FormBook — Derin Statik Analiz (f9dcaff0)

Tehdit Özeti

AileFormBook

Tehdit SeviyesiYÜKSEK

Platform.NET / C++ (UPX packed)

PackerUPX

SHA256f9dcaff0a6dd0a000a3fbf630cb0e15b...

İlk Görülme2026-06-29

Tespit YöntemiMalwareBazaar + İmza Eşleşmesi

GüvenMEDIUM

Dosya Bilgileri

Özellik	Değer
SHA256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
MD5	2cbbc2dfcb4c2eee97bf191d2f640171
SHA1	a2147858182f429e20d9a4ab4497f011d0835e5d
Dosya Adı	BOQ.bat (PE içeriği)
Boyut	1,091,584 bytes
Mimari	x86
Derleme Tarihi	Bilinmiyor
Packer	UPX
MB İlk Görülme	2026-06-29
MB Etiketleri	exe, Formbook

Tehdit Profili

Aile: FormBook Sınıflandırma: YÜKSEK Güven: MEDIUM

FormBook, web tarayıcılarından form verisi çalan, keylogger ve screenshot yetenekleri bulunan infostealer/form-grabber ailesidir. Bu örnek UPX ile paketlenmiş olup MalwareBazaar tarafından Formbook olarak sınıflandırılmıştır. C2 adresi statik analizde tespit edilemedi — konfigürasyon şifreli. İlk görülme tarihi 2026-06-29 olup aktif dağıtım kampanyasının parçasıdır.

Tespit Edilen Yetenekler

Form Grabbing (web tarayıcı form verisi çalma)
Keylogger (SetWindowsHookEx)
Screenshot (BitBlt/GDI)
Clipboard Monitor
HTTP C2 İletişimi
Anti-Debug Kontrolleri

Anti-Analiz Teknikleri

IsDebuggerPresent kontrolü
VM/Sandbox tespiti
UPX packing ile obfuscation

Kalıcılık Mekanizmaları

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\

Enjeksiyon Teknikleri

Process Injection (CreateRemoteThread)

C2 Sunucuları

C2 adresi statik analizde tespit edilemedi. Konfigürasyon büyük ihtimalle şifreli veya obfuscated. Dinamik analiz (sandbox çalıştırma) ile C2 iletişimi izlenebilir.

IOC Listesi

Tip	Değer
sha256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
md5	2cbbc2dfcb4c2eee97bf191d2f640171

Öneriler

Hash değerlerini EDR/SIEM sistemlerinize ekleyin
Tespit edilen domain ve IP'leri firewall/proxy kara listesine alın
Registry autorun anahtarlarını periyodik kontrol edin
MalwareBazaar ve VirusTotal üzerinden hash kontrolü yapın
Şüpheli process injection aktivitelerini izleyin

FormBook — Malware Profili

FormBook web form verisi ve credential hırsızı. SmartAssembly paketleyici. İspanyolca LATAM elektrik faturası lür.

Malware Tipi

Infostealer

Programlama Dili

C2 Protokolü

HTTP

Hedef Sistemler

Windows

Diğer Adlar (AKA)

xLoader

Teknik Detaylar

C dili, Windows API hooking (form grabbing), HTTP POST C2, browser form stealer, keylogger, screenshot, clipboard monitor, process injection (process hollowing)

Atıf / Tehdit Aktörü

ABD'de gelistirilmis; satis darknet forumlari uzerinden yapilmis. Dunya genelindeki multuple suc gruplarina hizmet veren MaaS platformu.

Yetenekler ve Davranış

Tarayıcı Kimlik Bilgileri

Çerez Hırsızlığı

Kripto Cüzdan Çalma

Sistem Bilgisi

Ekran Görüntüsü

FTP/SSH İstemci Şifreleri

E-posta İstemcisi Çalma

Veri Sızıntısı

IOC Listesi (2 gösterge)

IOC — FormBook

# SHA256
f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4

# MD5
2cbbc2dfcb4c2eee97bf191d2f640171

Tür	Değer	Not
sha256	f9dcaff0a6dd0a000a3fbf630cb0e15bb359d8926ac4405402c42493132177e4
md5	2cbbc2dfcb4c2eee97bf191d2f640171

FormBook — Tam Profiline Git →

C2 Sunucuları (Bu aile için 5 kayıtlı sunucu)

Adres	Tür	Port	Protokol	Durum	Ülke
45.61.136.16	ip	80	HTTP	active	US
hxxp://freeupgrades.net/s1xt/	domain	80	HTTP	inactive	US
103.75.160.239	ip	443	HTTPS	inactive	HK
3.29.19.86	ip	—	TCP	inactive	—
form-book.club	domain	80	HTTP	sinkholed	—

C2 adresleri yalnızca KEYDAL ekibinin manuel olarak doğruladığı malware örnekleri üzerinden sunulmaktadır. Ticari amaçla kullanılamaz.

Etiketler

formbookinfostealerform-grabberpeanalizstatikioc