FormBook Infostealer — dstq.exe, Tam Sifreli Payload, Tarayici Form ve Sifre Hirsizi | Yuksek

Manuel Statik Analiz (LLM Okumali) — FormBook Infostealer | Tehdit: YUKSEK

Fichier Kimligi

SHA256	`2b775e69fb52f4b7a8c9d37c1e1a3a8b0623b8cb1e7d60e1cc3e5ef6d2f89ab1`
Fichier Adi	dstq.exe
Taille	287.744 byte
String Sayisi	1.218 (sifrelenmis)

Analiz Bulgulari

FormBook, tum kritik stringlerini (C2 URL, API endpoint, mutex) XOR ile sifrelenmis PE seksiyon icinde saklar. Statik string analizinde hicbir cleartext IOC bulunamamistir.

FormBook Teknik Architecturesi

Process Injection: Mesgru process'lere (Explorer.exe, svchost.exe) DLL injection
Form Grabbing: Tarayici formlarina hook ile sifresiz veri yakalama
Keylogger: SetWindowsHookEx ile keyboard hook
Screenshot: Belirli araliklarda ekran yakalama
C2 Pattern: Hardcoded list of multiple domains, rotates randomly

FormBook Yetenekleri

Kategori	Hedefler
Form Veri	Web formlarina girilen TUM veri (HTTP/HTTPS)
Tarayicilar	Chrome, Firefox, IE, Edge, Opera, Brave, 80+ tarayici
Email	Outlook, Thunderbird, The Bat!, Foxmail
FTP	FileZilla, WinSCP, SmartFTP, Total Commander FTP
Keylogger	Tum tus basimalari ve aktif pencere bilgisi
Screenshot	Periyodik ekran yakalama

FormBook Hakkinda

FormBook, 2016 yilinda "ng-Coder" takma adini kullanan bir gelistirici tarafindan underground forumlarda MaaS olarak satisa sunulmustur. 2019'da "XLoader" olarak rebrand edilmis ve macOS destegi eklenmistir. Process injection ve form grabbing teknikleri ile en yakin rekabetci stealerlardan biridir. Turkiye'de de kurban segmenti vardir.

IOC

SHA256	`2b775e69fb52f4b7a8c9d37c1e1a3a8b0623b8cb1e7d60e1cc3e5ef6d2f89ab1`
C2	XOR sifreli (runtime decrypt)
Injection	Process Hollowing (Explorer/svchost)

FormBook — Profil du malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

xLoader

Détails techniques

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Acteur de la menace

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — FormBook

# SHA256
2b775e69fb52f4b7a8c9d37c1e1a3a8b0623b8cb1e7d60e1cc3e5ef6d2f89ab1

Type	Valeur	Note
sha256	2b775e69fb52f4b7a8c9d37c1e1a3a8b0623b8cb1e7d60e1cc3e5ef6d2f89ab1

FormBook — Voir le profil complet →

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.