Bạn có biết virus máy tính đầu tiên trên PC xuất hiện từ năm 1986, được tạo bởi hai anh em người Pakistan không hề có ý định phá hoại? Và rằng khác biệt chính giữa virus và worm là virus cần "vật chủ" để tồn tại trong khi worm có thể tự lan truyền không cần sự tương tác của người dùng?

Virus máy tính không chỉ là thuật ngữ chung cho mọi phần mềm độc hại như nhiều người vẫn tưởng. Hiểu rõ cách chúng hoạt động sẽ giúp bạn phòng tránh hiệu quả - từ việc xây dựng thói quen duyệt web an toàn đến áp dụng các giải pháp bảo mật tinh vi nhất hiện nay.

Trong bài viết này, chúng tôi sẽ "mổ xẻ" bản chất virus máy tính, phân biệt chúng với các loại malware khác, phân tích cách thức lây lan, và chia sẻ những phương pháp phòng chống hiệu quả nhất. Không chỉ vậy, chúng tôi còn giải đáp những hiểu lầm phổ biến và điểm qua các trường hợp tấn công virus đáng chú ý trong lịch sử.

Định nghĩa virus máy tính (phân biệt với malware, worm, trojan)

Các loại virus máy tính phổ biến và cách hoạt động

Phương thức lây lan của virus trong bối cảnh hiện đại

Phương pháp phát hiện và phòng chống virus

Những hiểu lầm phổ biến về virus máy tính

Các tình huống thực tế nổi bật (case study)

 là một chương trình mã độc tự nhân bản bằng cách chèn chính nó vào các tệp tin sạch (thường là file thực thi hoặc tài liệu). Tương tự như virus sinh học, virus máy tính chỉ kích hoạt khi tệp bị nhiễm được mở, sau đó nó thực thi mã độc và tiếp tục lây nhiễm sang các tệp khác trên hệ thống.

 là thuật ngữ chung chỉ mọi phần mềm độc hại (virus, sâu, trojan, spyware, ransomware, v.v.). Nói cách khác, 

, với đặc trưng là cần "ký sinh" vào tệp chủ để lây lan. Nhiều người không trong ngành thường gọi mọi malware là "virus", nhưng cách dùng này không chính xác. Ví dụ, trojan và ransomware cũng là malware nhưng chúng không tự nhân bản như virus.

tự nhân bản và lây lan mà không cần ký sinh vào tệp khác

. Worm thường khai thác lỗ hổng mạng hoặc hệ điều hành để tự động "chui" sang máy khác sau khi xâm nhập, 

. Nói ngắn gọn, virus cần "vật chủ" và thường cần tác vụ từ người dùng (mở file) mới lây lan, còn worm là chương trình độc lập có thể tự chạy và phát tán mà 

 không có khả năng tự lây lan như virus hay worm, mà 

ngụy trang thành phần mềm hợp pháp

 để người dùng cài vào máy. Khi đã được cài, trojan sẽ âm thầm thực hiện mục đích xấu (đánh cắp dữ liệu, mở cửa hậu, tải về virus khác…). Khác với virus/worm, trojan không nhân bản bản thân sang file khác mà chủ yếu dựa vào 

Virus máy tính được chia thành nhiều loại dựa trên phương thức lây nhiễm và mục tiêu tấn công:

. Loại virus cổ điển này đính kèm mã độc vào các chương trình 

 hoặc script, hoặc ẩn trong file tài liệu (vd. 

). Khi người dùng mở file, virus kích hoạt và có thể đính kèm sang các file khác. Đây là phương thức virus thường dùng để phát tán qua email, tin nhắn hoặc file tải về.

 của ổ đĩa. Loại virus này lây lan chủ yếu qua 

 như USB, đĩa mềm… – khi ổ bị nhiễm được kết nối và máy tính đọc boot sector, virus sẽ chiếm quyền điều khiển quá trình khởi động. Ví dụ điển hình là virus Brain (1986) lây qua đĩa mềm: nó nhiễm vào boot sector và phát tán khi người ta chia sẻ đĩa mềm bị nhiễm.

 (như VBA trong Word/Excel) và lây nhiễm vào các file tài liệu Office. Khi mở tài liệu chứa macro độc hại, virus sẽ kích hoạt và thường lợi dụng tính năng macro để thực thi hàng loạt hành vi xấu (như tự gửi email đến danh bạ). Virus macro thường phát tán qua 

 đính kèm. Ví dụ nổi tiếng là virus Melissa (1999) ẩn trong file Word, khi mở ra sẽ gửi tiếp tài liệu nhiễm đến 50 người trong danh bạ Outlook của nạn nhân.

Virus dạng script (kịch bản) thường nhúng trong các 

trang web độc hại hoặc quảng cáo

. Khi người dùng click vào một quảng cáo bị nhiễm hoặc truy cập trang web có mã độc, virus sẽ khai thác lỗ hổng trình duyệt để chạy script trên máy nạn nhân. Hậu quả có thể từ đánh cắp cookie phiên đăng nhập đến làm sập hệ thống người dùng.

Đây không phải là một "loại" riêng theo cách lây, mà là thuật ngữ chỉ kỹ thuật virus có thể 

 nhằm qua mặt phần mềm diệt virus. Ví dụ, virus đa hình sẽ mã hóa hoặc thay đổi một số đoạn code mỗi khi nhân bản, nhưng 

chức năng cốt lõi vẫn giữ nguyên

. Kết quả là mỗi bản sao virus có "dấu hiệu" khác nhau, khiến các công cụ quét dựa trên chữ ký khó nhận ra. Theo CrowdStrike, hầu như mọi chiến dịch malware hiện đại đều sử dụng một số hình thức 

Một số virus "huyền thoại" minh họa cho các loại trên: 

 là virus boot sector nổi tiếng, kích hoạt vào ngày sinh của Michelangelo (6/3) và phá hủy dữ liệu ổ đĩa – từng gây hoang mang toàn cầu vào thập niên 90. 

 thường được gọi là virus nhưng thực chất là sâu email (viết bằng VBScript) lây lan qua file đính kèm "LOVEYOU" giả mạo thư tình, lây nhiễm ~45 triệu máy và gây thiệt hại hàng tỷ USD. 

 là sâu email có tốc độ lây lan kỷ lục, từng chiếm 25% tổng lưu lượng email toàn cầu tại đỉnh điểm và gây thiệt hại ước tính $38 tỷ.

Khác với sâu, virus thường cần sự 

 để bắt đầu lây lan – ví dụ mở một file nhiễm hoặc chạy một chương trình chứa virus. Sau khi kích hoạt, virus sẽ tìm các tệp khác trên hệ thống (hoặc ổ đĩa di động) để lây nhiễm. Do đó, con đường lây lan của virus gắn liền với việc 

 cho cả virus và sâu. Kẻ tấn công gửi email với tập tin đính kèm nhiễm virus (giả mạo tài liệu, hình ảnh, hóa đơn, v.v.). Khi người dùng tải về và mở file, virus được kích hoạt và tiếp tục gửi chính email đó tới danh bạ nạn nhân. 

 Virus Melissa và ILOVEYOU đã lan truyền qua hàng chục triệu email chỉ trong vài ngày bằng cách lừa người dùng mở file đính kèm độc hại. Ngoài email, virus còn có thể phát tán qua tin nhắn ứng dụng (Skype, Facebook Messenger) bằng cách gửi link/file độc hại đến bạn bè trong danh sách.

Tải phần mềm và file từ nguồn không tin cậy

phần mềm bẻ khóa, game lậu hoặc file "miễn phí"

 trên internet. Người dùng tải về một phần mềm đã bị gắn virus, khi cài đặt thì máy nhiễm virus. Các 

 cũng tiềm ẩn nguy cơ – kẻ xấu có thể đặt tên file phim/nhạc hấp dẫn nhưng thực chất là file 

 – Windows mặc định giấu đuôi 

 nên người dùng tưởng nhầm). Khi chạy file này, virus sẽ lây vào máy và có thể tiếp tục phát tán qua chính mạng P2P đó.

Trang web độc hại và drive-by download

Virus có thể lây nhiễm khi người dùng đơn giản là 

. Đây là kỹ thuật nhúng mã độc vào website (thường qua quảng cáo hoặc mã ẩn trong HTML) – chỉ cần truy cập trang, mã độc sẽ tự động tải xuống và thực thi nếu máy có lỗ hổng trình duyệt. Kiểu tấn công này không cần người dùng bấm "Tải về" gì cả; ví dụ một số quảng cáo trên trang tin tức lớn từng bị chèn mã độc để phát tán virus cho khách truy cập (malvertising). Điều này làm nổi bật tầm quan trọng của việc luôn cập nhật trình duyệt và plugin để vá lỗ hổng.

Thiết bị lưu trữ rời (USB, ổ cứng di động)

 từng là con đường lây lan virus phổ biến trong giai đoạn máy tính chưa kết nối internet thường xuyên. Virus có thể sao chép mình vào USB dưới dạng file ẩn; khi USB được cắm sang máy khác và người dùng mở file nhiễm, virus tiếp tục lây sang máy đó. Trước đây virus USB lợi dụng tính năng Autorun (tự động chạy) của Windows, nhưng Windows 7 trở lên đã tắt tính năng này. Hiện nay, nhiều malware USB dùng thủ thuật 

ẩn file thật và tạo shortcut giả

 trông giống file của nạn nhân. Nạn nhân bấm mở shortcut sẽ vô tình chạy malware (đồng thời file thật vẫn mở để không gây nghi ngờ). Chỉ cần 

 mà bấm nhầm shortcut, máy có thể nhiễm virus mà người dùng không hay biết.

Khai thác lỗ hổng mạng (Network exploit)

Đây là cách lây lan kiểu "sâu" (worm) nhưng nhiều chiến dịch malware hiện đại kết hợp cả sâu và virus. Malware có thể 

 để tìm máy chưa vá lỗ hổng và xâm nhập mà không cần người dùng làm gì. Ví dụ, sâu 

 năm 2017 lợi dụng lỗ hổng SMB của Windows để lây lan nội bộ LAN và internet với tốc độ khủng khiếp – hơn 230.000 máy tại 150 quốc gia bị nhiễm trong vòng một ngày. Một khi xâm nhập qua lỗ hổng, nó cũng hoạt động như virus, mã hóa file và tự động phát tán tiếp. Điều này cho thấy trong bối cảnh hiện đại, ranh giới virus/sâu mờ đi: malware có thể vừa khai thác lỗ hổng 

Truyền thống, các chương trình diệt virus (antivirus) dùng phương pháp 

 – tức so sánh mã file với cơ sở dữ liệu mẫu virus đã biết. Cách này hiệu quả với virus cũ, nhưng gặp hạn chế với virus mới hoặc virus đa hình. Vì vậy, các giải pháp hiện đại bổ sung 

Công nghệ EDR (Endpoint Detection & Response) giám sát 

 trên hệ thống thay vì chỉ quét file. Ví dụ, nếu một tiến trình văn bản đột nhiên chạy 

 xóa log hệ thống, EDR nhận biết đó là chuỗi hành vi nghi vấn (dù file chưa bị nhận diện là virus). EDR cho phép phát hiện các cuộc tấn công phức tạp, malware không file (fileless malware) hay kẻ tấn công di chuyển trong mạng – những thứ mà antivirus truyền thống bỏ lọt. Lợi ích lớn của EDR là khả năng liên kết sự kiện trên nhiều máy, thay vì chỉ cách ly từng file như AV.

Nếu bạn muốn tìm hiểu sâu hơn về EDR, chúng tôi có bài viết chi tiết giải thích sự khác biệt giữa EDR và Antivirus truyền thống tại 

 để chạy thử file nghi ngờ trong không gian cách ly an toàn. Phần mềm bảo mật sẽ đưa file vào một máy ảo và "kích nổ" nó để quan sát xem nó làm gì. Nếu file có hành vi như virus (tự nhân bản, sửa registry, kết nối máy lạ...), hệ thống sẽ kết luận đó là malware và chặn lại trước khi nó kịp hại máy thật. Sandbox đặc biệt hữu ích để chặn 

 hoặc biến thể mới của virus cũ – những thứ mà quét chữ ký có thể bỏ sót. Nhiều virus tinh vi sẽ cố gắng 

, ví dụ phát hiện đang chạy trong máy ảo thì "án binh bất động". Do đó các hãng bảo mật cũng liên tục cải tiến kỹ thuật sandbox để đánh lừa malware.

Ngoài ra, nhiều phần mềm AV/EDR ngày nay tích hợp 

 – huấn luyện mô hình để nhận dạng mẫu mã độc dựa trên hàng triệu mẫu trước đó. ML có thể dự đoán một file lạ có phải virus hay không dựa trên đặc trưng code, ngay cả khi file đó chưa có trong CSDL. Dù vậy, kẻ tấn công cũng tìm cách "đánh lừa" AI bằng cách làm biến dạng mã (obfuscation). Do đó, giải pháp tốt thường là kết hợp đa tầng: 

signature + heuristic + behavior + sandbox + ML

Từ góc độ người dùng, phòng virus đòi hỏi sự kết hợp giữa công cụ và thói quen an toàn:

. Các hãng lớn (Kaspersky, Bitdefender, v.v.) cập nhật chữ ký mới hằng ngày để đối phó virus mới. Windows 10/11 có sẵn Microsoft Defender khá hiệu quả nếu luôn update. (Lưu ý: 

Không chạy song song nhiều antivirus

 vì có thể xung đột, làm chậm máy.)

Cập nhật hệ điều hành và ứng dụng

 đều đặn. Nhiều virus khai thác lỗ hổng đã được vá nhưng người dùng chưa cập nhật. Trường hợp WannaCry cho thấy việc chậm cài bản vá MS17-010 khiến hàng loạt máy dính ransomware dù lỗ hổng đã có patch trước đó 2 tháng. Hãy bật auto-update cho Windows và các phần mềm quan trọng (trình duyệt, Office...).

Không mở file đính kèm hoặc link đáng ngờ

 trong email, kể cả từ người gửi quen biết nếu bạn không chắc họ gửi gì. Virus có thể mạo danh email người thân để truyền malware. Quy tắc: chỉ mở những file mà bạn 

, và nếu có bất kỳ nghi ngờ nào hãy xác nhận lại với người gửi qua kênh khác. Tương tự, không tải phần mềm từ các trang không rõ nguồn gốc (nên dùng trang chủ hoặc cửa hàng ứng dụng chính thức).

Bật tường lửa và các công cụ bảo vệ web:

 Tường lửa (firewall) giúp chặn truy cập trái phép từ ngoài vào và ngăn một số sâu lan truyền trong mạng. Trình duyệt web nên bật tính năng 

 và lọc trang web độc (SmartScreen của Edge, Safe Browsing của Chrome) để cảnh báo nếu vào nhầm trang có malware.

 Dù không trực tiếp ngăn virus, backup là "phao cứu sinh" nếu máy bị tấn công nghiêm trọng. Một số virus phá hủy hoặc mã hóa dữ liệu (ransomware), khi đó có backup sẽ giúp bạn 

 mà không phải trả tiền cho hacker. Nên duy trì ít nhất 

 (ổ cứng rời) cập nhật hàng tuần hoặc tháng. Đây là tuyến phòng thủ cuối cùng giúp bạn "làm lại từ đầu" an toàn.

Nguyên tắc "tối thiểu đặc quyền":

 cho các tác vụ hàng ngày, chỉ dùng tài khoản admin khi thật cần. Nhiều virus nếu nhiễm vào tài khoản user sẽ bị hạn chế quyền, không can thiệp sâu hệ thống được. Bật UAC ở chế độ cao để mỗi khi có chương trình đòi quyền admin, bạn phải xác nhận (giúp phát hiện hoạt động đáng ngờ).

 Cuối cùng, chính nhận thức người dùng là quan trọng nhất. Hãy cảnh giác với các chiêu trò 

 như giả mạo thông báo, quà tặng, cảnh báo virus giả… (đa số malware xâm nhập đều bắt đầu bằng việc 

 nào đó). Không có công cụ nào bảo vệ 100%, nên người dùng cần "tự vệ" bằng cách: chỉ nhấp những gì tin tưởng, kiểm tra kỹ đường link trước khi nhấn, không tùy tiện cắm USB lạ vào máy, v.v.

Muốn nâng cao kỹ năng phòng thủ và hiểu sâu cách thức hacker tấn công? Khóa học 

 của CyberJutsu sẽ giúp bạn nắm vững nguyên lý các cuộc tấn công mạng và phương thức phòng chống hiệu quả. Với 72 giờ thực hành, bạn sẽ thấu hiểu cách thức hackers khai thác lỗ hổng và biết cách bảo vệ hệ thống của mình một cách chủ động.

Hoàn toàn là hiểu lầm. Dù các hệ điều hành này 

. Ngay từ năm 1982 đã xuất hiện virus trên Apple (virus Elk Cloner trên máy Apple II) và hiện nay mã độc nhắm vào Mac đang gia tăng mạnh. Thống kê cho thấy 

số mối đe dọa malware trên Mac tăng 400% năm 2020

 so với trước. Mac OS có kiến trúc bảo mật tốt, nhưng người dùng Mac 

. Tương tự, Linux cũng có virus (đặc biệt trên máy chủ), chỉ là tần suất thấp hơn.

"Chỉ file .exe mới có virus, mở file tài liệu/ hình ảnh thì an toàn"

mọi loại file đều có thể chứa malware

 nếu có lỗ hổng để khai thác. Ví dụ, file PDF, Excel có thể mang virus macro hoặc script độc hại; file hình ảnh 

 cũng từng bị nhúng mã khai thác lỗi phần mềm xem ảnh. Ngoài ra, phần đuôi file trên Windows chỉ là tên – kẻ gian có thể đặt 

không tin tưởng tuyệt đối vào loại file

, mà hãy tin vào nguồn file và quét kiểm tra nếu nghi ngờ.

"Có cài antivirus rồi thì yên tâm 100%"

. Các hãng liên tục cập nhật, nhưng hacker cũng liên tục tạo biến thể mới để 

. Kaspersky nhấn mạnh không có giải pháp nào 100% an toàn – người dùng vẫn cần áp dụng thực hành an toàn và cảnh giác song song với dùng antivirus. Do đó, đừng nghĩ rằng cứ có AV là click gì cũng được.

"Máy không chậm/ không có triệu chứng lạ tức là không có virus"

Hiểu lầm phổ biến. Thực tế đa số malware hiện nay được viết để 

. Hacker muốn mã độc hoạt động lâu dài mà nạn nhân không hay biết. Nhiều virus hiện đại không làm máy treo hay hiện thông báo như virus xưa, mà lặng lẽ đánh cắp dữ liệu, mở cửa hậu… Bạn 

 (vd: ransomware chỉ hiện thông báo sau khi đã mã hóa xong dữ liệu). Vì vậy, 

 chỉ vì "máy tôi vẫn chạy tốt" – luôn có thể có malware ẩn bên dưới.

"Email/ tin nhắn từ người quen thì an toàn"

 email giả mạo từ tài khoản người thân bạn. Nhiều chiến dịch malware thu thập danh bạ rồi phát tán tiếp, khiến nạn nhân kế tiếp mất cảnh giác vì thấy người gửi quen tên. Do đó, 

 dù gửi từ bạn bè nếu bạn không ngờ tới trước, hãy hỏi lại họ cho chắc. Nguyên tắc "tin vào nội dung, không chỉ tin vào tên người gửi" sẽ giúp tránh bẫy này.

. Dù cơ chế hơi khác (ít "virus tự nhân bản" mà chủ yếu là trojan ứng dụng), nhưng nguy cơ là hiện hữu. Đặc biệt Android do hệ sinh thái mở nên nhiều malware giả dạng app hữu ích để lừa cài đặt. iPhone có bảo mật khép kín hơn nhưng nếu jailbreak hoặc cài app ngoài luồng thì cũng đối mặt nguy cơ. Minh chứng: đã có ransomware, spyware tấn công điện thoại (vd. trojan ngân hàng trên Android). Vì vậy, điện thoại thông minh cần các biện pháp bảo vệ như máy tính: không cài app lạ, cập nhật OS, và có thể dùng thêm ứng dụng bảo mật.

"Malware có thể phá hủy phần cứng (đốt cháy máy)"

 – malware chủ yếu gây hại ở mức phần mềm (xóa dữ liệu, mã hóa file, đánh cắp thông tin). Tuy nhiên, 

: Ví dụ virus CIH (1998) từng nổi tiếng vì ghi đè BIOS máy tính, làm máy không khởi động được (coi như "phá" bo mạch chủ nếu không nạp lại BIOS). Hoặc sâu Stuxnet (2010) đã 

 bằng cách điều khiển sai tốc độ, gây hư hại vật lý. Những trường hợp này rất đặc thù và đòi hỏi malware nhắm mục tiêu phần cứng cụ thể. Còn đa phần virus không thể "làm cháy CPU" hay "làm nổ ổ cứng" như một số lời đồn.

 trên nền tảng IBM PC (DOS). Tác giả là hai anh em người Pakistan, họ tạo ra Brain để đính kèm vào đĩa mềm nhằm phạt người sao chép lậu phần mềm do họ viết. Brain lây nhiễm vào boot sector của đĩa mềm và lan truyền khắp thế giới khi mọi người trao đổi đĩa. Virus này không gây phá hoại (chỉ đổi nhãn đĩa thành "Brain" kèm số điện thoại tác giả), nhưng nó đánh dấu 

: kỷ nguyên virus máy tính bắt đầu và lan rộng qua phương tiện vật lý.

sâu máy tính đầu tiên trên Internet

, do Robert Morris (Mỹ) viết như thử nghiệm. Morris Worm lan truyền qua các máy Unix bằng cách khai thác lỗ hổng dịch vụ và 

 khắp ARPANET. Sự cố này khiến ~10% máy chủ Internet thời đó bị tê liệt, đồng thời thúc đẩy việc ra đời các đội ứng cứu máy tính (CERT). Nó cho thấy 

sâu máy tính có thể lây lan nhanh đến mức nào

Một trong những vụ bùng phát lớn đầu tiên qua email. Virus Melissa ẩn trong file Word "danh sách mật khẩu" hấp dẫn, khi mở ra sẽ chạy macro gửi tiếp email chứa file nhiễm tới 50 người trong danh sách liên lạc Outlook của nạn nhân. Chỉ trong vài ngày, Melissa đã lây nhiễm hàng chục ngàn máy và buộc nhiều hệ thống email doanh nghiệp phải tạm ngưng để ngăn chặn. Thiệt hại ước tính ~$80 triệu. Melissa minh họa 

sức công phá của virus qua con đường social engineering

: lợi dụng tính tò mò và tin tưởng của người dùng.

Còn gọi là Love Letter Worm – một 

 năm 2000. Xuất phát từ Philippines, ILOVEYOU gửi email tiêu đề "I love you" kèm file "LOVE-LETTER-FOR-YOU.TXT.vbs". Do Windows mặc định giấu đuôi ".vbs", nạn nhân tưởng đó là file .txt, mở ra sẽ kích hoạt script virus. Virus này đánh cắp mật khẩu và tự gửi bản sao đến mọi địa chỉ email tìm được trên máy nạn nhân. Ước tính 

 bị nhiễm, thiệt hại toàn cầu $5–15 tỷ, thậm chí Quốc hội Anh phải tắt hệ thống email vì virus. Tác giả virus không bị truy tố do Philippines lúc đó chưa có luật về tội phạm máy tính. ILOVEYOU là ví dụ kinh điển về việc khai thác 

 (tò mò/ham muốn) để phát tán malware trên quy mô toàn cầu.

MyDoom là một sâu email khác lập kỷ lục về 

. Khi bùng phát vào năm 2004, MyDoom đã gửi lượng email khổng lồ đến mức chiếm 

25% tổng lưu lượng email toàn thế giới

 tại thời điểm đó. Sâu này sau khi nhiễm vào máy sẽ khai thác sổ địa chỉ để phát tán email hàng loạt, đồng thời biến máy nạn nhân thành một botnet. Mục tiêu của MyDoom còn nhằm 

 – nó từng DDoS trang web của SCO Group và Microsoft bằng cách lợi dụng hàng trăm ngàn máy bị nhiễm gửi yêu cầu cùng lúc. Thiệt hại ước tính lên đến $38 tỷ, biến MyDoom thành một trong những malware gây thiệt hại kinh tế lớn nhất lịch sử.

"vũ khí mạng" đầu tiên trên thế giới

 – một sâu máy tính phức tạp được cho là do Mỹ-Israel tạo ra nhằm phá hoại chương trình hạt nhân Iran. Stuxnet lây lan qua USB và nhiều lỗ hổng Windows chưa từng biết (0-day) để xâm nhập các máy công nghiệp dùng phần mềm Siemens Step7. Đặc biệt, nó nhắm mục tiêu vào máy điều khiển PLC của nhà máy làm giàu uranium, khiến 

các máy ly tâm quay bất thường đến hỏng hóc

 trong khi vẫn gửi tín hiệu giả báo "mọi thứ bình thường". Stuxnet đã phá hủy khoảng 1/5 số máy ly tâm ở cơ sở Natanz, Iran, làm chậm chương trình hạt nhân nước này. Vụ việc phơi bày 

lỗ hổng nguy hiểm của hệ thống công nghiệp trước malware

, đồng thời đánh dấu kỷ nguyên chiến tranh mạng khi malware có thể gây hậu quả hữu hình lên thế giới thực.

Một cuộc tấn công ransomware quy mô chưa từng có, kết hợp giữa sâu mạng và mã độc tống tiền. WannaCry khai thác lỗ hổng 

 để tự lan truyền – chỉ trong một ngày 12/5/2017, nó đã lây nhiễm hơn 

. Malware này mã hóa dữ liệu nạn nhân và đòi $300–600 tiền chuộc bằng Bitcoin. Nó ảnh hưởng nghiêm trọng đến nhiều tổ chức lớn: Hệ thống bệnh viện Anh (NHS) tê liệt, hãng vận chuyển FedEx và nhà sản xuất ôtô Renault phải ngừng hoạt động trong thời gian ngắn. Tổng thiệt hại toàn cầu ước tính hàng trăm triệu USD. May mắn là một nhà nghiên cứu đã kích hoạt "kill-switch" ngăn WannaCry lây lan thêm. Bài học từ WannaCry là 

tầm quan trọng của việc vá lỗi kịp thời

 – Microsoft đã có bản vá trước đó nhưng nhiều máy không cập nhật, cộng với sự nguy hiểm của ransomware khi kết hợp khả năng sâu mạng.

Từ virus Boot Sector đơn giản đến các chiến dịch malware phức tạp như Stuxnet, chúng ta thấy rõ sự tiến hóa không ngừng của malware. Mã độc ngày càng trở nên tinh vi, khó phát hiện và gây thiệt hại nặng nề hơn. Điều này đòi hỏi cả người dùng cá nhân lẫn doanh nghiệp phải không ngừng nâng cao kiến thức và kỹ năng bảo mật.

Nếu bạn muốn đi sâu hơn vào thế giới bảo mật và học cách nhận diện, khai thác lỗ hổng như một chuyên gia bảo mật thực thụ, khóa học 

 của CyberJutsu là lựa chọn hoàn hảo. Với 70 giờ thực hành và mentoring trực tiếp từ các chuyên gia hàng đầu, bạn sẽ biết cách "Phá vỡ để thấu hiểu" – triết lý đào tạo cốt lõi giúp học viên CyberJutsu làm chủ bí quyết của ngành an ninh mạng.

Virus máy tính là một phần không thể thiếu trong bối cảnh an ninh mạng hiện đại. Để bảo vệ bản thân, việc hiểu rõ bản chất, cách thức lây lan và phương pháp phòng chống virus là vô cùng quan trọng. Không chỉ dựa vào phần mềm bảo mật, mà còn cần xây dựng thói quen an toàn, luôn cập nhật kiến thức, và giữ cảnh giác trước những mối đe dọa mới.

Hãy nhớ rằng, trong thế giới an ninh mạng, không có giải pháp bảo mật tuyệt đối. Tuy nhiên, khi áp dụng đúng các biện pháp phòng ngừa và hiểu rõ cách thức hoạt động của virus, bạn đã tạo nên một "bức tường phòng thủ" vững chắc, giảm thiểu tối đa nguy cơ bị tấn công.

"10 Thuật Ngữ Quan Trọng Về An Toàn Thông Tin Mà Người Mới Cần Biết" - CyberJutsu Academy

"What's the Difference between a Virus and a Worm?" - Kaspersky

Virus Máy Tính Là Gì? Bản Chất, Cách Lây Lan Và Phòng Chống Hiệu Quả

 là hai khái niệm không còn xa lạ với các kỹ sư bảo mật. Những "cửa hậu" này cho phép kẻ tấn công duy trì quyền truy cập trái phép vào hệ thống, thực hiện các thao tác từ xa mà không cần khai thác lỗ hổng lại từ đầu. Tuy nhiên, nhiều người vẫn thường nhầm lẫn giữa Webshell và Backdoor, cũng như chưa nắm rõ cách thức phát hiện và phòng chống chúng hiệu quả.

Hiểu rõ bản chất của Webshell và Backdoor, phân biệt sự khác nhau giữa chúng

Khám phá các loại Webshell và Backdoor phổ biến đang tồn tại

Các loại Webshell phổ biến theo ngôn ngữ lập trình

Nắm vững kỹ thuật phát hiện hiện đại theo cách của các chuyên gia hàng đầu

Áp dụng các biện pháp phòng chống chủ động để bảo vệ hệ thống

 (cửa hậu) trong an ninh mạng là một cơ chế ẩn được cài đặt sau khi hệ thống bị xâm nhập, nhằm giúp kẻ tấn công dễ dàng truy cập từ xa trở lại mà bỏ qua các cơ chế bảo mật thông thường. Về bản chất, backdoor cho phép kẻ tấn công chiếm 

 hệ thống bị nhiễm, tương tự như các công cụ quản trị hợp pháp nhưng phục vụ mục đích xấu.

Thông qua backdoor, hacker có thể làm bất cứ gì trên máy nạn nhân: gửi/nhận tệp, thực thi hoặc xóa file, đánh cắp dữ liệu, cài thêm malware, thậm chí điều khiển nhiều máy thành mạng botnet phục vụ tấn công khác.

Backdoor có thể tồn tại dưới nhiều hình thức. Ví dụ, kẻ tấn công có thể 

tạo một tài khoản quản trị ẩn

 âm thầm chờ nhận lệnh điều khiển từ máy chủ của hacker. Backdoor cũng có thể do chính nhà phát triển cố ý hoặc vô tình tích hợp vào phần mềm/hệ thống (chẳng hạn một tài khoản mặc định hoặc đoạn mã bí mật còn sót lại).

 – một webshell được cấy vào phần mềm SolarWinds Orion qua chuỗi cung ứng, cho phép hacker thực thi mã từ xa bên trong hệ thống Orion. Điều này cho thấy backdoor có thể xuất hiện ngay cả trong các sản phẩm phần mềm hợp lệ nếu quy trình phát triển hoặc phân phối bị xâm phạm.

 là một dạng backdoor đặc thù được triển khai dưới dạng tập tin kịch bản (script) trên máy chủ web. Webshell thường là một file mã độc (ví dụ 

...) được cài lên máy chủ và kẻ tấn công có thể kích hoạt nó bằng cách truy cập qua giao diện web (HTTP(S)). Khi webshell được thực thi, nó cho phép hacker gửi các lệnh hệ thống tùy ý thông qua trình duyệt, giống như việc thực hiện các thao tác trên một "shell" từ xa.

Về bản chất, webshell chính là một 

 phục vụ mục đích quản trị hệ thống: cho phép quản lý file, thực thi lệnh, quản lý cơ sở dữ liệu, thậm chí thêm/sửa/xóa tài khoản người dùng... từ xa. Ban đầu, một số công cụ webshell được tạo ra cho quản trị viên hợp pháp nhằm tương tác với máy chủ web dễ dàng (ví dụ: các web-based file manager). Tuy nhiên sau đó, tin tặc đã lợi dụng những công cụ này hoặc tự viết webshell cho mục đích xấu.

Hiện nay có rất nhiều biến thể webshell khác nhau, từ đơn giản vài dòng mã đến phức tạp. Một số webshell phổ biến thường được giới hacker sử dụng gồm: 

 – đây là các webshell PHP nổi tiếng giúp thực thi lệnh và quản lý server từ xa. Ngoài ra còn có các webshell nâng cao như 

, cung cấp giao diện đồ họa trên web kèm nhiều tiện ích (terminal, quản lý database, gửi mail, v.v.) để kiểm soát hệ thống mục tiêu.

Phân biệt giữa Webshell và Backdoor

 tập trung vào môi trường web. Nói cách khác, 

mọi webshell đều có thể xem là backdoor, nhưng không phải backdoor nào cũng là webshell

. Sự khác biệt chính nằm ở phương thức và phạm vi hoạt động:

 Backdoor là khái niệm rộng, bao gồm mọi phương thức giúp truy cập trái phép vào hệ thống (cấp hệ điều hành, ứng dụng, mạng, firmware thiết bị...). Trong khi đó, webshell chỉ giới hạn trên máy chủ web và được kích hoạt qua giao thức HTTP/HTTPS. Một backdoor thông thường (ví dụ Trojan) có thể chạy như một tiến trình hệ thống hoặc dịch vụ mạng, lắng nghe kết nối hoặc chủ động kết nối ra ngoài. Ngược lại, webshell 

 hơn: nó tồn tại dưới dạng file trên server và chỉ chạy khi có request HTTP phù hợp gửi tới.

 Webshell luôn được cài vào thư mục web (web directory) của một ứng dụng web, như một thành phần của website. Còn backdoor có thể nằm ở nhiều nơi – một chương trình trên máy, một dịch vụ Windows (dạng DLL dịch vụ chạy ngầm), một tài khoản ẩn trong cơ sở dữ liệu, v.v.

 Thông thường, webshell chạy dưới quyền của tiến trình web (user privileges), ban đầu có thể bị giới hạn quyền. Kẻ tấn công thường cố gắng 

 từ webshell (ví dụ khai thác lỗ hổng hệ điều hành để lên quyền root/Administrator). Ngược lại, nhiều backdoor khác khi được cài (ví dụ backdoor qua Trojan) đã chạy sẵn với quyền cao hoặc như một dịch vụ hệ thống, cho phép hacker can thiệp sâu mà không cần leo thang thêm.

mục đích cuối cùng của webshell và backdoor đều giống nhau: mở một "cửa hậu" bí mật giúp kẻ tấn công duy trì quyền truy cập

. Trong thực tế, kẻ tấn công thường kết hợp cả webshell và các backdoor khác để tối đa hiệu quả.

Có rất nhiều biến thể webshell tùy theo ngôn ngữ lập trình web và mức độ phức tạp. Dưới đây là một số loại webshell thường gặp:

 Phổ biến nhất là webshell viết bằng PHP (do nhiều website sử dụng PHP). Bên cạnh đó còn có webshell viết bằng ASP/ASPX (chạy trên IIS của Microsoft), webshell JSP/Servlet (trên các máy chủ Java), webshell viết bằng Python, Node.js... Bất kỳ môi trường nào cho phép upload hoặc chèn mã script phía server đều có thể xuất hiện webshell. Ví dụ, 

 là một webshell ASPX/PHP rất nhỏ gọn (~4KB) được phát hiện từ 2012, thường được các nhóm APT Trung Quốc sử dụng để điều khiển máy chủ web từ xa. Thậm chí trong chiến dịch tấn công ProxyLogon vào Microsoft Exchange năm 2021, nhóm Hafnium đã sử dụng biến thể China Chopper viết bằng JScript để cài webshell vào Exchange và thực thi lệnh quản trị với quyền SYSTEM.

 Nhiều webshell chỉ là một đoạn mã ngắn (vài dòng) thực hiện chức năng tối thiểu như nhận và thực thi trực tiếp lệnh hệ thống. Chúng thường sử dụng các hàm nguy hiểm như 

 hoặc ```` (backtick) trong PHP để thực thi lệnh OS từ tham số đầu vào. Những webshell "đơn giản" này dễ dàng được tùy biến, thêm mã hóa, làm rối mã để né tránh chữ ký nhận diện cố định. Ngược lại, cũng có những webshell 

 được phát triển thành bộ công cụ hoàn chỉnh, có 

 (một chương trình điều khiển có giao diện cho hacker). Ví dụ, 

 đề cập ở trên gồm hai thành phần: file webshell trên server và một chương trình client GUI để hacker gửi lệnh và nhận kết quả một cách thuận tiện. Tương tự, cộng đồng hacker còn có các framework webshell mạnh mẽ như 

 do tác giả Trung Quốc phát triển. Những webshell dạng này tích hợp cơ chế 

mã hóa thông tin liên lạc (ví dụ AES)

 giữa server và hacker, và có thể 

hoạt động hoàn toàn trong bộ nhớ

 (fileless) mà không để lại nhiều dấu vết trên đĩa.

Tag: Mã độc