Powershell on Roduygo | Blog

Săn lùng Malware trong Registry

Fri, 08 May 2026 16:40:00 +0700

Chào mừng các bạn tiếp tục với Series Giải phẫu Windows OS & SOC Analytics! Ở bài viết trước, chúng ta đã hiểu cơ chế hoạt động của Registry. Hôm nay, chúng ta sẽ bước vào một cuộc chiến thực sự: Săn lùng Malware. Một trong những mục tiêu tối thượng của mã độc sau khi xâm nhập thành công là Duy trì sự hiện diện (Persistence) - đảm bảo rằng dù người dùng có tắt máy hay khởi động lại, mã độc vẫn sẽ tự động kích hoạt. Nơi ẩn nấp lý tưởng nhất chính là Registry. Hãy cùng trang bị “vũ khí” PowerShell Autoruns để bóc trần những điểm neo này!

1. Kỹ thuật “Cắm chốt” kinh điển: Auto Run Keys

Hầu hết các phần mềm độc hại, từ cơ bản đến phức tạp, đều lợi dụng các khóa tự khởi động (Auto Run) do Microsoft thiết kế để kích hoạt cùng hệ thống. Các khóa này được chia theo cấp độ phân quyền:

Mức độ người dùng (User Level): HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Khóa này chỉ chạy mã độc khi người dùng hiện tại đăng nhập và không yêu cầu quyền Admin để ghi dữ liệu.
Mức độ hệ thống (Machine Level): HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run. Khóa này chạy cho mọi người dùng trên máy nhưng bắt buộc mã độc phải có quyền Administrator hoặc SYSTEM mới có thể ghi vào đây. Việc mã độc ghi thành công vào khóa này chứng tỏ hệ thống đã bị leo thang đặc quyền.
Khóa “Dùng một lần” (RunOnce): Tương tự như Run, nhưng hệ điều hành sẽ tự động xóa giá trị này ngay sau khi thực thi. Malware tinh vi thường dùng RunOnce để thực hiện các tập lệnh dọn dẹp dấu vết hoặc cài đặt sâu hơn vào hệ thống.

Góc nhìn SOC: Khi mã độc ghi đè hoặc tạo mới giá trị thông qua các API như RegSetValueEx, Windows sẽ ghi nhận sự kiện với Event ID 4657 (A registry value was modified), trong khi Sysmon sẽ ghi nhận Event ID 13 (Registry Value Set). Riêng với khóa RunOnce, bạn sẽ thấy log nổ ra 2 lần (một lần lúc tạo và một lần lúc Windows tự xóa), tương ứng với Sysmon ID 13 và Sysmon ID 12 (Object Deleted).

2. Kỹ thuật ăn bám tiến trình hệ thống: Winlogon & Userinit

Thay vì tạo ra một khóa Registry mới dễ bị phát hiện, những kẻ tấn công khôn ngoan hơn sẽ “ký sinh” vào các tiến trình đăng nhập cốt lõi của Windows là Winlogon.

Hacker thường nhắm vào hai đường dẫn sau tại HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon:

2.1 Ký sinh qua Userinit

Mặc định, giá trị của khóa Userinit chỉ đơn giản là userinit.exe. Tuy nhiên, khóa này có một tính năng đặc biệt (Comma-separated) cho phép nối nhiều đường dẫn với nhau bằng dấu phẩy. Hacker chỉ cần âm thầm chèn thêm một đoạn như userinit.exe, C:\Users\Administrator\AppData\Local\Temp\789a.bat. Kết quả là hệ thống sẽ tự động “rước” mã độc vào máy một cách hoàn toàn hợp lệ ngay sau khi người dùng nhập mật khẩu.

2.2 Đánh tráo giao diện (Shell)

Khóa Shell có nhiệm vụ gọi giao diện màn hình làm việc (mặc định là explorer.exe). Kẻ tấn công có thể thay thế hoàn toàn explorer.exe bằng mã độc của chúng, hoặc nối thêm như explorer.exe, C:\windows\temp\malware.exe.

3. Bóng ma “Cửa sau”: Image File Execution Options (IFEO)

IFEO (HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\) vốn là một tính năng được Microsoft thiết kế để các nhà phát triển gỡ lỗi (debug) ứng dụng của họ. Nhưng trong tay Hacker, IFEO biến thành công cụ leo thang đặc quyền và duy trì sự hiện diện cực kỳ đáng sợ.

Kịch bản tấn công Sticky Keys khét tiếng: Hacker sẽ tạo một khóa con mang tên sethc.exe (chương trình phím dính - Sticky Keys hiện lên khi bạn bấm Shift 5 lần) bên trong IFEO. Tại đây, chúng thêm một giá trị Debugger trỏ thẳng tới cmd.exe.

Kết quả? Ngay tại màn hình khóa Windows (khi chưa cần đăng nhập), hacker chỉ cần bấm phím Shift 5 lần. Thay vì hiện ra bảng Sticky Keys, hệ thống sẽ mở ra một cửa sổ Command Prompt với quyền lực tối cao là SYSTEM, cho phép hacker kiểm soát hoàn toàn máy tính!

4. Thực chiến: Săn lùng Malware với PowerShell Autoruns

Việc mở regedit.exe lên và kiểm tra bằng tay từng khóa là điều không tưởng đối với một SOC Analyst. Đó là lúc chúng ta cần đến Autoruns - một công cụ cực mạnh giúp soi quét mọi ngóc ngách tự khởi động của hệ thống.

Trong môi trường PowerShell, bạn có thể gọi module Get-PSAutorun kết hợp với tham số kiểm tra chữ ký số và xuất ra dạng bảng (GridView) để dễ theo dõi:

Get-PSAutorun -VerifyDigitalSignature | Out-GridView

Khi bảng dữ liệu hiện lên, bạn cần “lia mắt” ngay đến các cột sinh tử sau:

Signed (Đã ký số): Nếu giá trị là False, hãy báo động đỏ! Mã độc hiếm khi có chữ ký số hợp lệ của các nhà phát hành uy tín.
IsOSBinary: Nếu là True, Windows xác nhận đây là tệp tin lõi của hệ điều hành.
Publisher: Thông thường các tệp an toàn sẽ ghi là CN=Microsoft Windows, O=Microsoft Corporation. Nếu cột này bị để trống hoặc ghi một cái tên mờ ám, đó là mục tiêu cần điều tra ngay.

4.1 Kỹ thuật so sánh Baseline (Điểm chuẩn)

Một kỹ năng cao cấp của Blue Team là so sánh Registry hiện tại với một bản sao lưu (Baseline) khi máy tính còn “sạch”.

# Bỏ qua các file chuẩn của OS và tạo bản Baseline
Get-PSAutorun -VerifyDigitalSignature | Where { -not($_.isOSbinary)} | New-AutoRunsBaseLine -Verbose

# So sánh hệ thống hiện tại với bản Baseline cũ
Compare-AutoRunsBaseLine -Verbose | Out-GridView

Bằng lệnh so sánh này, mọi khóa Userinit bị chèn thêm mã độc (như file .bat hay .ps1) hoặc các khóa Run mới mọc lên sẽ bị phơi bày lập tức trong một cửa sổ GridView tách biệt, giúp bạn chẩn đoán hệ thống chỉ trong vài giây.

Windows Registry là một bãi mìn thực sự, nơi mã độc và hệ thống cài răng lược vào nhau. Việc làm chủ các điểm neo Persistence và thành thạo PowerShell Autoruns sẽ giúp bạn bóc tách được những vỏ bọc tinh vi nhất. Ở bài viết tiếp theo, chúng ta sẽ tìm hiểu cách mã độc vượt rào bảo mật bằng kỹ thuật UAC Bypass. Hãy cùng đón chờ!

Tổng quan Windows Event Logs và kỹ năng lọc log bằng PowerShell XML

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Bất kỳ một tên trộm nào khi đột nhập cũng sẽ cố gắng xóa dấu vết, trốn tránh camera. Trong hệ điều hành Windows, “camera an ninh” đó chính là Event Logs (Nhật ký sự kiện). Mã độc có thể ẩn mình dưới lớp vỏ bọc svchost.exe hay lách qua UAC, nhưng mọi hành động của chúng đều để lại những “gợn sóng” trong nhật ký hệ thống. Hôm nay, chúng ta sẽ học cách đọc hiểu các Event ID sinh tử và sử dụng PowerShell kết hợp XML để truy vết hacker với tốc độ ánh sáng!

1. Tổng quan về Windows Event Logs

Event Logs là nơi lưu trữ mọi “nhịp đập” của máy tính. Bất kể là bạn cắm một chiếc USB, cài một phần mềm, khởi động dịch vụ hay gõ sai mật khẩu, Windows đều ghi chép lại một cách tỉ mỉ.

1.1 Phân loại Nhật ký (Log Types)

Hệ thống phân chia nhật ký thành nhiều nhánh để dễ quản lý:

System (Hệ thống): Ghi lại các sự kiện liên quan đến hệ điều hành, thay đổi phần cứng, khởi động/tắt máy và hoạt động của trình điều khiển (Driver).
Security (Bảo mật): Đây là mỏ vàng của SOC. Ghi lại các sự kiện Đăng nhập/Đăng xuất (Logon/Logoff), thay đổi quyền hạn và quản lý người dùng.
Application (Ứng dụng): Ghi lại lỗi phần mềm (crash), cảnh báo từ các ứng dụng cài đặt trên máy.

1.2 Mức độ Sự kiện (Event Levels)

Mỗi sự kiện được gắn một mức độ nghiêm trọng:

Information: Hoạt động bình thường, thành công.
Warning: Có vấn đề tiềm tàng nhưng chưa làm sập chức năng (ví dụ: ổ đĩa sắp đầy).
Error: Vấn đề nghiêm trọng (mất dữ liệu, phần mềm bị crash).
Success/Failure Audit: Cực kỳ quan trọng trong nhánh Security, ghi nhận các nỗ lực truy cập tài nguyên (đăng nhập đúng hoặc sai pass).

Góc nhìn SOC - Cấu hình dung lượng Log: Mặc định, file log (như Security.evtx) bị giới hạn dung lượng (thường là 20MB) và được cấu hình ghi đè sự kiện cũ nhất (Overwrite events as needed). Hacker hiểu điều này, chúng có thể “xả rác” (Spam logs) để đẩy các log độc hại trôi đi mất. Do đó, trên các máy chủ quan trọng, quản trị viên thường phải chỉnh thành cấu hình Archive the log when full (Nén lại khi đầy) để không mất dấu vết lịch sử.

2. Từ điển Event ID “Gối đầu giường” của SOC

Để săn tìm mã độc, bạn không thể đọc từng dòng log một. Bạn phải thuộc lòng những Event ID (EID) mang tính “chỉ điểm” sau đây:

2.1 Nhóm Application (Ứng dụng)

EID 1000 (Application Error): Phần mềm bị treo cứng và tự đóng. Nếu một dịch vụ quan trọng (như lsass.exe) liên tục báo lỗi 1000, có thể hacker đang dùng tool dump bộ nhớ bị lỗi.
EID 11724 (MsiInstaller): Thông báo một phần mềm vừa bị gỡ bỏ. Nếu phần mềm bị gỡ là Antivirus, đây là báo động đỏ cực độ (Red Flag)!

2.2 Nhóm System (Hệ thống)

EID 12 / 13: Máy tính bắt đầu Boot (12) và Tắt máy bình thường (13).
EID 7040: Thay đổi loại khởi động của một dịch vụ (ví dụ: bật lại một dịch vụ từ Disable sang Auto).
EID 7045: Một dịch vụ (Service) mới vừa được cài đặt. Hacker cực kỳ thích cài “Backdoor” dưới dạng một Service để tự chạy ngầm cùng quyền LocalSystem.

2.3 Nhóm Security (Bảo mật) - Trái tim của SOC

EID 4624 (Logon Success): Đăng nhập thành công. Cần soi kỹ Logon Type (Type 2 là ngồi gõ trực tiếp, Type 3 là qua mạng/Share, Type 10 là Remote Desktop).
EID 4625 (Logon Failure): Gõ sai pass. Nếu EID này xuất hiện dồn dập hàng loạt với nhiều user khác nhau, bạn đang đối mặt với tấn công Password Spraying hoặc Brute Force.
EID 4672 (Special Logon): Phiên đăng nhập được gán đặc quyền Admin (SYSTEM). Nếu một tài khoản người dùng thường (như nhân viên lễ tân) có log này, họ đã leo quyền (Privilege Escalation) thành công.
EID 4720 (User Created) & 4732 (Added to Group): Hacker tạo tài khoản Backdoor mới và nhét nó vào nhóm Administrators. Mọi sự kiện 4732 tác động vào nhóm Admin đều phải được điều tra lập tức.
EID 4688 (Process Creation): Ghi nhận một tiến trình/câu lệnh mới vừa chạy. Kết hợp dòng log này, ta biết chính xác mã độc đã gõ lệnh gì trên CMD/PowerShell.
EID 1102 (Log Cleared): Nhật ký an ninh đã bị xóa trắng. Dấu vết lẩn trốn rõ ràng nhất.

3. Giải phẫu cấu trúc XML của một Sự kiện

Mở giao diện Event Viewer (Friendly View) và bấm xem bằng mắt thường rất dễ hiểu, nhưng lại quá chậm để tự động hóa. Thực chất, giao diện này chỉ là bản “dịch” lại từ ngôn ngữ lưu trữ gốc của Windows: XML.

Chuyển sang tab XML View, bạn sẽ thấy một sự kiện luôn chia làm 2 khối chính:

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
 <!-- KHỐI SYSTEM: Chứa siêu dữ liệu chung -->
 <System>
 <Provider Name="Microsoft-Windows-Security-Auditing" ... />
 <EventID>4672</EventID>
 <Level>0</Level>
 <TimeCreated SystemTime="2026-02-02T17:22:57.0339579Z" />
 <Execution ProcessID="1504" ThreadID="1600" />
 <Computer>NguyenDuy</Computer>
 </System>
 
 <!-- KHỐI EVENT DATA: Phần "thịt" chứa thông tin điều tra -->
 <EventData>
 <Data Name="SubjectUserSid">S-1-5-18</Data>
 <Data Name="SubjectUserName">SYSTEM</Data>
 <Data Name="PrivilegeList">SeAssignPrimaryTokenPrivilege
 SeSecurityPrivilege
 SeTakeOwnershipPrivilege
 SeDebugPrivilege
 SeImpersonatePrivilege</Data>
 </EventData>
</Event>

Tại sao phải quan tâm XML? Bởi vì những thông tin sinh tử như Tên tài khoản (SubjectUserName) hay Đặc quyền (PrivilegeList) được giấu sâu bên trong các node <Data>. Nếu bạn hiểu cấu trúc này, bạn có thể viết script lọc ra chính xác các đăng nhập mờ ám có đặc quyền SeDebugPrivilege (đặc quyền cho phép can thiệp bộ nhớ, cực kỳ nguy hiểm, thường dùng để dump mật khẩu lsass.exe).

4. Kỹ năng lọc log thực chiến bằng PowerShell (XPath)

Event Viewer rất nặng và chậm khi load hàng chục GB logs. Thay vào đó, SOC Analyst sử dụng PowerShell với Cmdlet Get-WinEvent kết hợp cú pháp truy vấn XPath để quét logs trong chớp mắt.

4.1 Thống kê nhanh bằng Wevtutil

Để đếm tổng số tệp nhật ký trên máy mà không cần mở giao diện đồ họa, bạn có thể dùng lệnh:

wevtutil.exe el | find /c /v ""

(Lệnh này liệt kê tất cả các log el và đếm tổng số dòng)

4.2 Săn tìm mã độc với Get-WinEvent & XPath

Giả sử bạn nghi ngờ có kẻ đang liệt kê danh sách nhóm cục bộ (Event ID 4798) để tìm nhóm Admin. Thay vì cuộn chuột thủ công, hãy ném cú pháp XPath này vào PowerShell:

# Lọc toàn bộ Log Security, chỉ lấy các sự kiện có Event ID = 4798
Get-WinEvent -LogName Security -FilterXPath "*[System[(EventID=4798)]]"

Nâng cao hơn: Lọc dựa trên EventData (Dữ liệu bên trong) Nếu bạn muốn tìm đích danh Log Logon thất bại (EID 4625) nhưng chỉ lọc các lần thất bại có mã lỗi 0xC0000064 (Tên người dùng không tồn tại - Dấu hiệu của việc dò quét tài khoản), bạn có thể viết Rule XPath truy vấn thẳng vào lớp <EventData>:

# Tìm các log đăng nhập sai (4625) với mã lỗi (Status) là 0xC0000064
$Query = "*[System[EventID=4625] and EventData[Data[@Name='Status']='0xc0000064']]"
Get-WinEvent -LogName Security -FilterXPath $Query | Select-Object TimeCreated, Message

Sức mạnh của XPath cho phép các nhà phân tích SOC trích xuất hàng triệu sự kiện (Events) chỉ trong vài giây, và đây cũng chính là cơ sở cốt lõi để xây dựng các tập luật (Rules) tự động cho hệ thống SIEM (như Wazuh hay Splunk).

Như vậy, chúng ta đã nắm trong tay cách hệ điều hành “ghi sổ” mọi biến động. Bằng cách làm chủ các mã Event ID và kỹ thuật lọc XML bằng PowerShell, bạn đã biến mình từ một người bị động trở thành một “thợ săn” (Threat Hunter) chủ động đi tìm những bất thường trên hệ thống. Ở bài viết tới, chúng ta sẽ tìm hiểu về cách kết hợp Event Logs với Sysmon (System Monitor) – một công cụ biến nhật ký Windows thành hệ thống giám sát cấp độ quân sự. Đừng bỏ lỡ nhé!