Formbook
Qué es
Es un malware ladrón de información para Windows, conocido también como XLoader, que opera como un servicio de malware (MaaS). Su función principal es robar datos de navegadores web, clientes de correo y aplicaciones de transferencia de archivos (FTP).
Cómo llega
Llega a las víctimas a través de correos electrónicos maliciosos que simulan ser órdenes de compra. Estos correos incluyen archivos adjuntos ofuscados, como scripts JScript disfrazados de PDF, que se ejecutan para desplegar el malware.
Qué hace una vez dentro
Una vez en el sistema, extrae credenciales y datos sensibles almacenados en navegadores, clientes de correo y aplicaciones FTP. Utiliza un criptador único llamado RunPE, inicialmente denominado Babushka Crypter, para evadir la detección.
A quién ataca
Ataca sistemas operativos Windows y ha sido reportado en incidentes dirigidos a organizaciones en Chile.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Desarrollo de recursos | Domains | T1583.001 |
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Ejecución | Scheduled Task | T1053.005 |
| Ejecución | AutoHotKey & AutoIT | T1059.010 |
| Ejecución | Native API | T1106 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Sigilo | Software Packing | T1027.002 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Asynchronous Procedure Call | T1055.004 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Virtualization/Sandbox Evasion | T1497 |
| Sigilo | System Checks | T1497.001 |
| Sigilo | Debugger Evasion | T1622 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | System Information Discovery | T1082 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Screen Capture | T1113 |
| Recolección | Clipboard Data | T1115 |
| Recolección | Browser Session Hijacking | T1185 |
| Comando y control | Web Protocols | T1071.001 |
| Impacto | System Shutdown/Reboot | T1529 |
Fuente: MITRE ATT&CK v20 (S1207).
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 1 |
| Hashes de archivos | 214 |
En seguimiento desde el 10-oct-2026; último indicador nuevo el 21-oct-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
← Todo el catálogo de armamento