FormBook — dstq.exe, Tam Obfuskasyon, HTTP C2 Sifrelenmis | Orta

Manuel Statik Analiz (LLM Okumali) — FormBook Infostealer | Tehdit: MOYEN

Fichier Kimligi

SHA256	`2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048`
Orijinal Ad	dstq.exe
Taille	287.744 byte

Analiz Sonucu

Bu FormBook ornegi tam obfuskayon ile korunmaktadir. Strings analizi yalnizca 1218 satir sonuc uretmis, hicbir cleartext C2 URL, IP adresi veya kimlik bilgisi gorünmemistir. FormBook, C2 URL'sini genellikle XOR/AES ile sifreli sekilde binary icerisinde saklar ve runtime'da cozoer.

Bilinen FormBook Yetenekleri

Form grabbing (web form submission yakalama)
Keylogger
Screenshot
Fichier cekme
HTTP/HTTPS C2 iletisimi (panel yolu genellikle rastgele 4 karakter: /xxxx/)
Tarayici kimlik bilgileri

IOC

SHA256	`2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048`
C2	Sifrelenmis (dinamik analiz gerekli)

FormBook — Profil du malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

xLoader

Détails techniques

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Acteur de la menace

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — FormBook

# SHA256
2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048

Type	Valeur	Note
sha256	2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048

FormBook — Voir le profil complet →

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.