2. Dẫn nhập
Khi bị nhiễm mã độc, máy tính có nguy
cơ trở thành zombie của một mạng
Botnet
Tác hại của botnet không thể lường trước
được, số lượng máy tính bị nhiễm và trở
thành một phần của mạng botnet ngày
càng đông
3. Tóm tắt nội dung
Botnet và cách thức hoạt động của chúng
Những thành phần cơ bản trong bot
Tấn công và chiếm quyền điều khiển máy
tính
Ngăn chặn hiệu quả và cách đối phó với
nạn botnet
4. Khái niệm
Botnet là một thuật ngữ được lấy từ ý
tưởng của cụm từ “bots network” dùng
để chỉ một mạng lưới các bot
Một bot đơn giản là một chương trình
máy tính được điều khiển bởi ai đó hoặc
từ một nguồn nào bên ngoài
6. DNS Bot
DNS Bot là phương pháp điều khiển bot
trên nền web
• Đầu tiên tại host điều khiển botmaster
sẽ taọ một tệp lệnh (vd: direc.txt) và
bot sẽ download tệp này.
• Sau khi download thành công sẽ tiến
hành phân tích chỉ thị và thực thi chỉ
thị tại máy bị nhiễm (zombie).
7. DNS bot (tt)
Ưu điểm :Thực hiện dễ dàng, điều khiển
đơn giản chỉ cần một host bất kỳ là có thể
điều khiển được, bot thực hiện được công
việc ngay cả khi chủ bot offline
Hạn chế : sự trao đổi thông tin qua lại
giữa master và bot bị hạn chế
8. IRC Bot
Là phương pháp điều khiển qua các
mạng chat IRC
Bot sử dụng winsock gửi các tệp lệnh
IRC để nhận lệnh từ từ master qua một
port đã định sẵn khi cấu hình bot (*)
Sau khi đã vào (join) kênh (chanel)
được ấn định, bot sẽ nhận lệnh từ
master thông qua kết nối IRC
9. IRC Bot (tt)
Ưu điểm : Dễ dàng trong việc trao đổi
thông tin qua lại giữa master và bot
Nhược điểm : Phụ thuộc vào các IRC
Server và người quản trị của IRC Server
bởi các lưu lượng do bot tạo ra rất nhanh
và rất đáng ngờ, dễ bị phát hiện (*)
10. Mục đích sử dụng botnet
Mạng Botnet thường được sử dụng để
kiểm soát các hoạt động từ việc phân phối
spam, virus đến tấn công từ chối dịch vụ
DDoS.
Khả năng sử dụng bot hoàn toàn phụ
thuộc vào sức sáng tạo và kỹ năng của kẻ
tấn công. Chúng ta hãy xem một số mục
đích sử dụng phổ biến nhất.
11. Mục đích sử dụng botnet (tt)
Nếu là master của một
bots network, bạn sẽ làm
gì ?
12. Mục đích sử dụng botnet (tt)
1. DDoS (tấn công từ chối dịch vụ phân tán)
2. Spamming (phát tán thư rác)
3. Sniffing và Keylogging
4. Lấy thông tin nhận dạng
5. Sở hữu phần mềm bất hợp pháp
13. DDoS
Botnet được sử dụng thường xuyên trong
các cuộc tấn công từ chối dịch vụ
(DoS, DDoS, DRDoS, …)
Ngay khi nhận được chỉ thị từ Master, các
zombies đồng loạt thực thi chỉ thị đó: tạo
kết nối, gởi yêu cầu rất nhanh liên tục (*)
14. Spamming
Botnet là công cụ cho các spammer. Được
dùng vừa để trao đổi địa chỉ e-mail thu
thập được, vừa để điều khiển cơ chế phát
tán thư rác theo cùng một cách với kiểu
tấn công DDoS
Thư rác được các Spammer phân phối
qua các bot server và từ đó phát tán tới
zombies (*)
15. Sniffing và Keylogging
Các bot cũng có thể được sử dụng để nâng
cao nghệ thuật cổ điển của hoạt động
sniffing (*)
Ở dạng này các bot được điều khiển để
theo dõi các gói dữ liệu truyền đi của nạn
nhân và có thể lấy một số thông tin thú vị
(như mật khẩu, tên người dùng, các sở
thích cá nhân…)
16. Sniffing và Keylogging
Tương tự như vậy với keylogging, một
hình thức thu thập tất cả thông tin trên bàn
phím khi người dùng gõ vào máy tính
(như e-mail, password, dữ liệu ngân
hàng…)
17. Lấy cắp nhân dạng
Phương pháp này cho phép kẻ tấn công
điều khiển botnet để thu thập một lượng
thông tin cá nhân khổng lồ.
Những dữ liệu có thể được dùng để xây
dựng nhân dạng giả mạo, sau đó lợi dụng
để có thể truy cập tài khoản cá nhân hoặc
thực hiện nhiều hoạt động khác
18. Sở hữu dữ liệu bất hợp pháp
Các máy tính bot trong mạng botnet có thể
được dùng như một kho lưu trữ động tài
liệu bất hợp pháp. Dữ liệu được lưu trữ
trên ổ cứng trong khi người dùng không
hề hay biết
20. Thư giãn || Suy ngẫm
Một khi hệ thống bị nhiễm mã độc, hệ
thống có còn là của người dùng hay không
?¿
21. Các yếu tố một cuộc tấn công
Hình 1: Cấu trúc của một botnet điển hình
22. Các yếu tố một cuộc tấn công
Đầu tiên kẻ tấn công sẽ phát tán mã độc
(vd: trojan horse) vào nhiều máy tính (*)
Các máy tính bị tấn công gọi là zombie sẽ
tự động kết nối tới botnet server nhận lệnh
điều khiển
23. Các yếu tố một cuộc tấn công
Bot Server có thể là một máy công
cộng, một webserver hoặc IRC, nhưng
cũng có thể là máy chuyên dụng do kẻ tấn
công cài đặt lên một trong các máy bị
chiếm quyền điều khiển (*)
Các bot chạy trên máy tính bị chiếm quyền
điều khiển, hình thành một mạng Botnet
24. Các yếu tố một cuộc tấn công
Hình 2: Kỹ thuật botnet hardening
25. Các yếu tố một cuộc tấn công
Để duy trì sự kiểm soát trên các
zombie, attacker thường sử dụng một kĩ
thuật gọi là botnet hardening
Kĩ thuật này được thiết kế sao cho có thể
chuyển các zombie sang một botnet server
dự phòng khác
27. Giải pháp phòng vệ ?
Do bot hoạt động phía người dùng (phân
tán) nên việc phòng vệ chỉ hiệu quả khi áp
dụng bởi người dùng, đây là một thách
thức lớn trong ý thức sử dụng máy tính
(và các thiết bị truyền thông) an toàn
28. Phương pháp bảo vệ
Sử dụng và duy trì phần mềm chống virus
Cài đặt tường lửa
Cài đặt các bản vá phần mềm
Làm theo các hướng dẫn về bảo mật
29. Xu hướng phát triển Botnet
(*)
Khả năng tồn tại
Khả năng lây nhiễm
Khả năng tự động hoá các tác vụ
30. Tổng kết và thảo luận
?
Cảm ơn các bạn đã quan tâm theo dõi !
jutoms@enhack.net