FormBook | Tehdit Seviyesi: high | Tür: Infostealer

Kriptografik Tanımlayıcılar

SHA2562e190a4c22601d5e6ad4fd8d7bbb441ae4c43d821814b3fdc00bcc145938004b
MD53c726c68809cf39194e97366c37a25af
Dosya Türüexe
Boyut1130.5 KB
İlk Görülme2026-06-10
Dosya AdıDI-1017-PH1-26_ABBREVIATED_CON.com
Etiketlerexe, FormBook

Malware Ailesi: FormBook

FormBook, MaaS infostealer'dır.

TürInfostealer
Programlama DiliC
Hedef PlatformWindows
C2 ProtokolüHTTP
AmaçForm verisi, tuş kaydı
İlk Görülen Yıl2016
Diğer İsimlerxLoader

Tehdit Göstergeleri (IOC)

  • SHA256: 2e190a4c22601d5e6ad4fd8d7bbb441ae4c43d821814b3fdc00bcc145938004b
  • MD5: 3c726c68809cf39194e97366c37a25af

Sistem Temizleme Rehberi

  1. Sistemi ağdan hemen ayırın
  2. Yeni bir cihazdan banka hesabı, sosyal medya ve e-posta şifrelerini değiştirin
  3. Kripto cüzdanları yeni bir adrese taşıyın, eski cüzdanları terk edin
  4. Güncel antivirüs ile tam tarama başlatın
  5. Tarayıcı kayıtlı şifrelerini temizleyin ve 2FA aktif edin
  6. Etkilenen tüm hizmetlerde oturumları kapatın

YARA Kuralı İpuçları

rule FormBook_SHA256 {
    meta:
        description = "FormBook sample: 2e190a4c22601d5e"
        threat_level = "high"
        first_seen = "2026-06-10"
    condition:
        hash.sha256(0, filesize) == "2e190a4c22601d5e6ad4fd8d7bbb441ae4c43d821814b3fdc00bcc145938004b"
}

FormBook — Malware Profile

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Malware Type
Infostealer
Programming Language
C
C2 Protocol
HTTP
Target Systems
Windows
Also Known As (AKA)
xLoader

Technical Details

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Attribution / Threat Actor

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Capabilities & Behavior

Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı

IOC List (2 indicators)

IOC — FormBook
# SHA256 2e190a4c22601d5e6ad4fd8d7bbb441ae4c43d821814b3fdc00bcc145938004b # MD5 3c726c68809cf39194e97366c37a25af
TypeValueNote
sha256 2e190a4c22601d5e6ad4fd8d7bbb441ae4c43d821814b3fdc00bcc145938004b
md5 3c726c68809cf39194e97366c37a25af
FormBook — Go to Full Profile →

C2 Servers (5 recorded servers for this family)

Address Type Port Protocol Status Country
45.61.136.16 ip 80 HTTP active US
hxxp://freeupgrades.net/s1xt/ domain 80 HTTP inactive US
103.75.160.239 ip 443 HTTPS inactive HK
3.29.19.86 ip — TCP inactive —
form-book.club domain 80 HTTP sinkholed —

C2 addresses are provided only from malware samples manually verified by the KEYDAL team. Commercial use is prohibited.

Tags
formbookinfostealermalwarehighsha256analizzenginleştirilmiş