BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
Trường Cao Đẳng Bách Khoa Hưng Yên
Khoa: Công Nghệ Thông Tin Và Truyền Thông
_________________***_________________
BÁO CÁO BÀI TẬP LỚN VIRUS MÁY TÍNH
Đề Tài : Tìm hiểu virus Trojan house
Giáo viên hướng dẫn : Đăng Đức Dũng
Sinh Viên Thực Hiện :BÙI THỊ LỤA
Lớp CĐ5 – K6
HƯNG YÊN – 10/2013
MỤC LỤC
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
1
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
Mở Đầu!!!! 3
Chương 1: Tổng quan virus máy tính 4
1.Giới thiệu về virus máy tính: 4
1.1Virus máy tính và các tính chất 4
1.1.1Khái niệm 4
1.1.2Các tính chất 5
1.2. Lịch sử phát triển của virus 5
1.2.1 Tên của virus máy tính 7
1.2.2 Trojan 10
1.2.2.1 Định nghĩa Trojan 10
1.2.3.2 Phương pháp lây nhiễm Trojan 10
1.2.3 Sự nguy hiểm của Trojan 12
1.2.4 Phân loại Trojan 12
1.2.4.1/ Trojan dùng để truy cập tư xa: 12
1.2.4.2/ Móc nối bàn phím key logger 13
1.2.4.3 Trojan gửi mật khẩu: 13
1.2.4.4 Trojan phá hủy: 14

Mở Đầu!!!!
Virus tin học hiện nay đang là nỗi băn khoăn lo lắng của những người
làm công tác tin học, là nỗi lo sợ của những người sử dụng khi máy tính
của mình bị nhiễm virus. Khi máy tính của mình bị nhiễm virus, họ chỉ
biết trông chờ vào các phần mềm diệt virus hiện có trên thị trường, trong
trường hợp các phần mềm này không phát hiện hoặc không tiêu diệt
được, họ bị lâm phải tình huống rất khó khăn, không biết phải làm như
thế nào. Vì lý do đó, có một cách nhìn nhận cơ bản về hệ thống, cơ chế
và các nguyên tắc hoạt động của virus tin học là cần thiết. Trên cơ sở đó,
có một cách nhìn đúng đắn về virus tin học trong việc phòng chống,
kiểm tra, chữa trị cũng như cách phân tích, nghiên cứu một virus mới
xuất hiện. Ứng với mỗi hệ điều hành đều có những loại virus hoạt động
riêng trên nó như ứng với hệ điều hành DOS ta có virus DOS, ứng với hệ
điều hành Windows ta có virus Windows. Và sự phát triển của tin học
gắn liền với nó là sự phát triển của virus tin học mỗi khi có một phần
mềm, một chương trình, một hệ điều hành mới xuất hiện thì virus mới
cũng xuất hiện theo và kéo theo đó là chương trình diệt virus. Vì vậy
việc nghiên cứu, nhận dạng và phát hiện virus để từ đó có biện pháp
thích hợp để ngăn chặn và phòng trừ virus đạt kết quả cao nhất.
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
3
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
Chương 1: Tổng quan virus máy tính
Để phát hiện và diệt được virus tin học thì trước hết phải hiểu rõ được
bản chất của chúng. Về nguyên tắc chung, công việc diệt virus thì đa
phần là làm ngược lại những gì mà virus đã làm. Vì vậy, chương này tập
chung nghiên cứu vào nội dung liên quan đến cơ chế hoạt động của virus
để làm rõ bản chất virus của tin học. Từ đó xây dựng chương trình tìm và
diệt virus.
1.Giới thiệu về virus máy tính:

được.
• Tính ẩn: tính chất này àm cho virus tránh được sự phát hiện của
chương trình anti- virus và tăng tốc lây nhiễm, đảm bảo sự tồn tại
của nó. Virus có thể giảm tối đa kích thước của mình bằng cách
tối ưu hóa mã lệnh của nó hoặc sử dụng 1 số giải thuật tự nén và
giải nén. Tuy nhiên điều này cũng có nghĩa là virus phải giảm tốc
độ phứ tạp của nó dễ dàng cho các trình lập viên phân tích mã
lệnh.
• Tính phá hoại : tính chất này có thể không có ở 1 loại virus vì đơn
giản chúng chỉ được viết ra để “ thư giãn” hoặc kiểm nhiệm khả
năng lây lan mà thôi. Tuy nhiên nhiều loại virus có khả năng phá
hoại rất cao.
1.2. Lịch sử phát triển của virus
Có thể nói lịch sử của Viruses máy tính gắn liền với lịch sử của sự phát
triển của máy tính. Khi phần mềm, phần cứng và hệ điều hành thay đổi
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
5
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
thì Viruses cũng biến đổi phù hợp để ký sinh trên máy tính đó.
Có thể việc viết virus mang mục đích phá hoại, thử nghiệm hay đơn giản
chỉ là một thú đùa vui ác ý. Nhưng chỉ có điều những cái đầu thông minh
này khiến những người dùng máy tính bực mình khi gặp phải, còn các
chuyên gia antivirus đau đầu suy nghĩ cách khắc phục. Những người viết
viruses luôn luôn nghĩ ra những ý tưởng mới còn những người diệt
viruses thì luôn phải ngăn chặn. Và cuộc đấu trí này gần như không bao
giờchấmdứt
Lý thuyết về nguyên lý hoạt động của Virus máy tính được John von
Neumann đưa ra đời từ rất sớm, trong bài báo với nhan đề "Lý thuyết và
cơ cấu của các phân tử tự hành phức tạp" (Theory and Organization of
Complicated Automata) - Bài báo được công bố tháng 12/1949. Trong

đăt tên cho một loại virus mới hiện nay thường gặp vơi rất nhiều danh
tính
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
7
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
bất đồng về tên và cách đặt tên những loại virus đã tạo ra những điều
khó hiểu trong lĩnh vực này từ đó dẫn đén những khó khăn trong biên
pháp đối phó và góp phần cho virus phát tán. Đây cũng là chủ đề đưa ra
thảo luận tại hội nghị toàn cầu về chông virus. Tổ chức tại Toronto –
Canada cuối tháng 9 / 2003.
Kiểu đặt tên mang tính kĩ thaautj thì quan trọng dối với ccs chuyên gia
virus , họ có thể biết được con virus đó thuộc loại nào phiên bản thứ mấy
thong qua tên gọi của virus. Những điều đó lại không quá quan trọng đối
với hầu hết nhwnwngx người sử dụng máy tính, những người thường có
xu hướng nhớ tên virus như I love you, malisa ( nhớ tên theo sự kiện
thay vì VBS.
Tóm lại, bất đồng trong việc dặt tên cho virus ủ những nhà nghiên cứu
hay công ti phần mềm an ninh mạng tạo ra cho virus cùng nhiều laoij tên
khác nhau. Điều đó tạo ra sự lẫn lộn cho nhiều người nhưng đối với phần
mềm diệt virus chỉ xem xét những đặc điểm và dâu hiệu nhận biết của
virus mà không quan tâm đến tên của loại virus đó.
Virus Trojan: Thuật ngữ này đưa vào 1 một điển tích cổ, đó là1 cuộc
chiến giữa người Hy lạp và người thành tơ roa. Thành Tơ roa là
thành trì kiên cố, quân hy lạp không sao có thể đột nhập vào được người
ta đã ngĩ ra 1 kế giả vờ giảng hòa, sau đó tặng thằng Tơ roa 1 con ngựa
gỗ khổng lồ. SAu khi ngựa được đưa vào trong thành, đêm xuống những
người từ trong bụng ngựa xông ra và đánh chiếm thành từ bên trong.
Phương pháp trên cũng chính là cách mà Trojan máy tính áp dụng. Đầu
tiên hacker bằng cách nào đó làm cho nạn nhân sư dụng chương trình
của mình khi chương trình này chạy về bề ngoài cũng giống như những

BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
1.2.2 Trojan
1.2.2.1 Định nghĩa Trojan
Nhiều người nghĩ rằng khi họ có 1 chương trình quét virus tốt và có cập
nhật mới nhất thì họ sẽ an toàn, máy họ sẽ không bị nhiễm Trojan hay
không ai có thể truy cập máy tính của mình, điều này hoàn toàn sai. Mục
đích của người viết chương trình chống virus là phát hiện ra con virus
mới, không phải là Trojan. Nhưng khi Trojan lây nhiễm đến nhiều người
sử dụng thì những chuyên viên chống lại virus phát hiện được và đưa
vào trong danh sách những virus cần diệt.
Hơn nữa, các chương trình quét virus này không phải là tương lửa, nó sẽ
không phát hiện ra Trojan và bảo vệ ta trong khi ta đang lên mạng.
Nhiều người không dùng không biết Trojan là gì và họ tải xuống những
file mà không rõ nguồn gốc.
1.2.3.2 Phương pháp lây nhiễm Trojan
Theo só liệu thống kê của trung tâm BKIS 90% số người được hỏi có tải
xuống hay sao chép file từ đâu đó không thì trả lời là không, nhưng thực
tế họ đã thực hiện trước đó vài ngày.
Trojan có thể bị lây nhiễm từ rất nhiều con đường khác nhau:
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
10
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
• Trojan lây nhiễm từ ICQ
• Trojan lây nhiễm từ file đính kèm trong mail
• Trojan truy cập trực tiếp
a) Trojan lây nhiễm từ ICQ
Nhiều ngườ ngĩ rằng Trojan không thể lây lan trong khi họ đang nói
chuyện trên ICQ nhưng họ không ngĩ là người đang nói chuyện có
thể gửi cho họ 1 con Trojan.
ICQ cho phép gửi 1 file.exe nhưng nó đã được sửa sao cho nhìn như

xóa dữ liệu. Đôi khi hacker còn dùng Trojan để cài virus phá hoại
như CIH chẳng hạn.
1.2.4 Phân loại Trojan
Có nhiều loại Trojan nhưng chủ yếu được chia thành các dạng:
1.2.4.1/ Trojan dùng để truy cập tư xa:
Đây có lẽ là trojan công khai sử dụng nhiều nhất , chỉ vì họ cung cấp
cho những kẻ tấn công sức mạnh để làm những việc hơn trên máy
tính của nạn nhân hơn là nạn nhân của chính nó, trong khi đứng ở
phía trước của máy. Hầu hết các trojan thường là một sự kết hợp của
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
12
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
các biến thể khác, bạn sẽ đọc dưới đây. Ý tưởng của các trojan là để
cho những kẻ tấn công một việc truy cập vào máy tính của ai đó, và
do đó truy cập vào các tập tin, trò chuyện riêng tư , dữ liệu kế toán,
vv
Hiện nay, Trojan này được sử dụng nhiều. Chức năng chính của
Trojan này là mở 1 cổng trên máy tính nạn nhân để hacker có thể
quay lại truy cập vào máy nạn nhân.
Trojan này rất dễ sử dụng, chỉ cần nạn nhân bị lây nhiễm Trojan và
chủ nhân của nó có địa chỉ IP của nạn nhân thì họ có thể truy cập toàn
quyền trên máy nạn nhân.
Tùy loại Trojan mà chức năng của nó khác nhau( key logger,
download, upload file, thực hiện lệnh)
Một só trojan nổi tiếng như netbus, bach orifice…
1.2.4.2/ Móc nối bàn phím key logger
Những trojan rất simple.The chỉ có một điều họ làm là để đăng nhập
các tổ hợp phím của nạn nhân và sau đó để tìm kiếm kẻ tấn công cho
mật khẩu hoặc dữ liệu nhạy cảm khác trong các tập tin đăng nhập .
Hầu hết họ đến với hai chức năng như ghi âm online và offline. Tất

người kết nối đến máy tinh đó mà không cần mật khẩu và họ sẽ toàn
quyền tải bất kì dữ liệu nào xuống.
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
14
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
1.2.5 Mục đích của Trojan
Nhiều người ngĩ rằng hacker dùng Trojan chỉ để phá hoại máy của
họ, điều đó hoàn toàn sai lầm. Trojan là một công cụ rất hữu hiệu
người sử dụng nó tìm được rất nhiều trên máy nạn nhân.
• Thông tin về credit card thông tin về khác hang.
• Tìm kiếm thông tin về account và dữ liệu bí mật
• Danh sách địa chỉ email, địa chỉ nhà riêng.
• Account Passwords hay tất cae những thông tin cơ vệ công ty.
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
15
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
1.2.6 Phương thức hoạt động của Trojan
Khi nạn nhân chay file Trojan, nếu là Trojan dạng truy cập từ
xa(remote access), file server trong trojan sẽ luôn ở chế độ lắng nghe.
Nó sẽ chờ đến khi nào nhận được tín hiệu của client, ngay lập tức nó
sẽ mở ngay 1 cổng nào đó để hacker có thể truy cập vào. Nó có thể sử
dụng giao thức TCP hoặc giao thức UDP.
Khi hacker kết nối vào địa chỉ IP của nạn nhân, họ có thể làm bất cứ
điều gì nội dung Trojan đã bao hàm những điều khienr đó.
Còn nếu Trojan loại keylogger hay loại gửi mật khẩu thì nó tiến hành
việc ghi lại tất cả gì được gõ trên bàn phím. Tất cả được lưu trữ trong
một file theo 1 đường dẫn nhất định. Tại 1 thời điểm nào đó chủ nhân
của con Trojan đó sẽ xâm nhập vào máy tính đó thông qua cổng sau
mà con Trojan đã mở và lấy đi file đó. Đối với những con Trojan có
phương thức gửi file trong bản thân nó tiền hành gửi file đến địa chỉ

Firehotcker 5321 Blade runner 5400
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
17
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
Blade runner
2.x
5402 Robo-hack 5569
Blade runner
1.x
5401 Deep throar 6670
Deep throat 6771 Gatecrasher 6969
2. KỸ THUẬT NHẬN DẠNG VIRUS
2.1 Nhận dạng chính xác mẫu (Signature based delection)
Là công việc nhận dạng chính xác các virus khi chương trình Anti Virus
AV đã có mẫu của virus đó. Kỹ thuật này có thể mô tả đơn giản như
sau: các file cần kiểm tra virus được phân tích và so sánh với mẫu virus
đã biết trước, nếu phát hiện một đoạn mã virus thì file đó có thể bị lây
nhiễm virus và phần mềm thực hiện biện pháp loại bỏ virus khỏi file bị
lây nhiễm. Kỹ thuật nhận dạng chính xác mẫu virus khiến cho các phần
mềm liên tục phải cập nhật cơ sở dữ liệu để có khả năng nhận biết các
loại virus mới cùng các biến thể của nó.
Các phần mềm diệt virus đều sử dụng kỹ thuật này để quét virus. Số các
mã nhận dạng càng lớn thì khả năng diệt virus của AV đó càng cao. Tất
cả các kỹ thuật nhận dạng khác ra đời đều với mục đích bổ trợ cho
những thiếu sót của kỹ thuật nhận dạng này. + Ưu điểm của kỹ thuật
nhận dạng chính xác mẫu virus: Độ chính xác của việc nhận dạng virus
cao, ít nhầm lẫn. Kết quả của việc diệt virus tốt hơn. Các kỹ thuật nhận
diện tương đối chỉ cho phép nghi ngờ một file có phải là virus hay
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
18

là với file có kích thước lớn. Nhược điểm này bộc lộ rõ khi quét
virus cho tất cả các file trong hệ thong.
2.1.3Lấy đại diện theo một phần thông tin quan trọng
Để khắc phục nhược điểm trên người ta đã cải tiến bằng cách chỉ tính
hash của một phần thông tin quan trọng nào đó của file .
Ví dụ đối với file thực thi (.exe, .com, .dll, .sys ….) phần thông tin
quan trọng có thể là PE header (Portable executable), vùng nhớ xung
quanh Entry Point của chương trình. Việc lựa chọn vùng thông tin
nào là quan trọng phụ thuộc vào chiến lược riêng của từng hãng AV
• Ưu điểm: Đã cải tiến được tốc độ lấy hash đáng kể so với
phương pháp lấy hash toàn file
• Nhược điểm: Cài đặt phức tạp hơn phương pháp lấy hash toàn
file. Không phải tất cả các định dạng file đều có thể lựa chọn
được vùng chứa thông tin quan trọng, đặc trưng của nó, chỉ có
thể áp dụng với một số định dạng nhất định.
2.1.4 Scan theo string
Đây là cách cổ điển nhất và vẫn được sử dụng phổ biến trong hầu hết
các AV hiện nay. Tại vị trí offset nhất định:
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
20
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
2.1.5 Xét theo offset tĩnh hoàn toàn
Trong cách này thì chỉ đơn thuần xác định string nào, tại vị trí offset
là bao nhiêu, ta sử dụng sign này để nhận dạng một file có phải là
virus hay không.
Nguyên tắc chọn string để nhận ra đâu là virus thường dựa vào tính
đặc thù của từng virus mà string được chọn có thể khác nhau.
• Ưu điểm: Cách thức update một sign và scan khá dễ thực hiện.
• Nhược điểm: Cách scan này khá bị động với họ virus,
ví dụ nếu tìm cách chèn thêm hay xóa 1 byte trong file binary của

đơn giản thì phần mềm diệt virus sẽ theo dõi sự hoạt động bất thường
của hệ thống để có thể phát hiện các virus chưa được biết đến trong
dữ liệu của nó hoặc các phần mềm độc hại để từ đó đưa ra cảnh báo
người sử dụng, cô lập virus để sẵn sàng gửi mẫu đến hãng bảo vệ
phân tích và cập nhật vào bản nâng cấp cơ sở dữ liệu kế tiếp.
Chức năng này ở các phần mềm diệt virus thường cho phép lựa chọn
kích hoạt hoặc không, mức độ hoạt động (sử dụng ở mức độ hoạt
động tích cực, hoạt động trung bình ở mức đề cử, hay hoạt động ở
mức độ thấp - mặc định thiết lập thường là kích hoạt sẵn ở mức độ đề
cử) bởi đa số chúng có thể chiếm tài nguyên và làm chậm hệ thống
đối với các máy tính không đủ mạnh.
2.1.8. Kiểm soát liên tục
Phần mềm diệt virus máy tính thường thực hiện kiểm soát liên tục
theo thời gian thực để bảo vệ hệ thống. Hình thức kiểm soát liên tục
sẽ quét virus mọi file mà hệ thống truy cập đến, mọi file ngay từ khi
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
22
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
bắt đầu được copy vào hệ thống thông qua hình thức nhận biết so
sánh mẫu và theo dõi hành động đáng ngờ.
2.1.9. Kết hợp các phương thức
Nếu chỉ đơn thuần sử dụng kỹ thuật so sánh mẫu thì một phần mềm
diệt virus sẽ thất bại bởi chúng chỉ giải quyết hậu quả các file bị
nhiễm chứ chưa tìm đến nguyên nhân dẫn đến file bị nhiễm. Khi sử
dụng một số phần mềm chưa đủ mạnh ta sẽ nhận thấy trường hợp:
Phần mềm đã diệt được hoàn toàn virus trong máy, nhưng ngay sau
khi phiên khởi động kế tiếp của hệ điều hành, phần mềm lại phát hiện
ra chính virus đó. Đây có thể không phải là phần mềm nhận dạng
được nhưng không diệt được, mà là virus lại được lây nhiễm trở lại
bởi phần mềm đã không thể giám sát quá trình khởi động hệ điều

sinh ra một trị số được gọi là checksum và được kiểm tra định kỳ với
đối tượng hiện hành (file, vùng Boot…). Nếu virus thâm nhập vào đối
tượng này thì chương trình sẽ báo động. Virus có thể lừa các chương
trình chống virus dùng phương pháp này bằng cách tạo ra một
checksum giả. Để tránh điều này các chương trình sử dụng phương
pháp này sử dụng nhiều kỹ thuật mã hóa tạo checksum rất phức tạp
để virus không thể giả mạo được. Điểm yếu của phương pháp này là
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!
24
BÁO CÁO BÀI TẬP LỚN TÌM HIỂU VIRUS TROJAN HOUSE
phải kiểm tra thường xuyên đều đặn một việc làm rất tốn thời gian và
nó không có khả năng phân biệt giữa sự thay đổi thực sự và sự thay
đổi bởi virus tấn công. Do đó người dùng luôn phải lo lắng trước
những cảnh báo sai. Phương pháp này sẽ làm cho virus tồn tại nếu khi
tiến hành checksum lần đầu virus đã tồn tại sẵn. Một nhược điểm nữa
của phương pháp này là không thể áp dụng cho việc phát hiện virus
macro vì những file.DOC luôn thay đổi do người sử dụng
2.2.3. Guard (canh phòng)
Chương trình thường trú (TSR) áp dụng phương pháp này sẽ chặn
mọi thao tác về đĩa, thi hành ứng dụng… và cảnh báo cho người dùng
biết mọi điều khả nghi. Chẳng hạn như việc ghi đè lên file.EXE,
file.COM hoặc ghi trực tiếp lên vùng Boot của đĩa. Tuy nhiên cách
này không phát hiện được virus Boot dùng các hàm trong BIOS để
truy xuất đĩa vì những virus này được nạp trước khi các canh phòng
chạy. Chúng đã chặn các hàm về đĩa của BIOS trước lên các chương
trình kiểu này không kiểm soát được chúng. Các chương trình canh
phòng sẽ cảnh báo sai khi các ứng dụng có ghi lên file.EXE hay
file.COM, chẳng hạn như quá trình nén, bảo vệ, cài đặt phần mềm…
Và nói chung các chương trình loại này làm giảm tốc độ của hệ thống
TRƯỜNG CAO ĐĂNG BÁCH KHOA HƯNG YÊN!!!!!