FormBook -- dstq.exe 287KB, HTML Form Hijack, Sifrelenmis C2 Config, Anti-Debug | Yuksek

Manuel Statik Analiz — FormBook | Tehdit: YUKSEK

Fichier Kimligi

SHA256	`2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df`
Fichier Adi	dstq.exe
Taille	287.744 byte
String Sayisi	1.218

Sifrelenmis C2 Config

y2_c2    -- C2 config sekman isaretcisi
+c2>2    -- C2 referansi
+6*C2    -- C2 sekman

FormBook Hakkinda

FormBook, 2016'dan beri aktif form grabber/stealer ailesidir. HTTP POST hijack (man-in-the-browser), keylogger ve clipboard izleyici icermektedir. Underground forumlarda 29-299 USD arasi satilir.

IOC

SHA256	`2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df`
C2	HTTPS (sifrelenmis config)

FormBook — Profil du malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

xLoader

Détails techniques

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Acteur de la menace

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — FormBook

# SHA256
2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df

Type	Valeur	Note
sha256	2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df	len=63

FormBook — Voir le profil complet →

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.