Manuel Statik Analiz (LLM Okumali) — FormBook Infostealer | Tehdit: MEDIO

Archivo Kimligi

SHA2562b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
Orijinal Addstq.exe
Tamaño287.744 byte

Analiz Sonucu

Bu FormBook ornegi tam obfuskayon ile korunmaktadir. Strings analizi yalnizca 1218 satir sonuc uretmis, hicbir cleartext C2 URL, IP adresi veya kimlik bilgisi gorünmemistir. FormBook, C2 URL'sini genellikle XOR/AES ile sifreli sekilde binary icerisinde saklar ve runtime'da cozoer.

Bilinen FormBook Yetenekleri

  • Form grabbing (web form submission yakalama)
  • Keylogger
  • Screenshot
  • Archivo cekme
  • HTTP/HTTPS C2 iletisimi (panel yolu genellikle rastgele 4 karakter: /xxxx/)
  • Tarayici kimlik bilgileri

IOC

SHA2562b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
C2Sifrelenmis (dinamik analiz gerekli)

FormBook — Perfil del malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Tipo de malware
Infostealer
Lenguaje de programación
C
Protocolo C2
HTTP
Sistemas objetivo
Windows
También conocido como (AKA)
xLoader

Detalles técnicos

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Atribución / Actor de amenaza

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacidades y comportamiento

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Lista IOC (1 indicadores)

IOC — FormBook
# SHA256 2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
TipoValorNota
sha256 2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
FormBook — Ver perfil completo →

Servidores C2 (5 servidores registrados para esta familia)

Dirección Tipo Puerto Protocolo Estado País
45.61.136.16 ip 80 HTTP active US
hxxp://freeupgrades.net/s1xt/ domain 80 HTTP inactive US
103.75.160.239 ip 443 HTTPS inactive HK
3.29.19.86 ip — TCP inactive —
form-book.club domain 80 HTTP sinkholed —

Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.

Etiquetas
formbookxloaderinfostealerobfuscationstatik-analiz