bài 1 mã độc máy tính

PE là viết tắt của từ gì trong Windows?

• Process Executable

• Protected Entry

• Portable Executable

• Packet Encoder

PE file thường áp dụng cho hệ điều hành nào?

• Linux

• MacOS

• Windows

• Android

Trong cấu trúc PE file, thành phần nào chứa mã thực thi chính?

• Import Table

• .data section

• .text section

• DOS Header

Header đầu tiên trong PE file là gì?

• NT Header

• File Header

• DOS Header

• Optional Header

Import Table trong PE file có tác dụng gì?

• Xác định entry point

• Lưu file cấu hình

• Chứa thông tin về các hàm được gọi từ thư viện bên ngoài

• Mã hóa dữ liệu

Một PE file bị nhiễm mã độc thường có biểu hiện gì?

• Dung lượng nhỏ hơn file gốc

• Có biểu tượng khác

• Thay đổi giá trị Entry Point hoặc thêm section bất thường

• Tự động mở file văn bản

Optional Header trong PE file có gì đặc biệt?

• Không thể bị thay đổi

• Chứa thông tin người dùng

• Địa chỉ cơ sở của file khi được tải vào bộ nhớ

• Tạo liên kết với các file DLL

Section Table trong PE file có tác dụng gì?

• Tạo liên kết với các file DLL

• Lưu mật khẩu của chương trình

• Liệt kê thông tin về từng section như kích thước và vị trí

• Chứa mã nguồn

Khi phân tích PE file, vì sao entry point lại là thông tin cần kiểm tra đầu tiên?

• Vì entry point luôn chứa chữ ký số

• Vì nó chứa thông tin người dùng

• Vì entry point quyết định phần mã được thực thi đầu tiên - nơi có thể chứa mã độc nếu bị chèn

• Vì entry point không thể bị thay đổi

Tại sao Import Table lại là nơi dễ bị kẻ tấn công lợi dụng?

• Vì Import Table luôn được mã hóa

• Vì Import Table nằm ở cuối file

• Vì có thể bị sửa để gọi hàm từ thư viện giả mạo

• Vì Import Table không cần khi thực thi