Một số kỹ thuật lẩn tránh giải pháp được tin tặc sử dụng phổ biến hiện nay là tạo một payload hoặc mã shell mới dẫn đến một chữ ký mới không có trong cơ sở dữ liệu của các chương trình antivirus. Tuy nhiên, điều này sẽ không hiệu quả đối với những antivirus sử dụng phân tích hành vi và cơ chế heuristics. Kỹ thuật thứ hai là xáo trộn hoặc mã hóa payload để nó được giải mã tại thời điểm chạy và lây nhiễm vào bộ nhớ. Kỹ thuật thứ ba là tạo payload sử dụng các công cụ nhúng và của hệ điều hành. Ví dụ: Powershell trong Windows và Python trong Windows và Linux.
Cùng với sự gia tăng của các cuộc , một số kỹ thuật khác được tin tặc sử dụng để tránh việc bị phát hiện bởi phần mềm antivirus là [1]: bán đa hình, đa hình, siêu đa hình và sử dụng lại mã. Với mức độ tàng hình cao, phần mềm độc hại đã trở thành công cụ mạnh mẽ và tinh vi được tin tặc sử dụng để xâm nhập hệ thống. Bài báo tập này tập trung đánh giá khả năng lẩn tránh của một số công cụ mã nguồn mở Veil- Framework, TheFatRat, Shellter, Unicorn, Venom, Phantom-Evasion, Onelinepy, MsfMania và PayGen đối với giải pháp antivirus Bitdefender.
Veil-Framework là một khung ứng dụng phổ biến được viết bằng Python, được sử dụng để tạo ra các payload có thể tránh được phần lớn các giải pháp antivirus. Veil-Framework chứa các công cụ được sử dụng trong quá trình thử nghiệm thâm nhập.
TheFatRat là một công cụ khai thác được tạo bởi tác giả Edo Maland đến từ Indonesia, công cụ này có thể tạo phần mềm độc hại trên các , Windows, Mac và Android. TheFatRat cung cấp cho tin tặc cách thức dễ dàng để tạo ra các cửa hậu và payload có thể vượt qua hầu hết các giải pháp antivirus. Với lợi thé tạo ra các payload bằng ngôn ngữ C, TheFatRat có the qua mặt các giải pháp bảo mật.
Shellter là công cụ cho phép đưa payload vào tập thực thi Windows (EXE) hợp lệ. Quá trình này cho phép ngụy trang một payload thành một tệp thực thi thực sự, điều này có thể làm tăng đáng kể cơ hội vượt qua được giải pháp antivirus. Shellter có thể mã hóa lại bất kỳ ứng dụng Windows 32-bit để nhúng mã shell tùy chỉnh hoặc bất kỳ payload nào được tạo bằng msfvenom để lẩn tránh antivirus.
Unicorn được sử dụng để hỗ trợ cuộc tấn công hạ cấp Powershell và đưa các payload Shellcode tinh vi vào thẳng bộ nhớ. Unicorn được xây dựng từ các kỹ thuật được phát triển bởi Graeber và người sáng lập TrustedSec David Kennedy.
Venom là công cụ tạo/biên dịch/trình nghe Metasploit shellcode. Venom sử dụng MSFvenom từ Metasploit Framework để tạo shellcode ở các định dạng khác nhau: C, Python, Ruby, DLL, MSI, HTA- PSH và đưa shellcode được tạo vào một hàm. Mã shellcode được thực thi trong bộ nhớ bởi hàm đó và sử dụng trình biên dịch như GCC (trình biên dịch chéo GNU) hoặc Mingw32, Pyinstalle để xây dựng tệp thực thi đồng thời khởi chạy trình xử lý song song để xử lý kết nối từ xa phiên shell hoặc phiên meterpreter.
Phantom-Evasion là một công cụ lẩn tránh antivirus được viết bằng Python với khả năng thực thi hoàn toàn không thể phát hiện (FUD_Fully Undetectable). Phantom-Evasion sử dụng mã đa hình và các kỹ thuật phát hiện sự tồn tại của giải pháp antivirus, rất hữu ích cho các chuyên gia thử nghiệm xâm nhập.
Onelinepy là trình xáo trộn Python được sử dụng để tạo ra các payload FUD. Tùy chọn Devploit được sử dụng để tạo các payload chuyên biệt với mục tiêu là các ứng dụng web, ngoài ra công cụ này còn cung cấp khả năng do thám các hệ thống web.
MsfMania là công cụ dòng lệnh được phát triển bằng Python hướng đến hệ điều hành Windows. Công cụ này cho phép tự động tạo các payload bằng ngôn ngữ C#, tạo các chữ ký hợp lệ cho tập thực thi nhằm lẫn tránh hiệu quả các giải pháp phân tích sandbox và giải pháp antivirus. MsfMania gồm phiên bản mã nguồn mở và mã nguồn đóng.
Đây là công cụ tạo payload FUD, các tính năng của PayGen bao gồm: tạo payload tự động với MsfVenom, tạo tập handler.rc, tắt tiến trình trình của chương trình antivirus, chuyển tiếp cổng tự động qua Ngrok, ký exe tự động và tạo tệp payload Android.
Các giải pháp antivirus Bitdefender, Norton, McAfee, Panda và BullGuard đã được [2] đánh giá. Bitdefender được đánh giá là có khả năng phát hiện cũng như hiệu suất hệ thống tốt nhất với điểm đánh giá 9,8/10. Top10antivirus.com một trang web đánh giá giải pháp antivirus miễn phí đã đánh giá TotalAV, Norton, Bitdefender, Intego, Avira, Panda, PCProtect, BullGuard, McAfee và Avast. Trong đó, TotalAV nổi lên là giải pháp antivirus tốt nhất. 67 sản phẩm antivirus đã được [3] xem xét và 13 sản phẩm được chọn là sản phẩm tốt nhất. Đó là: Bitdefender, Kaspersky, McAfee, Webroot, Eset, Malwarebytes, Norton, Sophos Home Premium, Cylance, FSecure, Emsisoft, G Data Antivirus và Trend Micro. Bitdefender là sản phẩm antivirus tốt nhất trong số các sản phẩm được đánh giá.
Mô hình thử nghiệm bao gồm hai máy Kali Linux 2021.3 và Windows 10. Trong đó, Kali Linux được sử dụng làm máy tấn công, Windows 10 là máy nạn nhân được cài đặt giải pháp Bitdefender, giải pháp antivirus mặc định trên máy Windows bị vô hiệu hóa trong quá trình thử nghiệm (Hình 1).
Hình 1. Mô hình thử nghiệm
Để thực hiện đánh giá, các phần mềm độc hại là Trojan truy cập từ xa (RAT) sẽ được thực thi và cố gắng kết nối đến máy tấn công thông qua Metasploit Framework hoặc Netcat. Các phần mềm độc hại có thể qua mặt giải pháp antivirus sẽ được tính 1 điểm, nếu có thể tạo được kết nối đến máy tấn công được tính thêm 1 điểm, ngược lại nếu phần mềm độc hại bị phát hiện bởi ứng dụng antivirus sẽ không thể tạo phiên kết nối (ký hiệu x) và không được tính điểm. Sau đây là một số kết quả của quá trình thử nghiệm.
Bảng 1. Thử nghiệm công cụ Veil-Framework
Sau khi cài đặt, Veil-Framework cung cấp cho người dùng tùy chọn sử dụng hai công cụ: Evasion hoặc Ordinance. Evasion tạo ra các cửa hậu, trong khi Ordnance tạo ra các được sử dụng bởi Evasion. Có tổng cộng 41 payload được chia thành 10 loại. Loại đầu tiên là payload dựa trên ngôn ngữ autoit, loại thứ hai bao gồm 3 payload sử dụng với mô-đun Metasploit, loại thứ ba gồm các payload được tạo từ ngôn ngữ lập trình C, loại thứ tư bao gồm các payload được tạo từ ngôn ngữ lập trình C # như trong Hình 2.
Hình 2. Công cụ Veil-Freamework
Ngoài các tải trọng trên, Veil gồm một loạt các payload được tạo từ ngôn ngữ lập trình Go, Lua, Perl, Powershell, Python, Ruby. Các loại payload khác nhau này đã được thử nghiệm với Bitdefender và thu được kết quả như được hiển thị trong Bảng 1.
Bảng 2. Thử nghiệm công cụ Onelinepy
Bảng 3. Thử nghiệm công cụ Paygen
Onelinepy có khả năng làm xáo trộn các payload Python được tạo bởi công cụ như msfvenom. Công cụ pyinstaller được sử dụng để tạo tập thực thi và gửi đến máy tính Windows. Tệp thực thi không bị phát hiện bởi Bitdefender, nhưng phiên khai thác cũng không được khởi tạo thành công. Kết quả của bài kiểm tra được hiển thị trong Bảng 2.
Hai tải trọng được tạo bởi Paygen bao gồm: tải trọng Python và C# windows/ meterpreter/reverse_tcp như trong Bảng 3.
Tiến hành thử nghiệm tương tự đối với các công cụ còn lại thu được kết quả đánh giá khả năng lẩn tránh của các công cụ chống lại giải pháp antivirus Bitdefender như được minh họa trong Hình 3.
Hình 3. Điểm lẩn tránh của công cụ trước giải pháp phòng chống mã độc Bitdefender
Từ Hình 3, có thể thấy rằng Phantom-Evasion, Onelinepy và PayGen có tỷ lệ phần trăm lẩn tránh cao nhất so với giải pháp Bitdefender là 50%. Các công cụ có điểm lẩn tránh thấp nhất là Shellter và Unicorn với điểm lẩn tránh là 0%.
Sự thành công trong mỗi thời điểm của các công cụ lẩn tránh và giải pháp phòng chống như một “trò chơi đuổi bắt” trong thế giới bảo mật, các chuyên gia ở mỗi lĩnh vực luôn cải tiến các giải pháp, thuật toán, chương trình để giành chiến thắng trong “trò chơi” này. Khi có một công cụ tấn công lẩn tránh giải pháp antivirus trở nên phổ biến và thành công với số lượng người dùng tăng lên nhanh chóng, các giải pháp phòng chống cũng sẽ được bổ sung và cập nhật nhằm chống lại các mối đe dọa mới.
|
TÀI LIỆU THAM KHẢO 1. Kalogranis, C. (2018). AntiVirus Software Evasion: An Evaluation of The AV Evasion. University of Piraeus. 2. AntivirusGuide. (2021). Best Antivirus 2021. 3. Rubenking, N. J. (2021, 09 10). The Best Antivirus Protection for 2021. 4. Wagenseil, P. (2021, September 1). The best antivirus software 2021: Free antivirus and paid options tested. 5. Roach, J., & Watts, R. (2021, July 16). Best Antivirus Software Of 2021. 6. Johansson, B. (2021, June 11). 10 Best Antivirus Software [2021]: Windows, Android, iOS & Mac. |
Trần Nhật Long (Trung tâm Công nghệ thông tin và Giám sát an ninh mạng, Ban Cơ yếu Chính phủ)
14:00 | 29/08/2019
15:00 | 18/03/2019
08:00 | 20/12/2017
14:00 | 01/03/2024
Giấu tin (steganography) là một kỹ thuật nhúng thông tin vào một nguồn đa phương tiện nào đó, ví dụ như tệp âm thanh, tệp hình ảnh,... Việc này giúp thông tin được giấu trở nên khó phát hiện và gây ra nhiều thách thức trong lĩnh vực bảo mật và an toàn thông tin, đặc biệt là quá trình điều tra số. Thời gian gần đây, số lượng các cuộc tấn công mạng có sử dụng kỹ thuật giấu tin đang tăng lên, tin tặc lợi dụng việc giấu các câu lệnh vào trong bức ảnh và khi xâm nhập được vào máy tính nạn nhân, các câu lệnh chứa mã độc sẽ được trích xuất từ ảnh và thực thi. Nhằm mục đích cung cấp cái nhìn tổng quan về phương thức ẩn giấu mã độc nguy hiểm, bài báo sẽ giới thiệu về kỹ thuật giấu tin trong ảnh và phân tích một cuộc tấn công cụ thể để làm rõ về kỹ thuật này.
08:00 | 10/02/2024
Hệ thống mật mã RSA là một trong các hệ mật mã khóa công khai đang được sử dụng rất phổ biến trong hệ thống mạng máy tính hiện nay. Việc lựa chọn tham số an toàn cho hệ mật RSA là vấn đề rất quan trọng trong cài đặt ứng dụng hệ mật này. Bài báo này trình bày chi tiết về khuyến nghị độ dài các tham số sử dụng cho hệ thống mật mã RSA như thừa số modulo, số mũ bí mật, số mũ công khai và các thừa số nguyên tố trong một số tiêu chuẩn mật mã của châu Âu, Đức và Mỹ.
14:00 | 02/08/2023
Ngày nay, nhiều tổ chức/doanh nghiệp (TC/DN) đã nhận thức được việc chuyển khối lượng công việc lên đám mây sẽ an toàn hơn là tại cơ sở. Phần lớn cho rằng nhà cung cấp dịch vụ đám mây (CSP) sẽ chịu trách nhiệm về bảo mật. Tuy nhiên, để có được điều này thì cần phải có các bước quan trọng để đảm bảo tính bảo mật của nó.
14:00 | 22/06/2023
Google cho biết đã cung cấp các tính năng tăng cường bảo mật mới cho Trình Quản lý mật khẩu tích hợp sẵn trên trình duyệt Chrome, giúp người dùng quản lý mật khẩu của họ dễ dàng hơn và giữ an toàn trước mối đe dọa từ các cuộc tấn công chiếm đoạt tài khoản.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Trong lĩnh vực chữ ký số, lược đồ ký số dựa trên đường cong Elliptic (ECDSA) được đánh giá là một trong những lược đồ chữ ký số có độ an toàn cao, dù ra đời sau nhưng ECDSA đang dần được thay thế cho lược đồ ký số RSA. Bài báo này tập trung giới thiệu lược đồ ECDSA, ứng dụng của ECDSA trong thực tế và các tham số an toàn được khuyến nghị dùng cho ECDSA.
11:00 | 13/05/2024
Sự phổ biến của các giải pháp truyền tệp an toàn là minh chứng cho nhu cầu của các tổ chức trong việc bảo vệ dữ liệu của họ tránh bị truy cập trái phép. Các giải pháp truyền tệp an toàn cho phép các tổ chức bảo vệ tính toàn vẹn, bí mật và sẵn sàng cho dữ liệu khi truyền tệp, cả nội bộ và bên ngoài với khách hàng và đối tác. Các giải pháp truyền tệp an toàn cũng có thể được sử dụng cùng với các biện pháp bảo mật khác như tường lửa, hệ thống phát hiện xâm nhập (IDS), phần mềm chống virus và công nghệ mã hóa như mạng riêng ảo (VPN). Bài báo sẽ thông tin tới độc giả những xu hướng mới nổi về chia sẻ tệp an toàn năm 2024, từ các công nghệ, giải pháp nhằm nâng cao khả năng bảo vệ dữ liệu trước các mối đe dọa tiềm ẩn.
08:00 | 07/05/2024
