FormBook3 -- Factura electric pedido GA1 İspanyolca Elektrik Faturası, SmartAssembly Paketleyici, 8&C2\ Substring | Orta

Manuel Statik Analiz — FormBook | Tehdit: MOYEN

Fichier Kimliği

SHA256	`0b3236531c608af31005056b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Nom du fichier	Factura electric correspondiente al pedido GA1 (İspanyolca elektrik faturası!)
Taille	1.005.056 byte (981KB)
String Sayisi	4.905

İspanyolca Elektrik Faturası Lürü

SOSYAL MÜHENDİSLİK: Elektrik faturası e-postası!

Factura electric correspondiente al pedido GA1
-- "Factura electric" = elektrik faturası (İspanyolca)
-- "correspondiente al" = ilgili (bağlantılı)
-- "pedido GA1" = GA1 sipariş kodu
-- İspanya/LATAM elektrik şirketi faturası gibi görünüyor
-- Hedef: İspanyolca konuşan bireyler ve küçük işletmeler
-- FormBook = web form verisi çalan ve credential hırsızlayan stealer

SmartAssembly Paketleyici + C2 Substring

AssemblyConfigurationAttribute  -- SmartAssembly packer imzası
System.Configuration             -- .NET konfigürasyon namespace
8&C2\                            -- C2 substring (paketleyici içinden)
-- FormBook tipik olarak SmartAssembly ile paketlenmiş .NET dropper içine gömülür
-- Asıl FormBook binary native C kodu, wrapper .NET'tir

IOC

SHA256	`0b3236531c608af31005056b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f`
Lure	Factura electric GA1 (İspanyolca elektrik faturası)

FormBook — Profil du malware

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Type de malware

Infostealer

Langage de programmation

Protocole C2

HTTP

Systèmes ciblés

Windows

Aussi connu sous (AKA)

xLoader

Détails techniques

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Acteur de la menace

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capacités et comportement

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

Liste IOC (1 indicateurs)

IOC — FormBook

# SHA256
0b3236531c608af31005056b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

Type	Valeur	Note
sha256	0b3236531c608af31005056b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2f

FormBook — Voir le profil complet →

Serveurs C2 (5 serveurs enregistrés pour cette famille)

Adresse	Type	Port	Protocole	Statut	Pays
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

Les adresses C2 proviennent uniquement d'échantillons de malwares vérifiés manuellement par l'équipe KEYDAL. Toute utilisation commerciale est interdite.