NEW
Font size
WorksheetsCâu hỏi trắc nghiệm về phân tích mã độc file 123.docx
Total questions: 45
Worksheet time: 23mins
Môi trường phân tích mã độc tối thiểu bao gồm
Một máy thực thi mã độc, một máy giả lập IDS server
Một máy thực thi mã độc, một IDS server
Một máy thực thi mã độc, một DNS Server
Một máy thực thi mã độc, một máy giả lập DNS sever
Runtime Linking thường được sử dụng trong:
Các worms
Các mã độc hại hại bị nén hoặc làm rối
Các virus
Các mã độc có khả năng tự sao chép
Những Registry entries mà mã độc thường thay đổi để duy trì hiện diện gồm:
AppInit_DLLs
Winlogon Notify
ScvHost DLLs
Cả 3 đáp án trên
Kỹ thuật phân tích tĩnh là:
Kỹ thuật phân tích mã độc dựa vào các thư viện liên kết của mã độc
Kỹ thuật phân tích mã độc bằng cách nghiên cứu mã dịch ngược của mã độc
Kỹ thuật phân tích mã độc mà không cần phải thực thi mã độc
Kỹ thuật phân tích mã độc bằng cách nghiên cứu nguồn của mã độc
Kernel mode còn được gọi là
Ring 0
Ring 2
Ring 3
Ring 1
Thư viện nào sau đây giúp mã độc truy cập và thao tác lên bộ nhớ tập tin phần cứng
Kernel32.dll
Memory32.dll
Memory.ll
Kernel dll
Để diệt mã độc trên máy laptop cá nhân chạy HĐH windows có thể dùng:
BKAV, Kaspersky, Ollydbg
BKAV, Kaspersky
BKAV, Kasper, Virus total
AVG, BKAV, Windbg
Dùng PEID đọc thông tin của một tệp cho ra kết quả như hình:
Là một mã độc được pack bằng thuật toán UPX
Là một tệp thực thi được pack bằng thuật toán UPX
Là một tệp tin thực thi.
Là một mã độc
Lệnh nào sau đây thường được mã độc sử dụng để phòng chống thực thi trong môi trường ảo hóa:
sldt.
sgot
smsw.
cả A B C
Để chọn kiểu hiển thị các toán tử trong IDAPro ta cần:
Nhấn chuột phải vào toán tử và chọn kiểu hiển thị.
Sử dụng tính năng xref.
Nhấn chuột trái vào toán tử và chọn kiểu hiển thị.
Sử dụng tính năng subview.
Virtual Size là:
Kích thước của file trên đĩa CD.
Kích thước của file trên USB.
Kích thước của file trên bộ nhớ RAM.
Kích thước của file trên ổ đĩa cứng.
Nâng cao nhận thức người dùng là việc:
Đào tạo về các nguy cơ, cách thức phần mềm độc hại xâm nhập vào hệ thống cho người dùng.
Hướng dẫn người dùng sử dụng phần mềm Anti virus.
Cấp quyền cho người dùng dựa trên đặc quyền tối thiểu.
Hướng dẫn cho tất cả cán bộ, nhân viên cách phòng tránh sự cố liên quan đến mã độc hại, giảm thiểu mức độ nghiêm trọng của sự cố.
Time Date Stamp trong PE Header chỉ ra:
Không đáp án nào đúng.
Thời gian chương trình được biên dịch.
Thời gian chương trình bắt đầu khởi chạy.
Tổng thời gian chương trình đã thực thi.
Mã độc là
Các chương trình máy tính có khả năng tự sao chép và làm hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu, Ứng dụng và hệ điều hành của hệ thống.
Các chương trình máy tính có khả năng tự sao chép và lây nhiễm vào máy tính của người dùng.
Các chương trình máy tính được tạo ra với mục đích làm hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu và ứng dụng thực thi trên hệ thống.
(D) Các chương trình máy tính được tạo ra với mục đích làm hại đến tính bí mật, tính toàn vẹn hoặc tính sẵn sàng của dữ liệu, ứng dụng và hệ điều hành của hệ thống.
Mã độc có thể lây nhiễm qua:
Qua các thiết bị lưu trữ di động, qua thư điện tử, qua trình duyệt web và lây nhiễm từ smartphone sang máy tính.
Qua các USB, qua thư điện tử, qua trình duyệt web và lây nhiễm từ smartphone sang máy tính.
Qua các thiết bị lưu trữ di động, qua thư điện tử, qua lây nhiễm từ smartphone sang máy tính.
Qua USB, qua thư điện tử, qua các trang web không an toàn và lây nhiễm từ smartphone sang máy tính.
Câu 16. Đoạn giải mã sau đây thể hiện cơ chế gì của mã độc? CreateProcess(..., 'svchost.exe',...,CREATE_SUSPEND,...); ZwUnmapViewOfSection(...); VirtualAllocEx(...,Image8ase,SizeOf1Image,...); WriteProcessMemory(...,tfheaders,...); for (i=0; i < NumberOfSections; i++) { WriteProcessMemory(...,section,...); } SetThreadContext(); ..... ResumeThread(); A. Process Hollowing B. DLL Injection C. Code Obfuscation D. Keylogging
Tiêm vào tiến trình
APC.
Detour.
Thay thế tiến trình.
Sử dụng máy thật làm môi trường phân tích mã độc:
Quá trình thực hiện phân tích đơn giản, tuy nhiên kết quả đôi khi không chính xác.
Kết quả phân tích đôi khi không chính xác, quá trình thực hiện phân tích phức tạp.
Cho kết quả phân tích chính xác, tuy nhiên quá trình thực hiện phân tích phức tạp.
Cho kết quả phân tích chính xác, quá trình thực hiện phân tích đơn giản.
Trojan horse là
Mã độc có khả năng nhân bản, không cần vật chủ để lây nhiễm.
Mã độc không có khả năng nhân bản, không cần vật chủ để lây nhiễm.
Mã độc không có khả năng nhân bản, cần vật chủ để lây nhiễm.
Mã độc có khả năng nhân bản, cần vật chủ để lây nhiễm.
Mã độc thường nhằm đến Registry vì:
Registry lưu trữ cài đặt cấu hình của hệ điều hành và ứng dụng
Registry có thể tạo kết nối mạng
Không đáp án nào đúng
Registry chỉ có một kiểu dữ liệu
ZwUnmapViewOfSection là hàm mã độc sử dụng để
Ghi lên vùng nhớ
Giải phóng vùng nhớ
Hủy vùng nhớ
Tạo Vùng Nhớ
Mật khẩu đăng nhập window được lưu tại
File LSASS
File NTLM
File LSA
File SAM
Hình sau đây sử dụng cửa sổ nào trong Ollydbg
String window
Data window
Memory dump window
Address window
thành phần nào của mã độc chịu trách nhiệm những hành vi độc hại:
Spam
Frame
Payload
Exploit
Sử dụng IDA pro để phân tích mã độc TEST.exe thu được kết quả như sau
Sử dụng thư viện WININET để kết nối tới địa chỉ 127 26.152.13
Thực hiện mã hóa các tập tin trên máy nạn nhân.
Sử dụng thư viện Winsock để kết nối tới địa chỉ 127 26.152.13
Là một backdoor
(Những) công nghệ nào sau đây giúp giảm thiểu nguy cơ lây nhiễm mã độc trong hệ thống
Giảm thiểu tác động của phần mềm độc hại
Tiêu diệt các tác hại của mã độc
Phục hồi sau sự cố
A, B, C
Giai đoạn ngăn chặn, loại bỏ và phục hồi nhằm
Giảm thiểu tác động của phần mềm độc hại
Tiêu diệt tác hại của mã độc
Phục hồi sau sự cố
Cả A,B,C
Hooking keylog sử dụng hàm nào để thu thập thao tác nhân phím của người dùng:
LoadWindowsHookEx
SetWindowsHookEx
WindowsHookEx
GetWindowsHookEx
Phân tích tiến trình TEST.exe thu được kết quả như sau. Từ kết quả trên có thể kết luận gì về sản sinh TEST.exe
Tiến trình đã bị thay thế bởi một đoạn mã độc.
Tệp tin TEST.exe là một mã độc dạng keylog
Tệp tin TEST exe là một mã độc, cố gắng kết nối đến địa chỉ practicalmalwareanalysis.com
Tên tin TEST exe là một tập tin bình thường
Hàm nào sau đây được mã độc dùng để xác định trình debug:
IsDebuggerPresent
CheckRemoteDebuggerPresent
OutputDebugString.
Cả A, B, C
Địa chỉ IP 127.0.0.1 được lưu trữ trong RAM dưới dạng:
0x0100007F
1.0.0.127.
127.0.0.1.
0x7F000001.
Nhược điểm của kỹ thuật phân tích động là
Không cho kết quả phân tích chính xác với tất cả các loại mã độc
Khó phân tích được những mẫu mã độc phức tạp.
Chỉ phân tích được những mã độc chạy trên HĐH Window
Không phân tích được những mã độc chạy trên HĐH Window
Handle có thể hiểu là:
Con trỏ tới một tiến trình
Con trỏ tới một đối tượng
Con trỏ lại một vùng nhớ.
Con trỏ tới một tiếp.
Sự cố mã độc có thể được phát hiện thông qua:
Cảnh báo của các hệ thống phòng chống mã độc.
Báo cáo của người dùng về những bất thường trong hoạt động của
Sự thay đổi của các tệp tin hệ thống
Cả A, B, C.
GINA Registry Key lưu tại:
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\MSGinaDLL
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\MSGinaDLL
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\GinaDLL
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\GinaDLL
Phát biểu nào sau đây đúng về svchost:
Chỉ chạy một tiến trình duy nhất
Ít bị mà đốc lợi dụng
Chạy được trong chế độ nhân
Dùng chung cho các service khác nhau
Ollydbg là công cụ:
Phân tích tính cơ bản
Phân tích động nâng cao
Phân tích động cơ bản
Phân tích tính năng nâng cao
Sử dụng IDA pro để phân tích mã độc test.exe thu được kết quả như sau: Mã độc test.exe thực hiện những hành động gì sau đây:
Gọi tiến trình internet Explorer 8.0, kiểm tra có kết nối internet không, tiến hành kết nối đến địa chỉ http://www.malwareanalysisbook.com
Kiểm tra có kết nối Internet hay không gọi tiến trình internet Explorer 8.0 tiến hành kết nối đến địa chỉ http://www.malwareanalysisbook.com
Kiểm tra có kết nối Internet hay không gọi tiến trình internet Explorer 8.0 tiến hành kết nối đến địa chỉ http://www.malwareanalysisbook.com, lặp lại quá trình kết nối
Gọi tiến trình internet Explorer 8.0, kiểm tra có kết nối internet không, tiến hành kết nối đến địa chỉ http://www.malwareanalysisbook.com, lặp lại tiến trình kết nối
Trước khi tiến hành phân tích mã độc trên môi trường máy ảo cần:
Kết nối mạng từ máy ảo đến DNS server
Tạo snapshots cho máy ảo
không cần làm gì
khởi chạy mã độc trên máy ảo
Một chương trình khi dừng tại breakpoint được gọi là
Breaked
Broken
Breaker
Paused
Backdoor thường sử dụng cổng nào có kết nối tới máy tính nạn nhân
21
80
43
23
Socket là lệnh mã độc sử dụng để
Cho phép kết nối đến một cổng
Tạo một socket
Lắng nghe kết nối đến một cổng
Gắn socket đến một cổng
Native API là các hàm của thư viện nào sau đây:
Ntdll.dll
User32.dll
Kernel32.dll
Kernel.dll
Sử dụng Process Monitor để phân tích mã độc TEST.exe thu được kết quả như sau. Từ kết quả trên có thể kết luận gì về mã độc TEST.exe?
Sao chép file thực thi của chính nó vào thư mục C:\WINDOWS\System32 với tên vmx32to64.exe
Tạo một registry tại HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VideoDriver.
Registry tạo ra giá trị trỏ tới C:\WINDOWS\System32\vmx32to64.exe
Cả A, B, C
Sử dụng những công cụ nào sau đây có thể tiến hành phân tích động mã độc?
Ollydbg, Strings
Ollydbg, HashCal
Ollydbg, Process Explorer
Ollydbg, PEView
Để thực hiện chế độ single-step trên Ollydbg cần ấn phím
F5
F6
F7
F8
