Derin Statik Analiz — FormBook | Tehdit: high

Файл Kimliği

SHA25664bb3ef49a6f0d11aa926b5af1cd93796af2137e529068859fc15f691c034510
MD52e3dd45aaf15c4bc163554aec1f0f287
SHA152bbcf346aadd9fb197b07192df37aa59af53452
Имя файлаQuotation Request.exe
Размер995840 byte
Тип/opt/ksentinel/samples/64bb3ef49a6f0d11_QuotationRequest.exe: PE32 executable (GUI) Intel 80386 Mono
Дата компиляцииНеизвестно
PackerUPX

C2 Sunucuları

AdresTipDurum
3.29.19.86IPactive

Tespit Edilen IOC'lar

ЗначениеTip
3.29.19.86IP
System.IODomain

Yetenekler

  • —

Şifreleme: RijndaelManaged

Geliştirici İpuçları

Telegram: @2pON @8A8B8C8D8E8F8G8H8JI @bYQw @D2zky @D5FG

PE Analizi

PE Достоверностьlik Taraması

file entropy:                    6.955553 (normal)
fpu anti-disassembly:            no
imagebase:                       normal
entrypoint:                      normal
DOS stub:                        normal
TLS directory:                   not found
timestamp:                       normal
section co

Import Tablosu (özet)

Imported functions
    Library
        Name:                            mscoree.dll
        Functions
            Function
                Hint:                            0
                Name:                            _CorExeMain

Семейство Tespiti — String Kanıtı

String kanıtı bulunamadı (obfuscated).

FormBook — Профиль вредоносного ПО

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Тип вредоносного ПО
Infostealer
Язык программирования
C
C2 Протокол
HTTP
Целевые системы
Windows
Другие названия (AKA)
xLoader

Технические детали

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Атрибуция / Актор угрозы

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Возможности и поведение

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

Список IOC (5 индикаторов)

IOC — FormBook
# 52bbcf346aadd9fb197b07192df37aa59af53452 # SHA256 64bb3ef49a6f0d11aa926b5af1cd93796af2137e529068859fc15f691c034510 # MD5 2e3dd45aaf15c4bc163554aec1f0f287 # IP 3.29.19.86 # DOMAIN System.IO
ТипЗначениеПримечание
52bbcf346aadd9fb197b07192df37aa59af53452
sha256 64bb3ef49a6f0d11aa926b5af1cd93796af2137e529068859fc15f691c034510
md5 2e3dd45aaf15c4bc163554aec1f0f287
ip 3.29.19.86
domain System.IO
FormBook — Полный профиль →

C2 Серверы (5 зарегистрированных серверов для этого семейства)

Адрес Тип Порт Протокол Статус Страна
45.61.136.16 ip 80 HTTP active US
hxxp://freeupgrades.net/s1xt/ domain 80 HTTP inactive US
103.75.160.239 ip 443 HTTPS inactive HK
3.29.19.86 ip — TCP inactive —
form-book.club domain 80 HTTP sinkholed —

Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.

Теги
formbookstatik-analizhighc2iocpe-analiz