Phân loại mã độc hiện nay

Trong tài liệu của NIST có một số khác biệt theo định nghĩa và cách hiểu thông thường về Virus máy tính đang thông dụng. Ngay trong tên của tài liệu đã nêu lên sự khác biệt, các tác giả nói tới “Malware” chứ không sử dụng thuật ngữ “Virus”.

Tại Việt Nam hiện nay, thuật ngữ “Virus máy tính” được dùng hết sức rộng rãi và bao hàm tất cả các dạng mã độc hại trên mạng, trong máy tính cá nhân khi nói đến “Virus máy tính”, một cách rất tự nhiên tất cả mọi người đều nghĩ Virus bao gồm cả Worm, Trojan, Keylogger. Trong khi theo định nghĩa của NIST (và gần như là của cả cộng đồng IT) Virus, Worm, Trojan horse, Adware, Spyware, Backdoor, Botnet, Launcher, Rootkit, chỉ là một dạng của mã độc hại. Sự khác biệt này dẫn tới một số khó khăn, ví dụ như khi trao đổi với các tổ chức quốc tế về an toàn thông tin, trao đổi với hỗ trợ kỹ thuật từ các Trung tâm phòng chống Virus của nước ngoài do không đồng nhất về định nghĩa. Phía Việt nam thông báo “bị Virus tấn công”, đối tác sẽ gửi lại một chỉ dẫn để quét tập tin bị nhiễm trên PC, nhưng thực chất đó là một cuộc tấn công của Worm và phải phòng chống trên toàn bộ mạng.
Do vậy bài viết này sẽ tập trung vào việc phân loại và giới thiệu về một số loại mã độc với các chức năng và mục đích hoạt động khác nhau.

Virus máy tính

Trong khoa học máy tính, Virus máy tính (thường được người sử dụng gọi tắt là Virus) là những chương trình hay đoạn mã được thiết kế để tự nhân bản và sao chép chính nó vào các đối tượng lây nhiễm khác (tập tin, ổ đĩa, máy tính, ). Trước đây, Virus thường được viết bởi một số người am hiểu về lập trình muốn chứng tỏ khả năng của mình nên thường Virus có các hành động phá hoại như làm chương trình không hoạt động đúng như mong muốn, xóa dữ liệu, làm hỏng ổ cứng, những Virus mới được viết trong thời gian gần đây không còn thực hiện các trò đùa hay sự phá hoại đối máy tính của nạn nhân bị lây nhiễm nữa, mà đa phần hướng đến việc lấy cắp các thông tin cá nhân nhạy cảm (các mã số thẻ tín dụng, tài khoản, tài liệu mật…) mở cửa sau cho tin tặc đột nhập chiếm quyền điều khiển hoặc thực hiện các hành động khác nhằm có lợi cho người phát tán Virus. Chiếm trên 90% số Virus đã được phát hiện là nhắm vào hệ thống sử dụng hệ điều hành họ Windows chỉ đơn giản bởi hệ điều hành này được sử dụng nhiều nhất trên thế giới. Do tính thông dụng của Windows nên các tin tặc thường tập trung hướng vào chúng nhiều hơn là các hệ điều hành khác. Ngày nay ngoài những mẫu Virus thông thường thì đã xuất hiện những biến thể Virus khác với các kỹ thuật tinh vi hơn cụ thể là Virus đa hình (polymorphic) và siêu đa hình (meta-polymorphic).
Virus đa hình khác với các loại Virus thông thường ở chỗ Virus thông thường luôn giữ nguyên mã lệnh của mình, chính vì vậy chúng dễ dàng bị phát hiện bởi các phần mềm diệt Virus. Nhưng Virus đa hình có khả năng tự động biến đổi mã lệnh và tạo ra các dạng mã độc khác nhau (sử dụng thuật toán dựa trên thời gian và đối tượng lây nhiễm) trong mỗi lần lây nhiễm. Khả năng này giúp cho Virus đa hình có thể lẩn tránh khỏi sự truy quét của các phần mềm diệt Virus. Virus siêu đa hình là thế hệ cao hơn của Virus đa hình, chúng cao cấp hơn ở chỗ hình thức lai tạo và kết hợp nhiều kiểu đa hình khác nhau. Khi lây nhiễm chúng sẽ tự động biến đổi, lai tạp và hình thành các thế hệ Virus con từ F1…Fn. Sau mỗi lần lai tạp thì khả năng phát hiện ra chúng càng khó khăn, chính vì vậy Virus siêu đa hình hầu hết qua mắt được các phần mềm diệt Virus không có cơ chế quét sâu và dẫn tới việc quét Virus không triệt để. Một số Virus siêu đa hình như Vetor, Sality…

Sâu máy tính

Sâu máy tính (Worm): cũng là một dạng mã độc nhưng có khả năng tự nhân bản, tự tấn công và tự tìm cách lan truyền qua hệ thống mạng (thường là qua hệ thống thư điện tử và các lỗ hổng trong hệ điều hành). Điểm cần lưu ý ở đây, ngoài tác hại thẳng lên máy bị nhiễm, nhiệm vụ chính của Worm là phá các mạng thông tin, làm giảm khả năng hoạt động hoặc có thể được dùng để đánh cắp thông tin nhạy cảm từ các mạng này. Worm nổi tiếng nhất được tạo bởi Robert Morris vào năm 1988. Nó có thể làm hỏng bất kì hệ điều hành UNIX nào trên Internet.
Trong năm 2001, sâu mật mã đỏ xuất hiện và tấn công vào các máy Windows để khai thác lỗ hổng trên máy chủ web IIS, sâu này đã tạo ra một kỷ lục về tốc độ lây lan khi chỉ trong một ngày 19-07-2001 đã có hơn 359.000 máy tính bị nhiễm.

Trojan hourse

Trojan Horse, đây là loại chương trình cũng có tác hại tương tự như Virus máy tính chỉ khác là nó không tự nhân bản ra. Cách lan truyền duy nhất là thông qua các thư điện tử hoặc thông qua các phần mềm miễn phí có đính kèm Trojan. Thông thường, tính năng chính của Trojan là nhắm đến những nhóm người dùng riêng để thu thập thông tin về hành vi và thói quen sử dụng internet của họ sau đó gửi các thông tin này về cho tin tặc.
Để loại trừ loại này người dùng chỉ việc tìm ra tập tin Trojan horse rồi xóa nó đi là xong. Tuy nhiên, không có nghĩa là không thể có hai con Trojan horse trên cùng một hệ thống. Chính những kẻ tạo ra các phần mềm này sẽ sử dụng kỹ năng lập trình của mình để sao lưu thật nhiều con trước khi phát tán lên mạng. Đây cũng là loại mã độc cực kỳ nguy hiểm, nó có thể hủy ổ cứng, hủy dữ liệu.

Phần mềm gián điệp (Spyware)

Spyware hay còn gọi phần mềm gián điệp là một dạng mã độc nhằm theo dõi những hoạt động của người dùng và gửi dữ liệu tới người điều khiển chúng để phục vụ cho mục đích riêng của họ. Ví dụ, những người của những công ty Marketing cố gắng thu thập những tin tức về người dùng để hỗ trợ cho việc bán hàng được tốt hơn. Ngày nay phần mềm gián điệp còn được các công ty hay tổ chức chính phủ sử dụng để theo dõi người dùng thông qua việc nghe lén các cuộc điện đàm hoặc các cuộc hội thảo truyền hình.
Spyware thường được cài đặt bí mật vào máy người dùng trong khi họ mở một tập tin văn bản hoặc cài đặt một ứng dụng miễn phí nào đó. Nhiều chương trình Spyware có thể làm chậm kết nối Internet bằng cách chiếm băng thông đường truyền mạng. Chúng cũng có thể làm cho máy tính của nạn nhân bị chậm đi vì chiếm tài nguyên như RAM và chu kỳ làm việc của CPU.

Phần mềm tống tiền (Ransomware)

Phần mềm tống tiền hay còn gọi Ransomware là loại phần mềm giả danh một tổ chức chính phủ và sử dụng một hệ thống mật mã để mã hóa dữ liệu thuộc về một cá nhân, chẳng hạn như khóa máy tính người dùng lại và đòi tiền chuộc thì mới cho sử dụng lại.

Phần mềm quảng cáo

Phần mềm quảng cáo hay còn gọi Adware thường đính kèm với những mẩu quảng cáo nhỏ, chúng thường được phân phát dưới hình thức phần mềm miễn phí hay phiên bản dùng thử. Và chỉ khi bạn trả tiền cho sản phẩm dùng thử đó, các quảng cáo sẽ biến mất tùy theo chính sách của hãng phần mềm đó. Tuy nhiên, phần mềm gián điệp cũng là một trong các "biến thể" của phần mềm quảng cáo, chúng đuợc bí mật cài vào máy tính người sử dụng khi họ đang duyệt web nhằm thu thập thông tin về hành vi duyệt web của người dùng để gửi đến họ những mẫu quảng cáo thích hợp. Ngày nay bắt đầu xuất hiện nhiều những phần mềm quảng cáo đính kèm Virus máy tính, sâu hoặc Trojan horse,… có thể gây tổn hại nghiêm trọng cho một hoặc một hệ thống máy tính.

Downloader

Downloader là một dạng mã độc dùng để tải các mã độc khác về máy người dùng. Để tải về được các mã độc, Downloader cần kết nối đến một máy chủ chứa mã độc, điều này khác với thuật ngữ dropper là loại mã độc có chứa sẵn mã độc bên trong nó.

Backdoor

Backdoor là các đoạn mã độc được gài lên máy nạn nhân cho phép tin tặc kết nối để điều khiển máy tính nạn nhân. Backdoor cho phép kẻ tấn công kết nối đến máy nạn nhân mà không cần chứng thực, từ đó kẻ tấn công có thể thực thi các câu lệnh ngay trên máy nạn nhân.

Botnet

Bot là những chương trình mã độc được cài lên các máy tính nạn nhân và các máy tính này sẽ nằm trong một mạng lưới được điều khiển bởi tin tặc gọi là mạng Botnet. Tương tự như backdoor, Botnet cũng cho phép kẻ tấn công truy cập và điều khiển hệ thống máy nạn nhân. Tất cả các máy bị nhiễm cùng một loại Botnet sẽ cùng nhận một chỉ thị lệnh từ một máy chủ điều khiển của kẻ tấn công thông qua các kênh như Internet Relay Chat (IRC) hoặc hệ thống mạng ngang hàng peer-to-peer (P2P).
Ngày nay khi đã có trong tay một mạng lưới bonet, các tin tặc hoặc tổ chức điều khiển Botnet có thể sử dụng chúng như một công cụ chiến tranh mạng, tiêu biểu là tấn công từ chối dịch vụ vào các mục tiêu cụ thể nhằm làm tê liệt hệ thống mạng của một tổ chức hoặc thậm chí là hệ thống mạng của một quốc gia.

Rootkit

Rootkit là những đoạn mã độc được thiết kế nhằm che dấu sự tồn tại của những đoạn mã độc khác bên trong nó. Rootkit thường được dùng để kết hợp với một mã độc khác như Backdoor, Keylogger để tin tặc có thể truy cập từ xa vào máy nạn nhân và làm hệ thống gặp khó khăn trong việc phát hiện ra loại mã độc này.
Ví dụ như trong hệ thống Windows, Rootkit có thể sửa đổi, thay thế file, hoặc thường trú trong bộ nhớ nhằm thay thế, sửa đổi các lời gọi hàm của hệ điều hành.
Với sự xuất hiện của rootkit, các phần mềm độc hại như trở nên “vô hình” trước những công cụ thông thường thậm chí vô hình cả với các phần mềm diệt virus. Việc phát hiện mã độc và tiêu diệt virus trở nên khó khăn hơn rất nhiều trước sự bảo vệ của rootkit – vốn được trang bị nhiều kĩ thuật mới hiện đại.
Xuất hiện lần đầu trên hệ thống Unix từ khá lâu, nhưng kể từ lần xuất hiện “chính thức” trên hệ điều hành Windows vào năm 2005, Rootkit đang dần trở nên phổ biến và trở thành công cụ che giấu hữu hiệu cho các loại phần mềm độc hại khác.

Keylogger

Keylogger là phần mềm được dùng để bí mật ghi lại các phím đã được nhấn bằng bàn phím rồi gửi tới Hacker. Keylogger có thể ghi lại nội dung của email, văn bản, tài khoản và mật khẩu người dùng, thậm chí cả chụp ảnh màn hình máy tính nạn nhân Một số Keylogger phổ biến như KeySnatch, Spyster,…