Manuel de formulaires — Analyse statique profonde (f9dcaff0)

Résumé de la menace

FamilleFormBook

Niveau de menaceÉLEVÉ

Platform.NET / C++ (UPX packed)

PackerUPX

SHA256f9dcaff0a6dd0a000a3fbf630cb0e15b...

Première observation2026-06-29

Méthode de détectionMalwareBazaar + Correspondance de signature

ConfianceMEDIUM

Informations sur le fichier

Propriété	Valeur
SHA256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
MD5	2cbbc2dfcb4c2eee97bf191d2f640171
SHA1	a2147858182f429e20d9a4ab4497f011d0835e5d
Nom du fichier	BOQ.bat (PE içeriği)
Taille	1,091,584 bytes
Architecture	x86
Date de compilation	Inconnu
Packer	UPX
MB première observation	2026-06-29
Étiquettes MB	exe, Formbook

Profil de menace

Famille: FormBook Classification: ÉLEVÉ Confiance: MEDIUM

FormBook, web tarayıcılarından form verisi çalan, keylogger ve screenshot yetenekleri bulunan infostealer/form-grabber ailesidir. Bu örnek UPX ile paketlenmiş olup MalwareBazaar tarafından Formbook olarak sınıflandırılmıştır. C2 adresi statik analizde tespit edilemedi — konfigürasyon şifreli. İlk görülme tarihi 2026-06-29 olup aktif dağıtım kampanyasının parçasıdır.

Capacités détectées

Form Grabbing (web tarayıcı form verisi çalma)
Keylogger (SetWindowsHookEx)
Screenshot (BitBlt/GDI)
Clipboard Monitor
HTTP C2 İletişimi
Anti-Debug Kontrolleri

Anti-Analiz Teknikleri

IsDebuggerPresent kontrolü
VM/Sandbox tespiti
UPX packing ile obfuscation

Kalıcılık Mekanizmaları

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\

Enjeksiyon Teknikleri

Process Injection (CreateRemoteThread)

C2 Sunucuları

C2 adresi statik analizde tespit edilemedi. Konfigürasyon büyük ihtimalle şifreli veya obfuscated. Dinamik analiz (sandbox çalıştırma) ile C2 iletişimi izlenebilir.

IOC Listesi

Tip	Valeur
sha256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
md5	2cbbc2dfcb4c2eee97bf191d2f640171

Öneriler

Hash değerlerini EDR/SIEM sistemlerinize ekleyin
Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
Registry autorun anahtarlarını periyodik kontrol edin
MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
Şüpheli process injection aktivitelerini izleyin

FormBook — Profil du malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

xLoader

Détails techniques

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Acteur de la menace

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (2 indicateurs)

IOC — FormBook

# SHA256
f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4

# MD5
2cbbc2dfcb4c2eee97bf191d2f640171

Type	Valeur	Note
sha256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
md5	2cbbc2dfcb4c2eee97bf191d2f640171

FormBook — Voir le profil complet →

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.