Trojan Horse là gì và cơ chế xâm nhập máy tính

Trojan Horse (ngựa thành Troy) là loại mã độc ngụy trang thành phần mềm hữu ích hoặc tệp vô hại để người dùng tự tay cài vào máy. Khác với virus hay sâu, Trojan không tự lây; nó dựa vào sự tin tưởng của nạn nhân. Sau khi được chạy, Trojan mở cửa cho kẻ tấn công: đánh cắp dữ liệu, tải thêm mã độc khác, điều khiển máy từ xa hoặc biến máy thành một phần của mạng botnet.

Nguồn gốc cái tên

Tên gọi lấy từ truyền thuyết Hy Lạp: quân Hy Lạp tặng thành Troy một con ngựa gỗ khổng lồ, bên trong giấu binh lính. Người Troy kéo ngựa vào thành, đêm đến binh lính ra mở cổng. Trojan máy tính làm điều tương tự: món quà trông hấp dẫn, nhưng thứ thực sự nguy hiểm nằm bên trong và chỉ lộ diện khi đã vào được "thành".

Những vỏ bọc Trojan hay dùng

• Phần mềm bẻ khóa, keygen, activator: người dùng chủ động tìm tải và thường được hướng dẫn tắt phần mềm diệt virus.
• Bản hack game, cheat, mod: nhắm vào người chơi trẻ tuổi.
• Tài liệu công việc: hóa đơn, báo giá, hồ sơ ứng tuyển, công văn giả mạo.
• Ứng dụng giả mạo trên điện thoại: giả ứng dụng cơ quan nhà nước, ngân hàng, công ty điện lực, được gửi qua link sau cuộc gọi lừa đảo.
• Bản cập nhật giả: trang web hiện thông báo "trình duyệt của bạn đã cũ, hãy cập nhật" kèm tệp tải về.
• Công cụ tiện ích: trình chuyển đổi tệp, tải video, dọn dẹp máy từ trang không chính thức.

Cơ chế xâm nhập theo từng giai đoạn

Giai đoạn 1: Phân phối

Trojan đến tay nạn nhân qua email, tin nhắn, mạng xã hội, quảng cáo tìm kiếm giả mạo, trang tải phần mềm lậu. Kẻ tấn công thường mua quảng cáo để trang giả xuất hiện trên đầu kết quả tìm kiếm tên phần mềm phổ biến. Cách nhận diện link phân phối được bàn kỹ trong bài nhận diện đường dẫn tải tệp chứa mã độc.

Giai đoạn 2: Thực thi

Người dùng mở tệp. Để tránh nghi ngờ, Trojan thường làm đúng điều nó hứa ở bề ngoài: hiển thị tài liệu, cài phần mềm thật, báo "kích hoạt thành công". Trong khi đó, phần độc hại chạy ngầm. Nhiều Trojan chỉ là "trình tải" (dropper, loader) nhỏ gọn, nhiệm vụ duy nhất là tải thành phần chính từ máy chủ của kẻ tấn công.

Giai đoạn 3: Duy trì

Trojan tạo cơ chế để tự chạy lại sau khi khởi động: thêm vào mục khởi động, tạo tác vụ định kỳ, cài như dịch vụ hệ thống, chèn vào tiến trình hợp lệ. Nó cũng có thể tắt phần mềm bảo mật, xóa nhật ký hoặc thêm ngoại lệ để không bị quét.

Giai đoạn 4: Liên lạc và hành động

Trojan kết nối tới máy chủ điều khiển (command and control) để nhận lệnh. Lưu lượng thường được ngụy trang thành HTTPS thông thường. Từ đây, kẻ tấn công thực hiện mục tiêu chính.

Các loại Trojan theo mục đích

Nhiều Trojan đánh cắp thông tin tích hợp chức năng ghi phím, được giải thích trong bài tìm hiểu keylogger.

Vì sao Trojan khó bị phát hiện

• Người dùng tự cấp quyền, thậm chí tự tắt bảo vệ theo hướng dẫn đi kèm.
• Tệp được đóng gói, mã hóa, thay đổi liên tục để né chữ ký.
• Một số được ký số bằng chứng chỉ bị đánh cắp, trông như phần mềm hợp lệ.
• Thành phần độc hại chỉ tải về sau, khi đã qua khâu kiểm tra ban đầu.
• Hành vi ngụy trang thành tiến trình hệ thống, lưu lượng mạng giống truy cập web bình thường.

Phòng tránh Trojan

1. Tải phần mềm từ trang chính thức hoặc kho ứng dụng; cẩn thận với quảng cáo trên đầu kết quả tìm kiếm.
2. Không dùng phần mềm bẻ khóa; chi phí bản quyền thấp hơn nhiều so với thiệt hại khi mất dữ liệu.
3. Bật hiển thị đuôi tệp để nhận ra tệp thực thi đội lốt tài liệu.
4. Không bao giờ tắt phần mềm diệt virus theo yêu cầu của một tệp hay hướng dẫn trên mạng.
5. Dùng tài khoản người dùng thường thay vì tài khoản quản trị cho công việc hằng ngày.
6. Cập nhật hệ điều hành, trình duyệt và ứng dụng.
7. Với tệp bắt buộc phải mở mà còn nghi ngờ, thử trước trong môi trường cách ly theo bài sử dụng sandbox.

Nếu nghi đã cài phải Trojan

Ngắt mạng, không đăng nhập thêm tài khoản nào trên máy đó. Dùng thiết bị khác để đổi mật khẩu email, ngân hàng và các tài khoản quan trọng, đăng xuất mọi phiên đang hoạt động. Quét máy bằng công cụ cập nhật, tốt nhất từ môi trường cứu hộ. Với Trojan truy cập từ xa hoặc backdoor, cài lại hệ điều hành là lựa chọn an toàn hơn cố gắng gỡ thủ công. Nếu có thiệt hại tài chính, báo ngay cho ngân hàng và cơ quan công an.

Trojan thành công không phải nhờ kỹ thuật cao siêu mà nhờ khai thác sự tin tưởng và vội vàng. Dừng lại vài giây để hỏi "tệp này từ đâu ra, mình có thực sự cần nó không" là lớp phòng thủ rẻ nhất và hiệu quả nhất.