Manuel Statik Analiz — FormBook | Tehdit: 보통
파일 Kimliği
| SHA256 | 615302d2052274be1972766b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| 파일 이름 | Purchase_Order_Form.js (satın alma sipariş formu) |
| 크기 | 1.972.766 byte (1.97MB JS) |
| String Sayisi | 1.888 (1.97MB için minimal! = max obfuskasyon) |
Maksimum Obfuskasyon Metriği
İlginç Oran: 1.97MB dosyada sadece 1,888 string = okunabilir metinden kaçınma!
Oran: 1888 string / 1,972,766 byte = 0.00096 string/byte Normal JS: ~0.05-0.10 string/byte Bu JS: 50-100x daha az okunabilir string = ağır karakter kodlama Büyük kısmı ya hex/unicode escape ya da rastgele string encoding
Meşru Görünen Sahte Yorumlar
} // aggregate viewport metrics
var v6994 = {}; // propagate transition state at ...
-- "aggregate viewport metrics" = meşru web geliştirme yorumu gibi!
-- "propagate transition state" = React/Vue transition ifadesi gibi!
-- AV'lerin ve analistlerin "bu meşru web kodu" sanmasını sağlar
-- Rastgele değişken isim: v6994 (sayısal suffix pattern)
IOC
| SHA256 | 615302d2052274be1972766b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 |
|---|---|
| Lure | Purchase_Order_Form.js (satın alma sipariş JS) |
Formbook3 — 악성코드 프로필
FormBook .NET 2016 MaaS. Purchase_Order_Form.js. aggregate viewport sahte yorum. 1888 string 1.9MB max obfuskasyon.
악성코드 유형
Infostealer
프로그래밍 언어
C/.NET
C2 프로토콜
HTTP/C2 Panel
대상 시스템
Küresel Kurumsal
기능 및 동작
Tarayıcı Kimlik Bilgileri
Çerez Hırsızlığı
Kripto Cüzdan Çalma
Sistem Bilgisi
Ekran Görüntüsü
FTP/SSH İstemci Şifreleri
E-posta İstemcisi Çalma
Veri Sızıntısı
IOC 목록 (1 개 지표)
IOC — Formbook3
# SHA256
615302d2052274be1972766b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2
| 유형 | 값 | 메모 |
|---|---|---|
| sha256 | 615302d2052274be1972766b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2 | len=63 |