FormBook -- dstq.exe 287KB, HTML Form Hijack, Sifrelenmis C2 Config, Anti-Debug | Yuksek

Manuel Statik Analiz — FormBook | Tehdit: YUKSEK

Datei Kimligi

SHA256	`2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df`
Datei Adi	dstq.exe
Größe	287.744 byte
String Sayisi	1.218

Sifrelenmis C2 Config

y2_c2    -- C2 config sekman isaretcisi
+c2>2    -- C2 referansi
+6*C2    -- C2 sekman

FormBook Hakkinda

FormBook, 2016'dan beri aktif form grabber/stealer ailesidir. HTTP POST hijack (man-in-the-browser), keylogger ve clipboard izleyici icermektedir. Underground forumlarda 29-299 USD arasi satilir.

IOC

SHA256	`2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df`
C2	HTTPS (sifrelenmis config)

FormBook — Malware-Profil

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Malware-Typ

Infostealer

Programmiersprache

C2-Protokoll

HTTP

Zielsysteme

Windows

Auch bekannt als (AKA)

xLoader

Technische Details

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Bedrohungsakteur

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Fähigkeiten & Verhalten

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC-Liste (1 Indikatoren)

IOC — FormBook

# SHA256
2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df

Typ	Wert	Bemerkung
sha256	2b775e69fb52f4b72e8455f3fce7c4cdc4c6c91ee069dd7d3e166de146de7df	len=63

FormBook — Zum vollständigen Profil →

C2-Server (5 erfasste Server für diese Familie)

Adresse	Typ	Port	Protokoll	Status	Land
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

C2-Adressen stammen ausschließlich aus vom KEYDAL-Team manuell verifizierten Malware-Samples. Kommerzielle Nutzung ist untersagt.