Manuel Statik Analiz (LLM Okumali) — FormBook Infostealer | Tehdit: СРЕДНИЙ

Файл Kimligi

SHA2562b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
Orijinal Addstq.exe
Размер287.744 byte

Analiz Sonucu

Bu FormBook ornegi tam obfuskayon ile korunmaktadir. Strings analizi yalnizca 1218 satir sonuc uretmis, hicbir cleartext C2 URL, IP adresi veya kimlik bilgisi gorünmemistir. FormBook, C2 URL'sini genellikle XOR/AES ile sifreli sekilde binary icerisinde saklar ve runtime'da cozoer.

Bilinen FormBook Yetenekleri

  • Form grabbing (web form submission yakalama)
  • Keylogger
  • Screenshot
  • Файл cekme
  • HTTP/HTTPS C2 iletisimi (panel yolu genellikle rastgele 4 karakter: /xxxx/)
  • Tarayici kimlik bilgileri

IOC

SHA2562b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
C2Sifrelenmis (dinamik analiz gerekli)

FormBook — Профиль вредоносного ПО

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Тип вредоносного ПО
Infostealer
Язык программирования
C
C2 Протокол
HTTP
Целевые системы
Windows
Другие названия (AKA)
xLoader

Технические детали

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Атрибуция / Актор угрозы

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Возможности и поведение

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Список IOC (1 индикаторов)

IOC — FormBook
# SHA256 2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
ТипЗначениеПримечание
sha256 2b775e69fb52f4b7ce851072dde921977146de7dfe569a5609313387cac8a048
FormBook — Полный профиль →

C2 Серверы (5 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
45.61.136.16 ip 80 HTTP active US
hxxp://freeupgrades.net/s1xt/ domain 80 HTTP inactive US
103.75.160.239 ip 443 HTTPS inactive HK
3.29.19.86 ip — TCP inactive —
form-book.club domain 80 HTTP sinkholed —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
formbookxloaderinfostealerobfuscationstatik-analiz