Trojan có thể sử dụng hai loại kênh truyền thông để gửi và nhận dữ liệu:
Đây là kiểu giao tiếp không che giấu gì cả. Ví dụ: Trojan gửi thẳng dữ liệu ra ngoài Internet qua HTTP, FTP hoặc email – các giao thức phổ biến và dễ lọt qua firewall nếu không kiểm soát outbound tốt.
Ví dụ thực tế: Một Trojan giả mạo là trình đọc PDF gửi bản ghi keylogger qua SMTP đến địa chỉ của attacker mỗi 5 phút. Nếu tổ chức không giám sát kỹ log outbound, hành vi này sẽ bị bỏ qua.
Phần lớn Trojan hiện đại sử dụng kiểu này – ẩn mình trong các gói tin hợp pháp, mã hóa payload, hoặc giấu dữ liệu trong các trường header/protocol ít bị để ý.
Kỹ thuật thường gặp:
Giấu dữ liệu trong DNS (DNS tunneling)
Sử dụng ICMP echo request như một kênh C2
Giao tiếp thông qua các dịch vụ phổ biến như Twitter API, Telegram bot, hoặc HTTP POST ngụy trang
Trojan không chỉ là malware – nó còn là công cụ thiết lập backdoor. Một khi được cài vào hệ thống, nó có thể:
Cho phép hacker truy cập trái phép vào hệ thống
Tạo kết nối ngược (reverse shell) từ nội bộ ra ngoài
Duy trì kết nối ngay cả sau khi máy khởi động lại
Điểm nguy hiểm: kết nối outbound thường ít bị chặn hơn inbound – vì phần lớn firewall doanh nghiệp ưu tiên ngăn chặn traffic từ ngoài vào, mà không kiểm soát kỹ lưu lượng từ trong ra.
Đây chính là lỗ hổng lớn trong nhiều doanh nghiệp hiện nay!
Một trong những phương pháp phổ biến nhất để phát tán Trojan là thông qua USB Drop Attack, còn gọi là Poison Apple Attack.
Kịch bản điển hình:
Hacker chuẩn bị USB chứa Trojan (ngụy trang file Excel hoặc ảnh mèo dễ thương)
"Vô tình" để lại USB trong thang máy, nhà vệ sinh hoặc căng-tin công ty mục tiêu
Một nhân viên tò mò nhặt được và gắn vào máy để kiểm tra
Một cú click – Trojan được kích hoạt, kết nối về attacker
Giám sát outbound traffic kỹ lưỡng (qua proxy, NGFW, NDR)
Dò tìm giao tiếp ngầm với công cụ như Zeek, Suricata hoặc tích hợp SIEM để phát hiện bất thường
Cấm toàn bộ thiết bị USB không xác thực, nhất là trong hệ thống OT, máy trạm nhạy cảm
Áp dụng Zero Trust – không tin bất kỳ thiết bị nào mặc định, kể cả thiết bị nội bộ
Trojan là một trong những công cụ lâu đời nhưng cực kỳ nguy hiểm trong tay hacker hiện đại. Không phải vì khả năng phá hoại, mà bởi nó mở ra cánh cửa “thầm lặng” để xâm nhập và duy trì hiện diện lâu dài trong hệ thống mục tiêu.
Bạn đang giám sát gì ra ngoài hệ thống của mình hôm nay? Bạn có chắc traffic đó là hợp pháp?
Chia sẻ bài viết này để các anh em SOC, Blue Team, Network Engineer cùng nắm rõ cách Trojan hoạt động và củng cố phòng thủ nội bộ.
