Câu hỏi về PE File và Malware

PE là viết tắt của từ gì trong Windows?

• Protected Entry

• Process Executable

• Packet Encoder

• Portable Executable

PE file thường áp dụng cho hệ điều hành nào?

• Windows

• MacOS

• Linux

• Android

Trong cấu trúc PE file, thành phần nào chứa mã thực thi chính?

• DOS Header

• data section

• text section

• Import Table

Header đầu tiên trong PE file là gì?

• DOS Header

• File Header

• Optional Header

• NT Header

Import Table trong PE file có tác dụng gì?

• Xác định entry point

• Mã hóa dữ liệu

• Chứa thông tin về các hàm được gọi từ thư viện bên ngoài

• Lưu file cấu hình

Một PE file bị nhiễm mã độc thường có biểu hiện gì?

• Dung lượng nhỏ hơn file gốc

• Tự động mở file văn bản

• Thay đổi giá trị Entry Point hoặc thêm section bất thường

• Có biểu tượng khác

Optional Header trong PE file có gì đặc biệt?

• Địa chỉ cơ sở của file khi được tải vào bộ nhớ

• Không thể bị thay đổi

• Chứa thông tin người dùng

• Tạo liên kết với các file DLL

Section Table trong PE file có tác dụng gì?

• Chứa mã nguồn

• Tạo liên kết với các file DLL

• Liệt kê thông tin về từng section như kích thước và vị trí

• Lưu mật khẩu của chương trình

Khi phân tích PE file, vì sao entry point lại là thông tin cần kiểm tra đầu tiên?

• Vì entry point luôn chứa chữ ký số

• Vì nó chứa thông tin người dùng

• Vì entry point quyết định phần mã được thực thi đầu tiên - nơi có thể chứa mã độc nếu bị chèn

• Vì entry point không thể bị thay đổi

Tại sao Import Table lại là nơi dễ bị kẻ tấn công lợi dụng?

• Vì có thể bị sửa để gọi hàm từ thư viện giả mạo

• Vì Import Table luôn được mã hóa

• Vì Import Table nằm ở cuối file

• Vì Import Table không cần khi thực thi