FiveSys样本分析
<!--kg-card-begin: markdown--><h1 id="">概述</h1>
<p>FiveSys是 Bitdefender 在  《<a href="https://www.bitdefender.com/files/News/CaseStudies/study/405/Bitdefender-DT-Whitepaper-Fivesys-creat5699-en-EN.pdf">Bitdefender-DT-Whitepaper-Fivesys</a> 》 披露的一组恶意软件家族。在他们披露的报告中，样本方面基本已经阐述的比较清晰了。我们本次分析，将再补充一些 FiveSys 的细节情况，及跟踪情况，以及详细解释一下 FiveSys 是如何使用这些证书的。可以说，本文是对 BitDefinder 所发报告的一个补充。</p>
<h1 id="">植入过程及功能图</h1>
<p><img src="__GHOST_URL__/content/images/2022/05/FiveSys---1.png" alt="FiveSys---1" loading="lazy"></p>
<p>图中各部分的展开介绍如下：</p>
<h2 id="">分发部分</h2>
<p>分发部分，就是市面上可以直接获取到的各类可执行文件，这类文件的投递可能具有多样性，还可能会和各类游戏辅助器捆绑在一起进行分发，通过一些诱导下载或捆绑下载的方式，骗取用户信任下载执行。比如笔者现在正在分析的样本，eb6841fb0221dc2269aaf93247870b7a 就对应着该部分。该部分的主要工作只有两项：</p>
<pre><code>1. 下调安全策略（关闭UAC）
2. 释放一个FiveSys的安装器，并通过启动服务的方式运行它。
</code></pre>
<p>被释放的文件会保存在“分发部分”的尾部，通过字节取反的方式逃避检查。</p>
<h2 id="fivesys">FiveSys安装器</h2>
<p>安装器部分的核心功能有三项：</p>
<pre><code>1. 释放并安装FiveSys驱动；
2. 释放并安装自签名的 HTTPS证书；
3. 向主控端汇报 1/2 是否安装成功，并汇报受控机的基本信息，比如系统版本/系统类型等；
</code></pre>
<p>经过逆向分析，我们发现安装器中内置了大量主控端域名地址，经过提取后得到xxx条IOC记录，详情可参见附录部分。</p>
<h2 id="fivesys">FiveSys持久化后门</h2>
<p>从远程控制角度来讲，这一部分才是FiveSys的核心逻辑，它的主要工作如下：</p>
<pre><code>1. 主控端识别(同样内置大量主控域名）
2. 阻断竞争对手的加载
3. 下载新的组件并执行（也可以用于自身更新）
4. 中间人窃密，添加网络内核钩子，以中间人攻击的形式窃取网络报文。
</code></pre>
<p><em>主控端识别</em>： 解析完内置的主控域名后，还需要对主控域名进行识别，只有当目标主控包含特定网页内容的时候，才会被当作合法主控。</p>
<p><em>阻断竞争对手的加载</em>： FiveSys会从主控同步一个黑名单到本地，当另一个驱动程序包含其内内容时则会拒绝其加载。进而保证自己的阵地。</p>
<p><em>下载新的组件并执行</em>：从主控先同步组件的下载地址，再同步组件本身到受控端，最后安装并执行。</p>
<p><em>中间人窃密</em>：攻击者预先架设一个代理服务器，随后将受控端的 HTTP/HTTPS 流量经它代理访问。此刻，代理服务器就是一个中间人的身份，攻击者可以从这里看到全量的用户数据，为盗号盗装备等恶意行为提供数据支撑。</p>
<h2 id="">证书部分详解</h2>
<p>FiveSys 涉及了两种用途的证书，一种是驱动证书(WHQL)，另一种是用于 HTTPS 通讯的证书。</p>
<h3 id="">驱动证书解释</h3>
<p>如果在搜索引擎以 FiveSys 为关键字搜索后，可以发现很多媒体转载和报道 FiveSys 的文章，大多以“微软签发了FiveSys证书”为噱头，进行披露。在这些文章中所提到的证书，就是所谓的 WHQL证书。</p>
<p>WHQL全称为“Microsoft Windows Hardware Quality Lab”，中文名“Windows硬件设备质量实验室（认证）”。该证书的主要功能为“Windows操作系统的兼容性测试”。基于这个背景信息，笔者推测，该证书的签发逻辑为：这个驱动运行后不会让 Windows 操作系统崩溃，所以同意这个驱动在Windows系统上加载运行。至于你在功能上是善意还是恶意，并不在本认证的硬性考虑之内。当然在实际操作中，微软也有权将不符合安全要求的证书予以吊销甚至拒绝加载，但笔者认为这种拒绝并不是一个硬性规定或一种非做不可的检查。这也是很多恶意软件可以拿到 WHQL证书的直接原因。</p>
<p>基于以上介绍，原则上只要 FiveSys 在兼容性上满足相关条件，就可以得到这个认证证书。下面是一张分析 FiveSys驱动时，截取的证书认证路径图，从这个图就可以清晰的看到WHQL这个证书是从微软官方签属出来的：</p>
<p><img src="__GHOST_URL__/content/images/2022/05/SysCert.png" alt="SysCert" loading="lazy"></p>
<p>从公开的文章来看，微软已经于xxxx时间吊销了该证书的有效性，这也是FiveSys 被BitDefender被露后的一个处置手段。</p>
<h3 id="https">HTTPS证书部分解释</h3>
<p>FiveSys在运行后，还会释放一个自签名的证书到Windows系统（相关注册表路径：<code>HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5109E6ACAE9C8E8D179D33E8C8EDB9D7D683FB7A\Blob</code>）。下图是分析该证书时得到的截图：</p>
<p><img src="__GHOST_URL__/content/images/2022/05/FiveSys_HTTPS--.png" alt="FiveSys_HTTPS--" loading="lazy"></p>
<p>其实该证书的所有字段，均由 FiveSys 运维人自行填写。当 FiveSys 把这个证书释放到受控系统后，受控系统就会将其作为权威根证书。随后从这个证书签署出的 HTTPS 证书，也一并被系统认为是可信的证书，即使它是由 FiveSys 伪造的。</p>
<p>所以该证书在 FiveSys 中的核心功能也就一目了然了，它将被用来以“中间人攻击的方式”窃取用户的网页隐私数据。从被劫持域名的归属情况来看，该劫持主要针对私服游戏类网站。当受控机访问这些网站时其所使用的账号密码将面临被盗号的风险。 FiveSys 也会将盗号作为其稳定盈利的一个手段。</p>
<h2 id="">敌友识别</h2>
<p>FiveSys 作为一个恶意驱动，它还有决定另一个驱动/程序是否可以加载的功能。经它同意的驱动可以加载，共同赚钱，而它拒绝的驱动/程序则无法加载，从而巩固胜利果实。为此它维护了一个白名单和黑名单。处于白名单里的实体则可以加载，黑名单里的实体则拒绝加载。样本中内置了一小部分黑名单，全量的黑名单和白名单则从主控地址中同步更新， 白名单的 URI 路径为 <code>/api/safe/adopt</code>,黑名单的 URI 路径为 <code>/driverfiles/Jck.txt</code>。</p>
<p><em>白名单</em></p>
<pre><code>{&quot;data&quot;:{&quot;filelist&quot;:[{&quot;value&quot;:&quot;5632021112419125668|958167658420279700|958167658899559700|546414874679876|84644687351867|437564873658743344|696738267692473086&quot;}]},&quot;message&quot;:&quot;&quot;,&quot;success&quot;:&quot;1&quot;}
</code></pre>
<p>此处白名单的内容没有详细分析，从内容上看和MD5有关，有很大的概率是同一批人运维的受控端。</p>
<p><em>黑名单</em></p>
<pre><code>1|Zhang Zhengqi
1|Haining shengdun Network Information Technology Co., Ltd
1|SHENZHEN LIRINUO S
1|Shanghai easy kradar Information Consulting Co.Ltd
1|Zhuhai liancheng Technology Co
1|Beijing Chunbai Technology Development Co
1|Xi'an Xinli Software Technology Co
1|新疆亿事联网络科技有限公司
1|Handan City Congtai District LiKang Daily Goods Departmen
1|上海域联软件技术有限公司
1|Hubei Olympic Tour Information Technology Co
1|Shanghai easy kradar Information Consulting Co
1|深圳市大米虾科技有限公司
1|Xinyi Electronic Technology (Shanghai) Co
1|Binzhoushi Yongyu Feed Co.,LTd
1|上海睦欣网络科技有限公司
1|Beijing Baijianqi Touzi Guanli Youxiangongsi
1|Sichuan Zhiling Times Network Technology
1|深圳科快安全技术有限公司
1|Beijing Ruidongtiandi Info.Tech
1|邓治华
1|Xiamen phantom domain network technology
1|湖南万博网络科技有限公司
1|浙江恒歌网络科技有限公司
1|善君
1|上海广乐网络科技有限公司
1|DigiCert Timestamp 2021
1|大连纵梦网络科技有限公司
1|Fuqing Yuntan Network Tech Co
1|Jiangsu innovation safety assessment
1|Bopsoft
1|Shenzhen Luyoudashi Technology
1|YI ZENG
1|成都安慧科技有限公司
1|Henan Pushitong Intelligent Technology
1|台州市天空文化传播有限公司
1|Feitian Technologies
1|Beijing Chunbai Technology Development
1|Haining shengdun Network Information Technology
1|Shanghai Oriental Webcasting
1|Jiangsu Liebao Network Technology
1|盛趣信息技术
1|福州创意嘉和软件有限公司
1|Shanghai Changzhi Network Technology
1|Handan City Congtai District LiKang Daily
1|He Fei Yun Biao Xin Xi Ke Ji You Xian Gong Si
1|Shanda Computer (Shanghai) Co
1|北京布丁跳跳科技有限公司
1|长沙林游网络科技有限公司
1|Guangzhou Spengler Automated Vending Technologies
2|9D9F343EAA8FB4045A4B7D05437AC02B
2|A269121725987B766740D43964E83CF3
2|698FD84F0AABAA65F8BD3E7AD417F4D4
1|Beijing Founder Apabi Technology Limited
1|SHANGMAO CHEN
1|Shenzhen Chongcheng Yuanshun Technology Co., Ltd
1|Shenzhen Hua’nan Xingfa Electronic Equipment Firm
1|Shenzhen Jinxian Technology Co., Ltd.
1|Shenzhen Juyuan Technology Co., Ltd.
1|杭州诸相网络科技有限公司
1|南京神易网络科技有限公司
1|天津迅读科技有限公司
1|武汉诸相网络科技有限公司
1|珠海市君天电子科技有限公司
1|浙江恒歌网络科技有限公司
1|Hubei Olympic Tour Information Technology
1|Fuqing Yuntan Network Tech Co
2|CE7D7EE076A74D3C532265D8F6BBFF09
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|Baoji zhihengtaiye co
2|E68A23A23D88180841B4690434B14716
1|迷南文化传媒（上海）有限公司
1|Beijing JoinHope Image Technology Ltd.
1|青岛亿驰趣游网络科技有限公司
1|北京新超仁达科技有限公司
1|成都优昂文化传播有限责任公司
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|佛山市高明科得裕绝缘材料有限公司
1|拇指世界（北京）网络科技有限公司
1|深圳市世纪中正科技开发有限公司
1|Jiangsu innovation safety assessment Co., Ltd.
</code></pre>
<p>黑名单项目成分比较复杂，通过不专业的分析，大概能看到三类情况：</p>
<ol>
<li>测试版本，比如： a269121725987b766740d43964e83cf3 这一项就是一个FiveSys测试版程序。</li>
<li>疑似竞争对手，以<code>Henan Pushitong Intelligent Technology Co.</code>记录为例，我们找到了用它签名的驱动文件，代码的大部分都加了防逆向保护的措施(比如：6722194b530249174d4b6717f16c778b)，这类保护措施一般是防止安全分析人员进一步分析的，它们处于安全分析人员的对立面。所以推测，这类项目与FiveSys 是竞争者的关系。</li>
<li>疑似涉及灰色收益的项目，比如：<code>北京布丁跳跳科技有限公司</code> 这个公司曾被网友在安全社区举报为流氓软件<code>https://bbs.guanjia.qq.com/thread-844451-1-1.html</code>。一般类似情况，相关项目与灰色收益有关的概率会比较大。（注意：这并不代表 <code>北京布丁跳跳科技有限公司</code> 这个公司是个坏东西，更有可能的是有人冒用了相关实体名做坏事）</li>
</ol>
<!--kg-card-end: markdown-->
概述


FiveSys是 Bitdefender 在 《Bitdefender-DT-Whitepaper-Fivesys 》 披露的一组恶意软件家族。在他们披露的报告中，样本方面基本已经阐述的比较清晰了。我们本次分析，将再补充一些 FiveSys 的细节情况，及跟踪情况，以及详细解释一下 FiveSys 是如何使用这些证书的。可以说，本文是对 BitDefinder 所发报告的一个补充。



植入过程及功能图





图中各部分的展开介绍如下：



分发部分


分发部分，就是市面上可以直接获取到的各类可执行文件，这类文件的投递可能具有多样性，还可能会和各类游戏辅助器捆绑在一起进行分发，通过一些诱导下载或捆绑下载的方式，骗取用户信任下载执行。比如笔者现在正在分析的样本，eb6841fb0221dc2269aaf93247870b7a 就对应着该部分。该部分的主要工作只有两项：


1. 下调安全策略（关闭UAC）
2. 释放一个FiveSys的安装器，并通过启动服务的方式运行它。



被释放的文件会保存在“分发部分”的尾部，通过字节取反的方式逃避检查。



FiveSys安装器


安装器部分的核心功能有三项：


1. 释放并安装FiveSys驱动；
2. 释放并安装自签名的 HTTPS证书；
3. 向主控端汇报 1/2 是否安装成功，并汇报受控机的基本信息，比如系统版本/系统类型等；



经过逆向分析，我们发现安装器中内置了大量主控端域名地址，经过提取后得到xxx条IOC记录，详情可参见附录部分。



FiveSys持久化后门


从远程控制角度来讲，这一部分才是FiveSys的核心逻辑，它的主要工作如下：


1. 主控端识别(同样内置大量主控域名）
2. 阻断竞争对手的加载
3. 下载新的组件并执行（也可以用于自身更新）
4. 中间人窃密，添加网络内核钩子，以中间人攻击的形式窃取网络报文。



主控端识别： 解析完内置的主控域名后，还需要对主控域名进行识别，只有当目标主控包含特定网页内容的时候，才会被当作合法主控。


阻断竞争对手的加载： FiveSys会从主控同步一个黑名单到本地，当另一个驱动程序包含其内内容时则会拒绝其加载。进而保证自己的阵地。


下载新的组件并执行：从主控先同步组件的下载地址，再同步组件本身到受控端，最后安装并执行。


中间人窃密：攻击者预先架设一个代理服务器，随后将受控端的 HTTP/HTTPS 流量经它代理访问。此刻，代理服务器就是一个中间人的身份，攻击者可以从这里看到全量的用户数据，为盗号盗装备等恶意行为提供数据支撑。



证书部分详解


FiveSys 涉及了两种用途的证书，一种是驱动证书(WHQL)，另一种是用于 HTTPS 通讯的证书。



驱动证书解释


如果在搜索引擎以 FiveSys 为关键字搜索后，可以发现很多媒体转载和报道 FiveSys 的文章，大多以“微软签发了FiveSys证书”为噱头，进行披露。在这些文章中所提到的证书，就是所谓的 WHQL证书。


WHQL全称为“Microsoft Windows Hardware Quality Lab”，中文名“Windows硬件设备质量实验室（认证）”。该证书的主要功能为“Windows操作系统的兼容性测试”。基于这个背景信息，笔者推测，该证书的签发逻辑为：这个驱动运行后不会让 Windows 操作系统崩溃，所以同意这个驱动在Windows系统上加载运行。至于你在功能上是善意还是恶意，并不在本认证的硬性考虑之内。当然在实际操作中，微软也有权将不符合安全要求的证书予以吊销甚至拒绝加载，但笔者认为这种拒绝并不是一个硬性规定或一种非做不可的检查。这也是很多恶意软件可以拿到 WHQL证书的直接原因。


基于以上介绍，原则上只要 FiveSys 在兼容性上满足相关条件，就可以得到这个认证证书。下面是一张分析 FiveSys驱动时，截取的证书认证路径图，从这个图就可以清晰的看到WHQL这个证书是从微软官方签属出来的：





从公开的文章来看，微软已经于xxxx时间吊销了该证书的有效性，这也是FiveSys 被BitDefender被露后的一个处置手段。



HTTPS证书部分解释


FiveSys在运行后，还会释放一个自签名的证书到Windows系统（相关注册表路径：HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\5109E6ACAE9C8E8D179D33E8C8EDB9D7D683FB7A\Blob）。下图是分析该证书时得到的截图：





其实该证书的所有字段，均由 FiveSys 运维人自行填写。当 FiveSys 把这个证书释放到受控系统后，受控系统就会将其作为权威根证书。随后从这个证书签署出的 HTTPS 证书，也一并被系统认为是可信的证书，即使它是由 FiveSys 伪造的。


所以该证书在 FiveSys 中的核心功能也就一目了然了，它将被用来以“中间人攻击的方式”窃取用户的网页隐私数据。从被劫持域名的归属情况来看，该劫持主要针对私服游戏类网站。当受控机访问这些网站时其所使用的账号密码将面临被盗号的风险。 FiveSys 也会将盗号作为其稳定盈利的一个手段。



敌友识别


FiveSys 作为一个恶意驱动，它还有决定另一个驱动/程序是否可以加载的功能。经它同意的驱动可以加载，共同赚钱，而它拒绝的驱动/程序则无法加载，从而巩固胜利果实。为此它维护了一个白名单和黑名单。处于白名单里的实体则可以加载，黑名单里的实体则拒绝加载。样本中内置了一小部分黑名单，全量的黑名单和白名单则从主控地址中同步更新， 白名单的 URI 路径为 /api/safe/adopt,黑名单的 URI 路径为 /driverfiles/Jck.txt。


白名单


{"data":{"filelist":[{"value":"5632021112419125668|958167658420279700|958167658899559700|546414874679876|84644687351867|437564873658743344|696738267692473086"}]},"message":"","success":"1"}



此处白名单的内容没有详细分析，从内容上看和MD5有关，有很大的概率是同一批人运维的受控端。


黑名单


1|Zhang Zhengqi
1|Haining shengdun Network Information Technology Co., Ltd
1|SHENZHEN LIRINUO S
1|Shanghai easy kradar Information Consulting Co.Ltd
1|Zhuhai liancheng Technology Co
1|Beijing Chunbai Technology Development Co
1|Xi'an Xinli Software Technology Co
1|新疆亿事联网络科技有限公司
1|Handan City Congtai District LiKang Daily Goods Departmen
1|上海域联软件技术有限公司
1|Hubei Olympic Tour Information Technology Co
1|Shanghai easy kradar Information Consulting Co
1|深圳市大米虾科技有限公司
1|Xinyi Electronic Technology (Shanghai) Co
1|Binzhoushi Yongyu Feed Co.,LTd
1|上海睦欣网络科技有限公司
1|Beijing Baijianqi Touzi Guanli Youxiangongsi
1|Sichuan Zhiling Times Network Technology
1|深圳科快安全技术有限公司
1|Beijing Ruidongtiandi Info.Tech
1|邓治华
1|Xiamen phantom domain network technology
1|湖南万博网络科技有限公司
1|浙江恒歌网络科技有限公司
1|善君
1|上海广乐网络科技有限公司
1|DigiCert Timestamp 2021
1|大连纵梦网络科技有限公司
1|Fuqing Yuntan Network Tech Co
1|Jiangsu innovation safety assessment
1|Bopsoft
1|Shenzhen Luyoudashi Technology
1|YI ZENG
1|成都安慧科技有限公司
1|Henan Pushitong Intelligent Technology
1|台州市天空文化传播有限公司
1|Feitian Technologies
1|Beijing Chunbai Technology Development
1|Haining shengdun Network Information Technology
1|Shanghai Oriental Webcasting
1|Jiangsu Liebao Network Technology
1|盛趣信息技术
1|福州创意嘉和软件有限公司
1|Shanghai Changzhi Network Technology
1|Handan City Congtai District LiKang Daily
1|He Fei Yun Biao Xin Xi Ke Ji You Xian Gong Si
1|Shanda Computer (Shanghai) Co
1|北京布丁跳跳科技有限公司
1|长沙林游网络科技有限公司
1|Guangzhou Spengler Automated Vending Technologies
2|9D9F343EAA8FB4045A4B7D05437AC02B
2|A269121725987B766740D43964E83CF3
2|698FD84F0AABAA65F8BD3E7AD417F4D4
1|Beijing Founder Apabi Technology Limited
1|SHANGMAO CHEN
1|Shenzhen Chongcheng Yuanshun Technology Co., Ltd
1|Shenzhen Hua’nan Xingfa Electronic Equipment Firm
1|Shenzhen Jinxian Technology Co., Ltd.
1|Shenzhen Juyuan Technology Co., Ltd.
1|杭州诸相网络科技有限公司
1|南京神易网络科技有限公司
1|天津迅读科技有限公司
1|武汉诸相网络科技有限公司
1|珠海市君天电子科技有限公司
1|浙江恒歌网络科技有限公司
1|Hubei Olympic Tour Information Technology
1|Fuqing Yuntan Network Tech Co
2|CE7D7EE076A74D3C532265D8F6BBFF09
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|Baoji zhihengtaiye co
2|E68A23A23D88180841B4690434B14716
1|迷南文化传媒（上海）有限公司
1|Beijing JoinHope Image Technology Ltd.
1|青岛亿驰趣游网络科技有限公司
1|北京新超仁达科技有限公司
1|成都优昂文化传播有限责任公司
2|B5C73DB8E70D6F46AD9B693F3CE060D2
1|佛山市高明科得裕绝缘材料有限公司
1|拇指世界（北京）网络科技有限公司
1|深圳市世纪中正科技开发有限公司
1|Jiangsu innovation safety assessment Co., Ltd.



黑名单项目成分比较复杂，通过不专业的分析，大概能看到三类情况：


 1. 测试版本，比如： a269121725987b766740d43964e83cf3 这一项就是一个FiveSys测试版程序。
 2. 疑似竞争对手，以Henan Pushitong Intelligent Technology Co.记录为例，我们找到了用它签名的驱动文件，代码的大部分都加了防逆向保护的措施(比如：6722194b530249174d4b6717f16c778b)，这类保护措施一般是防止安全分析人员进一步分析的，它们处于安全分析人员的对立面。所以推测，这类项目与FiveSys 是竞争者的关系。
 3. 疑似涉及灰色收益的项目，比如：北京布丁跳跳科技有限公司 这个公司曾被网友在安全社区举报为流氓软件https://bbs.guanjia.qq.com/thread-844451-1-1.html。一般类似情况，相关项目与灰色收益有关的概率会比较大。（注意：这并不代表 北京布丁跳跳科技有限公司 这个公司是个坏东西，更有可能的是有人冒用了相关实体名做坏事）

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"# 概述\n\nFiveSys是 Bitdefender 在  《[Bitdefender-DT-Whitepaper-Fivesys](https://www.bitdefender.com/files/News/CaseStudies/study/405/Bitdefender-DT-Whitepaper-Fivesys-creat5699-en-EN.pdf) 》 披露的一组恶意软件家族。在他们披露的报告中，样本方面基本已经阐述的比较清晰了。我们本次分析，将再补充一些 FiveSys 的细节情况，及跟踪情况，以及详细解释一下 FiveSys 是如何使用这些证书的。可以说，本文是对 BitDefinder 所发报告的一个补充。\n\n# 植入过程及功能图\n\n![FiveSys---1](__GHOST_URL__/content/images/2022/05/FiveSys---1.png)\n\n图中各部分的展开介绍如下：\n\n## 分发部分\n\n分发部分，就是市面上可以直接获取到的各类可执行文件，这类文件的投递可能具有多样性，还可能会和各类游戏辅助器捆绑在一起进行分发，通过一些诱导下载或捆绑下载的方式，骗取用户信任下载执行。比如笔者现在正在分析的样本，eb6841fb0221dc2269aaf93247870b7a 就对应着该部分。该部分的主要工作只有两项：\n```\n1. 下调安全策略（关闭UAC）\n2. 释放一个FiveSys的安装器，并通过启动服务的方式运行它。\n```\n被释放的文件会保存在“分发部分”的尾部，通过字节取反的方式逃避检查。\n\n## FiveSys安装器\n\n安装器部分的核心功能有三项：\n\n```\n1. 释放并安装FiveSys驱动；\n2. 释放并安装自签名的 HTTPS证书；\n3. 向主控端汇报 1/2 是否安装成功，并汇报受控机的基本信息，比如系统版本/系统类型等；\n```\n\n经过逆向分析，我们发现安装器中内置了大量主控端域名地址，经过提取后得到xxx条IOC记录，详情可参见附录部分。\n\n## FiveSys持久化后门\n\n从远程控制角度来讲，这一部分才是FiveSys的核心逻辑，它的主要工作如下：\n\n```\n1. 主控端识别(同样内置大量主控域名）\n2. 阻断竞争对手的加载\n3. 下载新的组件并执行（也可以用于自身更新）\n4. 中间人窃密，添加网络内核钩子，以中间人攻击的形式窃取网络报文。\n```\n\n\n*主控端识别*： 解析完内置的主控域名后，还需要对主控域名进行识别，只有当目标主控包含特定网页内容的时候，才会被当作合法主控。\n\n*阻断竞争对手的加载*： FiveSys会从主控同步一个黑名单到本地，当另一个驱动程序包含其内内容时则会拒绝其加载。进而保证自己的阵地。\n\n*下载新的组件并执行*：从主控先同步组件的下载地址，再同步组件本身到受控端，最后安装并执行。\n\n*中间人窃密*：攻击者预先架设一个代理服务器，随后将受控端的 HTTP/HTTPS 流量经它代理访问。此刻，代理服务器就是一个中间人的身份，攻击者可以从这里看到全量的用户数据，为盗号盗装备等恶意行为提供数据支撑。\n\n\n## 证书部分详解\n\n\nFiveSys 涉及了两种用途的证书，一种是驱动证书(WHQL)，另一种是用于 HTTPS 通讯的证书。\n\n\n### 驱动证书解释\n\n\n如果在搜索引擎以 FiveSys 为关键字搜索后，可以发现很多媒体转载和报道 FiveSys 的文章，大多以“微软签发了FiveSys证书”为噱头，进行披露。在这些文章中所提到的证书，就是所谓的 WHQL证书。\n\nWHQL全称为“Microsoft Windows Hardware Quality Lab”，中文名“Windows硬件设备质量实验室（认证）”。该证书的主要功能为“Windows操作系统的兼容性测试”。基于这个背景信息，笔者推测，该证书的签发逻辑为：这个驱动运行后不会让 Windows 操作系统崩溃，所以同意这个驱动在Windows系统上加载运行。至于你在功能上是善意还是恶意，并不在本认证的硬性考虑之内。当然在实际操作中，微软也有权将不符合安全要求的证书予以吊销甚至拒绝加载，但笔者认为这种拒绝并不是一个硬性规定或一种非做不可的检查。这也是很多恶意软件可以拿到 WHQL证书的直接原因。\n\n基于以上介绍，原则上只要 FiveSys 在兼容性上满足相关条件，就可以得到这个认证证书。下面是一张分析 FiveSys驱动时，截取的证书认证路径图，从这个图就可以清晰的看到WHQL这个证书是从微软官方签属出来的：\n\n![SysCert](__GHOST_URL__/content/images/2022/05/SysCert.png)\n\n从公开的文章来看，微软已经于xxxx时间吊销了该证书的有效性，这也是FiveSys 被BitDefender被露后的一个处置手段。\n\n\n### HTTPS证书部分解释\n\n\nFiveSys在运行后，还会释放一个自签名的证书到Windows系统（相关注册表路径：`HKLM\\SOFTWARE\\Microsoft\\SystemCertificates\\AuthRoot\\Certificates\\5109E6ACAE9C8E8D179D33E8C8EDB9D7D683FB7A\\Blob`）。下图是分析该证书时得到的截图：\n\n![FiveSys_HTTPS--](__GHOST_URL__/content/images/2022/05/FiveSys_HTTPS--.png)\n\n其实该证书的所有字段，均由 FiveSys 运维人自行填写。当 FiveSys 把这个证书释放到受控系统后，受控系统就会将其作为权威根证书。随后从这个证书签署出的 HTTPS 证书，也一并被系统认为是可信的证书，即使它是由 FiveSys 伪造的。\n\n所以该证书在 FiveSys 中的核心功能也就一目了然了，它将被用来以“中间人攻击的方式”窃取用户的网页隐私数据。从被劫持域名的归属情况来看，该劫持主要针对私服游戏类网站。当受控机访问这些网站时其所使用的账号密码将面临被盗号的风险。 FiveSys 也会将盗号作为其稳定盈利的一个手段。\n\n\n## 敌友识别\n\n\nFiveSys 作为一个恶意驱动，它还有决定另一个驱动/程序是否可以加载的功能。经它同意的驱动可以加载，共同赚钱，而它拒绝的驱动/程序则无法加载，从而巩固胜利果实。为此它维护了一个白名单和黑名单。处于白名单里的实体则可以加载，黑名单里的实体则拒绝加载。样本中内置了一小部分黑名单，全量的黑名单和白名单则从主控地址中同步更新， 白名单的 URI 路径为 `/api/safe/adopt`,黑名单的 URI 路径为 `/driverfiles/Jck.txt`。\n\n*白名单*\n```\n{\"data\":{\"filelist\":[{\"value\":\"5632021112419125668|958167658420279700|958167658899559700|546414874679876|84644687351867|437564873658743344|696738267692473086\"}]},\"message\":\"\",\"success\":\"1\"}\n```\n\n此处白名单的内容没有详细分析，从内容上看和MD5有关，有很大的概率是同一批人运维的受控端。\n\n*黑名单*\n```\n1|Zhang Zhengqi\n1|Haining shengdun Network Information Technology Co., Ltd\n1|SHENZHEN LIRINUO S\n1|Shanghai easy kradar Information Consulting Co.Ltd\n1|Zhuhai liancheng Technology Co\n1|Beijing Chunbai Technology Development Co\n1|Xi'an Xinli Software Technology Co\n1|新疆亿事联网络科技有限公司\n1|Handan City Congtai District LiKang Daily Goods Departmen\n1|上海域联软件技术有限公司\n1|Hubei Olympic Tour Information Technology Co\n1|Shanghai easy kradar Information Consulting Co\n1|深圳市大米虾科技有限公司\n1|Xinyi Electronic Technology (Shanghai) Co\n1|Binzhoushi Yongyu Feed Co.,LTd\n1|上海睦欣网络科技有限公司\n1|Beijing Baijianqi Touzi Guanli Youxiangongsi\n1|Sichuan Zhiling Times Network Technology\n1|深圳科快安全技术有限公司\n1|Beijing Ruidongtiandi Info.Tech\n1|邓治华\n1|Xiamen phantom domain network technology\n1|湖南万博网络科技有限公司\n1|浙江恒歌网络科技有限公司\n1|善君\n1|上海广乐网络科技有限公司\n1|DigiCert Timestamp 2021\n1|大连纵梦网络科技有限公司\n1|Fuqing Yuntan Network Tech Co\n1|Jiangsu innovation safety assessment\n1|Bopsoft\n1|Shenzhen Luyoudashi Technology\n1|YI ZENG\n1|成都安慧科技有限公司\n1|Henan Pushitong Intelligent Technology\n1|台州市天空文化传播有限公司\n1|Feitian Technologies\n1|Beijing Chunbai Technology Development\n1|Haining shengdun Network Information Technology\n1|Shanghai Oriental Webcasting\n1|Jiangsu Liebao Network Technology\n1|盛趣信息技术\n1|福州创意嘉和软件有限公司\n1|Shanghai Changzhi Network Technology\n1|Handan City Congtai District LiKang Daily\n1|He Fei Yun Biao Xin Xi Ke Ji You Xian Gong Si\n1|Shanda Computer (Shanghai) Co\n1|北京布丁跳跳科技有限公司\n1|长沙林游网络科技有限公司\n1|Guangzhou Spengler Automated Vending Technologies\n2|9D9F343EAA8FB4045A4B7D05437AC02B\n2|A269121725987B766740D43964E83CF3\n2|698FD84F0AABAA65F8BD3E7AD417F4D4\n1|Beijing Founder Apabi Technology Limited\n1|SHANGMAO CHEN\n1|Shenzhen Chongcheng Yuanshun Technology Co., Ltd\n1|Shenzhen Hua’nan Xingfa Electronic Equipment Firm\n1|Shenzhen Jinxian Technology Co., Ltd.\n1|Shenzhen Juyuan Technology Co., Ltd.\n1|杭州诸相网络科技有限公司\n1|南京神易网络科技有限公司\n1|天津迅读科技有限公司\n1|武汉诸相网络科技有限公司\n1|珠海市君天电子科技有限公司\n1|浙江恒歌网络科技有限公司\n1|Hubei Olympic Tour Information Technology\n1|Fuqing Yuntan Network Tech Co\n2|CE7D7EE076A74D3C532265D8F6BBFF09\n2|B5C73DB8E70D6F46AD9B693F3CE060D2\n1|Baoji zhihengtaiye co\n2|E68A23A23D88180841B4690434B14716\n1|迷南文化传媒（上海）有限公司\n1|Beijing JoinHope Image Technology Ltd.\n1|青岛亿驰趣游网络科技有限公司\n1|北京新超仁达科技有限公司\n1|成都优昂文化传播有限责任公司\n2|B5C73DB8E70D6F46AD9B693F3CE060D2\n1|佛山市高明科得裕绝缘材料有限公司\n1|拇指世界（北京）网络科技有限公司\n1|深圳市世纪中正科技开发有限公司\n1|Jiangsu innovation safety assessment Co., Ltd.\n```\n\n\n\n黑名单项目成分比较复杂，通过不专业的分析，大概能看到三类情况：\n1. 测试版本，比如： a269121725987b766740d43964e83cf3 这一项就是一个FiveSys测试版程序。\n2. 疑似竞争对手，以`Henan Pushitong Intelligent Technology Co.`记录为例，我们找到了用它签名的驱动文件，代码的大部分都加了防逆向保护的措施(比如：6722194b530249174d4b6717f16c778b)，这类保护措施一般是防止安全分析人员进一步分析的，它们处于安全分析人员的对立面。所以推测，这类项目与FiveSys 是竞争者的关系。\n3. 疑似涉及灰色收益的项目，比如：`北京布丁跳跳科技有限公司` 这个公司曾被网友在安全社区举报为流氓软件`https://bbs.guanjia.qq.com/thread-844451-1-1.html`。一般类似情况，相关项目与灰色收益有关的概率会比较大。（注意：这并不代表 `北京布丁跳跳科技有限公司` 这个公司是个坏东西，更有可能的是有人冒用了相关实体名做坏事）\n\n\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}