollydbg

D. Process Explorer

66.

Câu 74: Công cụ DnSpy hỗ trợ điều gì trong phân tích mã độc .NET?

A. Dịch ngược và debug mã .NET

B. Dịch ngược mã Java

C. Kiểm tra các tiến trình hệ thống

D. Theo dõi lưu lượng mạng

67.

Câu 75: REMnux là gì?

A. Hệ điều hành dùng để phát triển ứng dụng web

B. Hệ điều hành dùng cho phân tích mã độc trên nền Linux

C. Hệ điều hành dùng để thiết kế đồ họa

D. Hệ điều hành dành cho chơi game

68.

Câu 76: REMnux chủ yếu được sử dụng trong lĩnh vực nào?

A. Phân tích mã độc và bảo mật

B. Phát triển phần mềm

C. Quản trị hệ thống

D. Thiết kế đồ họa

69.

Câu 77: REMnux hỗ trợ phân tích loại mã độc nào sau đây?

A. Mã độc dạng web

B. Mã độc mạng

C. Mã độc tài liệu, mã độc trong hệ thống

D. Tất cả các loại trên

70.

Câu 78: FLARE VM là gì?

A. Một môi trường máy ảo Linux cho phát triển phần mềm

B. Một môi trường Windows được tối ưu hóa cho phân tích mã độc

C. Một hệ điều hành mã nguồn mở cho quản lý mạng

D. Một phần mềm quản lý tiến trình hệ thống

71.

Câu 79: FLARE VM chủ yếu được cài đặt trên hệ điều hành nào?

A. Linux

B. Windows

C. macOS

D. FreeBSD

72.

Câu 80: FLARE VM thường được sử dụng trong lĩnh vực nào?

A. Thiết kế đồ họa

B. Phân tích mã độc và bảo mật

C. Phát triển ứng dụng di động

D. Quản trị cơ sở dữ liệu

73.

Câu 81: FLARE VM được phát triển và duy trì bởi tổ chức nào?

A. Microsoft

B. FireEye (Mandiant)

C. Red Hint

D. Google

74.

Câu 82: Trong ngôn ngữ Assembly, sử dụng để thao tác với ngăn xếp (stack) của bộ nhớ?

A. PUSH / POP

B. ADD / SUB

C. MOV / CMP

D. LOAD / STORE

75.

Câu 83: Thanh ghi nào lưu địa chỉ của chỉ thị kế tiếp trong CPU?

A. EAX

B. ESP

C. EBP

D. Program Counter (Instruction Pointer)

76.

Câu 84: Cờ nào trong EFLAGS được thiết lập nếu phép trừ dẫn đến kết quả âm?

A. ZE

B. CF

C. SH

D. OF

77.

Câu 85: Cấu trúc điều khiển trong Assembly quyết định hành động dựa trên điều kiện gì?

A. So sánh dữ liệu

B. Giá trị ngẫu nhiên

C. Địa chỉ ổ nhỏ

D. Thanh ghi được chọn

78.

Câu 86: Thanh ghi nào lưu địa chỉ trên stack?

A. EAX

B. EBX

C. ESP

D. EDX

79.

Câu 87: Câu lệnh CMP trong Assembly thực hiện gì?

A. Cộng hai toán hạng

B. Trừ hai toán hạng và đặt các cờ

C. So sánh và di chuyển dữ liệu

D. Nhân hai toán hạng

80.

Câu 88: Cờ ZF trong EFLAGS được thiết lập khi nào?

A. Khi kết quả phép toán bằng 0

B. Khi kết quả phép toán là số âm

C. Khi xảy ra tràn

D. Khi có số mượn trong phép trừ

81.

Câu 89: Câu lệnh nào dùng để di chuyển một giá trị ngay lập tức vào thanh ghi trong

A. ADD

B. SUB

C. MOV

D. INC

82.

Câu 90: Để kiểm tra cờ carry trong phép toán unsigned, ta sử dụng thanh ghi nào?

A. CF

B. ZF

C. SF

D. OF

83.

Câu 91: Từ khóa nào dùng để thực hiện vòng lặp trong ngôn ngữ Assembly?

A. LOOP

B. IF

C. JUMP

D. CALL

84.

Câu 92: Lệnh JE sẽ thực hiện nhảy đến nhãn chỉ định khi nào ?

A. Khi cờ ZF bằng 1

B. Khi cờ ZF bằng 0

C. Khi có số mượn trong phép toán

D. Khi cờ SF bằng 1

85.

Câu 93: Lệnh JNE sẽ thực hiện nhảy nếu điều kiện nào dưới đây là đúng ?

A. Khi cờ ZF bằng 1

B. Khi cờ ZF bằng 0

C. Khi cờ SF bằng 0

D. Khi cờ CF bằng 1

86.

Câu 94: Lệnh JMP trong Assembly có đặc điểm gì khác so với các lệnh JE và JNE?

A. Luôn nhảy đến nhãn chỉ định mà không cần kiểm tra bất kỳ cờ nào

B. Chỉ nhảy nếu cờ ZF bằng 1

C. Chỉ nhảy nếu cờ ZF bằng 0

D. Chỉ nhảy nếu cờ SF bằng 1

87.

Câu 95: Phân tích tĩnh là gì ?

A. Phân tích mã mà không cần chạy

B. Chạy mã và theo dõi hệ thống

C. Chỉ kiểm tra các API của Windows

D. Phân this mã trên hệ điều hành khác

88.

Câu 96: Công cụ nào để tạo MD5 hash của một tập tin tring Linux ?

A. md5sum

B. hashcalc

C. MD5 Checker

D. filehash

89.

Câu 97: Chức năng của các phần mềm đóng gói (packer) là gì trong mã độc ?

A. Tăng kích thước tập tin

B. Nén tập tin và làm xáo trộn mã

C. Giảm tốc độ phức tạp của mã

D. Tăng tốc độ thực thi của mã

90.

Câu 98: Khi phân tích các chuỗi trong mã độc, điều gì có thể được phát hiện?

A. Các tên miền, địa chỉ IP, URL, tên hàm

B. Chỉ các biến cục bộ

C. Chỉ các hàm hệ thống

D. Kích thước của mã độc

91.

Câu 99: Một dấu hiệu cho thấy mã độc đã được nén là gì ?

A. Có các chuỗi đặc trưng như UPX0, UPX1

B. Không có hàm nhập hoặc xuất

C. Có dung lượng rất lớn

D. Chứa nhiều biến cục bộ

92.

Câu 100: Kỹ thuật mã hóa XOR trong mã độc sử dụng để làm gì ?

A. Làm tăng tốc độ thực thi

B. Che giấu thông tin C2 và dữ liệu

C. Giảm kích thước tập tin

D. Tăng tính bảo mật của mã

93.

Câu 101: Chuỗi Base64 trong mã độc thường được sử dụng để làm gì ?

A. Lưu trữ thông tin dễ dàng đọc

B. Che giấu thông tin nhúng như URL và lệnh

C. Tăng tốc độ thực giải mã

D. Giảm kích thước tập tin

94.

Câu 102: Để tìm chức năng của mã độc, ta nên kiểm tra phần nào của PE file ?

A. Imports và Exports

B. Màu sắc của biểu tượng

C. Kích thước của file

D. Tên file

95.

Câu 103: Công cụ nào sau đây hộ trợ phân tích các API của Windows được mã độc sử dụng?

A. MSDN

B. Detect it easy (DIE)

C. Fakenet-NG

D. Chrome

96.

Câu 104: Mục đích của phân tích tĩnh trong mã mã độc là gì ?

A. Tìm kiếm và phân tích các chỉ dẫn mã mà không thực thi chúng

B. Thực thi và theo dõi hệ thống

C. Tăng kích thước tập tin

D. Kiểm tra độ an toàn của hệ thống

97.

Câu 105: Kỹ thuật XOR được sử dụng hai lần với cùng một khóa sẽ cho ra kết quả gì?

A. Vẫn là mã hóa XOR

B. Trở lại văn bản gốc

C. Mã hóa khác nhau

D. Mã hóa an toàn hơn

98.

Câu 106: Một phần của tệp tin PE có tên là .text chứa gì?

A. Lệnh CPU cần thực thi

B. Biến cục bộ

C. Các biểu tượng

D. Các hàm xuất

99.

Câu 107: Tại sao mã độc thường mã hóa các chuỗi bằng Base64?

A. Để dễ giải mã và phát tán

B. Để tăng tốc độ thực thi mã

C. Để tăng dung lượng file

D. Để giảm bảo mật của mã

100.

Câu 108: Công cụ strings có tác dụng gì trong phân tích mã độc ?

A. Tìm kiếm các chuỗi ký tự có thể đọc được trong một tập tin

B. Tạo ra các chuỗi ký tự mã hóa

C. Loại bỏ các chuỗi không cần thiết

D. Tăng tốc độ thị thi mã

101.

Câu 109: Khi phân tích mã độc việc tìm chuỗi thường giúp phát hiện điều gì?

A. Các biến cục bộ

B. Thông tin về tên miền, địa chỉ IP, URL, tên hàm

C. Các chỉ thị CPU

D. Các hàm vô hại của hệ điều hành

102.

Câu 110: Tại sao mã độc thường mã hóa các chuỗi quan trọng ?

A. Để giảm kích thước tập tin

B. Để che giấu thông tin quan trọng và tránh bị phát hiện

C. Để tăng tốc độ thực thi

D. Để làm cho mã dễ đọc hơn

103.

Câu 111: Công cụ pestudio chủ yếu được sử dụng để làm gì trong phân tích mã độc ?

A. Phân tích tĩnh mã độc mà không thực thi

B. Thực thi mã độc trong môi trường cách ly

C. Tạo báo cáo tự động về hành vi của mã độc

D. Giải mã các chuỗi trong mã độc

104.

Câu 112: Công cụ pestudio có thể hiển thị thông tin nào sau đây của một tập tin PE?

A. Các hành vi của mã độc

B. Thông tin về các hàm nhập (import) và xuất (export)

C. Các thông tin đã được mã thống bằng xor

D. Mã nguồn của tập tin

105.

Câu 113: Chức năng của VirusTotal trong Pestudio

A. Tìm kiếm các đoạn mã độc trên máy tính

B. So sánh tập tin với cơ sở dữ liệu mã độc trực tuyến

C. Giải mã các chuỗi Base64

D. Nén tập tin để giảm dung lượng

106.

Câu 114. YARA được sử dụng trong phân tích mã độc nhằm mục đích gì?

A. So sánh kích thước tập tin

B. Tạo quy tắc để xác định các mẫu mã độc

C. Phân tích động mã độc

D. Kiểm tra dung lượng ổ cứng

107.

Câu 115: YARA rule gồm các phần nào chính?

A.Phần điều kiện và phần hành động

B.Phần metadata, strings và conditions

C.Phần loại file và dung lượng file

D.Phần ký tự và số nguyên

108.

Câu 116: Trong Yara phần Conditions có nhiệm vụ gì?

A. Xác định các chuỗi cần tìm kiếm

B. Định nghĩa các điều kiện để nhận diện mã độc

C. Mô tả thông tin về mã độc

D. Lưu trữ các tệp để phân tích

109.

Câu 117: Dòng lệnh Yara nào sau đây có cú pháp đúng?

A. yara -r <tệp quy tắc> <tệp đích>

B. yara scan < tệp quy tắc > < tệp đích >

C. check yara < tệp quy tắc > < tệp đích >

D. yara find < tệp quy tắc > < tệp đích >

110.

Câu 118: Công cụ HashMyFile để làm gì?

A. Kiểm tra mã nguồn

B. Tạo và so sánh các giá trị hash của tập tin

C. Phân tích hành vi tập tin

D. Giải mã các chuỗi Base64

111.

Câu 119: Khi nào giá trị hash thay đổi với cùng 1 tập tin?

A.Khi tên file thay đổi

B.Khi nội dung file thay đổi

C.Khi kích thước ổ đĩa thay đổi

D.Khi chép file sang máy khác

112.

Câu 120: Detect It Easy (DIE) dùng làm gì trong phân tích mã độc

A.Giải mã file

B.Xác định loại file và các package đang sử dụng

C.Tăng tốc độ thực thi file

D.Loại bỏ mã độc khỏi tập tin

113.

Câu 121: Thông tin nào có thể được phát hiện bằng công cụ Detect It Easy?

A.Loại file và các dấu hiệu của Packet hoặc Compiler

B.Mã nguồn của file

C.Tên miền Server C2

D.Thông tin đăng nhập của hệ thống

114.

Câu 122: Tại sao Detect It Easy lại hữu dụng trong phân tích các file nén hoặc mã hóa?

A.Nó có thể thực thi mã độc để tìm các phần ẩn

B.Nó giúp nhận diện các công cụ packer đã sử dụng để nén mã độc

C.Nó tự động giải mã file và lưu ra mã nguồn

D.Nó tạo báo váo về hệ điều hành của file

115.

Câu 123: Khi nào nên sử dụng công cụ Detect It Easy?

A.Khi cần xác định loại file và các kỹ thuật bảo mật, nén hoặc mã hóa đã sử dụng

B.Khi cần chạy mã độc trong môi trường cách li

C.Khi cần kiểm tra tính toàn vẹn của file

D.Khi cần kiểm tra hệ thống mạng

116.

Câu 124: Lệnh Yara nào đúng để quét toàn bộ file trong 1 thư mục và các thư mục con?

A.yara -r <rule.yar> <directory>

B.yara -d <rule.yar> <directory>

C.yara -i <rule.yar> <directory>

D.yara -s <rule.yar> <directory>

117.

Câu 125: Ký tự $ trong yara rule thể hiện gì?

A.Tên của 1 biến

B.Định dạng của 1 chuỗi

C.ID của 1 process

D.Tag của 1 rule

118.

Câu 126: Cấu trúc nào đúng trong 1 file yara rule để nhận diện chuỗi hexadecimal?

A.(10 20 30 40)

B.{10 20 30 40}

C.[10 20 30 40]

D.<10 20 30 40>

119.

Câu 127: Công cụ nào giúp theo dõi hoạt động registry, hệ thống file, mạng, tiến trình và luồng

A.Process Monitor

B.Process Explorer

C.Regshot

D.VitualBox

120.

Câu 128: Chạy trực tiếp file DLL, có thể sử dụng công cụ nào

A.Rundll32.exe

B.VirtualBox

C.WireShark

D.Norman Sandbox

121.

Câu 129: Lợi ích việc phân tích mã dộc trong môi trường máy ảo

A.Miễn phí và dễ sử dụng

B.Bảo vệ máy tính khỏi mã độc, nhanh chóng quay lại phiên bản trước khi chạy mã độc

C.Có thể chạy trên mọi hệ điều hành

D.Không cần kết nối mạng

122.

Câu 130: Phần mềm nào giúp so sánh sự thay đổi regisgtry trước và sau chạy mã độc?

A.Process Monitor

B.Process Explorer

C.Regshot

D.WireShark

123.

Câu 131: Công cụ nào giám sát và ghi lại hoạt động của tiến trình trong thời gian thực

A.Process Monitor

B.Process Explorer

C.Regshot

D.VitualBox

124.

Câu 132: Một trong các nhược điểm của máy ảo là gì?

A.Không có bổ trợ Windows

B.Không kết nối được Internet

C.Một số mã độc phát hiện máy ảo và không hoạt động đúng cách

D.Không có khả năng lưu trữ kết quả

125.

Câu 133: Chế độ NAT trong máy ảo cho phép điều gì?

A.Máy ảo kết nối trực tiếp Internet mà không qua máy chủ

B.Máy ảo kết nối với máy chủ và Internet qua router ảo.

C.Máy ảo không có kết nối mạng.

D.Kết nối mạng nội bộ giữa các máy ảo.

126.

Câu 134: Chế độ Bridged cho phép máy ảo làm gì?

A.Kết nối mạng trực tiếp vào LAN.

B.Chỉ kết nối với máy chủ.

C.Chặn mọi kết nối mạng.

D.Kết nối Internet qua máy chủ.

127.

Câu 135: Để lọc các tiến trình trong Process Monitor, người dùng có thể dựa vào:

A.Trên tiến trình, Hoạt động

B.Kích thước file, tên tiến trình, thời gian

C.Địa chỉ IP, Port, loại kết nối

D.Ngày giờ, loại file, dung lượng

128.

Câu 136: Lợi ích của việc sử dụng môi trường ảo hoá trong phân tích mã độc là gì?

A.Có thể chặn hoàn toàn mã độc thoát ra ngoài máy ảo

B.Không cần lo về cấu hình phần cúng

C.Chạy được trên mọi bệ điều bành

D.Giám sát và phân tích mã độc một cách an toàn

129.

Câu 137: Một công cụ giúp so sánh các thay đổi trong registry là:

A.Regshot

B.Process Explorer

C.Wireshark

D.Process Monitor

130.

Câu 138: Trong môi trường phân tích động, mã độc được thực thi với mục đích gì?

A.Tìm hiểu cấy trúc mã nguồn

B.Quan sát hành vi mã độc

C.Chặn mã độc lây lan

D.Nghiên cứu giao diện người dùng

131.

Câu 139: Để chạy một file DLL, cú pháp đúng của lệnh là gì?

A.rundll32.exe DLLname, Export arguments

B.dllrun.exe DLLname, Export arguments

C.run.exe DLLname

D.dll32.exe, Export

132.

Câu 140: FakeNet-NG là công cụ được sử dụng chủ yếu cho mục đich gì trong phần tích mã độc?

A.Theo đõi lưu lượng mạng

B.Mô phỏng các dịch vụ mạng để trả lời các kết nối của mã độc

C.Phân tích registr

D.Phân tích các truy vấn DNS của mã độc

133.

Câu 141: Trong FakeNet-NG, tính năng nào cho phép chặn mã độc kết nối đến các máy chủ từ xa thực sự?

A.Mô phóng dịch vụ DNS, FPT và HTTP

B.Phân tích kết nối TCP

C.Tạo proxy ảo

D.Quản lý kết nối HTTPS

134.

Câu 142: Công cụ pestudio cung cấp thông tin gì về mã độc?

A.Tên file và kích thước

B.Chữ ký số, cấu trúc PE, và các tính năng bất thường

C.Chỉ phân tích mã nguồn

D.Thông tin chi tiết về hệ điều hành

135.

Câu 143: Hàm nhập (import) nào giúp xác định mã độc có khả năng kết nổi mạng?

A.MessageBox.

B.ShellExecute.

C.InternetOpen.

D.CreateMutex.

136.

Câu 144: Trong pestudio, mục nào giúp phát hiện các hành vi bắt thường của mã độc?

A.Import.

B.Strings.

C.Indicators.

D.Export.

137.

Câu 145: Trong pestudio, mục nào chứa các chuỗi ký tự có thể giúp xác định thông tin mã độc?

A. Strings

B. Export

C. Resources

D. Sections

138.

Câu 146: Nếu một file có các cấu hình bất thường như quyền truy cập vào registry,mạng và tiến trình, thì file này có thể có đặc điểm gì?

A. Khả năng nén dữ liêu

B. Mã độc với các quyền quản trị cao

C. Chỉ là một file ánh

D. Một phần mềm được biên dịch ở quyền quản trị

139.

Câu 147: Đề xác định mã độc sử dụng hàm API nào, ta cản kiểm tra phần nào trong pestudio?

A. Export

B. Import

C. Version

D. Signatures

140.

Câu 149: Công cụ pestudio cho phep kiem tra chi ky s6 (Signatures)aham xic thoe dieu gi?

A. Nhà phát triển mã độc

B. Nguồn gốc và độ tin cậy của file

C. Cấu trúc mã nguồn

D. Kích thước file

141.

Câu 150: Cutter là công cụ phân tích mã nhị phân giúp thực hiện điều gì?

A. Phân tích file ảnh

B. Biên dịch mã nguồn

C. Tìm và phân tích mã độc trong file nhị phân

D. Thay đổi tên file

142.

Câu 151: Khi phân tích mã độc, chức năng Decompiler trong Cutter giúp gì?

A. Biên dịch mã nhị phân thành mã nguồn dễ đọc hơn

B. Tạo mã nguồn mới

C. Phát hiện mã độc trong file văn bản

D. Kiểm tra chữ ký số

143.

Câu 152: Trong Cutter, tab "Functions" dùng để làm gi?

A. Liệt kê các hàm có trong file

B. Hiển thị các đoạn mã nhị phân

C. Phát hiện các kết nối mạng

D. Kiểm tra kích thưóc file

144.

Câu 153: Chức năng Strings trong Cutter giúp gì trong phân tích mã độc?

A. Phân tích các hàm gọi

B. Hiển thị các chuỗi ký tự có trong thả độc

C. Kiểm tra chữ ký số

D. Tìm thư viện liên kết động

145.

Câu 154: Cutter giúp xác định control flow của chương trình bằng cách nào?

A. Sử dụng bảng điều khiển.

B. Hiển thị sơ đồ dòng điều khiển (Graph)

C. Tạo tài liệu hướn dẫn

D. Biên dịch mã nhị phân

146.

Câu 155: Trong Cutter, tab nào hiển thị các địa chỉ mà các hàm API được gọi tên?

A. Dissassembly

B. Functions

C. Graph

D. Symbols

147.

Câu 156: x64dbg là công cụ gì?

A. Biên dịch mã nguồn

B. Phân tích và gỡ lỗi mã như phần trên hệ điều hành Windows

C. Phân tích file văn bản

D. Tạo chữ ký số

148.

Câu 156: Trong x64dbg, lệnh "Run" (F9) dùng để làm gì?

A. Bắt đầu chạy chương trình đến điểm dừng tiếp theo

B. Đóng chương trình

C. Mở một file mới

D. Sửa mã nguồn

149.

Câu 157: Breakpoint trong x64dbg có tác dụng gì?

A. Xóa mã độc

B. Đặt điểm dừng trong mã để kiểm tra trạng thái chương trình

C. Chia sẻ chương trình

D. Mã hóa dữ liệu

150.

Câu 158: Để theo dõi giá trị của các thanh ghi trong quá trình phân tích mã độc, ta cần mở tab nào trong x64dbg?

A. Registers

B. Modules

C. Memory

D. Disk

151.

Câu 159: Process Hacker là công cụ được dùng chủ yếu cho mục đích gì?

A. Quản lý và giám sát các tiến trình đang chạy trên hệ thống

B. Phát triển phần mềm

C. Phân tích mã nhị phân

D. Tạo chữ ký số

152.

Câu 160: Trong Process Hacker, để dừng hoặc kết thúc một tiến trình đang chạy, ta cần sử

A. Start

B. Suspend

C. Terminate

D. Launch

153.

Câu 161: Tính năng nào của Process Hacker cho phép người dùng xem chi tiết các modules đã

A. Network

B. Handles

C. Threads

D. Modules

154.

Câu 162: Process Hacker có thể giúp phát hiện mã độc bằng cách nào?

A. Theo dõi các kết nối mạng bất thường và các tiến trình không rõ nguồn gốc

B. Biên dịch mã nguồn

C. Kiểm tra kích thước file

D. Chạy các tiến trình trên môi trường sandbox

155.

Câu 163: Trong Process Hacker, tab “Memory” của một tiến trình cho phép người dùng làm gì?

A. Xem và chỉnh sửa trực tiếp vùng nhớ của tiến trình đó

B. Xóa tiến trình

C. Đổi tên tiến trình

D. Khóa tiến trình

156.

Câu 164: Mục đích chính của kỹ thuật Process Injection của mã độc là gì?

A. Tăng tốc độ xử lý của tiến trình

B. Cải thiện hiệu năng hệ thống

C. Tiêm mã độc vào tiến trình khác để tăng tính ẩn mình và kết nối mạng hợp pháp hơn

D. Tạo file thư mục mới

157.

Câu 165: Trong kỹ thuật Process Injection hàm băm thường được sử dụng để cấp phát vùng nhớ trong tiến trình mục tiêu?

A. VituralAllocEx

B. Malloc

C. Memcpy

D. Realloc

158.

Câu 166: Để ghi mã độc vào cùng nhớ của tiến trình đích, mã độc sử dụng hàm nào?

A. VituralAllocEx

B. LoadLibrary

C. WriteProccessMemory

D. TerminateProccess

159.

Câu 167: Lý do mã độc di chuyển từ một tiến trình ngắn hạn như Word sang tiến trình lâu dài hơn như Exploier hoặc trình duyệt web là gì?

A. Để tiết kiệm tài nguyên hệ thống

B. Để duy trì sự hiện diện lâu dài hơn trên hệ thống

C. Để cải thiện hiệu năng

D. Để ngăn chặn các tiến trình khác hoạt động

160.

Câu 168: Hàm nào thường được sử dụng để khởi tạo một thread từ mã độc trong tiến trình dịch

A. VituralAllocEx

B. CreateRemoteThread

C. OpenProcess

D. SetThreadContext

161.

Câu 169: Kỹ thuật “Code Cave” được sử dụng để làm gì trong quá trinhg tạo Trojsan?

A. Chạy mã độc trực tiếp từ bộ nhớ

B. Tạo một không gian trống trong file PE để nhúng mã độc

C. Mã hóa dữ liệu quan trọng trong mã độc

D. Phát hiện các lỗ hổng trong tiến trình

162.

Câu 170: Tại sao việc tạo Trojan cần chọn file exe có một phần “TEXT” lớn?

A. Để dễ dàng thay đổi tên file

B. Vì phần này có đủ không gian để nhúng mã độc

C. Để tránh làm mã độc bị phát hiện

D. Vì phần “TEXT” có cấu trúc chính của file

163.

Câu 171: Đâu là một trong các hành vi thường gặp của Trojan?

A. Tự động đóng gói các phần mềm diệt virus

B. Gửi email quảng cáo cho người dùng

C. Gửi kết nối từ xa hoặc theo dõi bàn phím (keylogger)

D. Tăng tốc độ máy tính

164.

Câu 172: Hàm API nào của hệ điều hành Windows thường được sử dụng để tải một DLL vào

A. CreateProcess

B. LoadLibrary

C. VirtualAlloc

D. WritePprocessMemory

165.

Câu 172: Lợi ích của kỹ thuật DLL Injection trong phát triển mã độc là gì?

A. Giúp mã độc hoạt động nhanh hơn

B. Cho phép mã độc ảnh mình an toàn hơn trong một tiến trình hợp pháp

C. Đảm bảo mã độc tự động xóa khi kết thúc

D. Tạo các file DLL mới trên hệ thống

166.

Câu 173: Tại sao các nhà phân tích mã độc cần lấy shellcode từ bộ nhớ thay vì từ file?

A. Vì shellcode không bao giờ được lưu giữ trong file

B. Vì shellcode có thể bị mã hóa hoặc nén, chỉ khi chạy mới được giả mã đầy đủ.

C. Vì việc lấy shellcode từ bộ nhớ nhanh hơn

D. Vì bộ nhớ là nơi duy nhất chứa shellcode

167.

Câu 173: Lấy shellcode từ bộ nhớ thường là một bước quan trọng để phân tích điều gì?

A. Cách thức mã độc mở cổng mạng

B. Hành vi thực tế của shellcode khi nó được nạp và thực thi trong bộ nhớ

C. Phần mềm bảo vệ hệ thống

D. Cách thức mã độc nén dữ liệu

168.

Câu 174: Công cụ nào sau đây được sử dụng trong phân tích mã độc tự động?

A. OllyDBG

B. IDA Pro

C. Cuckoo Sandbox

D. WireShark

169.

Câu 175:Ưu điểm chính của phân tích mã tự động là gì?

A. Tiết kiệm thời gian

B. Phân tích chi tiết hơn

C. Phát hiện mã độc tinh vi hơn

D. Hạn chế được tất cả rủi ro bảo mật

170.

Câu 176: Một hạn chế của phân tích mã độc tự động so với phân tích thủ công là gì?

A. Dễ bị lạm dụng

B. Không hỗ trợ đa nền tảng

C. Dễ bị mã độc phát hiện và né tránh

D. Quá phức tạp để thiết lập

171.

Câu 177: Cuckoo Sandbox hỗ trợ phân tích các loại tệp nào sau đây?

A. Tệp thực thi, tài liệu văn bản, email

B. Chỉ tệp thực thi

C. Chỉ tài liệu văn bản

D. Chỉ email

172.

Câu 178: Phân tích mã độc tự động có thể không hiệu quả với các mã độc nào?

A. Mã độc dạng rootkit

B. Mã độc đơn giản

C. Mã độc không sử dụng kỹ thuật trốn tránh

D. Mã độc đã cũ

173.

Câu 179: Một nhược điểm của phân tích thủ công so với phân tích tự động là gì?

A. Ít chính xác hơn

B. Tốn nhiều thời gian hơn

C. Khó phát hiện mã độc tinh vi hơn

D. Dễ bị mã độc phát hiện

174.

Câu 180: Phân tích mã độc tự động thường phù hợp nhất với loại mã độc nào sau đây?

A. Mã độc cần phân tích chi tiết sâu

B. Mã độc phức tạp sử dụng nhiều kỹ thuật trốn tránh

C. Mã độc đơn giản và không có kỹ thuật ẩn nấp

D. Mã độc có mã hóa phức tạp

175.

Câu 181: Khi công bố dấu hiệu nhận diện mã độc, điều nào sau đây là quan trọng

A. Công bố cách thức phân phối mã độc

B. Công bố tất cả các địa chỉ IP liên quan

C. Cung cấp các chỉ số nhận dạng mã độc cụ thể

D. Không cung cấp thông tin chi tiết

176.

Câu 182: Khi công bố dấu hiệu nhận diện mã độc, điều nào sau đây là quan trọng?

A. Công bố cách thức phân phối mã độc

B. Công bố tất cả các địa chỉ IP liên quan

C. Cung cấp các chỉ số nhận dạng mã độc cụ thể

D. Không cung cấp thông tin chi tiết

177.

Câu 183: Trong các thành phần sau, thành phần nào là quan trọng nhất khi công bố dấu hiệu

A. Địa chỉ IP liên quan

B. Kỹ thuật lây nhiễm của mã độc

C. Chỉ số nhận dạng mã độc (IoC)

D. Ngày mã độc được phát hiện

178.

Câu 184: Khi công bố chỉ số nhận dạng mã độc, dữ liệu nào sau đây là bắt buộc để đảm bảo độ

A. Tên của nhà phát triển mã độc

B. Hash của tệp mã độc

C. Kích thước của mã độc

D. Tên người phát hiện mã độc

179.

Câu 185: Công bố thông tin về URL liên quan đến mã độc có thể giúp ích điều gì?

A. Giúp xác định nguồn gốc của mã độc

B. Giúp phát hiện các lỗi bảo mật hiện hành

C. Giúp phát triển mã độc tương tự

D. Giúp ngăn chặn hoàn toàn mã độc

180.

Câu 186: Khi công bố các chỉ số nhận dạng mã độc (IoC), yếu tố nào dưới đây cần được xem xét để đảm bảo tính chính xác và hữu ích của báo cáo?

A. Địa chỉ IP liên quan, URL và hash tệp

B. Địa chỉ email của nguồn báo cáo

C. Tên người phát hiện và ngày phát hiện mã độc

D. Các kỹ thuật không liên quan đến mã độc

181.

Câu 187: Lợi ích chính của việc công bố dấu hiệu nhận diện mã độc cho các tổ chức bảo mật

A. Để theo dõi xu hướng tấn công

B. Để chia sẻ dữ liệu người dùng

C. Để hỗ trợ phân tích kỹ thuật chi tiết của mã độc

D. Để truyền chia sẻ thông tin bảo mật quan trọng

182.

Câu 188: Khi viết báo cáo phân tích mã độc cho các nhà quản lý không chuyên sâu về kỹ thuật, yếu tố nào là quan trọng nhất?

A. Mô tả chi tiết mã nguồn của mã độc

B. Đánh giá tác động và mức độ rủi ro của mã độc đối với tổ chức

C. Giải thích các thuật toán mã hóa mã độc

D. Cung cấp tất cả các địa chỉ IP liên quan đến mã độc

183.

Câu 189: Báo cáo dành cho các nhà phân tích bảo mật thường cần bao gồm thông tin nào?

A. Tổng quan ngắn gọn và không chi tiết

B. Các chuỗi kỹ thuật sử dụng hành vi của mã độc, phương pháp phát hiện và chỉ số nhận dạng độc (IoC)

C. Chỉ các khuyến nghị phòng chống mã độc

D. Danh sách các đối tượng tiềm năng liên quan đến mã độc

184.

Câu 190: Khi viết báo cáo phân tích mã độc cho đội ngũ IT nhằm triển khai các biện pháp

A. Các mô tả kỹ thuật chuyên sâu về mã độc

B. Các khuyến nghị cụ thể về biện pháp ngăn chặn và ứng phó

C. Thông tin về nguồn gốc của mã độc

D. Các thông tin chi tiết về lịch sử phát triển mã độc

185.

Câu 191: Khi chia sẻ dấu hiệu nhận diện mã độc (IoC) với cộng đồng, nền tảng nào sau đây thường được sử dụng để chia sẻ thông tin một cách rõ ràng và an toàn?

A. GitHub

B. Twitter

C. VirusTotal

D. LinkedIn

186.

Câu 192: Đối tượng nào sau đây là thích hợp nhất để chia sẻ về dấu hiệu nhận diện mã độc từ tổ chức bảo mật?

A. Chỉ các chuyên gia kỹ thuật nội bộ

B. Các tổ chức đối tác và cộng đồng bảo mật toàn cầu

C. Chỉ các tổ chức chính phủ

D. Những người dùng cá nhân thông thường

187.

Câu 193: Công cụ nào sau đây có thể được sử dụng để quét và phát hiện mã độc dựa trên các chỉ số nhận dạng mã độc (IoC) đã được chia sẻ?

A. Microsoft Excel

B. YARA

C. Adobe Reader

D. Shellcode

188.

Câu 194: Đơn vị nào sau đây chịu trách nhiệm quản lý và giám sát an ninh mạng quốc gia Việt Nam, thường là đầu mối chính trong việc thu thập và chia sẻ dấu hiệu nhận diện mã độc?

A. VNISA (Hiệp hội An toàn Thông tin Việt Nam)

B. NCSC (Trung tâm Giám sát an toàn không gian mạng quốc gia)

C. Bkav

D. CMC Cyber Security

Reset

PTMD

Total questions: 188

Worksheet time: 2hrs 34mins

Similar Resources on Wayground