Trojan (Mã trojan) là gì?
Trojan Horse (Mã trojan) là loại mã độc giả vờ là phần mềm hợp pháp/hữu ích để lừa người dùng tải về và chạy. Khác với virus/sâu, Trojan KHÔNG tự nhân bản - nó cần sự can thiệp của người dùng (click, cài đặt). Tên gọi từ "Ngựa Trojan" trong thần thoại Hy Lạp.
Cơ chế hoạt động
- Delivery (Phân phối): Email đính kèm (invoice, CV, shipping notice), trang web giả mạo (crack game, keygen, driver), quảng cáo độc hại (malvertising), tải về từ kho phần mềm bị compromise (Supply Chain - SolarWinds, 3CX, CCleaner).
- Execution (Thực thi): User chạy file (.exe, .msi, .apk, .dmg, script .ps1/.bat/.sh). Trojan giải nén, cài payload thực sự.
- Persistence (Duy trì): Tạo registry Run key, Scheduled Task, Service, WMI Event Subscription, Startup folder, DLL Hijacking, Bootkit.
- C2 (Command & Control): Kết nối về server điều khiển (DNS, HTTPS, Tor, Domain Generation Algorithm - DGA) nhận lệnh, upload data.
- Action (Hành động độc hại): Tùy loại Trojan (xem dưới).
Phân loại Trojan phổ biến & Hành động
| Loại Trojan | Chức năng chính | Ví dụ nổi tiếng |
|---|---|---|
| Backdoor / RAT (Remote Access Trojan) | Cho phép kẻ tấn công điều khiển từ xa hoàn toàn (màn hình, webcam, mic, file, shell, keylogger). | njRAT, DarkComet, QuasarRAT, AsyncRAT, Remcos, Agent Tesla, NanoCore |
| Banking Trojan / Financial Malware | Đánh cắp thông tin ngân hàng, thẻ tín dụng, crypto wallet. Webinject, form grabbing, clipboard hijacking. | Zeus (Zbot), TrickBot, Emotet, Dridex, QakBot, IcedID, Gozi |
| Info Stealer | Thu thập: Credential trình duyệt (cookie, password), crypto wallet, FTP, VPN, email client, system info, screenshot. | RedLine, Raccoon, Vidar, Taurus, Mars, LummaC2, StealC |
| Downloader / Dropper | Chỉ tải về & thực thi payload khác (Ransomware, RAT, Miner). Thường nhỏ, đơn giản. | BazarLoader, BumbleBee, SocGholish (FakeUpdate), GuLoader |
| Ransomware Loader | Đặc hóa tải Ransomware (Conti, LockBit, BlackCat/ALPHV, Royal, Play, Akira). | TrickBot, BazarLoader, Cobalt Strike Beacon (post-exploit) |
| DDoS Bot / IoT Bot | Biến thiết bị thành bot trong botnet DDoS (Mirai, Mozi, Gafgyt, Hajime). | Mirai variants, Mozi, Condi |
| Cryptominer / Cryptojacker | Dùng CPU/GPU жертва đào cryptocurrency (XMR, ETH). Giảm hiệu năng, tăng điện, hỏng phần cứng. | XMRig (legit tool bị lạm dụng), CoinMiner, LemonDuck, Sysrv |
| Mobile Trojan (Android/iOS) | Overlay attack (đánh cắp OTP/banking), SMS interceptor, Device Admin abuse, Accessibility Service abuse, Root exploit. | Anubis, Cerberus, EventBot, TeaBot, FluBot, Xenomorph, SpyNote (Spyware/RAT) |
Mức độ nguy hiểm
- Rất cao. Trojan là vector xâm nhập #1 cho APT, Ransomware, Financial Crime.
- Thường bypass AV truyền thống (signature-based) bằng obfuscation, packing, fileless, living-off-the-land.
- Có thể vô hiệu hóa AV/EDR (unhook, kill process, delete service, tamper protection bypass).
- Kết hợp đa chức năng (Modular): Emotet = Downloader + Info Stealer + Spreader + Email Thread Hijacking.
Phát hiện & Phòng chống
| Lớp bảo vệ | Biện pháp |
|---|---|
| Network | NDR (Zeek/Suricata), TLS Inspection, DNS Filtering (Block C2/DGA), Network Segmentation, Zero Trust. |
| Endpoint | EDR/XDR (CrowdStrike, SentinelOne, Defender for Endpoint, Cortex XDR) - Phân tích hành vi, không chỉ signature. Application Control (AppLocker/WDAC). Memory Scanning. Kernel Callback Monitoring. |
| Email/Web | Advanced Email Security (Proofpoint, Mimecast, Defender for Office 365) - Sandbox, URL Rewriting, DMARC/DKIM/SPF. Secure Web Gateway (SWG). |
| Identity | Phishing-resistant MFA (FIDO2/WebAuthn/Passkeys). PAM. Least Privilege. No local admin. |
| Vuln Mgmt | Patch critical CVE < 48h. Exploit Protection (EMET/Exploit Guard). Disable macros default. |
| User | Security Awareness Training + Phishing Simulation liên tục. "Think before click". |
Xử lý khi nhiễm Trojan
- Cách ly ngay: Ngắt mạng (rút dây LAN, tắt Wi-Fi, tắt máy nếu cần).
- Không tắt máy nếu muốn forensic memory (RAM dump) - quan trọng cho IR.
- Quét offline: Boot vào Windows RE / Linux Live USB → Chạy Microsoft Safety Scanner / Kaspersky Rescue Disk / Bitdefender Rescue / Malwarebytes Free.
- Reset credential: Đổi TẤT CẢ mật khẩu (Email, Bank, VPN, Cloud, Social) từ thiết bị SẠCH.
- Reimage (Wipe & Reload): Cài lại Windows sạch (Format ổ C:). Cách chắc chắn nhất loại bỏ persistence/rootkit.
- Báo cáo: Nếu liên quan dữ liệu nhạy cảm/ngân hàng → Báo IT, Ngân hàng, Cơ quan chức năng (CISA, Police Cyber).
Kết luận
Trojan là "người đưa đường" cho hầu hết tấn công cyber nghiêm trọng. Đặc điểm: Giả vờ hợp pháp, không tự lan, mô-đun hóa, bypass AV truyền thống. Phòng chống hiệu quả đòi hỏi EDR/XDR hành vi, Zero Trust, MFA kháng phishing, Patch nhanh, Đào tạo user, Backup immutable. Khi nghi ngờ nhiễm: Cách ly → Forensic (nếu cần) → Reimage sạch → Reset Credential → Báo cáo. Không tin vào "quét sạch xong" bằng AV truyền thống.