# Phát Hiện Mã Độc Nghe Lén Giao Thức (Packet Sniffing) Trên Linux

Trong thế giới số hiện nay, **bảo mật hệ thống Linux** không còn là câu chuyện riêng của các quản trị viên hệ thống. Khi **mã độc nghe lén (packet sniffing malware)** ngày càng tinh vi, mọi cá nhân và tổ chức sử dụng Linux đều có thể trở thành mục tiêu trong tầm ngắm của kẻ tấn công.

## Thông tin chi tiết

Mã độc hoạt động âm thầm bằng cách chuyển các **giao diện mạng (network interface)** sang chế độ **promiscuous**, cho phép nó nghe lén mọi gói tin đi qua hệ thống – kể cả khi các gói tin này không dành cho nó. Hậu quả là:

* **Rò rỉ dữ liệu đăng nhập (username/password)**
    
* **Đánh cắp thông tin truy cập SSH, API**
    
* **Nguy cơ bị chiếm quyền điều khiển hệ thống**
    

## **Mã Độc Trên Linux: Hoạt Động Ra Sao?**

Các packet sniffer độc hại thường sử dụng các hàm như `pcap_open_live()` trong thư viện `libpcap` để bám vào giao diện mạng và ghi lại lưu lượng. Một số còn sử dụng kỹ thuật tải thư viện động (`LD_PRELOAD`) để ẩn hoạt động khỏi các công cụ giám sát thông thường như `netstat`, `ss`, hoặc `lsof`.

Không những thế, chúng có thể ghi nhật ký dữ liệu vào các file ẩn nằm sâu trong hệ thống như `/tmp/.cache/` hoặc `/var/tmp/.log`.

## **Tại Sao Quản Trị Viên Thường Bỏ Qua Loại Mã Độc Này?**

* **Không gây chú ý**: Không tốn nhiều CPU, không làm chậm hệ thống.
    
* **Ẩn mình tốt**: Không tạo kết nối mạng ra ngoài, nên dễ bị bỏ sót bởi firewall hoặc IDS.
    
* **Không để lại dấu hiệu rõ ràng**: File log có thể được mã hóa, giấu kín hoặc xóa sau khi gửi dữ liệu.
    

## **Làm Cách Nào Phát Hiện Packet Sniffer Trên Linux?**

**1\. Kiểm tra giao diện mạng ở chế độ promiscuous**

Sử dụng lệnh:

```csharp
ip link

```

Hoặc:

```csharp
ip a
```

Nếu thấy dấu `PROMISC`, có thể hệ thống đang bị giám sát.

**2\. Dùng công cụ như** `tcpdump` hoặc `wireshark` để kiểm tra lưu lượng khả nghi.

**3\. Quét tiến trình đang sử dụng** `libpcap`

Chạy lệnh sau để xem tiến trình nào mở file liên quan đến `libpcap`:

```csharp
lsof | grep pcap
```

**4\. Sử dụng công cụ phát hiện rootkit và phần mềm độc hại như:**

* **chkrootkit**
    
* **rkhunter**
    
* **Sandfly Security (đặc biệt cho Linux, không cần cài agent)**
    

## Khuyến nghị

Phía **FPT Threat Intelligent** khuyến nghị một số phương pháp khác bảo vệ cá nhân cũng như tổ chức khỏi các loại mã độc nghe lén trên Linux:

* **Hạn chế quyền root và sudo**
    
* **Giám sát thay đổi quyền trên các giao diện mạng**
    
* **Sử dụng hệ thống phát hiện hành vi bất thường (behavioral detection)**
    
* **Phân tích log định kỳ và giám sát thời gian thực**
    

## Tham khảo

[Detecting Packet Sniffing Malware on Linux](https://sandflysecurity.com/blog/detecting-packet-sniffing-malware-on-linux)