Sự khác biệt giữa virus máy tính và sâu máy tính Worm

Khác biệt cốt lõi giữa virus và sâu máy tính nằm ở cách chúng lây: virus cần gắn vào một tệp hoặc chương trình chủ và cần người dùng chạy tệp đó, còn sâu (worm) là chương trình độc lập, tự sao chép và tự lan qua mạng mà không cần ai bấm vào. Vì vậy sâu thường lan nhanh hơn rất nhiều, trong khi virus lan chậm hơn nhưng bám chặt vào tệp tin và khó gỡ sạch nếu đã lây vào nhiều chương trình.

Trong giao tiếp hằng ngày, "virus" thường được dùng để gọi chung mọi phần mềm độc hại. Nhưng trong bảo mật, phân biệt đúng giúp chọn đúng biện pháp: chống virus tập trung vào tệp và thói quen người dùng, còn chống sâu tập trung vào vá lỗi và kiểm soát mạng.

Virus máy tính hoạt động như thế nào

Virus máy tính mô phỏng virus sinh học: nó không tự sống được mà phải "ký sinh". Đoạn mã độc chèn vào một tệp thực thi, một tài liệu có macro hoặc vùng khởi động của ổ đĩa. Khi người dùng mở tệp đó, mã virus chạy trước hoặc song song với chương trình gốc, sau đó tìm tệp khác để lây tiếp.

Các đặc điểm điển hình:

• Cần vật chủ: tồn tại bên trong tệp hoặc vùng khởi động.
• Cần kích hoạt: chỉ chạy khi tệp bị nhiễm được mở.
• Lây theo tệp: lan khi tệp được chép qua USB, gửi qua email, chia sẻ qua ổ mạng.
• Có thể có tải trọng: xóa dữ liệu, làm hỏng tệp, hiển thị thông báo, hoặc chỉ âm thầm lây.

Các dạng virus từng phổ biến gồm virus lây tệp thực thi, virus vùng khởi động lây qua đĩa mềm thời trước và virus macro lây qua tài liệu văn phòng. Ngày nay virus thuần túy ít gặp hơn, nhưng virus macro trong tài liệu vẫn là mối đe dọa, đặc biệt qua email.

Sâu máy tính hoạt động như thế nào

Sâu là chương trình hoàn chỉnh, không cần gắn vào tệp khác. Sau khi chạy trên một máy, nó tự động tìm máy mới để lây: quét mạng tìm dịch vụ có lỗ hổng, gửi email chứa bản sao của mình tới danh bạ, sao chép vào ổ USB hoặc thư mục chia sẻ.

• Độc lập: là một tệp thực thi riêng.
• Tự lan: nhiều loại không cần người dùng tương tác nếu khai thác được lỗ hổng mạng.
• Tốc độ cao: mỗi máy nhiễm lại trở thành nguồn lây, tạo hiệu ứng cấp số nhân.
• Tốn tài nguyên mạng: lưu lượng dò quét có thể làm nghẽn mạng ngay cả khi không có tải trọng phá hoại.

Lịch sử bảo mật ghi nhận nhiều đợt sâu bùng phát làm tê liệt mạng toàn cầu chỉ trong vài giờ, vì chúng khai thác lỗ hổng phổ biến trên các hệ thống chưa vá. Một số đợt mã độc tống tiền nổi tiếng cũng kết hợp khả năng tự lan kiểu sâu.

Bảng so sánh virus và sâu

Còn Trojan thì sao?

Trojan là nhóm thứ ba hay bị nhầm lẫn. Trojan không tự lây như sâu, cũng không ký sinh như virus. Nó giả dạng phần mềm hữu ích để người dùng tự cài vào máy, sau đó mở cửa cho các hoạt động độc hại. Chi tiết về nhóm này có trong bài Trojan Horse là gì.

Trên thực tế, mã độc hiện đại thường lai ghép: một Trojan được phát tán qua email, sau khi chạy sẽ tải thêm thành phần tự lan kiểu sâu và mã độc tống tiền. Phân loại vì thế mang tính mô tả hành vi hơn là ranh giới cứng.

Phòng chống virus: tập trung vào tệp và người dùng

• Không mở tệp đính kèm, tệp tải về từ nguồn không rõ.
• Tắt macro mặc định trong ứng dụng văn phòng, chỉ bật cho tài liệu tin cậy.
• Quét USB trước khi mở tệp bên trong.
• Duy trì phần mềm chống mã độc với chữ ký cập nhật.
• Không dùng phần mềm bẻ khóa, vốn là nơi virus hay ẩn náu.

Phòng chống sâu: tập trung vào hệ thống và mạng

• Cài bản vá bảo mật kịp thời, nhất là cho các dịch vụ mở ra mạng.
• Bật tường lửa trên từng máy, đóng cổng không cần thiết.
• Phân đoạn mạng để một máy nhiễm không chạm được tới mọi máy khác.
• Tắt giao thức cũ, dịch vụ không dùng.
• Giám sát lưu lượng mạng để phát hiện dò quét bất thường.

Để hiểu sâu hơn sâu máy tính tận dụng mạng nội bộ thế nào, đọc bài cơ chế lây lan qua mạng LAN. Còn nếu muốn biết các dịch vụ nào đang mở trên máy của mình, hãy tham khảo bài sử dụng Nmap rà quét cổng trên chính hệ thống bạn quản lý.

Vì sao cần phân biệt khi xử lý sự cố

Khi một máy trong văn phòng có vấn đề, biết đó là virus hay sâu giúp quyết định phạm vi xử lý. Nếu là virus lây qua tệp, trọng tâm là tìm các tệp đã bị nhiễm và nguồn gốc của chúng, chẳng hạn một USB hay một tài liệu được chuyển qua lại. Nếu là sâu, trọng tâm là mạng: máy nào đã kết nối với máy nhiễm, máy nào còn thiếu bản vá, và cần chặn cổng nào để dừng lây lan. Hai cách tiếp cận đòi hỏi công cụ và người phụ trách khác nhau, nên xác định sớm giúp tiết kiệm nhiều thời gian.

Dấu hiệu nhận biết khi bị nhiễm

Virus thường biểu hiện qua tệp: chương trình hỏng, kích thước tệp thay đổi, tài liệu tự bật cảnh báo macro. Sâu thường biểu hiện qua mạng: mạng chậm bất thường, máy gửi email hàng loạt, phần mềm bảo mật báo nhiều kết nối bị chặn, nhiều máy trong cùng văn phòng có triệu chứng giống nhau cùng lúc.

Dù là loại nào, nguyên tắc ứng phó vẫn là cách ly trước, xử lý sau. Với sâu, cách ly càng quan trọng vì mỗi phút máy nhiễm còn nối mạng là thêm cơ hội lây sang máy khác.