Mã độc Troy (Trojan Horse) trong an ninh mạng là gì?

Định nghĩa Trojan Horse (Mã độc Troy)

Loại mã độc ngụy trang thành phần mềm hợp pháp/hữu ích để lừa người dùng cài đặt. Khác với virus/sâu, Trojan không tự nhân bản - cần sự đồng ý của người dùng (social engineering). Tên gọi từ truyền thuyết "Ngựa gỗ Troy" của Hy Lạp cổ đại.

Cơ chế hoạt động

1. Lừa dối (Social Engineering): Email đính kèm, tải xuống giả mạo, cập nhật giả, quảng cáo lừa đảo
2. Thực thi: Người dùng chạy file → mã độc cài đặt ngầm
3. Kết nối C2 (Command & Control): Kết nối về server điều khiển của kẻ tấn công
4. Thực hiện mục đích độc hại: Cắp dữ liệu, kiểm soát từ xa, tải mã độc khác, tấn công DDoS...

Các loại Trojan phổ biến

Ví dụ nổi tiếng

• Emotet (2018-2021): Trojan ngân hàng → botnet cho thuê → tải ransomware (Ryuk, Conti). DHS Mỹ xếp loại đe dọa nguy hiểm nhất.
• Storm Worm (2007): Botnet hàng triệu máy, gửi spam, DDoS.
• Zeus/Zbot: Cắp ngân hàng online, nguồn mã mở cho nhiều biến thể.
• TrickBot: Module hóa, lan truyền mạng, tải Ryuk ransomware.

Tại sao Trojan nguy hiểm?

• Đa chức năng: Cắp dữ liệu + Kiểm soát + Tải mã độc khác + Tấn công
• Lừa đảo tinh vi: Chứng chỉ số giả, ký số hợp pháp, kỹ thuật xã hội cao cấp
• Khó phát hiện: Rootkit, fileless, living-off-the-land (PowerShell, WMI)
• Cửa ngõ cho Ransomware: Nhiều vụ ransomware lớn bắt đầu từ Trojan (Emotet→Ryuk)

Phòng chống

• Đào tạo nhận thức: Không mở đính kèm/lिंก lạ, xác minh nguồn
• Email Security Gateway: Sandbox, AV, DMARC/DKIM/SPF
• EDR/XDR: Phát hiện hành vi bất thường (process injection, C2 beaconing)
• Application Whitelisting / Applocker: Chỉ cho phép phần mềm được duyệt
• Cập nhật bản vá kịp thời (OS, Office, Browser, Plugin)
• MFA, quản trị đặc quyền (PAM), phân đoạn mạng
• Backup 3-2-1, kiểm tra khôi phục