FiveSys样本分析

概述


FiveSys是 Bitdefender 在 《Bitdefender-DT-Whitepaper-Fivesys 》 披露的一组恶意软件家族。在他们披露的报告中，样本方面基本已经阐述的比较清晰了。我们本次分析，将再补充一些 FiveSys 的细节情况，及跟踪情况，以及详细解释一下 FiveSys 是如何使用这些证书的。可以说，本文是对 BitDefinder 所发报告的一个补充。



植入过程及功能图





图中各部分的展开介绍如下：



分发部分


分发部分，就是市面上可以直接获取到的各类可执行文件，这类文件的投递可能具有多样性，还可能会和各类游戏辅助器捆绑在一起进行分发，通过一些诱导下载或捆绑下载的方式，骗取用户信任下载执行。比如笔者现在正在分析的样本，eb6841fb0221dc2269aaf93247870b7a 就对应着该部分。该部分的主要工作只有两项：


1. 下调安全策略（关闭UAC）
2. 释放一个FiveSys的安装器，并通过启动服务的方式运行它。



被释放的文件会保存在“分发部分”的尾部，通过字节取反的方式逃避检查。



FiveSys安装器


安装器部分的核心功能有三项：


1. 释放并安装FiveSys驱动；
2. 释放并安装自签名的 HTTPS证书；
3. 向主控端汇报 1/2 是否安装成功，并汇报受控机的基本信息，比如系统版本/系统类型等；



经过逆向分析，我们发现安装器中内置了大量主控端域名地址，经过提取后得到xxx条IOC记录，详情可参见附录部分。



FiveSys持久化后门


从远程控制角度来讲，这一部分才是FiveSys的核心逻辑，它的主要工作如下：


1. 主控端识别(同样内置大量主控域名）
2. 阻断竞争对手的加载
3. 下载新的组件并执行（也可以用于自身更新）
4. 中间人窃密，添加网络内核钩子，以中间人攻击的形式窃取网络报文。



主控端识别： 解析完内置的主控域名后，还需要对主控域名进行识别，只有当目标主控包含特定网页内容的时候，才会被当作合法主控。


阻断竞争对手的加载： FiveSys会从主控同步一个黑名单到本地，当另一个驱动程序包含其内内容时则会拒绝其加载。进而保证自己的阵地。


下载新的组件并执行：从主控先同步组件的下载地址，再同步组件本身到受控端，最后安装并执行。


中间人窃密：攻击者预先架设一个代理服务器，随后将受控端的 HTTP/HTTPS 流量经它代理访问。此刻，代理服务器就是一个中间人的身份，攻击者可以从这里看到全量的用户数据，为盗号盗装备等恶意行为提供数据支撑。



证书部分详解


FiveSys 涉及了两种用途的证书，一种是驱动证书(WHQL)，另一种是用于 HTTPS 通讯的证书。



驱动证书解释


如果在搜索引擎以 FiveSys 为关键字搜索后，可以发现很多媒体转载和报道 FiveSys 的文章，大多以“微软签发了FiveSys证书”为噱头，进行披露。在这些文章中所提到的证书，就是所谓的 WHQL证书。


WHQL全称为“Microsoft Windows Hardware Quality Lab”，中文名“Windows硬件设备质量实验室（认证）”。该证书的主要功能为“Windows操作系统的兼容性测试”。基于这个背景信息，笔者推测，该证书的签发逻辑为：这个驱动运行后不会让 Windows 操作系统崩溃，所以同意这个驱动在Windows系统上加载运行。至于你在功能上是善意还是恶意，并不在本认证的硬性考虑之内。当然在实际操作中，微软也有权将不符合安全要求的证书予以吊销甚至拒绝加载，但笔者认为这种拒绝并不是一个硬性规定或一种非做不可的检查。这也是很多恶意软件可以拿到 WHQL证书的直接原因。


基于以上介绍，原则上只要 FiveSys 在兼容性上满足相关条件，就可以得到这个认证证书。下面是一张分析 FiveSys驱动时，截取的证书认证路径图，从这个图就可以清晰的看到WHQL这个证书是从微软官方签属出来的：





从公开的文章来看，微软已经于xxxx时间吊销了该证书的有效性，这也是FiveSys 被BitDefender被露后的一个处置手段。



HTTPS证书部分解释


FiveSys在运行后，还会释放一个自签名的证书到Windows系统（相关注册表路径：HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5109E6ACAE9C8E8D179D33E8C8EDB9D7D683FB7A\Blob）。下图是分析该证书时得到的截图：





其实该证书的所有字段，均由 FiveSys 运维人自行填写。当 FiveSys 把这个证书释放到受控系统后，受控系统就会将其作为权威根证书。随后从这个证书签署出的 HTTPS 证书，也一并被系统认为是可信的证书，即使它是由 FiveSys 伪造的。


所以该证书在 FiveSys 中的核心功能也就一目了然了，它将被用来以“中间人攻击的方式”窃取用户的网页隐私数据。从被劫持域名的归属情况来看，该劫持主要针对私服游戏类网站。当受控机访问这些网站时其所使用的账号密码将面临被盗号的风险。 FiveSys 也会将盗号作为其稳定盈利的一个手段。



敌友识别


FiveSys 作为一个恶意驱动，它还有决定另一个驱动/程序是否可以加载的功能。经它同意的驱动可以加载，共同赚钱，而它拒绝的驱动/程序则无法加载，从而巩固胜利果实。为此它维护了一个白名单和黑名单。处于白名单里的实体则可以加载，黑名单里的实体则拒绝加载。样本中内置了一小部分黑名单，全量的黑名单和白名单则从主控地址中同步更新， 白名单的 URI 路径为 /api/safe/adopt,黑名单的 URI 路径为 /driverfiles/Jck.txt。


白名单


{"data":{"filelist":[{"value":"5632021112419125668|958167658420279700|958167658899559700|546414874679876|84644687351867|437564873658743344|696738267692473086"}]},"message":"","success":"1"}



此处白名单的内容没有详细分析，从内容上看和MD5有关，有很大的概率是同一批人运维的受控端。


黑名单


1|Zhang Zhengqi
1|Haining shengdun Network Information Technology Co., Ltd
1|SHENZHEN LIRINUO S
1|Shanghai easy kradar Information Consulting Co.Ltd
1|Zhuhai liancheng Technology Co
1|Beijing Chunbai Technology Development Co
1|Xi'an Xinli Software Technology Co
1|新疆亿事联网络科技有限公司
1|Handan City Congtai District LiKang Daily Goods Departmen
1|上海域联软件技术有限公司
1|Hubei Olympic Tour Information Technology Co
1|Shanghai easy kradar Information Consulting Co
1|深圳市大米虾科技有限公司
1|Xinyi Electronic Technology (Shanghai) Co
1|Binzhoushi Yongyu Feed Co.,LTd
1|上海睦欣网络科技有限公司
1|Beijing Baijianqi Touzi Guanli Youxiangongsi
1|Sichuan Zhiling Times Network Technology
1|深圳科快安全技术有限公司
1|Beijing Ruidongtiandi Info.Tech
1|邓治华
1|Xiamen phantom domain network technology
1|湖南万博网络科技有限公司
1|浙江恒歌网络科技有限公司
1|善君
1|上海广乐网络科技有限公司
1|DigiCert Timestamp 2021
1|大连纵梦网络科技有限公司
1|Fuqing Yuntan Network Tech Co
1|Jiangsu innovation safety assessment
1|Bopsoft
1|Shenzhen Luyoudashi Technology
1|YI ZENG
1|成都安慧科技有限公司
1|Henan Pushitong Intelligent Technology
1|台州市天空文化传播有限公司
1|Feitian Technologies
1|Beijing Chunbai Technology Development
1|Haining shengdun Network Information Technology
1|Shanghai Oriental Webcasting
1|Jiangsu Liebao Network Technology
1|盛趣信息技术
1|福州创意嘉和软件有限公司
1|Shanghai Changzhi Network Technology
1|Handan City Congtai District LiKang Daily
1|He Fei Yun Biao Xin Xi Ke Ji You Xian Gong Si
1|Shanda Computer (Shanghai) Co
1|北京布丁跳跳科技有限公司
1|长沙林游网络科技有限公司
1|Guangzhou Spengler Automated Vending Technologies
2|9D9F343EAA8FB4045A4B7D05437AC02B
2|A269121725987B766740D43964E83CF3
2|698FD84F0AABAA65F8BD3E7AD417F4D4
1|Beijing Founder Apabi Technology Limited
1|SHANGMAO CHEN
1|Shenzhen Chongcheng Yuanshun Technology Co., Ltd
1|Shenzhen Hua’nan Xingfa Electronic Equipment Firm
1|Shenzhen Jinxian Technology Co., Ltd.
1|Shenzhen Juyuan Technology Co., Ltd.
1|杭州诸相网络科技有限公司
1|南京神易网络科技有限公司
1|天津迅读科技有限公司
1|武汉诸相网络科技有限公司
1|珠海市君天电子科技有限公司
1|浙江恒歌网络科技有限公司
1|Hubei Olympic Tour Information Technology
1|Fuqing Yuntan Network Tech Co
2|CE7D7EE076A74D3C532265D8F6BBFF09
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|Baoji zhihengtaiye co
2|E68A23A23D88180841B4690434B14716
1|迷南文化传媒（上海）有限公司
1|Beijing JoinHope Image Technology Ltd.
1|青岛亿驰趣游网络科技有限公司
1|北京新超仁达科技有限公司
1|成都优昂文化传播有限责任公司
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|佛山市高明科得裕绝缘材料有限公司
1|拇指世界（北京）网络科技有限公司
1|深圳市世纪中正科技开发有限公司
1|Jiangsu innovation safety assessment Co., Ltd.



黑名单项目成分比较复杂，通过不专业的分析，大概能看到三类情况：


 1. 测试版本，比如： a269121725987b766740d43964e83cf3 这一项就是一个FiveSys测试版程序。
 2. 疑似竞争对手，以Henan Pushitong Intelligent Technology Co.记录为例，我们找到了用它签名的驱动文件，代码的大部分都加了防逆向保护的措施(比如：6722194b530249174d4b6717f16c778b)，这类保护措施一般是防止安全分析人员进一步分析的，它们处于安全分析人员的对立面。所以推测，这类项目与FiveSys 是竞争者的关系。
 3. 疑似涉及灰色收益的项目，比如：北京布丁跳跳科技有限公司 这个公司曾被网友在安全社区举报为流氓软件https://bbs.guanjia.qq.com/thread-844451-1-1.html。一般类似情况，相关项目与灰色收益有关的概率会比较大。（注意：这并不代表 北京布丁跳跳科技有限公司 这个公司是个坏东西，更有可能的是有人冒用了相关实体名做坏事）